Fournisseur d'identité Authentik

Introduction

Authentification unique ou Single Sign-On (SSO) est une technologie qui permet aux utilisateurs de s'authentifier une seule fois et d'accéder ensuite à plusieurs applications/services sans avoir à saisir à nouveau leurs informations d'identification.

Quand un portail web comprend plusieurs sections indépendantes (forum, chat, blogs, etc.), une fois connecté à un service, l'utilisateur est automatiquement connecté aux autres et n'a plus besoin de se connecter aux différentes applications une par une.

L'authentification unique repose toujours sur l'opération conjointe de deux applications: le fournisseur d'identité et le fournisseur de services (ci-après dénommés « IdP » et « SP »). ONLYOFFICE SSO met en œuvre uniquement le fournisseur de services (SP). Plusieurs fournisseurs peuvent agir en tant que fournisseur d'identité (IdP), mais cet article porte sur la mise en œuvre Authentik.

Créer un fournisseur d'identité dans Authentik

1. Connectez-vous au panneau d'administration Authentik (https://authentik.yourdomain.com/if/admin/).

2. Accédez à Customization (Personnalisation) -> Property Mappings (Mappages de propriétés).

3. Cliquez sur Create (Créer) -> SAML Provider Property Mapping (Mappage de propriétés du fournisseur SAML).

4. Créez de cette manière 3 mappages de propriétés avec les paramètres suivants:

   Nom	Nom de l'attribut SAML	Expression
   SAML givenName Mapping	givenName	return user.attributes["first_name"]
   SAML sn Mapping	sn	return user.attributes["last_name"]
   SAML mail Mapping	mail	return user.email

   Ce mappage de propriétés doit être configuré si des attributs sont définis pour les utilisateurs dans Authentik. Si les attributs sont différents, remplacez-les par ceux qui conviennent; s'il n'y a pas d'attributs, aucune configuration n'est nécessaire.

   

5. Accédez à Providers (Fournisseurs) -> Create (Créer).

6. Sélectionnez le type SAML.

   

7. Renseignez les champs suivants:

   Nom	Apps SAML
   Authorization flow (Flux d'autorisation)	default-provider-authorization-implicit-consent (Authorize Application)
   ACS URL (URL ACS)	https://docspace.example.com/sso/acs
   Issuer (Émetteur)	https://docspace.example.com/sso/metadata
   Service Provider Binding (Liaison du fournisseur de services)	POST
   Sign assertions (Signer les assertions)	true
   Sign responses (Signer les réponses)	true
   Signing Certificate (Certificat de signature)	Dans un premier temps, vous pouvez indiquer authentik Self-signed Certificate ou le remplacer par votre propre certificat
   Property mappings (Mappages de propriétés)	Si vous avez configuré des attributs à l'étape 4, vous devez les ajouter de la colonne de gauche à la colonne de droite en les sélectionnant et en cliquant sur la flèche droite

   

   

8. Cliquez sur Finish (Terminer).

9. Accédez à Applications -> Create (Créer).

10. Renseignez les champs suivants:

    Nom	Apps SAML
    Slug	docspace
    Provider (Fournisseur)	Sélectionnez Docspace SAML
    Policy engine mode (Mode du moteur de stratégies)	any

11. Cliquez sur Create (Créer).

    

12. Accédez au SAML Provider (fournisseur SAML) créé.

13. Trouvez le lien Metadata URL (il s'agit généralement de https://authentik.example.com/application/saml/docspace/metadata.xml)

14. Copiez ce lien ou téléchargez le fichier XML.

    

Configurer le fournisseur de services ONLYOFFICE

Assurez-vous que vous êtes connecté à votre espace de travail ONLYOFFICE Apps en tant qu'administrateur, puis accédez au menu Paramètres, sélectionnez la section Intégration et ouvrez l'onglet Authentification unique.

1. Activez l'authentification unique à l'aide du commutateur Activer l'authentification unique et collez le lien copié dans le champ URL vers le fichier XML de métadonnées du fournisseur d'identité.

2. Appuyez sur le bouton représentant une flèche vers le haut pour charger les métadonnées du fournisseur d'identité. Le formulaire Paramètres du fournisseur de services ONLYOFFICE sera rempli automatiquement avec vos données provenant du fournisseur d'identité Authentik.

3. Si les attributs des utilisateurs ne sont pas configurés et que l'étape 4 de la section Créer un fournisseur d'identité dans Authentik n'a pas été effectuée, les paramètres suivants doivent être indiqués dans Mappage d'attributs:

   Prénom	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   Nom	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   E-mail	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

   

4. Créez un certificat dans la section Certificats du fournisseur de services. Pour ce faire, cliquez sur le bouton Ajouter un certificat dans la section correspondante.

   

5. Dans la fenêtre modale qui s'ouvre, cliquez sur le lien Générer un nouveau certificat auto-signé et choisissez l'option Signature et chiffrement dans la liste Utiliser pour. Avant d'enregistrer le certificat, copiez le texte du Certificat public dans le presse-papiers et enregistrez-le dans un fichier (il sera nécessaire pour Authentik), puis cliquez sur le bouton OK.

   

   

6. Cliquez sur le bouton Enregistrer.

7. La section Métadonnées du fournisseur de services ONLYOFFICE dotée du bouton Télécharger le fichier XML des métadonnées du fournisseur de services doit s'ouvrir.

   

8. Retournez dans Authentik pour ajouter le certificat copié. Accédez à System (Système) -> Certificates (Certificats) -> Create (Créer).

9. Saisissez un nom quelconque et collez le certificat copié.

   

10. Indiquez ce certificat dans les paramètres du fournisseur.

    

    Si le chiffrement est requis, vous devez créer à l'étape 8 un certificat doté d'une clé privée et indiquer ce certificat dans le champ Encryption Certificate (Certificat de chiffrement).

Vérifier le fonctionnement du fournisseur de services ONLYOFFICE avec le fournisseur d'identité Authentik

1. Accédez à la page d'authentification d'ONLYOFFICE Apps (par exemple, https://myportal-address.com/login).

   

2. Cliquez sur le bouton Single Sign-on. Si le bouton est absent, cela signifie que l'authentification unique n'est pas activée.

3. Si tous les paramètres du SP et de l'IdP sont correctement définis, vous serez redirigé vers le formulaire de connexion du fournisseur d'identité Authentik.

4. Saisissez l'identifiant et le mot de passe de l'utilisateur Authentik, puis cliquez sur le bouton Sign In (Se connecter).

5. Si les informations d'identification sont correctes, vous serez redirigé vers la page principale de l'espace de travail (l'utilisateur sera créé automatiquement s'il n'existe pas, ou ses données seront mises à jour si elles ont été modifiées dans l'IdP).