• Accueil
• Intégrations d'applications
• Intégration de l'authentification adaptative
• Restriction IP Salesforce

Configurer les plages d'adresses IP de confiance et les heures de connexion dans Salesforce

---

miniOrange vous permet de contrôler et de gérer les accès en
Restriction Salesforce sur les plages IP de connexion
en utilisant des politiques pour fournir l'accès, défier l'utilisateur avec 2FA/MFA ou refuser l'accès aux utilisateurs en fonction d'adresses IP de connexion fiables ou de plages IP de connexion fiables.

• Pour la Restriction d'accès à l'adresse IP de connexion sécurisée Salesforce pour fonctionner, l'administrateur doit créer une politique spécifiant la plage d'adresses IP de connexion autorisée qui autorise l'accès à l'application.
• miniOrange prend en charge la plage d'adresses IP dans trois formats, à savoir IPv4, IPv4 CIDR et IPv6 CIDR.
• Pour bloquer l'accès, l'administrateur doit spécifier une action qui doit être effectuée lorsqu'un utilisateur tente de se connecter à partir d'une adresse IP non fiable (telle que refuser ou défier l'utilisateur avec 2FA).
• Une fois la stratégie de restriction configurée, elle peut être appliquée à la stratégie de connexion de n'importe quelle application pour activer la restriction IP de connexion pour cette application (Salesforce)

Condition préalable:

• Se connecter à votre Salesforce compte.
• Cliquez sur le installation icône dans la section supérieure droite de la page.



• Maintenant, dans le champ de recherche, recherchez le Paramètres de mon domaine.
• Choisissez votre nom de domaine, vérifiez la disponibilité et si disponible, procédez en enregistrant les paramètres.



• Recherchez Informations sur l'entreprise dans la barre de recherche.
• Copiez le Identifiant de l'organisation. (Cela sera nécessaire plus tard)



• Métadonnées Salesforce : Après avoir configuré les paramètres SSO dans le tableau de bord d'administration Salesforce, vous obtiendrez le fichier de métadonnées Salesforce. Cliquez sur Télécharger les métadonnées pour télécharger un fichier XML de vos paramètres de configuration SAML à envoyer à votre fournisseur d'identité. Le fournisseur d'identité peut ensuite télécharger ces paramètres de configuration pour se connecter à votre site Experience Cloud.

Suivez le guide étape par étape ci-dessous pour la restriction IP de Salesforce

1. Configurer Salesforce dans miniOrange

• Connectez-vous à miniOrange Console d'administration.
• Allez dans Apps et cliquez sur Ajouter une application .



• In Choisissez le type de demande cliquez sur Créer une application dans le type d'application SAML/WS-FED.



• Recherchez Salesforce dans la liste.



• Téléchargez le fichier de métadonnées XML depuis Salesforce dans miniOrange Dashboard à l'aide du Importer les métadonnées SP fonctionnalité..



• Cliquez à nouveau Suivant, maintenant dans le Attributs Onglet « Configurer les attributs selon votre choix ».



• Cliquez sur Enregistrer.
• Allez dans Applications >> Applications, recherchez votre application et cliquez sur trois points icône sous Action colonne.



• Maintenant, sélectionnez MétadonnéesVous verrez ici deux sections. Si vous configurez miniOrange comme IdPCopiez les métadonnées de la première section. Si vous devez vous authentifier via fournisseurs d'identité externes (Okta, Azure AD, ADFS, OneLogin, Google Workspace), récupérez les métadonnées à partir de Source externe en tant que fournisseur d'identité comme indiqué ci-dessous.



• Rester URL de connexion SAML , URL de déconnexion SAML et cliquez sur le Télécharger le certificat bouton pour télécharger le certificat dont vous aurez besoin dans Étape 2.

2. Configurer l'authentification unique SAML dans Salesforce

• Retournez à votre Salesforce compte.
• Maintenant, dans le volet de gauche, accédez à Identite >> Paramètres d'authentification unique ou vous pouvez rechercher le Paramètres d'authentification unique dans la zone de recherche.
• Cliquez à nouveau Modifier.
• Pour afficher les paramètres SAML SSO, sélectionnez SAML activé.
• Sauvegardez vos modifications



• In Paramètres d'authentification unique SAML, cliquez sur l'un des boutons appropriés pour créer une configuration :
  • NOUVEAU: Spécifiez tous les paramètres manuellement.
  
  
  

  Emetteur	ID d'entité IDP/émetteur dans les métadonnées miniOrange
  ID d'entité	https://[yourdomain].my.salesforce.com
  Certificat de fournisseur d'identité	Télécharger le certificat à partir des métadonnées miniOrange
  Méthode de signature de demande	RSA-SHA256
  Certificat de décryptage d'assertion	Non crypté
  *Type d'identité SAML	L'assertion contient le nom d'utilisateur Salesforce de l'utilisateur
  *Emplacement de l'identité SAML	L'identité se trouve dans l'élément NameIdentifier de l'instruction Subject
  * Liaison de demande initiée par le fournisseur de services	Redirection HTTP
  URL de connexion du fournisseur d'identité	URL de connexion SAML dans les métadonnées miniOrange
  URL de déconnexion personnalisée	https://[yourdomain].my.salesforce.com

  • Nouveau à partir du fichier de métadonnées: Importez les paramètres SAML 2.0 à partir d'un fichier XML fourni par miniOrange. Cette option utilise le fichier XML pour renseigner autant de paramètres que possible.
  
  
  
  • Nouveau à partir de l'URL des métadonnées: Importez les paramètres SAML 2.0 à partir de l’URL des métadonnées miniOrange. Cette option lit le fichier XML sur une URL publique et l'utilise pour renseigner autant de paramètres que possible. Pour accéder à l'URL, ajoutez l'URL aux paramètres du site distant.
  
  
  
• En option, configurez Provisionnement JIT. Pour plus d'informations, voir Activer le provisionnement des utilisateurs juste à temps et À propos du provisionnement juste à temps pour SAML.
• Cliquez à nouveau Enregistrer.

3. Configurer la politique de restriction IP

[Remarque : La section Authentification adaptative a été déplacée du menu de navigation de gauche. La configuration de la restriction d’accès basée sur l’adresse IP est maintenant disponible sous Stratégies >> Stratégie d’accès adaptatif.]

La restriction d'accès basée sur l'adresse IP permet aux administrateurs de contrôler l'accès des utilisateurs en fonction de l'adresse IP source de la requête de connexion. Ils peuvent configurer des adresses IP et des plages d'adresses IP de confiance ou restreintes, et définir l'action à entreprendre lorsqu'une adresse IP correspond aux critères configurés. Lors de l'authentification, l'adresse IP de l'utilisateur est comparée à la politique configurée et l'accès est autorisé, refusé ou contesté selon la configuration choisie.

• Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.



• Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.

3.1 Présentation de la politique

• Élargir la Restriction d'accès basée sur l'adresse IP Pour configurer les règles d'accès basées sur l'adresse IP, cliquez sur l'icône déroulante de cette section.



• Cliquez à nouveau Ajouter une plage d'adresses IP pour configurer les adresses IP ou les plages d'adresses IP pour la stratégie.



• Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
• Choisissez soit Autoriser or Refuser en sélectionnant l'option correspondante dans le menu déroulant. Si un utilisateur tente de se connecter avec une adresse IP autorisée, l'accès lui sera systématiquement accordé.
• Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
• Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une plage d'adresses IP .



• Une fois les modifications effectuées, cliquez sur Suivant.

3.2 Actions visant à modifier les comportements

• Vous pouvez configurer l'une des trois actions possibles pour votre stratégie d'accès adaptatif, comme expliqué ci-dessous :




Attribut	Description
Autoriser	Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition de la politique d'accès adaptatif est vraie.
Refuser	Refuser l'authentification des utilisateurs et l'accès aux services si la condition de la politique d'accès adaptatif est vraie.
Challenge	Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur.




Options de type de défi :




Natural	Description
Deuxième facteur d'authentification de l'utilisateur	L'utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a sélectionné ou qui lui a été attribué, tel que : OTP par SMS Notification push OTP par e-mail et beaucoup plus.
KBA	Le système demandera à l'utilisateur de répondre à 2 des 3 questions qu'il a configurées dans sa console libre-service. L'utilisateur ne pourra poursuivre qu'après avoir répondu correctement aux deux questions.
OTP sur un autre e-mail	L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation.

3.3 Alertes par e-mail et messages d'erreur personnalisés

Cette section gère les notifications et alertes relatives à l'authentification adaptative. Elle propose les options suivantes :

• Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
• Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.



• Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
• Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)



• Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.



Option	Description
Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus	L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements.
Défi terminé et appareil enregistré	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil.
Défi terminé mais appareil non enregistré	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil.
Défi échoué	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi.





• Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
• Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.

3.4 Commentaires

Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.

• Une fois que vous avez vérifié toutes les configurations, cliquez Créer une stratégie pour enregistrer et activer la police d'assurance.
• Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.

4. Activer la restriction pour Salesforce

• Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
• Cliquez sur le Modifier icône pour la stratégie d'application prédéfinie.



• complet » Nom du groupe et Nom de la politique au besoin. Sélectionnez Mot de passe as Premier facteur.



• Permettre Authentification adaptative sur la page Modifier la politique de connexion et sélectionnez le méthode de restriction Comme une option.
• Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
• Appliquer les restrictions à l'aide de : Sélectionnez la manière dont la restriction IP doit être évaluée lorsque plusieurs restrictions d'authentification adaptatives sont configurées.
  • ET: L'accès doit être autorisé si la restriction d'adresse IP configurée et toutes les autres restrictions activées sont respectées.
  • OU: L'accès doit être autorisé si la restriction d'adresse IP configurée ou au moins une autre restriction activée est respectée.



• Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires en plus des restrictions et conditions de vérification existantes. Restriction renforcer la sécurité des comptes et contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.

5. Configurez votre annuaire d'utilisateurs (facultatif)

miniOrange assure l'authentification des utilisateurs à partir de diverses sources externes, telles que des annuaires (ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito, etc.), des fournisseurs d'identité (Okta, Shibboleth, Ping, OneLogin, Keycloak), des bases de données (MySQL, MariaDB, PostgreSQL, etc.) et bien d'autres . Vous pouvez configurer votre annuaire/référentiel d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.

• Configurer miniOrange comme IDP
• Configurer AD en tant qu'annuaire d'utilisateurs
• Configurer un IDP externe

• Pour ajouter vos utilisateurs dans miniOrange il y a 2 manières :
• Créer un utilisateur dans miniOrange
• Utilisateurs de téléchargement en masse

1. Créer un utilisateur dans miniOrange

• Cliquez sur Utilisateurs >> Liste des utilisateurs >> Ajouter un utilisateur.



• Ici, remplissez les détails de l'utilisateur sans le mot de passe puis cliquez sur le Créer un utilisateur .



• Après la création réussie d'un utilisateur, un message de notification "Un utilisateur final a été ajouté avec succès" sera affiché en haut du tableau de bord.



• Cliquez sur Onglet Statut d'intégration. Vérifiez l'e-mail, avec l'identifiant de messagerie enregistré et sélectionnez l'action Envoyer un courrier d'activation avec le lien de réinitialisation du mot de passe à partir de Sélectionnez l'action liste déroulante puis cliquez sur Appliquer .



• Maintenant, ouvrez votre identifiant de messagerie. Ouvrez le mail que vous recevez de miniOrange puis cliquez sur le lien pour définir le mot de passe de votre compte.
• Sur l'écran suivant, entrez le mot de passe et confirmez le mot de passe, puis cliquez sur le Mot de passe de réinitialisation de l'authentification unique (SSO) .



• Vous pouvez désormais vous connecter au compte miniOrange en saisissant vos identifiants.

2. Téléchargez en masse des utilisateurs dans miniOrange via le téléchargement d'un fichier CSV.

• Accédez à Utilisateurs >> Liste des utilisateurs. Cliquez sur Ajouter un utilisateur .



• Inscription d'utilisateur en masse Télécharger un exemple de format CSV depuis notre console et éditez ce fichier csv selon les instructions.



• Pour importer des utilisateurs en masse, choisissez le fichier et assurez-vous qu'il se trouve dans Format de fichier .csv séparé par des virgules puis cliquez sur Télécharger.



• Après avoir téléchargé le fichier csv avec succès, vous verrez un message de réussite avec un lien.
• Cliquez sur ce lien, vous verrez la liste des utilisateurs à qui envoyer un courrier d'activation. Sélectionnez les utilisateurs auxquels envoyer le courrier d'activation et cliquez sur Envoyer le courrier d'activation. Un mail d'activation sera envoyé aux utilisateurs sélectionnés.

• Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord



• Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.



• Recherchez ensuite AD/LDAP et cliquez dessus.



• STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
• STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.




• Entrez AD/LDAP Nom du profil et Identifiant nom.
• Sélectionner Type de répertoire as Le tiering Active Directory.
• Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
• Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.



• Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.



• Entrez le mot de passe valide du compte Bind.
• Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.



• Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.



• Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.



• Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
• Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.




Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.

Attribut	Description
Activer LDAP	Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez
Authentification de secours	Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange
Activer la connexion administrateur	En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP
Afficher l'IdP aux utilisateurs	Si vous activez cette option, cet IdP sera visible par les utilisateurs
Synchroniser les utilisateurs dans miniOrange	Les utilisateurs seront créés dans miniOrange après authentification avec LDAP



• Cliquez sur le Suivant bouton, ou allez à la Attributs languette.

Cartographie des attributs d'AD

• Par défaut, les noms d'utilisateur, prénom, nom et adresse e-mail sont configurés. Faites défiler vers le bas et cliquez sur Enregistrer bouton. Pour récupérer des attributs supplémentaires depuis Active Directory, activez Envoyer les attributs configurésÀ gauche, saisissez le nom que vous souhaitez partager avec les applications. À droite, saisissez le nom de l'attribut depuis Active Directory. Par exemple, pour récupérer l'attribut « entreprise » depuis Active Directory et l'envoyer comme organisation aux applications configurées, saisissez :

  Nom d'attribut envoyé à SP = organisation
  Nom d'attribut de l'IDP = société






• Cliquez sur le Suivant bouton, ou allez à la Provisioning languette.

Importation et provisionnement d'utilisateurs à partir d'AD

• Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.

Importer la stratégie de mot de passe depuis Active Directory

• Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.

Tester les connexions

• Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.



• Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.



• On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.

Mappage des attributs de test

• Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.



• Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.



• Le résultat du mappage des attributs de test sera affiché.

La configuration d'AD en tant qu'annuaire externe est terminée.

Remarque : Consultez notre guide pour configurer LDAP sur un serveur Windows.

miniOrange s'intègre à diverses sources d'utilisateurs externes telles que des annuaires, des fournisseurs d'identité, etc.

• Okta
• ADFS
• Ping
• AWSCognito
• Et bien plus

Vous ne parvenez pas à trouver votre IdP ou vous avez besoin d'aide pour le configurer ?

Contactez-nous ou envoyez-nous un e-mail à idpsupport@xecurify.com et nous vous aiderons à le configurer en un rien de temps.

Références externes

• Authentification adaptative miniOrange
• Configurer l'authentification unique (SSO) Salesforce SAML
• Connectez-vous en utilisant Salesforce comme serveur Oauth
• Synchronisation et provisionnement des utilisateurs Salesforce à l'aide de SCIM
• Qu'est-ce que Salesforce?
• Configurer le provisionnement et le déprovisionnement des utilisateurs Salesforce