Connecter votre équipe avec SSO
Ce que vous allez créer
Section intitulée « Ce que vous allez créer »À la fin de ce tutoriel, vous disposerez de :
- une connexion SAML entre votre serveur Control Center et un fournisseur d’identité (nous prenons Okta comme exemple),
- un utilisateur provisionné automatiquement à sa première connexion et
- une politique d’adhésion aux espaces de travail que vous avez choisie délibérément.
Vous aurez besoin d’un serveur que vous administrez (le propriétaire du serveur — l’exploitant de l’installation) et d’une application IdP que vous pouvez configurer. Comptez 20 minutes.
1. Ouvrir les paramètres d’authentification unique
Section intitulée « 1. Ouvrir les paramètres d’authentification unique »Connectez-vous à Control Center, puis rendez-vous dans Paramètres → Serveur → Authentification unique. L’écran permet de basculer entre SAML et OpenID Connect, et comporte en plus une carte Provisionnement des utilisateurs (SCIM). Restez sur SAML.
Tout sur cet écran s’applique à l’échelle du serveur : un seul IdP authentifie les personnes de tous les espaces de travail, si bien que seul le propriétaire du serveur peut le modifier.
2. Coller les métadonnées de l’IdP
Section intitulée « 2. Coller les métadonnées de l’IdP »Dans Okta, ouvrez l’onglet Sign On de votre application et copiez le XML des métadonnées (ou téléchargez-le et collez le contenu du fichier). De retour dans Control Center, collez-le dans XML de métadonnées de l’IdP et cliquez sur Tester la connexion.
La notification indique le point de terminaison de connexion de l’IdP — preuve
que les métadonnées ont été analysées, que le certificat a été lu et que le
serveur peut construire une requête de connexion à partir de celles-ci (le test
exerce tout, sauf l’aller-retour dans le navigateur). S’il échoue, le XML n’était
pas un EntityDescriptor complet (l’onglet SAML d’Okta l’appelle « Metadata
URL » ; ouvrez l’URL et copiez ce qu’elle renvoie). Le même bouton dans
OpenID Connect vérifie quant à lui le document de découverte de votre
émetteur. Pour détecter en plus un certificat proche de l’expiration et voir si
l’IdP reconnaît Control Center, utilisez le
vérificateur de l’étape 6.
3. Enregistrer Control Center auprès de l’IdP
Section intitulée « 3. Enregistrer Control Center auprès de l’IdP »Cliquez sur Copier les métadonnées SP et transmettez-les à la personne qui configure le côté Okta (ou lisez-lui les deux valeurs demandées) :
- URL ACS :
https://<your-server>/saml/acs - ID d’entité :
https://<your-server>/saml
Ces URL dérivent de l’origine que joignent les navigateurs de vos utilisateurs. Si le serveur tourne derrière un tunnel ou un proxy inverse, veillez à ce que l’origine soit stable (Paramètres → Serveur → Connexion et état → Partager ce serveur indique l’URL publique) — ou épinglez l’ID d’entité explicitement dans le champ ID d’entité du SP.