Ajouter AD FS en tant que fournisseur d’identité

Introduction

Authentification unique ou Single Sign-On (SSO) est une technologie qui permet aux utilisateurs de s'authentifier une seule fois et d'accéder ensuite à plusieurs applications/services sans avoir à saisir à nouveau leurs informations d'identification.

Quand un portail web comprend plusieurs sections indépendantes (forum, chat, blogs, etc.), une fois connecté à un service, l'utilisateur est automatiquement connecté aux autres et n'a plus besoin de se connecter aux différentes applications une par une.

L'authentification unique repose toujours sur l'opération conjointe de deux applications: le fournisseur d'identité et le fournisseur de services (ci-après dénommés « IdP » et « SP »). ONLYOFFICE SSO met en œuvre uniquement le fournisseur de services (SP). Plusieurs fournisseurs peuvent agir en tant que fournisseur d'identité (IdP), mais cet article porte sur la mise en œuvre Services de fédération Active Directory (AD FS).

Préparer AD FS pour la configuration de SSO

1. Installez la version la plus récente d'AD DS (Service de domaine Active Directory) avec toutes les mises à jour et tous les correctifs officiels.

2. Installez la version la plus récente d'AD FS avec toutes les mises à jour et tous les correctifs officiels.

   remarque

   Pour déployer AD FS à partir de zéro, veuillez suivre ces instructions.

3. Vérifiez que le lien vers les métadonnées AD FS est accessible au public. Pour ce faire,

   1. Dans Server Manager, accédez à Tools -> AD FS Management,

   2. Passez à AD FS \ Service \ Endpoints,

   3. Recherchez la ligne de type Federation Metadata dans le tableau. Le lien vers les métadonnées du fournisseur d'identité est construit selon le schéma suivant:

      https://{ad-fs-domain}/{path-to-FederationMetadata.xml}

      Vous pouvez également utiliser la commande PowerShell suivante:

      PS C:\Users\Administrator> (Get-ADFSEndpoint | Where {$_.Protocol -eq "FederationMetadata" -or $_.Protocol -eq "Federation Metadata"}).FullUrl.ToString()

      En conséquence, vous devez obtenir un lien qui ressemble à ceci:

      https://myportal-address.com/FederationMetadata/2007-06/FederationMetadata.xml

   4. Pour vérifier qu'AD FS a démarré correctement, ouvrez le lien obtenu depuis votre navigateur. Le fichier xml doit s'afficher ou être téléchargé.

      

      Copiez le lien vers le fichier de métadonnées xml: vous en aurez besoin lors de l'étape suivante. Assurez-vous que vous êtes connecté à votre espace de travail ONLYOFFICE Apps en tant qu'administrateur. Accédez à la page Paramètres -> Intégration -> Authentification unique.

Configurer le fournisseur de services ONLYOFFICE

1. 

   Activez l'authentification unique à l'aide du commutateur Activer l'authentification unique et collez le lien copié depuis AD FS dans le champ URL vers le fichier XML de métadonnées du fournisseur d'identité.

   

2. Appuyez sur le bouton représentant une flèche vers le haut pour charger les métadonnées du fournisseur d'identité. Le formulaire Paramètres du fournisseur de services ONLYOFFICE sera rempli automatiquement avec vos données provenant du fournisseur d'identité AD FS.

   

3. Dans le sélecteur Format NameID, choisissez la valeur suivante: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.

   

4. Dans la section Certificats publics du fournisseur d'identité \ Paramètres avancés, décochez l'option Vérifier la signature des réponses à la déconnexion, car AD FS ne l'exige pas par défaut.

   

5. Vous devez maintenant ajouter des certificats à la section Certificats du fournisseur de services. Vous pouvez générer des certificats auto-signés ou ajouter tout autre certificat.

   Important

   Dans la fenêtre Nouveau certificat, basculez le sélecteur Utiliser pour sur l'option Signature et chiffrement, car le fournisseur d'identité AD FS est automatiquement configuré pour vérifier les signatures numériques et chiffrer les données.

   

6. Dans la section Certificats du fournisseur de services \ Paramètres avancés, décochez l'option Signature des réponses de déconnexion, car AD FS ne l'exige pas par défaut.

   

7. Il n'est pas nécessaire d'ajuster le formulaire Mappage d'attributs, car nous allons configurer ces paramètres dans le fournisseur d'identité AD FS plus tard.

8. Cliquez sur le bouton Enregistrer.

9. La section Métadonnées du fournisseur de services ONLYOFFICE doit s'ouvrir.

   

10. Vérifiez que nos paramètres sont accessibles au public en cliquant sur le bouton Télécharger le fichier XML des métadonnées du fournisseur de services. Le contenu du fichier XML doit s'afficher.

    

11. Copiez le lien vers les métadonnées du fournisseur de services ONLYOFFICE depuis le champ ID de l'entité du fournisseur de services (lien vers les métadonnées XML), puis accédez à la machine sur laquelle AD FS est installé.

    

Configurer le fournisseur d'identité AD FS

1. Dans Server Manager (Gestionnaire de serveur), accédez à Tools -> AD FS Management (Outils -> Gestion AD FS),

   

2. Sur le panneau AD FS Management (Gestion AD FS), sélectionnez Trust Relationships > Relying Party Trusts (Relations d'approbation > Approbations de partie de confiance). Cliquez sur l'option Add Relying Party Trust... (Ajouter une approbation de partie de confiance) à droite. L'assistant Add Relying Party Trust Wizard (Assistant Ajout d'approbation de partie de confiance) s'affiche,

   

3. Dans la fenêtre de l'assistant, activez le bouton radio Import data about the relying party published online or on a local network (Importer les données, publiées en ligne ou sur un réseau local, concernant la partie de confiance), collez le lien précédemment copié vers les métadonnées du fournisseur de services ONLYOFFICE dans le champ Federation metadata address (host name or URL) (Adresse de métadonnées de fédération (nom d'hôte ou URL)) et cliquez sur le bouton Next (Suivant),

   

4. Dans le champ Display name (Nom d'affichage), indiquez un nom quelconque et cliquez sur le bouton Next (Suivant),

   

5. Sélectionnez l'option Permit everyone (Autoriser tout le monde) et cliquez sur le bouton Next (Suivant),

   

6. Vérifiez la configuration résultante et cliquez sur le bouton Next (Suivant),

   

7. Laissez l'option par défaut inchangée et cliquez sur le bouton Close (Fermer),

   

8. Une nouvelle fenêtre s'affiche. Sous l'onglet Edit Claim Issuance Policy (Modifier la stratégie d'émission de revendications), cliquez sur le bouton Add Rule... (Ajouter une règle),

   

9. Sélectionnez l'option Send LDAP Attributes as Claims (Envoyer des attributs LDAP en tant que revendications) dans la liste Claim rule template (Modèle de règle de revendication) et cliquez sur le bouton Next (Suivant),

   

10. Saisissez un nom quelconque dans le champ Claim rule name (Nom de la règle de revendication). Sélectionnez l'option Active Directory dans la liste Attribute store (Magasin d'attributs) et remplissez le formulaire Mapping of LDAP attributes to outgoing claim types (Mappage d'attributs LDAP à des types de revendications sortantes) selon le tableau ci-après. Une fois terminé, cliquez sur Finish (Terminer).

    Attribut LDAP (sélectionnez ou saisissez pour ajouter plus d'options)	Revendication sortante (sélectionnez ou saisissez pour ajouter plus d'options)
    Given-Name	givenName
    Surname	sn
    E-Mail-Addresses	mail

    

11. Dans la fenêtre Edit Claim Rules (Modifier les règles de revendication), cliquez à nouveau sur le bouton Add Rule... (Ajouter une règle), sélectionnez l'option Transform an Incoming Claim (Transformer une revendication entrante) dans la liste Claim rule template (Modèle de règle de revendication) et cliquez sur le bouton Next (Suivant),

    

12. Saisissez un nom quelconque dans le champ Claim rule name (Nom de la règle de revendication) et sélectionnez les options suivantes dans les listes:

    • Incoming claim type (Type de revendication entrante): mail,
    • Outgoing claim type (Type de revendication sortante): Name ID,
    • Outgoing name ID format (Format d'ID de nom sortant): Email

    

    Une fois terminé, cliquez sur le bouton Finish (Terminer).

13. Si la déconnexion depuis AD FS ne fonctionne pas, il est recommandé d'ajouter une règle de revendication personnalisée (Custom Claim Rule) en remplaçant {portal-domain} par votre domaine SP et {ad-fs-domain} par votre domaine IdP:

    c:[Type == "mail"]
    => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://{ad-fs-domain}/adfs/services/trust", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "https://{portal-domain}/sso/metadata");

    

14. Cliquez sur le bouton OK,

15. Ouvrez les propriétés de l'approbation de partie de confiance que vous venez de créer et passez à l'onglet Advanced (Avancé),

    Sélectionnez l'option SHA-1 dans la liste Secure hash algorithm (Algorithme de hachage sécurisé).