Paramètres SSO

Si l'option SSO Settings est activée, les utilisateurs peuvent se connecter automatiquement à ADSelfService Plus simplement en se connectant à leur machine Windows ou via un fournisseur d'identité tiers.

ADSelfService Plus prend en charge le single sign-on (SSO) avec deux types d'authentification :

1. Authentification NTLM
2. Authentification SAML

1. Authentification NTLM

Dans cette méthode d'authentification, les utilisateurs se connectent à la console web ADSelfService Plus en utilisant les identifiants qu'ils ont utilisés pour se connecter à la machine. Pour activer l'authentification NTLM, suivez les étapes ci-dessous.

Prérequis :

• Naviguez vers Admin > Customize > Logon Settings > Single sign-On.
• Cochez la case Enable SSO pour activer le SSO dans ADSelfService Plus.
• Déploiement Jespa
• Téléchargez le dernier Jespa JAR file.
• Décompressez le fichier téléchargé et collez le fichier Jespa JAR (nom de fichier jespa-2.0.0.jar) dans le dossier <ADSelfServicePlus_install_directory > /lib ; où <ADSelfServicePlus_install_directory> est l'emplacement où ADSelfService Plus est installé.
• Redémarrez ADSelfService Plus pour que les modifications prennent effet.
• Assurez-vous qu'un compte ordinateur a été configuré dans le portail d'administration ADSelfService Plus pour le SSO NTLM.

Veuillez contacter support@adselfserviceplus.com si vous avez besoin d'aide pour configurer l'authentification NTLM pour vos utilisateurs.

Étapes de configuration :

• Naviguez vers Admin > Customize > Logon Settings > Single sign-On.
• Cliquez sur la case Enable SSO pour activer le SSO dans ADSelfService Plus.
• Sélectionnez NTLM Authentication.
• Pour utiliser le service d'authentification NTLM, un compte ordinateur non associé à un ordinateur physique de votre réseau doit être créé dans AD avec un mot de passe spécifique respectant la politique de mot de passe dans AD. Ceci est nécessaire, car seul un compte ordinateur peut valider les identifiants NTLM (nom de domaine, nom d'utilisateur et hachage unidirectionnel du mot de passe obtenu lors de la connexion à la machine) d'un utilisateur.
• Cliquez sur Configure Now pour fournir les détails du compte ordinateur. L'authentification NTLM est basée sur le domaine, donc ce type d'authentification peut être activé pour un ensemble sélectionné de domaines de votre choix.



• Si vous disposez déjà d'un tel compte ordinateur, saisissez le Computer Name et son Password dans les champs prévus. Vous pouvez également créer un nouveau compte ordinateur en fournissant les détails requis et en cochant la case Create this computer account in the domain. Activez ou désactivez les comptes ordinateurs en cliquant sur le bouton enable/disable.



• Cliquez sur Save.
• Si vous avez installé ADSelfService Plus sur une machine qui n'appartient pas au domaine que vous avez choisi, cliquez sur le bouton Advanced et spécifiez le DNS Server et le DNS Site du domaine.

A. Trouver l'adresse IP des serveurs DNS

• Depuis une machine appartenant au domaine que vous avez sélectionné, ouvrez l'invite de commandes, tapez « ipconfig /all » et appuyez sur Entrée.
• Saisissez l'adresse IP affichée sous les DNS Servers dans le champ correspondant dans ADSelfService Plus.

B. Trouver le site DNS

• Naviguez vers Active Directory Sites and Services.
• Saisissez le site DNS contenant le contrôleur de domaine du domaine sélectionné dans le champ correspondant dans ADSelfService Plus.

C. Ajouter des sites à la zone intranet locale

Il existe deux façons d'appliquer la configuration requise :

• Utilisation d'une stratégie de groupe
• Configuration manuelle

Méthode 1 : Utilisation d'une stratégie de groupe (prise en charge sur Google Chrome et Internet Explorer)

1. Créez un nouvel objet de stratégie de groupe et naviguez vers User Configuration > Administrative Templates > Windows Components > Internet Explorer > Internet Control Panel > Security Page > Sites to Zones Assignment list. Sélectionnez Enable.
2. Cliquez sur Show pour afficher les affectations de zones. Saisissez l'URL d'accès dans Value name et associez-la aux sites de confiance en entrant "1" dans Value, puis cliquez sur OK.
3. Naviguez vers User Configurations > Administrative Templates > All Settings > Logon options. Sélectionnez Enable.
4. Dans la liste Logon options, cliquez sur Automatic logon only in Intranet zone, puis sur OK.

Méthode 2 : Configuration manuelle

1.Google Chrome :

• Naviguez vers Settings > Advanced drop-down > System module > Open proxy settings.
• Cliquez sur l’onglet Security et sélectionnez l’icône Local intranet.
• Cliquez sur le bouton Sites, saisissez l’URL d’accès d’ADSelfService Plus dans le champ requis, puis cliquez sur Add.

2.Internet Explorer :

• Naviguez vers Tools > Internet Options > Security.
• Cliquez sur l’onglet Security et sélectionnez l’icône Local intranet.
• Cliquez sur le bouton Sites, saisissez l’URL d’accès d’ADSelfService Plus dans le champ requis, puis cliquez sur Add.

3.Mozilla Firefox :

• Tapez "about:config" dans la barre d’adresse et appuyez sur la touche Entrée pour afficher la liste des préférences. Si un message d’avertissement apparaît, cliquez sur I accept the risk pour continuer.
• Naviguez vers la préférence network.automatic-ntlm-auth.trusted-urls.
• Double-cliquez sur la préférence et saisissez l’URL d’accès d’ADSelfService Plus (par ex. selfservice-5994:8888).
• Cliquez sur OK.

2. Authentification SAML

Dans cette méthode d’authentification, les utilisateurs se connectent à la console web d’ADSelfService Plus en utilisant les identifiants d’un fournisseur d’identité basé sur SAML.

Après avoir activé l’option SSO basée sur SAML, chaque fois qu’un utilisateur tente d’accéder à la console web d’ADSelfService Plus, l’IdP reçoit la demande d’authentification. L’IdP authentifie l’utilisateur et, après une authentification réussie, l’utilisateur sera automatiquement connecté au portail ADSelfService Plus. Si l’utilisateur est déjà connecté au fournisseur d’identité, lorsqu’il tente d’accéder à ADSelfService Plus, l’accès lui sera accordé automatiquement.

Prérequis :

1. Log in to ADSelfService Plus web console as an administrator. Navigate to Admin > Customize > Logon settings > Single sign-On.. Click the Activer SSOcheckbox and the Authentification SAML button. Copy the ACS URL/Recipient URL and the Relay State URL.

   

2. Le fournisseur d’identité basé sur SAML que vous souhaitez utiliser doit avoir ADSelfService Plus comme l’une de ses applications SAML prises en charge. Si ce n’est pas pris en charge par défaut, vous pouvez ajouter ADSelfService Plus comme nouvelle application dans les fournisseurs d’identité pris en charge nativement (Okta, OneLogin, AD FS) ou comme fournisseur d’identité personnalisé (par ex. Entra ID). Retrouvez les étapes pour ajouter une nouvelle application ici : Okta, OneLogin, AD FS, Line Works, Entra ID, et 1Kosmos. Pour d’autres fournisseurs d’identité, contactez l’équipe de support du fournisseur d’identité pour obtenir de l’aide.

3. Connectez-vous à votre fournisseur d’identité avec des identifiants administrateur, puis accédez à ADSelfService Plus dans la liste des applications proposées. Téléchargez soit les Metadata au format XML, soit récupérez les données requises en copiant l’Issuer URL/Entity ID, IdP Login URL, IdP Logout URL, et le X509-certificate. Vous aurez besoin de ces informations lors de la configuration d’ADSelfService Plus pour la connexion SSO.

Configuration du fournisseur de services (ADSelfService Plus)

1. Naviguez vers Admin > Customize > Logon settings > Single sign-On.
2. Cochez la case Enable SSO pour activer le SSO dans ADSelfService Plus.



3. Cliquez sur le bouton SAML Authentication pour activer la configuration SAML dans votre domaine.
4. Sélectionnez le fournisseur d’identité de votre choix dans la liste déroulante Select IdP. Si vous avez sélectionné Custom SAML dans la liste, vous devez saisir le IdP name et télécharger le IdP logo dans les champs respectifs.
5. Il existe deux modes de configuration SAML : Upload Metadata File et Manual Configuration.
• Sélectionnez Upload Metadata File si vous avez téléchargé le fichier de métadonnées IdP depuis le fournisseur d’identité.
• Cliquez sur Browse pour télécharger le fichier de métadonnées IdP.



• Sélectionnez Manual Configuration pour configurer manuellement les URL et certificats.
• Saisissez l’Issuer URL/Entity ID URL obtenu auprès du fournisseur d’identité dans le champ correspondant (Référez-vous à step 3 des Prérequis).
• Dans le champ IdP Login URL, saisissez l’Login URL obtenu auprès du fournisseur d’identité (Référez-vous à step 3 des Prérequis).
• Dans l’espace prévu pour le X.509-Certificate, saisissez la clé du certificat public récupérée auprès du fournisseur d’identité (Référez-vous à step 3 des Prérequis).



Important: Par défaut, ADSelfService Plus utilise la même configuration d’authentification SAML pour le SSO lors de la connexion et pour l’authentification multi-facteurs (MFA) lors de l’auto-service de mot de passe. Cela signifie que les configurations SAML que vous complétez pour les paramètres de connexion SSO seront automatiquement utilisées pour la MFA si cette dernière est activée.
• Si vous souhaitez utiliser un IdP SAML personnalisé, sélectionnez Custom SAML dans la liste déroulante Select IdP, et saisissez un name dans le champ IdP Name. Vous pouvez également joindre le IdP's logo dans le champ IdP Logo.



• Cliquez sur Advanced Settings pour configurer la requête et la réponse SAML qui seront traitées.



• Sélectionnez si la SAML Request envoyée à l’IdP sera signée ou non dans la liste déroulante SAML Request.
• Sélectionnez la Authentication Context Class envoyée dans la requête SAML dans la liste déroulante Authentication Context Class.
• Sélectionnez la SAML Response et la Assertion Signature dans les listes déroulantes respectives pour déterminer si les messages reçus de l’IdP sont signés ou non.



• Sélectionnez l’Signature Algorithm que l’IdP utilise pour signer la réponse/assertion SAML dans la liste déroulante Signature Algorithm.



• Sélectionnez Encrypted ou Unencrypted dans la liste déroulante Assertion Encryption.
Note: Veuillez vérifier auprès de votre IdP si l’assertion chiffrée est prise en charge.



• Si l’assertion SAML est chiffrée, sélectionnez soit Self-Signed soit CA-Signed dans les options de la liste déroulante Encryption Certificate.
• Si le certificat de chiffrement est CA-Signed, téléchargez la CA Public Key et la CA Private Key fournies par l’autorité de certification (CA).



• Si le certificat de chiffrement est Self-Signed, vous pouvez télécharger le certificat auto-signé en cliquant sur Download Self Signed Certificate. Vous aurez besoin de celui-ci pour configurer l'authentification SAML dans l'IdP.



Note : Vous pouvez choisir le certificat de chiffrement que vous souhaitez utiliser en fonction des exigences de votre organisation. Cependant, il est recommandé de choisir un certificat de chiffrement signé par une CA.
• Sélectionnez soit Enable, soit Disable dans le menu déroulant Single Logout. Lorsque l'option Single Logout est configurée et qu'un utilisateur se déconnecte d'ADSelfService Plus, il est automatiquement déconnecté de l'IdP et vice versa.



6. Cliquez sur Enregistrer.
7. Un résumé des configurations de l'IdP et du fournisseur de services est affiché ci-dessous.
8. Pour régénérer les certificats de signature SAML et de chiffrement auto-signés, cliquez sur Regenerate correspondant aux champs Signing Certificate et Encryption Certificate respectifs. Par défaut, les certificats expirent après une période d'un an.



Note : Reportez-vous à la complete list des codes d'erreur d'authentification SAML et leurs descriptions.