Authentification unique SSO de Coalfire
miniOrange fournit une solution clé en main pour Coalfire. Coalfire a travaillé à la pointe de la technologie pour aider les organisations des secteurs public et privé à résoudre leurs problèmes de cybersécurité les plus complexes et à alimenter leur réussite globale.
L'intégration de miniOrange et Coalfire Single Sign-On (SSO) prend en charge les fonctionnalités suivantes :
- Authentification unique (SSO) initiée par le SP
- Authentification unique (SSO) initiée par l'IdP
Suivez le guide étape par étape ci-dessous pour Coalfire Single Sign-On (SSO)
1. Configurer Coalfire dans miniOrange
- Connectez-vous à miniOrange Console d'administration.
- Allez dans Apps et cliquez sur Ajouter une application .
- In Choisissez le type de demande, sélectionnez SAML/WS-FED du Toutes les applications menu déroulant.
- Recherchez Charbon de bois dans la liste, si vous ne trouvez pas Coalfire dans la liste, recherchez Customiser et vous pouvez configurer votre application dans Application SAML personnalisée.
- In Réglages de base onglet remplissez les détails suivants, pour afficher les points de terminaison, dans le tableau de bord d'administration Coalfire, à partir de la page Fournisseurs d'identité, cliquez sur Actions et sélectionnez Points de terminaison.
|
ID d'entité SP ou émetteur :
|
https://www.coalfire.com/sso/saml |
|
URL du CA :
|
https://www.coalfire.com/sso/saml |
|
Identifiant du nom :
|
Adresse courriel |
- Cliquez à nouveau Suivant, maintenant dans le Cartographie d'attributs configurez les attributs suivants comme indiqué dans l'image ci-dessous.
- Pour télécharger le logo de l'application respective pour un Application SAML personnalisée, cliquer sur Onglet Télécharger le logo.
- Cliquez à nouveau Enregistrer
- Votre candidature est enregistrée avec succès. Cliquez maintenant sur le bouton Sélectionner en regard de votre application nouvellement créée. Accédez aux métadonnées.
- Sur la page Métadonnées -
1. Si vous souhaitez utiliser miniOrange comme magasin d'utilisateurs c'est-à-dire que vos identités d'utilisateur seront stockées dans miniOrange, puis téléchargez le fichier de métadonnées sous l'en-tête 'INFORMATIONS REQUISES POUR DÉFINIR MINIORANGE COMME IDP'.
2. Si vous souhaitez authentifier vos utilisateurs via n'importe quel Fournisseur d'identité externe comme Active Directory, Okta, OneLogin, Google, Apple ID, etc puis téléchargez le fichier de métadonnées sous la rubrique 'INFORMATIONS NÉCESSAIRES POUR S'AUTHENTIFIER VIA UN IDPS EXTERNE'.
- Puis cliquez sur Télécharger les métadonnées.
2. Configurer SSO dans le compte administrateur Coalfire
- Sélectionnez CoalfireOne Connect dans le menu et localisez la configuration SAML/SSO.
- Depuis la boîte de connexion SAML, cliquez sur la flèche vers le bas pour ouvrir les options de configuration.
- Faites défiler vers le bas et cliquez pour télécharger le fichier de métadonnées SAML CoalfireOne. Utilisez ces données dans ce fichier pour configurer votre protocole SAML avec tous vos fournisseurs.
- Une fois la configuration terminée, complétez les champs suivants. Il s'agit des noms de champs utilisés pour configurer votre protocole SAML, et non des informations relatives à un utilisateur réel.
- Prénom
- Nom de famille
- Email
- Téléphone
- Vérifiez si vous souhaitez utiliser la valeur du téléphone comme constante dans la configuration pour saisir la même valeur de téléphone pour tout le monde.
- Remplissez le champ Nom d'utilisateur.
- Vérifiez si vous souhaitez activer la transformation utilisateur et entrez la formule de transformation utilisateur.
- Complétez un nom convivial pour l'entreprise, si vous le souhaitez.
- Complétez le champ Domaines avec tous les domaines de l'entreprise.
- Cliquez sur Télécharger pour télécharger vos fichiers descripteurs SAML, qui décrivent votre protocole de configuration sur CoalfireOne.
- Cliquez pour télécharger la clé de chiffrement de réponse SAML.
- Cliquez sur Enregistrer.
- Le statut passe à « En attente de validation ». L'enregistrement envoie un message au support CoalfireOne pour examiner et valider la configuration et terminer la connexion. Une fois connecté, SAML/SSO s'affichera comme connecté sur la page principale de CoalfireOne Connect.
3. Tester la configuration SSO
Testez la connexion SSO à votre compte Coalfire avec miniOrange IdP :
4. Configurez votre annuaire d'utilisateurs (facultatif)
miniOrange fournit une authentification des utilisateurs à partir de diverses sources externes, qui peuvent être Partages de fichiers (comme ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito etc), Fournisseurs d'identité (comme Okta, Shibboleth, Ping, OneLogin, KeyCloak), Bases de données (comme MySQL, Maria DB, PostgreSQL) et beaucoup plus. Vous pouvez configurer votre répertoire/magasin d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.
- Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord
- Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.
- Recherchez ensuite AD/LDAP et cliquez dessus.
- STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
- STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.
- Entrez AD/LDAP Nom du profil et Identifiant nom.
- Choisir Type de répertoire as Le tiering Active Directory.
- Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
- Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.
- Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.
- Entrez le mot de passe valide du compte Bind.
- Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.
- Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.
- Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.
- Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
- Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.
Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.
| Attribut |
Description |
| Activer LDAP |
Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez |
| Authentification de secours |
Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange |
| Activer la connexion administrateur |
En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP |
| Afficher l'IdP aux utilisateurs |
Si vous activez cette option, cet IdP sera visible par les utilisateurs |
| Synchroniser les utilisateurs dans miniOrange |
Les utilisateurs seront créés dans miniOrange après authentification avec LDAP |
- Cliquez sur le Suivant bouton, ou allez à la Attributs languette.
Cartographie des attributs d'AD
Importation et provisionnement d'utilisateurs à partir d'AD
- Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Importer la stratégie de mot de passe depuis Active Directory
- Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Tester les connexions
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.
- Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.
- On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.
Mappage des attributs de test
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.
- Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.
- Le résultat du mappage des attributs de test sera affiché.
La configuration d'AD en tant qu'annuaire externe est terminée.
À noter: Référez-vous à notre guide pour configurer LDAP sur le serveur Windows.
miniOrange s'intègre à diverses sources d'utilisateurs externes telles que des annuaires, des fournisseurs d'identité, etc.
Vous ne parvenez pas à trouver votre IdP ou vous avez besoin d'aide pour le configurer ?
Contactez-nous ou à nous envoyer un courriel à idpsupport@xecurify.com et nous vous aiderons à le configurer en un rien de temps.
5. Authentification adaptative avec Coalfire
A. Restriction de l'accès à Coalfire via la configuration IP
Vous pouvez utiliser l'authentification adaptative avec l'authentification unique (SSO) pour Coalfire afin d'améliorer la sécurité et les fonctionnalités de l'authentification unique. Vous pouvez autoriser ou interdire certaines adresses IP pour l'authentification unique, selon vos besoins, et exiger de l'utilisateur qu'il vérifie son identité. L'authentification adaptative gère l'authentification de l'utilisateur en fonction de différents facteurs tels que l'identifiant de l'appareil, la localisation, l'heure d'accès, l'adresse IP, etc.
Vous pouvez configurer l’authentification adaptative avec blocage IP de la manière suivante :
- Connectez-vous à Console libre-service >> Authentification adaptative >> Ajouter une politique.
- Ajouter un Nom de la politique pour votre politique d'authentification adaptative.
- Choisir Action pour le changement de comportement, clique le Modifier lien, puis choisissez le lien approprié Action et Type de défi pour l'utilisateur de cette section.
Action pour les options de changement de comportement :
| Attribut |
Description |
| Autoriser |
Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition d'authentification adaptative est vraie. |
| Refuser |
Refuser les authentifications utilisateur et l'accès aux services si la condition d'authentification adaptative est vraie. |
| Challenge |
Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur. |
Options de type de défi :
| Attribut |
Description |
| Deuxième facteur utilisateur |
L'Utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a choisi ou attribué tel que
|
| KBA (authentification basée sur les connaissances) |
Le système posera à l'utilisateur deux des trois questions configurées dans sa console libre-service. Ce n'est qu'après avoir répondu correctement aux deux questions que l'utilisateur pourra poursuivre. |
| OTP sur un autre e-mail |
L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation. |
- Maintenant, cliquez sur Modifier Option de Configuration IP pour configurer une plage IP personnalisée.
- Choisir Ajouter une adresse IP si l'utilisateur IP dédiée n'est pas dans la liste configurée.
- Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
- Choisissez d'autoriser ou de refuser en sélectionnant l'option correspondante dans la liste déroulante.
- Si un utilisateur essaie de se connecter avec l'adresse IP sur la liste blanche, il sera toujours autorisé à accéder.
- Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
- Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une IP .
- Une fois les modifications effectuées, faites défiler jusqu'à la fin et cliquez sur Enregistrer.
B. Authentification adaptative avec limitation du nombre d'appareils
Grâce à l'authentification adaptative, vous pouvez également limiter le nombre d'appareils sur lesquels l'utilisateur final peut accéder aux services. Vous pouvez autoriser les utilisateurs finaux à accéder aux services sur un numéro fixe. d'appareils. Les utilisateurs finaux pourront accéder aux services que nous fournissons sur ce numéro fixe. d'appareils.
Vous pouvez configurer l'authentification adaptative avec restriction de périphérique de la manière suivante
- Connectez-vous à Console libre-service >> Authentification adaptative >> Ajouter une politique.
- Ajouter un Nom de la politique pour votre politique d’authentification adaptative.
- Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
- Sur le Ajouter une politique onglet, accédez à Configuration de l'appareil section et cliquez sur le Modifier .
- Entrer le Nombre d'enregistrements d'appareils autorisés selon vos besoins. (2 à 3 appareils sont recommandés.)
- Choisissez Action si le nombre d'appareils est dépassé (cela remplacera votre paramètre pour Action pour le changement de comportement.)
- Challenge: L'utilisateur doit se vérifier en utilisant l'une des trois méthodes mentionnées dans le tableau étape 5.1
- Refuser : Refuser aux utilisateurs l'accès au système
- Permettre Restriction des appareils mobiles Pour bloquer les connexions depuis des appareils mobiles. Cela garantit que toutes les tentatives de connexion depuis ces appareils seront refusées.
- Permettre Restriction basée sur l'adresse MAC si vous souhaitez restreindre l'accès en fonction de l'adresse MAC de l'appareil.
- Faites défiler vers le bas de la page et cliquez sur Enregistrer.
C. Ajouter une politique d'authentification adaptative à Coalfire
- Connectez-vous à Console libre-service >> Politiques >> Ajouter une politique de connexion.
- Cliquez sur Modifier option d'icône pour la politique d'application prédéfinie.
- Définissez votre politique dans le Nom de la politique et sélectionnez Mot de passe comme Premier facteur.
- Permettre Authentification adaptative sur la page Modifier la politique de connexion et sélectionnez le méthode de restriction Comme une option.
- Dès Sélectionnez la politique de connexion Dans la liste déroulante, sélectionnez la politique que nous avons créée à l’étape précédente et cliquez sur Soumettre.
D. Message de notification et d’alerte.
Comment ajouter un appareil de confiance
- Lorsque l'utilisateur final se connecte à la console libre-service après la stratégie de restriction de l'appareil est activé, il a la possibilité d'ajouter l'appareil actuel en tant qu'appareil de confiance.
Références externes
