Fournisseur d'identité externe
La solution miniOrange PAM offre la fonctionnalité Single Sign-On, qui nécessite que l'administrateur configure le fournisseur d'identité au sein de la solution PAM. Pour activer l'authentification unique, la solution miniOrange PAM utilise le protocole OAuth 2.0 et le protocole openID Connect (OIDC).
Dans la section Single Sign-On du tableau de bord PAM, l'administrateur peut configurer divers fournisseurs d'identité tels que Github, Microsoft Entra ID, Okta, Google Apps, Salesforce, Linkedin, Facebook, Apple ID, etc.
Dans ce guide, nous allons vous montrer comment configurer Azure Active Directory avec l'application miniOrange PAM. Si vous avez déjà créé une application dans Azure Active Directory, vous pouvez ignorer l'étape de configuration de l'application Azure Active Directory.
Configurer l'application Azure Active Directory
- Créer une application dans Azure Active Directory grâce à Enregistrement d'application.
- Remplissez le nom, choisissez Types de comptes pris en charge, pour l'instant ne remplissez pas le champ URI de redirection (facultatif).
- Inscription à la demande.
- Cliquez sur Ajouter un certificat ou secret en aperçu.
- Créer Nouveau secret client. Entrez une description. Ajouter un nouveau secret client.
- Cliquez sur le Authentification menu latéral. Cliquez sur Ajouter une plateforme dans l'option Configurations de la plate-forme.
- Sélectionner Web à partir de Applications et sites Web.
- Pour l'instant, entrez http://localhost/ dans Rediriger les URI domaine. Cliquer sur Configurer.
Une fois l’application Azure Active Directory créée, passez à l’étape suivante, qui consiste à configurer l’application OAuth dans le tableau de bord PAM. Cette étape vous permettra de créer une application d’authentification unique dans le tableau de bord PAM miniOrange.
Configurer l'application OAuth dans le tableau de bord PAM
- Connectez-vous au miniOrange PAM tableau de bord.
- Accédez à la Authentification section dans la barre latérale et cliquez sur le Authentification unique languette.
- Si aucun fournisseur d’identité n’est configuré, vous verrez l’écran suivant.
- Cliquez sur Externe boîte.
Après avoir consulté les champs du formulaire ci-dessous, veuillez utiliser les informations d'identification Microsoft Entra fournies pour remplir les champs correspondants :
- Type de subvention:Ce champ est désactivé et est utilisé dans le flux SSO.
- Connexion URL de redirection/rappel OAuth: Ce champ est désactivé et affiche l'URL de rappel d'autorisation.
- Serveur OAuth: Choisissez parmi les options proposées si elles ne sont pas présentes dans la liste, saisissez le nom de votre fournisseur d'identité et il sera créé en tant qu'option.
- Nom de l'application:Entrez un nom pertinent pour votre application, tel que AzureADminiOrangePAM.
- identité du client: Fournissez l’ID client de votre fournisseur d’identité.
- Secret client: Spécifiez le secret client de votre fournisseur d'identité. Dans le cas de Microsoft Entra ID, il correspond au secret client (valeur).
- Point de terminaison du jeton: Saisissez le point de terminaison du jeton. Dans le cas de Microsoft Entra ID, copiez le point de terminaison du jeton OAuth 2.0 (v2).
- Point de terminaison des informations de l'utilisateur final: Saisissez le point de terminaison des informations utilisateur. Pour l'ID Microsoft Entra, utilisez https://graph.microsoft.com/oidc/userinfo.
- Domaine: Spécifiez les étendues à autoriser, si nécessaire. Trois étendues (openID, Profil, Email) ne peuvent pas être supprimées.
- Enregistrez le formulaire en cliquant sur le bouton Enregistrer .
- Un message de réussite s'affichera dans le coin droit.
- Copiez la valeur du Se connecter au champ URL de redirection/rappel OAuth.
- Ensuite, connectez-vous au service Azure Active Directory et accédez à l’application dans Azure Active Directory qui sera utilisée pour l’authentification avec PAM.
- Dans le menu latéral Authentification, recherchez l’option Web et saisissez l’URL précédemment copiée dans le champ URI de redirection.
- Dès que nous enregistrons le formulaire, le Test de connexion Le bouton s’affichera.
- Pour vérifier si l'installation a réussi, cliquez sur le bouton Test de connexion .
- Le lien s'ouvrira dans une nouvelle fenêtre.
- Fournissez votre Azure Active Directory lettres de créance.
- Accorder des autorisations de lecture.
- Les informations utilisateur apparaîtront après une confirmation réussie.
- La configuration des deux côtés, y compris la Solution PAM miniOrange et Azure Active Directory, est terminé.
- Pour activer l'authentification unique (SSO) pour PAM, basculez simplement le bouton «Activer l'authentification unique pour PAM" bouton.
- Après avoir activé le "Activer l'authentification unique" bouton, le Authentification unique Le bouton s’affichera.
- Cliquez sur le bouton Continuer avec Azuread.
- La page de connexion Azure Active Directory s’affiche.
- Après une vérification utilisateur réussie, l'utilisateur sera connecté à l'application PAM.
Guide de configuration de la fonctionnalité de mappage d'attributs pour le fournisseur d'identité externe :
- Pour établir un mappage d’attributs entre PAM et le fournisseur d’identité externe, suivez les étapes décrites ci-dessous.
- Remarque : ces étapes doivent être suivies après avoir enregistré la configuration du fournisseur d’identité externe.
- Accédez à la Authentification unique page, qui se trouve sous le Authentification section dans le menu déroulant de la barre latérale.
- Assurez-vous d’avoir effectué un test de connexion et vérifié que les informations utilisateur sont correctement affichées à des fins de mappage d’attributs.
- Les informations relatives au fournisseur d’identité externe seront présentées sur cette page.
- Pour procéder au mappage des attributs, cliquez sur l’icône plus située sous la note fournie.
Pour mapper les attributs PAM (e-mail, nom d'utilisateur, numéro de téléphone, prénom, nom, groupes d'utilisateurs) aux attributs d'identité externes, procédez comme suit :
- Dans la zone de saisie de gauche, sélectionnez l'attribut PAM souhaité. Si vous souhaitez créer votre attribut personnalisé qui n'est pas présent dans la liste, saisissez le nom de l'attribut et appuyez sur Entrée. Un nouvel attribut sera créé dans la liste.
- Dans la zone de saisie de droite, sélectionnez la valeur d’attribut correspondante à partir de la source d’identité externe.
Lorsqu'un utilisateur final effectue une authentification unique auprès de l'application PAM et subit une vérification de l'utilisateur, les informations utilisateur incluent un dictionnaire composé de paires clé-valeur. La clé est le nom de l'attribut externe, tandis que la valeur est la valeur de l'attribut externe. La valeur de la clé sera utilisée pour rechercher l'attribut PAM mappé. La valeur de cette clé sera enregistrée dans l'attribut PAM mappé.
Par exemple:Si l'administrateur souhaite affecter la valeur de l'attribut nom d'utilisateur de l'identité externe à l'attribut Prénom dans la solution PAM, sélectionnez « Prénom » comme attribut PAM dans la case de gauche et choisissez le champ nom d'utilisateur dans la liste des attributs externes dans la case de droite.
Une fois le mappage des attributs terminé, cliquez sur le bouton Enregistrer bouton. Cela mettra à jour la configuration du mappage d'attributs du fournisseur d'identité externe.
IMPORTANT:Si le mappage d'attributs est effectué, il est alors obligatoire de mapper l'attribut de courrier électronique.
