Restriction de périphérique pour Thinkific
Comment la restriction des appareils peut-elle restreindre l'accès à Thinkific aux bureaux de notre entreprise ?
miniOrange vous permet de restreindre l'utilisation de votre application uniquement au sein de l'intranet (locaux de bureaux) et bloque l'accès des utilisateurs depuis l'extérieur du réseau. De plus, vous pouvez garder l'accès ouvert à certains utilisateurs extérieurs au réseau en créant différents groupes pour eux.
- Dans cette méthode de restriction, l'administrateur permet aux utilisateurs finaux d'ajouter un nombre fixe d'appareils en tant qu'appareils de confiance pour leur compte. Une fois qu'un appareil est enregistré pour un utilisateur, l'appareil de cet utilisateur devient l'appareil de confiance et il sera autorisé à se connecter sans aucune restriction.
- Lorsqu'un utilisateur lance le processus de connexion pour une application pour laquelle Restriction des appareils est activé, les attributs liés à la session de navigateur de l'utilisateur sont capturés pour les évaluations.
- Sur la base de ces attributs, le moteur adaptatif miniOrange vérifie et évalue la décision pour cet utilisateur particulier. (c'est-à-dire Autoriser, Refuser ou Défier avec 2FA).
- Sur la base de la décision calculée, l'utilisateur est redirigé vers l'action appropriée. (c'est-à-dire Autorisé à se connecter si la décision est autorisée, refusé de se connecter si la décision est refusée ou contesté avec 2FA si la décision est contestée)
Suivez le guide étape par étape ci-dessous pour Thinkific Single Sign-On (SSO)
1. Configurez Thinkific dans miniOrange
Prérequis
Configuration
- Allez dans Apps, cliquer sur Ajouter une application .
- Cliquez sur le Créer une application bouton sous JWT.
- Cliquez sur Pensif.
-
In Onglet Ajouter des applications entrez les valeurs et cliquez sur Enregistrer.
|
Nom de l'application personnalisée
|
Choisissez le nom approprié selon votre choix. |
|
Description
|
Ajoutez une description appropriée selon votre choix. |
|
URL de redirection
|
https://{Subdomain}.thinkific.com/api/sso/v2/sso/jwt?jwt= |
- Pour configurer le secret de l'application, accédez à Modifier par rapport à votre application configurée, Applications>>Sélectionnez votre application>>Modifier
|
Secret d'application
|
Le jeton API récupéré du tableau de bord Thinkific |
|
Algorithme de signature
|
Choisissez HS256 |
- Cliquez sur Enregistrer
- Maintenant vous pouvez accéder au compte Thinkific Utilisation des informations d'identification IDP via le URL d'authentification unique comme le montre l'image ci-dessus.
2. Configurer la politique de restriction des appareils
La restriction d'accès aux appareils permet aux administrateurs de contrôler l'accès aux applications en fonction de la confiance accordée aux appareils. Vous pouvez utiliser la restriction d'accès sans agent (empreinte digitale du navigateur) ou la restriction d'accès avec agent (agent installé avec évaluation des risques), selon vos exigences de sécurité.
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
2.1 Présentation de la politique
- Activez la Configuration de l'appareil basculer.
- Vous pouvez configurer la restriction des appareils en utilisant soit Sans agent ou avec agent méthodes:
Restriction des appareils sans agent
- Nombre d'enregistrements d'appareils autorisés : Spécifie le nombre maximal d'appareils qu'un utilisateur peut enregistrer.
- Activer la restriction des appareils mobiles : Bloque les tentatives de connexion depuis les appareils mobiles.
- Activer l'enregistrement automatique de l'appareil : Permet l'enregistrement automatique des appareils.
Restriction des dispositifs basée sur un agent
- Conditions préalables à l'activation de la restriction des appareils basée sur un agent :
- Tous les utilisateurs finaux doivent installer le Agent de périphérique sur leurs appareils avant d'accéder à l'application.
- Les utilisateurs sans agent sont bloqués et voient : Veuillez installer l'agent miniOrange sur votre appareil et réessayer.
- L'agent de périphérique est actuellement pris en charge sur Appareils Windows uniquement.
- Cliquez à nouveau Télécharger Agent pour obtenir le fichier d'installation destiné aux utilisateurs finaux.
- Sous Méthode d'enregistrement de l'appareil, choisissez l'une des options suivantes :
- Auto-inscription par l'utilisateur : Les utilisateurs peuvent enregistrer leurs propres appareils dans la limite définie. Offre une grande flexibilité avec un niveau de sécurité modéré.
- Nombre d'enregistrements d'appareils autorisés : Spécifie le nombre maximal d'appareils qu'un utilisateur peut enregistrer.
- Activer la restriction des appareils mobiles : Bloque les tentatives de connexion depuis les appareils mobiles.
- Activer l'enregistrement automatique de l'appareil : Permet l'enregistrement automatique des appareils.
- Appareils de confiance pré-approuvés uniquement : Sécurité renforcée. L'administrateur gère manuellement les informations des appareils de confiance. Sélectionnez cette option et cliquez. Télécharger les appareils de confiance pré-approuvés (CSV) pour importer les appareils (vous pouvez ignorer cette étape si les appareils sont déjà téléchargés).
- Télécharger un fichier CSV contenant des utilisateurs et des appareils pré-approuvés (les utilisateurs doivent déjà exister dans miniOrange). Télécharger un exemple de fichier CSV pour référence.
- Configurez les options suivantes :
- Activer la restriction des appareils mobiles : Bloque les tentatives de connexion depuis les appareils mobiles.
- Activer l'enregistrement automatique de l'appareil : Permet l'enregistrement automatique des appareils.
- Configurer le moteur de risque pour l'évaluation de la confiance des appareils
Le moteur de risque permet d'évaluer la fiabilité d'un appareil en analysant plusieurs de ses attributs et en calculant un score de risque. En fonction de ce score, l'accès utilisateur est autorisé, contrôlé ou refusé lors de la connexion et de l'enregistrement de l'appareil.
- Accédez à la Moteur de risque section et cliquez Configurer.
- Configurer les paramètres de risque :
- Dans l' Paramètres de risque Dans l'onglet correspondant, consultez la liste des attributs de l'appareil regroupés par catégorie.
- Le Identificateurs de périphérique Cette catégorie contient des attributs obligatoires (tels que l'identifiant d'installation, l'UUID du BIOS, le SID de la machine, etc.). Ces attributs sont toujours activés et ne peuvent être ni désactivés ni modifiés en priorité, car ils sont essentiels à l'identification de l'appareil.
- Pour les autres catégories (Matériel, Réseau, Logiciel, Emplacement), activez les attributs que vous souhaitez utiliser pour l'évaluation de la fiabilité des appareils.
- Définissez une priorité pour chaque attribut activé :
- Haut: Impact important sur le score de risque
- Moyen: Impact modéré
- Faible: Impact minimal
- Cliquez sur Enregistrer les modifications.
- Configurer le score de risque
- Dans l' Score de risque, définir les plages de scores (0–100) qui déterminent le résultat de l’authentification lors de la connexion de l’utilisateur.
- Des scores de risque plus faibles indiquent des appareils fiables.
- Des scores de risque plus élevés indiquent des risques ou des anomalies de sécurité potentiels.
- Configurez les seuils comme suit :
- Autoriser: Autoriser l'authentification de l'utilisateur sans vérification ni inscription.
- Défi : Autoriser l'authentification des utilisateurs avec un défi, par exemple lorsque la limite d'appareils est dépassée.
- Refuser: Refuser l'authentification de l'utilisateur, par exemple lorsque la limite d'appareils est dépassée ou lorsque les attributs de l'appareil ne correspondent pas.
2.2 Actions visant à modifier les comportements
2.3 Alertes par e-mail et messages d'erreur personnalisés
Cette section gère les notifications et alertes relatives à l'authentification adaptative. Elle propose les options suivantes :
- Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
- Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.
- Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
- Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)
- Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.
| Option |
Description |
| Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus |
L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements. |
| Défi terminé et appareil enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil. |
| Défi terminé mais appareil non enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil. |
| Défi échoué |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi. |
- Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
- Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.
2.4 Commentaires
Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.
- Une fois que vous avez vérifié toutes les configurations, cliquez Créer une stratégie pour enregistrer et activer la police d'assurance.
- Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.
3. Activer la restriction pour Thinkific
- Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
- Cliquez sur le Modifier icône pour la stratégie d'application prédéfinie.
- complet » Nom du groupe et Nom de la politique au besoin. Sélectionnez Mot de passe as Premier facteur.
- Permettre Authentification adaptative sur la page Modifier la politique de connexion et sélectionnez le méthode de restriction Comme une option.
- Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
- Appliquer les restrictions à l'aide de : Sélectionnez la manière dont la restriction IP doit être évaluée lorsque plusieurs restrictions d'authentification adaptatives sont configurées.
- ET: L'accès doit être autorisé si la restriction d'adresse IP configurée et toutes les autres restrictions activées sont respectées.
- OU: L'accès doit être autorisé si la restriction d'adresse IP configurée ou au moins une autre restriction activée est respectée.
- Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires en plus des restrictions et conditions de vérification existantes. Restriction renforcer la sécurité des comptes et contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.
4. Configurez votre annuaire d'utilisateurs (facultatif)
miniOrange assure l'authentification des utilisateurs à partir de diverses sources externes, telles que des annuaires (ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito, etc.), des fournisseurs d'identité (Okta, Shibboleth, Ping, OneLogin, Keycloak), des bases de données (MySQL, MariaDB, PostgreSQL, etc.) et bien d'autres . Vous pouvez configurer votre annuaire/référentiel d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.
- Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord
- Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.
- Recherchez ensuite AD/LDAP et cliquez dessus.
- STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
- STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.
- Entrez AD/LDAP Nom du profil et Identifiant nom.
- Sélectionner Type de répertoire as Le tiering Active Directory.
- Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
- Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.
- Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.
- Entrez le mot de passe valide du compte Bind.
- Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.
- Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.
- Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.
- Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
- Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.
Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.
| Attribut |
Description |
| Activer LDAP |
Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez |
| Authentification de secours |
Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange |
| Activer la connexion administrateur |
En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP |
| Afficher l'IdP aux utilisateurs |
Si vous activez cette option, cet IdP sera visible par les utilisateurs |
| Synchroniser les utilisateurs dans miniOrange |
Les utilisateurs seront créés dans miniOrange après authentification avec LDAP |
- Cliquez sur le Suivant bouton, ou allez à la Attributs languette.
Cartographie des attributs d'AD
Importation et provisionnement d'utilisateurs à partir d'AD
- Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Importer la stratégie de mot de passe depuis Active Directory
- Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Tester les connexions
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.
- Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.
- On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.
Mappage des attributs de test
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.
- Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.
- Le résultat du mappage des attributs de test sera affiché.
La configuration d'AD en tant qu'annuaire externe est terminée.
Remarque : Consultez notre guide pour configurer LDAP sur un serveur Windows.
miniOrange s'intègre à diverses sources d'utilisateurs externes telles que des annuaires, des fournisseurs d'identité, etc.
Vous ne parvenez pas à trouver votre IdP ou vous avez besoin d'aide pour le configurer ?
Contactez-nous ou envoyez-nous un e-mail à idpsupport@xecurify.com et nous vous aiderons à le configurer en un rien de temps.
Références externes
