Authentification unique (SSO) ERPNext
ERPNext est une plateforme de planification des ressources d'entreprise (ERP) open source basée sur le framework Frappe. En intégrant ERPNext à miniOrange via OAuth 2.0/OpenID Connect (OIDC), les organisations peuvent activer l'authentification unique (SSO) sécurisée, permettant ainsi aux utilisateurs d'accéder à ERPNext avec leurs identifiants d'entreprise existants tout en centralisant l'authentification et les politiques d'accès dans miniOrange.
Avec l'authentification unique miniOrange ERPNext, vous pouvez :
- Permettre aux utilisateurs d'accéder en toute sécurité à ERPNext grâce à l'authentification unique (SSO).
- Centralisez l'authentification et le contrôle d'accès des utilisateurs d'ERPNext via miniOrange.
- Connectez ERPNext à des sources d'identité externes telles que Microsoft Entra ID, Active Directory/LDAP, AWS Cognito et d'autres fournisseurs d'identité pris en charge.
Fonctionnalités SSO prises en charge
L'intégration OAuth/OIDC de miniOrange-ERPNext prend en charge les fonctionnalités SSO suivantes :
- Connexion SSO initiée par le SP : Les utilisateurs se connectent à ERPNext depuis sa page de connexion et sélectionnent l'option de connexion miniOrange. ERPNext les redirige alors vers miniOrange pour l'authentification. Une fois l'authentification réussie, ils sont redirigés vers ERPNext et connectés.
- Connexion SSO initiée par le fournisseur d'identité : OAuth/OIDC est conçu pour les flux d'autorisation initiés par le client. ERPNext génère et valide le paramètre d'état OAuth lors du lancement de la requête de connexion. Par conséquent, l'authentification unique (SSO) directe initiée par le fournisseur d'identité (IdP) n'est pas disponible par défaut. Si vous souhaitez utiliser cette fonctionnalité, vous pouvez la mettre en place grâce à une personnalisation côté ERPNext qui initie le flux OAuth avant la redirection vers miniOrange. Contactez le support miniOrange pour obtenir de l'aide.
- Approvisionnement JIT : Frappe prend en charge la création d'utilisateurs à la volée (JIT) via la connexion via les réseaux sociaux. L'utilisateur est identifié par son adresse e-mail ; si l'utilisateur n'existe pas et que l'inscription est autorisée, Frappe crée automatiquement un compte (par défaut, un utilisateur du site web) et finalise la connexion.
- MFA pour ERPNext : Ajoutez une couche de sécurité supplémentaire à l'authentification unique ERPNext grâce à plus de 15 méthodes d'authentification multifacteur prises en charge par miniOrange.
Pré-requis :
- Une version ERPNext/Frappe qui prend en charge la connexion via les réseaux sociaux et permet de configurer les paramètres de clé de connexion.
- Un compte administrateur miniOrange Identity Provider (IdP).
Suivez le guide étape par étape ci-dessous pour configurer et tester l'authentification unique (SSO) d'ERPNext.
1. Configurer ERPNext dans miniOrange
- Connectez-vous à miniOrange Console d'administration.
- Allez dans Apps et cliquez sur Ajouter une application .
- Sélectionner OAuth/OpenID en tant que type d'application à partir de Toutes les applications menu déroulant.
- Recherchez ERPNext Si vous ne trouvez pas ERPNext dans la liste, recherchez-le. Connexion OAuth2/OpenID et vous pouvez configurer votre application via Connexion OAuth2/OpenID.
- Dans l’onglet Basique, saisissez les détails suivants :
| Onglets de base |
Description |
|---|
| Nom du profil |
Saisissez un nom d'affichage pour l'application, par exemple ERPNext. |
| URL de redirection |
Saisissez l'URL de rappel ERPNext au format suivant : https://<frappe-tenant-url>/api/method/frappe.integrations.oauth2_logins.custom/<provider-name> |
| identité du client |
Copier le généré identité du clientVous l'utiliserez plus tard lors de la configuration de Clé de connexion sociale dans ERPNext. |
| Secret client |
Copier le généré Secret clientVous l'utiliserez plus tard lors de la configuration de Clé de connexion sociale dans ERPNext.
|
| Description (facultatif) |
Veuillez saisir une description de l'application, si nécessaire.
|
- Cliquez sur Enregistrer.
- Vous allez être redirigé vers Politiques .
- Cliquez sur le Attribuer un groupe bouton. Un nouveau Configurer l'affectation de groupe La fenêtre modale s'ouvrira.
- Groupe d'affectation : Sélectionnez les groupes que vous souhaitez associer à l'application. Vous pouvez sélectionner jusqu'à 20 groupes à la fois.
- Si vous devez créer un nouveau groupe, cliquez sur Ajouter un nouveau groupe .
- Saisissez le nom du groupe et cliquez sur Créer un groupe.
- Cliquez sur Suivant.
- Attribuer des politiques : Ajoutez les politiques requises aux groupes sélectionnés. Saisissez les informations suivantes :
- Premier facteur : Sélectionnez la méthode de connexion dans le menu déroulant.
- Si vous sélectionnez Mot de passe comme méthode de connexion, vous pouvez activer Authentification à deux facteurs (MFA) et Authentification adaptative, si besoin.
- Si vous sélectionnez Sans mot de passe comme méthode de connexion, vous pouvez activer Authentification à deux facteurs (MFA) si besoin.
- Si vous sélectionnez Lien magique Les options suivantes apparaissent comme méthode de connexion :
- Autoriser la connexion depuis d'autres adresses IP : Une fois activée, cette option permet aux utilisateurs d'ouvrir le lien magique depuis une adresse IP différente de celle à partir de laquelle la demande a été effectuée.
- Autoriser la connexion depuis d'autres appareils : Une fois activée, cette option permet aux utilisateurs d'ouvrir le Magic Link sur un appareil différent de celui utilisé pour le demander.
- Cliquez sur EnregistrerDes politiques seront élaborées pour tous les groupes sélectionnés.
- Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.
- Vous pouvez aller à la Avancé onglet pour modifier d'autres paramètres, tels que le délai d'expiration des jetons d'accès, JWT et d'actualisation.
- Expiration du jeton d'accès : Pendant combien de temps le jeton d’accès fourni doit être valide depuis sa création. [En heures] Un nouveau jeton d'accès doit être généré après l'expiration.
- Expiration du jeton JWT : Pendant combien de temps le jeton JWT généré doit être valide. [ En heures ]
- Expiration du jeton d’actualisation : Pendant combien de temps le jeton d’actualisation généré doit être valide. [En jours] Vous devrez générer un nouveau jeton d'actualisation après le numéro mentionné. de jours.
- Activer l'identité partagée : Cette fonctionnalité vous permet de contrôler si une application spécifique est accessible ou non à un utilisateur partagé.
-
Passer à la Options de connexion languette.
| Fournisseur d'identité principal |
Sélectionnez la source d'identification par défaut dans le menu déroulant de l'application. Si aucune source n'est sélectionnée, l'écran de connexion par défaut s'affichera et vous pourrez choisir votre propre fournisseur d'identité. [Choisissez miniOrange dans ce cas].
|
| Flux SSO |
Sélectionnez le flux SSO souhaité dans la liste déroulante, par exemple miniOrange comme IDP, miniOrange en tant que courtier, miniOrange en tant que courtier avec Discovery Flow. |
| Afficher sur le tableau de bord de l'utilisateur final |
Activez cette option si vous souhaitez afficher cette application dans le tableau de bord de l'utilisateur final. |
| Forcer l'authentification |
Si vous activez cette option, les utilisateurs devront se connecter à chaque fois, même si leur session existe déjà. |
| URI de déconnexion autorisées |
Cliquez sur le lien « URI de déconnexion autorisés » pour ajouter une liste d'URI de redirection post-déconnexion. Les utilisateurs seront redirigés vers l'un de ces URI après une déconnexion réussie de miniOrange. |
| Déconnexion unique activée |
Activez cette option pour envoyer des demandes de déconnexion à d'autres applications lors de la déconnexion de cette application. |
| URL de connexion |
Vous pouvez inclure des attributs utilisateur dans l'URL de connexion à l'aide d'espaces réservés tels que {{username}}, {{primaryEmail}}, {{customAttribute1}}, etc. Ces espaces réservés seront remplacés dynamiquement par les valeurs utilisateur réelles pendant le flux SSO initié par l'IdP.
Vous pouvez générer une URL en utilisant les attributs suivants : username, primaryEmail, alternateEmail, fname, lname, primaryPhone et customAttribute1.
L'URL pourrait être comme ceci https://login.com/{{username}}/?primaryEmail={{primaryEmail}}
- Format des paramètres de requête :
https://<sso-url>?username={{username}}
https://<sso-url>?username={{username}}&email={{primaryEmail}}
- Format du paramètre de chemin :
https://<sso-url>/{{customAttribute1}}/{{customAttribute2}}/?username={{username}}
|
- Obtention des détails requis sur l'application / Mise à jour des informations sur l'application :
- Vous pouvez modifier Application en suivant les étapes suivantes :
- Rendez-vous dans la section Apps.
- Dans la liste des applications configurées, localisez l'application que vous avez créée. Cliquez sur le bouton ( ⋮ ) icône à côté de l'application et sélectionnez l'icône Modifier option.
- Cliquez sur Points de terminaison OAuth section dans le menu Actions de votre application pour obtenir les points de terminaison d'autorisation, de jeton et d'informations utilisateur.
Points de terminaison OAuth
| Point de terminaison d’autorisation : |
https://<your-company-name>.xecurify.com/moas/idp/openidsso
(À noter: Utilisez ce point de terminaison uniquement si vous souhaitez utiliser miniorange comme serveur d'identité OAuth.
https://<your-company-name>.xecurify.com/moas/broker/login/oauth/<customerID>
(À noter: N'utilisez ce point de terminaison que si vous configurez un fournisseur d'identité dans le menu Fournisseurs d'identité et que vous n'utilisez pas miniorange comme fournisseur d'identité.
|
| Point de terminaison du jeton : |
https://<your-company-name>.xecurify.com/moas/rest/oauth/token |
| Point de terminaison des informations utilisateur : |
https://<your-company-name>.xecurify.com/moas/rest/oauth/getuserinfo |
| Point final de l'introspection : |
https://<your-company-name>.xecurify.com/moas/rest/oauth/introspect |
| Point de terminaison d'autorisation de l'appareil : |
https://<your-company-name>.xecurify.com/moas/rest/oauth/devicecode/authorize
Ce point de terminaison permet d'initier le flux d'autorisation OAuth 2.0 pour les appareils ou applications aux capacités de saisie limitées ou dépourvus de navigateur. Ce point de terminaison accepte les paramètres suivants :
|
| Révoquer le point de terminaison : |
https://<your-company-name>.xecurify.com/moas/rest/oauth/revoke |
| Point de terminaison de déconnexion unique OpenID : |
https://<your-company-name>.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri= |
Portées OAuth
| email: |
Afficher l'adresse e-mail de l'utilisateur |
| profil : |
Afficher les attributs de profil du compte utilisateur |
| ID ouvert : |
Récupérer le jeton JWT pour OpenID Connect |
- Cliquez sur Enregistrer.
2. Configurer l'authentification unique (SSO) dans ERPNext
- Connectez-vous à votre site ERPNext avec un compte administrateur. Depuis le Bureau, utilisez la fonction de recherche (Ctrl+K) pour trouver « Clé de connexion sociale ».
- Ouvrez la section « Clé de connexion sociale » sous Intégrations >> Authentification pour afficher les fournisseurs de connexion sociale configurés.
- Cliquez sur Ajouter une clé de connexion sociale (ou Nouveau) pour créer une nouvelle configuration de connexion sociale OAuth/OIDC pour miniOrange.
- Dans la nouvelle clé de connexion sociale, sélectionnez « Personnalisé » comme fournisseur de connexion sociale, activez l’option « Activer la connexion sociale » et saisissez « miniorange » comme nom du fournisseur. Configurez ensuite les informations d’identification du client et les points de terminaison OAuth comme indiqué ci-dessous.
- Veuillez saisir les informations suivantes dans les champs correspondants :
3. Tester la configuration SSO
Testez la connexion SSO à votre compte ERPNext avec miniOrange IdP :
- Ouvrez la page de connexion ERPNext. L'option « Se connecter avec miniorange » devrait s'afficher.
- Cliquez sur l'option « Se connecter avec miniorange » pour lancer l'authentification unique (SSO) et rediriger l'utilisateur vers miniOrange pour l'authentification.
- Saisissez vos identifiants miniOrange et cliquez sur « Se connecter ». Vous serez automatiquement connecté à votre compte ERPNext.
4. Configurez votre annuaire d'utilisateurs (facultatif)
miniOrange assure l'authentification des utilisateurs à partir de diverses sources externes, telles que des annuaires (ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito, etc.), des fournisseurs d'identité (Okta, Shibboleth, Ping, OneLogin, Keycloak), des bases de données (MySQL, MariaDB, PostgreSQL, etc.) et bien d'autres . Vous pouvez configurer votre annuaire/référentiel d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.
- Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord
- Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.
- Recherchez ensuite AD/LDAP et cliquez dessus.
- STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
- STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.
- Entrez AD/LDAP Nom du profil et Identifiant nom.
- Sélectionner Type de répertoire as Le tiering Active Directory.
- Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
- Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.
- Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.
- Entrez le mot de passe valide du compte Bind.
- Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.
- Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.
- Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.
- Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
- Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.
Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.
| Attribut |
Description |
| Activer LDAP |
Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez |
| Authentification de secours |
Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange |
| Activer la connexion administrateur |
En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP |
| Afficher l'IdP aux utilisateurs |
Si vous activez cette option, cet IdP sera visible par les utilisateurs |
| Synchroniser les utilisateurs dans miniOrange |
Les utilisateurs seront créés dans miniOrange après authentification avec LDAP |
- Cliquez sur le Suivant bouton, ou allez à la Attributs languette.
Cartographie des attributs d'AD
Importation et provisionnement d'utilisateurs à partir d'AD
- Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Importer la stratégie de mot de passe depuis Active Directory
- Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Tester les connexions
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.
- Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.
- On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.
Mappage des attributs de test
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.
- Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.
- Le résultat du mappage des attributs de test sera affiché.
La configuration d'AD en tant qu'annuaire externe est terminée.
Remarque : Consultez notre guide pour configurer LDAP sur un serveur Windows.
miniOrange s'intègre à diverses sources d'utilisateurs externes telles que des annuaires, des fournisseurs d'identité, etc.
Vous ne parvenez pas à trouver votre IdP ou vous avez besoin d'aide pour le configurer ?
Contactez-nous ou envoyez-nous un e-mail à idpsupport@xecurify.com et nous vous aiderons à le configurer en un rien de temps.
5. Authentification adaptative avec ERPNext
L'authentification adaptative pour ERPNext permet aux administrateurs d'appliquer des politiques d'accès contextuelles en évaluant les conditions de connexion des utilisateurs, telles que l'adresse IP, l'appareil, la localisation et l'heure de connexion. Selon la politique configurée, l'accès peut être autorisé, soumis à une vérification supplémentaire ou refusé. Les administrateurs peuvent également configurer des alertes par e-mail, personnaliser les messages d'erreur affichés aux utilisateurs, examiner les paramètres de politique avant le déploiement et attribuer des politiques d'authentification adaptative aux politiques de connexion des applications afin de renforcer la sécurité et d'empêcher les accès non autorisés.
[Remarque : La section Authentification adaptative a été déplacée du menu de navigation de gauche. Vous pouvez désormais accéder aux stratégies d’authentification adaptative et les gérer en accédant à Stratégies >> Stratégie d’accès adaptatif.]
A. Restriction de l'accès à ERPNext par restriction d'accès basée sur l'adresse IP
La restriction d'accès basée sur l'adresse IP permet aux administrateurs de contrôler l'accès des utilisateurs en fonction de l'adresse IP source de la requête de connexion. Ils peuvent configurer des adresses IP et des plages d'adresses IP de confiance ou restreintes, et définir l'action à entreprendre lorsqu'une adresse IP correspond aux critères configurés. Lors de l'authentification, l'adresse IP de l'utilisateur est comparée à la politique configurée et l'accès est autorisé, refusé ou contesté selon la configuration choisie.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur l'adresse IP de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Élargir la Restriction d'accès basée sur l'adresse IP Pour configurer les règles d'accès basées sur l'adresse IP, cliquez sur l'icône déroulante de cette section.
- Cliquez à nouveau Ajouter une plage d'adresses IP pour configurer les adresses IP ou les plages d'adresses IP pour la stratégie.
- Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
- Choisissez soit Autoriser or Refuser en sélectionnant l'option correspondante dans le menu déroulant. Si un utilisateur tente de se connecter avec une adresse IP autorisée, l'accès lui sera systématiquement accordé.
- Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
- Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une plage d'adresses IP .
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionner Action pour le changement de comportement, choisissez la bonne Action et Type de défi pour l'utilisateur de cette section.
| Attribut (Option) |
Description |
| Autoriser |
Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition d'authentification adaptative est vraie. |
| Refuser |
Refuser les authentifications utilisateur et l'accès aux services si la condition d'authentification adaptative est vraie. |
| Challenge |
Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur. |
- Options de type de défi : Définissez le type de défi lorsque l'action pour le comportement est configurée comme Défi.
| Attribut |
Description |
| Deuxième facteur utilisateur |
L'Utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a choisi ou attribué tel que
|
| KBA (authentification basée sur les connaissances) |
Le système posera à l'utilisateur deux des trois questions configurées dans sa console libre-service. Ce n'est qu'après avoir répondu correctement aux deux questions que l'utilisateur pourra poursuivre. |
| OTP sur un autre e-mail |
L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation. |
- Cliquez sur Suivant continuer.
B. Restriction de l'accès à ERPNext avec restriction d'accès basée sur l'appareil
C. Restriction de l'accès à ERPNext par restriction d'accès basée sur la localisation
Dans les restrictions géographiques, l'administrateur configure une liste de lieux où les utilisateurs peuvent être autorisés à se connecter ou non, selon les conditions qu'il définit. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs de localisation (latitude, longitude et code pays) sont comparés à la liste configurée par l'administrateur. En fonction de cette comparaison, l'accès est autorisé, soumis à une vérification ou refusé.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur la localisation de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Cliquez sur le Déroulante pour élargir le Restriction d'accès basée sur la localisation section permettant de configurer les règles d'accès basées sur la localisation.
- Sélectionner Enregistrer le lieu si l'utilisateur relève le défi enregistrer automatiquement la localisation d'un utilisateur après la réussite de la vérification du défi.
- Cliquez sur Ajouter un emplacement.
- Dans l' Rechercher un lieu Dans ce champ, saisissez le nom du lieu et sélectionnez le lieu approprié dans les résultats de la recherche.
- Spécifiez le rayon autour de l'emplacement sélectionné et choisissez l'unité de distance (KM ou Miles). Cela correspondra à la superficie totale à l'intérieur et autour de l'emplacement que nous avons configuré à l'aide des points de latitude et de longitude.
- Pour chaque emplacement configuré, indiquez si l'accès doit être Autorisé or Dénié.
- Vous pouvez cliquer sur le Ajouter un emplacement pour ajouter plusieurs emplacements, puis suivez les étapes 2 à 4 comme mentionné ci-dessus.
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
- Cliquez sur Suivant continuer.
D. Restriction de l'accès à ERPNext avec une restriction d'accès basée sur le temps
Dans le cadre des restrictions horaires, l'administrateur configure un fuseau horaire avec des heures de début et de fin. L'accès des utilisateurs est ensuite autorisé, refusé ou soumis à une vérification en fonction des conditions définies dans la politique. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs liés au fuseau horaire, tels que le fuseau horaire et l'heure système actuelle, sont comparés à la liste configurée par l'administrateur. En fonction de cette configuration, l'accès est autorisé, refusé ou soumis à une vérification.
Vous pouvez configurer l'authentification adaptative avec restriction temporelle de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Élargir la Restriction d'accès basée sur le temps section en cliquant sur l'icône déroulante pour accéder aux règles de restriction d'accès basées sur le temps.
- Entrer le Délai d'attente de la fenêtre de connexion (minutes) Pour prévoir un délai de grâce avant l'heure de début et après l'heure de fin de la fenêtre de connexion configurée. Si aucune valeur n'est spécifiée, le délai par défaut de 0 minute est appliqué.
- Cliquez à nouveau Ajouter du temps créer une règle d'accès basée sur le temps.
- Sélectionnez le requis Fuseau horaire, configurez le Heure de début et Heure de fin et choisissez les jours concernés.
- Pour chaque règle temporelle, indiquez si l'accès doit être Autorisé or Dénié.
- Cliquez sur le Ajouter du temps ajouter plusieurs fuseaux horaires.
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
- Cliquez sur Suivant continuer.
E. Alertes par courriel et messages électroniques personnalisés
Cette section gère les notifications et les alertes relatives à la politique d'accès adaptatif. Elle propose les options suivantes :
- Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
- Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.
- Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
- Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)
- Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.
| Option |
Description |
| Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus |
L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements. |
| Défi terminé et appareil enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil. |
| Défi terminé mais appareil non enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil. |
| Défi échoué |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi. |
- Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
- Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.
F. Révision
Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.
- Une fois que vous avez vérifié toutes les configurations, cliquez Créer une stratégie pour enregistrer et activer la police d'assurance.
- Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.
G. Ajouter une politique d'authentification adaptative à ERPNext
- Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
- Cliquez sur Modifier option d'icône pour la politique d'application prédéfinie.
- Définissez votre politique dans le Nom de la politique et sélectionnez Mot de passe comme Premier facteur.
- Permettre Authentification adaptative Sur la page Modifier la politique de connexion, sélectionnez la méthode de restriction souhaitée.
- Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
-
Appliquer les restrictions à l'aide de : Configurez la manière dont plusieurs restrictions d'authentification adaptatives doivent être évaluées lors de la connexion de l'utilisateur.
- ET: Pour que la tentative de connexion soit autorisée, toutes les restrictions activées doivent être satisfaites.
- OU: Au moins une restriction activée doit être satisfaite pour que la tentative de connexion soit autorisée.
-
Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires afin de renforcer la sécurité des comptes et de contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.
- Restriction IP : Pour une sécurité renforcée, limitez l'accès à la connexion à des adresses IP ou des plages d'adresses IP spécifiques.
- Restriction de l'appareil : Autoriser l'accès à la connexion uniquement à partir d'appareils de confiance ou pré-autorisés.
- Restriction de localisation : Contrôler l'accès des utilisateurs en fonction de leur situation géographique.
- Limite de temps : Limiter l'accès des utilisateurs à des jours ou des périodes horaires spécifiques.
- Imposer l'authentification multifacteur à chaque tentative de connexion : Exiger que les utilisateurs effectuent une vérification MFA à chaque tentative de connexion, quel que soit l'appareil ou l'état de la session.
Comment ajouter un appareil de confiance
- Lorsque l'utilisateur final se connecte à la console libre-service après la stratégie de restriction de l'appareil est activé, il a la possibilité d'ajouter l'appareil actuel en tant qu'appareil de confiance.
Références externes
