Activer la restriction de localisation pour Google Workspace (G Suite)

1. Configurez Google Workspace (G Suite) dans miniOrange

• Connectez-vous à miniOrange Console d'administration.
• Allez dans Apps et cliquez sur Ajouter une application .



• In Choisissez le type de demande cliquez sur Créer une application dans le type d'application SAML/WS-FED.



• Recherche pour le Google dans la liste.



• Saisissez votre Nom de domaine que vous utilisez avec Google Workspace.
• Entrer le URL de déconnexion unique as https://mail.google.com/a/out/tld/?logout.
• Extrait du Provisioning , entrez l'administrateur de domaine dans Administrateur Google Apps (G Suite) champ et cliquez sur "Vérifier l'administrateur Google Apps" pour vérifier si le domaine saisi est celui d'un administrateur (il s'agit d'un champ facultatif).



• Cliquez sur Enregistrer.

Obtenez les détails des métadonnées de l'IdP à importer dans Google Apps :

• Allez dans Applications >> Gérer les applications.
• Recherchez votre application et cliquez sur le Sélectionner dans le menu d'action par rapport à votre application.
• Cliquez sur Métadonnées pour obtenir les détails des métadonnées, qui seront nécessaires plus tard. Cliquer sur Afficher le lien SSO pour voir le lien SSO initié par l'IDP pour Google Apps.



• Ici, vous verrez 2 options, si vous configurez miniOrange comme IDP copiez les détails des métadonnées liées à miniOrange, si vous aviez besoin d'être authentifié via IDP externes (OKTA, AZURE AD, ADFS, ONELOGIN, GOOGLE APPS) vous pouvez obtenir des métadonnées de la 2e section comme indiqué ci-dessous.



• Rester URL de connexion SAML et cliquez sur le Télécharger le certificat bouton pour télécharger le certificat dont vous aurez besoin dans Étape 2.

2. Configurez SAML SSO dans Google Workspace (G Suite)

• Connectez-vous maintenant à Console d'administration Google Et sélectionnez Sécurité Onglet de la console d'administration.
• Allez dans Authentification >> SSO avec IDP tiers. Ici, depuis le Profil SSO pour votre organisation section, cliquez sur l’icône d’édition.





• Activez la Configurer l'authentification unique avec un fournisseur d'identité tiers case à cocher.
• Entrer URL de la page de connexion : URL de connexion SAML de l’étape 1.
• Entrer URL de la page de déconnexion : < URL du serveur de base > /idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  Exemple : https://login.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  
• Téléchargez le certificat en cliquant sur Remplacer le certificat lien téléchargé plus tôt à l’étape 1.
• Entrez l'URL du changement de mot de passe : URL de connexion SAML à partir de l'étape 1.
• Enregistrez les paramètres.
• Votre intégration Google SSO SAML est terminée.



2.1. Attribuer un profil SSO à des unités organisationnelles ou à des groupes:




Si vous souhaitez que certains de vos utilisateurs se connectent directement à Google, vous pouvez déplacer ces utilisateurs vers une unité organisationnelle (OU) ou un groupe. Ensuite, gérez les paramètres SSO pour l'unité d'organisation ou le groupe afin que ces utilisateurs soient authentifiés par Google plutôt que d'utiliser votre IdP tiers. Suivez les étapes suivantes :

• Si vous souhaitez que tous vos utilisateurs (non super-administrateurs) se connectent à l'aide d'un IdP tiers : vous n'avez pas besoin de gérer.
• Si vous souhaitez que certains de vos utilisateurs se connectent directement à Google : Cliquez sur Gérer les attributions de profils SSO et passez à l'étape suivante.
  • Si vous attribuez le profil SSO pour la première fois, cliquez sur Commencer. Sinon, cliquez sur Gérer. Note: Get started is only available if you’ve already enabled your third-party SSO profile.
  
  
  
  
  • Sélectionnez l'unité organisationnelle ou le groupe auquel vous attribuez le profil SSO à gauche.
    Note: If the SSO profile assignment for an OU or group differs from your domain-wide profile assignment,
an override warning appears when you select that OU or group. You can’t assign the SSO profile on a
per-user basis. The Users view let you check the setting for a specific user.
    
  
  
  
  • Choisissez Profil SSO tiers de l'organisation si vous souhaitez que vos utilisateurs de l'unité d'organisation ou du groupe se connectent aux services Google à l'aide de l'IdP désigné dans le profil SSO tiers de votre domaine.
  • Choisissez Aucun si vous souhaitez que vos utilisateurs de l'unité d'organisation ou du groupe se connectent directement avec Google.
  • Choisissez Un autre profil SSO au cas où vous auriez déjà configuré un autre fournisseur d'identité et que vous souhaiteriez l'utiliser pour l'authentification des utilisateurs.
  • Puis cliquer Enregistrer.

2.2. Pour désactiver l'authentification unique pour tous les utilisateurs :

Si vous souhaitez désactiver l'authentification tierce pour tous vos utilisateurs sans modifier l'attribution du profil SSO pour les unités d'organisation ou les groupes, vous pouvez désactiver le profil SSO tiers :

• Décocher Configurer l'authentification unique avec un fournisseur d'identité tiers.
• Cliquez à nouveau Enregistrer.

3. Configurer la restriction d'emplacement : restreindre l'accès en limitant le nombre d'emplacements

Dans cette méthode de restriction, l'administrateur configure une liste d'emplacements où nous souhaitons autoriser les utilisateurs finaux à se connecter ou à refuser en fonction de la condition définie par l'administrateur. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs de localisation tels que (Latitude, Longitude et Code de pays) sont vérifiés par rapport à la liste de localisation configurée par l'administrateur. Et sur cette base, l'utilisateur sera soit autorisé, contesté ou refusé.

• Allez dans Authentification adaptative dans la barre de navigation de gauche.
• Cliquez sur Ajouter une politique languette.



• Ajouter un Nom de la politique pour votre politique d’authentification adaptative.



• Faites défiler jusqu'à Configuration de l'emplacement section et cliquez sur Modifier.



• Ici tu peux Activer l'enregistrement de l'emplacement si l'utilisateur termine le défi.
• Sous Emplacements configurés, cliquer sur Ajouter un emplacement.



• Dans l' Entrez Lieu Dans le champ de saisie, saisissez le nom de l'emplacement, puis sélectionnez l'emplacement correct dans la liste déroulante des résultats de recherche. Ensuite, sélectionnez votre paramètre de distance comme KMS (KiloMeters) ou Miles sous Rayon autorisé. Pour chaque emplacement que vous ajoutez, vous pouvez choisir soit liste blanche/autoriser or liste noire/refuser en sélectionnant l'option appropriée.
• Vous pouvez cliquer sur le Ajouter un emplacement pour ajouter plusieurs emplacements, puis suivez les étapes mentionnées ci-dessus.



• Maintenant, faites défiler jusqu'à la Action pour le changement de comportement section et cliquez sur Modifier. Sélectionnez l'action que vous souhaitez effectuer si l'adresse IP est hors plage. c'est à dire Autoriser, contester ou refuser.



• Faites défiler jusqu'à la fin et cliquez sur enregistrer.

4. Activer la restriction pour Google Apps

• Allez dans Politiques >> Politique de connexion à l'application dans la barre de navigation de gauche.
• Cliquez sur Modifier option par rapport à votre application sélectionnée.



• Définissez le nom de votre application dans le Application et sélectionnez le mot de passe comme Méthode de connexion.
• Permettre Authentification adaptative.
• Extrait du Sélectionnez la politique de connexion dans la liste déroulante, sélectionnez la politique que nous avons créée à la dernière étape et sélectionnez la politique requise méthode de restriction Comme une option.
• Cliquez à nouveau Enregistrer.

1. Configurer l'application SAML dans miniOrange

• Se connecter à Console d'administration miniOrange.
• Allez dans Apps et cliquez sur Ajouter une application .



• Sous Choisir une application, sélectionnez SAML/WS-FED du Toutes les applications menu déroulant.



• À l'étape suivante, recherchez Application SAML personnalisée et cliquez dessus.



• Dans l' Réglages de base onglet, entrez votre choix nom de l'application et ajoutez les métadonnées SP en cliquant sur le Importer les métadonnées SP bouton; vous pouvez trouver les métadonnées dans le source d'authentification onglet dans CASB.



• Une fois terminé, cliquez sur Enregistrer .



• Maintenant, accédez au tableau de bord miniOrange CASB en cliquant sur ici .



• Après vous être connecté, vous devriez être redirigé vers la page du tableau de bord miniOrange. Cliquez sur "Google" app et cliquez dessus.



• Sélectionnez le Ajouter une source d'authentification option du menu déroulant.



• Mentionnez un Nom d'authentification pour la source d'authentification, puis cliquez sur Générer des métadonnées.



• Après avoir cliqué sur Générer des métadonnées, vous obtiendrez les détails des métadonnées, comme indiqué dans l'image ci-dessous. Utilisez ces données pour configurer le Application SAML dans votre Fournisseur d'identité (IDP).



• Si vous souhaitez consulter à nouveau les détails des métadonnées, vous pouvez cliquer sur le bouton Afficher les métadonnées .
• Vous pouvez obtenir les métadonnées IDP requises depuis l'application saml vous avez configuré en utilisant le fournisseur d'identité miniorange.
• Maintenant, entrez les détails restants comme le ID d'entité IDP, URL de connexion SAML, URL de déconnexion SAML et Certificat X.509 que vous trouverez dans votre Fournisseur d'identité métadonnées.
• Une fois terminé, choisissez le type de liaison pour la demande SSO selon vos besoins. Vous trouverez ces informations dans les métadonnées IDP. Cependant, si vous n'êtes pas sûr, veuillez sélectionner le Liaison de redirection HTTP comme configuration par défaut.



• Cliquez sur Enregistrer et suivant une fois que vous avez rempli tous les détails.

2. Configuration de SAML SSO dans la console d'administration Google

• Maintenant, vous serez redirigé vers le Réglages de base .
• Remplissez les détails suivants pour configurer le Google Application:

Nom de l'organisation:	Entrez le nom de votre organisation.
Domaine de l'organisation :	Saisissez le domaine de votre organisation sur Google. (Ex : exemple.com)
Clé d'attribut :	Saisissez la clé d’attribut de groupe pour l’application SSO, que vous avez configurée dans l’IDP sous la section Attributs SAML.
Nom Clé d'attribut :	Entrez le nom de l'attribut comme fname, Lname, etc.
Entrez l'URL ACS :	Vous pouvez obtenir l'URL Google ACS à partir du panneau d'administration Google.
Entrez l'URL de l'entité :	Vous pouvez obtenir l'URL de l'entité Google à partir du panneau d'administration Google.
Type CASB	Sélectionnez le type CASB comme en ligne ou hors ligne
Activer MDM	Si vous souhaitez configurer MDM sur votre appareil, activez-le




• Pour URL ACS et URL de l'entité vous devez d’abord configurer l’authentification administrateur Google en suivant les étapes ci-dessous.
• Tout d'abord, connectez-vous à votre Google Admin Tableau de bord.



• Sur le côté gauche, sous l'icône de menu (☰), cliquez sur Accueil () ⤏ Sécurité () ⤏ Authentification ⤏ SSO avec IDP tiers.



• Maintenant, cliquez sur AJOUTER UN PROFIL SAML pour créer un nouveau profil SAML.



• Entrer Nom du profil SSO et remplissez ID d'entité IDP et URL de la page de connexion à partir des métadonnées IDP.



• Accédez à l’écran des paramètres de base du CASB et cliquez sur Afficher les métadonnées IDP trouver ID d'entité IDP et URL de la page de connexion. Vous pouvez également télécharger le Certificat X.509 d'ici.



• Copiez et collez le ID d'entité IDP et URL de la page de connexion et attachez le Certificat X.509 in Télécharger le certificat et cliquez sur Enregistrer .

3. Configuration des politiques

Voyons comment configurer les politiques pour Google CASB.

• Vous devriez être emmené à la Gérer la politique écran. Saisissez les détails de votre police, comme Nom de la politique et Description de la politique.



• Cliquez sur la case à cocher pour « Activer la restriction de localisation » comme indiqué dans l'image ci-dessous.
• En activant cette fonctionnalité, vous limitez l'accès aux utilisateurs en fonction de leur emplacement :

1) Sélectionnez l' option Autoriser ou Refuser pour autoriser ou interdire l'accès à certains emplacements.

2) Sélectionnez Emplacements dans la liste déroulante.

• Une fois terminé, cliquez sur Enregistrer et suivant .

4. Configuration des groupes et écran d'édition

Voyons comment configurer des groupes pour Google CASB.

• Vous devriez être emmené à la Gérer les groupes écran. Entrez le Nom et Description pour le groupe (il doit être identique au nom du groupe que vous avez configuré dans l'IDP). Sélectionnez le de confidentialité Dans le menu déroulant.
• Choisissez l'application à laquelle vous souhaitez appliquer les autorisations ci-dessous.

1) Restriction d'application : Dans ce cas, les restrictions seront appliquées à l'application en fonction de la politique que vous avez configurée pour le groupe.

2) Aucune restriction d'application : Dans ce cas, il n'y aura aucune restriction sur l'application pour le groupe.

3) Désactiver l'application : en choisissant cette option, l'application devient inaccessible à l'ensemble du groupe, où que ce soit.

4) Restriction d'application personnalisée : en utilisant cette option, vous pouvez appliquer une politique de restriction d'application personnalisée spécifique à une application qui prime sur la politique de restriction du groupe.

• Maintenant, cliquez sur Finition .



• Après avoir configuré avec succès tous les écrans, vous serez redirigé vers le éditer avec l'écran du tableau des commandes prêtes.
• Dans l' Réglages de base section Vous pouvez modifier toutes les configurations si nécessaire dans l'authentification.



• Dans l' Paramètres du groupe section Vous pouvez ajouter et configurer des groupes sur cet écran et afficher tous les groupes configurés. Maintenant, cliquez sur Ajouter un nouveau groupe.
• Vous obtiendrez une fenêtre contextuelle pour ajouter un nouveau groupe et vous pouvez le configurer en suivant les étapes mentionnées ci-dessus.



• Dans l' « Gestion de session » section, vous pouvez voir les détails des sessions des utilisateurs connectés.