SAML SSO avec ADFS

Active Directory Federation Services (ADFS) est le fournisseur d’identité sur site de Microsoft qui permet l’identité fédérée et l’accédant unique entre applications. Avec le SSO SAML configuré entre ADFS et Document360, vos membres d’équipe et lecteurs peuvent se connecter à Document360 en utilisant leurs identifiants Active Directory existants.

Ce que vous pouvez faire avec l’ADFS comme IDP

Avant que tu commences

• Vous avez un accès administratif à la fois à Document360 et à votre serveur ADFS.
• Vous avez l’accès Propriétaire ou Administrateur dans votre projet Document360.
• Ouvrez Document360 et ADFS dans deux onglets de navigateur distincts. Vous devrez passer plusieurs fois de l’un à l’autre pendant la configuration.

Étape 1 : Créer une fiducie de confiance dans l’ADFS

Ajouter la demande dans ADFS

1. Connectez-vous à la console de gestion ADFS sur votre serveur ADFS.
2. Dans la console de gestion ADFS, naviguez jusqu’à Relying Party Trusts.
3. Faites un clic droit sur les fiducies de la partie de confiance et sélectionnez Ajouter la confiance de la partie de confiance.
4. Dans l’Assistant Confiance pour Ajouter une Partie Dépendante, choisissez Informations sur les réclamations et cliquez sur Démarrer.
5. Sélectionnez manuellement Entrer les données concernant la partie dépendante et cliquez sur Suivant.
6. Indiquez un nom d’affichage (par exemple, « Document360 SAML SSO ») et cliquez sur Suivant.
7. Dans l’étape Configurer le certificat , cliquez sur Suivant (vous pouvez passer cela si vous n’utilisez pas de certificat).
8. Dans Configurer URL, sélectionnez Activer la prise en charge du protocole SAML 2.0 Web SSO.

Étape 2 : Configurer ADFS avec les paramètres du fournisseur de services Document360

Obtenez les paramètres SP depuis Document360

1. Ouvrez Document360 dans un onglet séparé.
2. Naviguez dans Paramètres () > Utilisateurs et permissions > Configuration SSO.
3. Cliquez sur Créer SSO.

4. Sélectionnez ADFS comme fournisseur d’identité (IdP) pour accéder automatiquement à la page Configurer le fournisseur de services (SP ).

5. Sur la page Configurer le fournisseur de service (SP), sélectionnez le bouton radio SAML comme protocole.
6. Un ensemble de paramètres sera affiché pour compléter la configuration SAML dans ADFS.

Voici les paramètres Document360 dans ADFS

Entrez les paramètres Document360 dans les champs correspondants des étapes Configurer URL et Identifiants dans ADFS en utilisant la correspondance ci-dessous.

8. Cliquez sur Suivant et complétez les étapes restantes de l’assistant, comme la configuration de l’authentification multi-facteurs si nécessaire, et la possibilité d’accéder à l’application à tous les utilisateurs.
9. Vérifiez vos paramètres et cliquez sur Suivant pour ajouter la confiance de la partie dépendante.
10. Sur le dernier écran, cochez la case Ouvrir la boîte de dialogue Modifier les règles de réclamation et cliquez sur Fermer.

Étape 3 : Configurer les règles de réclamation dans ADFS

Ajouter des règles de réclamation

1. Dans la boîte de dialogue Modifier les règles de réclamation , cliquez sur Ajouter une règle.
2. Sélectionnez Envoyer des attributs LDAP comme réclamations comme modèle de règle et cliquez sur Suivant.
3. Indiquez un nom pour la règle de réclamation (par exemple, « Envoyer des attributs LDAP »).
4. Configurez ce qui suit :
   • Magasin d’attributs : Sélectionnez Active Directory.
   • Cartographie :
     • Attribut LDAP : User-Principal-Name | Type de réclamation sortante : Nom d’identification
     • Attribut LDAP : Adresses e-mail | Type de réclamation sortante : Adresses e-mail
     • Attribut LDAP : Nom d’affichage | Type de réclamation sortante : Nom
5. Cliquez sur Terminer pour ajouter la règle.
6. Cliquez sur Appliquer pour enregistrer vos modifications et fermez la boîte de dialogue.

Étape 4 : Compléter la configuration SSO dans Document360

Configurez le fournisseur d’identité dans Document360

1. Retournez à l’onglet Document360 affichant la page Configurer le fournisseur de service (SP) et cliquez sur Suivant pour accéder à la page Configurer le fournisseur d’identité (IdP ).

2. Le champ Configurer une connexion existante vous permet d’hériter d’une configuration SSO qui a déjà SCIM activé depuis un projet parent. En sélectionnant cette option, la configuration SSO actuelle devient l’enfant et hérite automatiquement des paramètres SCIM du projet parent.
3. Saisissez les valeurs correspondantes de votre configuration ADFS en utilisant la correspondance ci-dessous.

4. Téléchargez le certificat X.509 depuis ADFS et téléchargez-le dans le champ Certificat SAML dans Document360.

5. Activez ou désactivez l’option Permettre la connexion initiée par l’IdP en fonction des besoins de votre projet.
6. Cliquez sur Suivant pour accéder à la page de provisionnement SCIM .

Étape 5 : Configurer le provisionnement SCIM

Le provisionnement SCIM permet d’automatiser la gestion du cycle de vie utilisateur et lecteur entre ADFS et Document360. Comme ADFS ne prend pas en charge SCIM nativement, cela nécessite un outil tiers ou une intégration personnalisée.

Si vous n’avez pas besoin de provisionnement SCIM, passez à l’étape 6 : Plus de réglages.

Activez SCIM dans Document360

1. Activez le bouton Activer la provision SCIM .

2. Une boîte de dialogue de confirmation apparaît. Consultez les conditions, sélectionnez la case à cocher, puis cliquez sur Accepter.
3. Les paramètres nécessaires pour compléter la configuration SCIM seront alors affichés.

4. Entrez les paramètres requis de Document360 dans les champs correspondants de votre application personnalisée.

Attribuer le rôle et les groupes par défaut dans Document360

1. Dans le champ de rôle par défaut , le rôle est défini par défaut sur Contributeur . Vous pouvez changer cela depuis le menu déroulant si besoin.
2. Dans les champs Groupes d’utilisateurs et Groupes de lecteurs , sélectionnez les groupes que vous souhaitez ajouter. Plusieurs groupes peuvent être ajoutés, et ils hériteront du rôle par défaut que vous avez sélectionné plus tôt.
3. Cliquez sur Suivant pour accéder à la page Paramètres supplémentaires .

Étape 6 : Plus de réglages

Configurez le nom SSO et les options de connexion

1. Dans le champ nom SSO , saisissez un nom pour la configuration SSO.
2. Dans le bouton Personnaliser la connexion, saisissez le texte du bouton de connexion affiché aux utilisateurs.
3. Attribution automatique du groupe de lecteurs — cette option n’est disponible que pour les configurations SSO existantes. Pour les nouvelles configurations SSO, ce basculement ne sera pas affiché car SCIM fournit automatiquement les utilisateurs et les groupes. En savoir plus sur le groupe de lecteurs Auto Assign.
4. Activez la déconnexion de l’utilisateur SSO inactif si besoin, et basculez selon vos besoins.

5. Cliquez sur Créer pour compléter la configuration SAML SSO.

Gestion des utilisateurs dans ADFS

Pour voir les lecteurs ajoutés via votre intégration ADFS :

1. Dans Document360, allez dans Paramètres () > Utilisateurs et permissions > Lecteurs & groupes.
2. Sélectionnez le lecteur pour accéder à son profil de lecteur.

Les lecteurs provisionnés via SCIM afficheront un badge SSO-SCIM à côté de leur nom.

Gérer l’accès au contenu des lecteurs, utilisateurs et groupes

Le rôle de contenu par défaut attribué à tout nouvel utilisateur, lecteur ou groupe est basé sur ce qui a été configuré lors de la configuration du provisionnement SCIM. Les permissions seront définies à Aucun par défaut mais pourront être mises à jour à tout moment.

1. Sélectionnez le lecteur désiré et cliquez sur Gérer l’accès au contenu.
2. Choisissez le niveau d’accès souhaité dans le menu déroulant et cliquez sur Mettre à jour.

Meilleures pratiques

• Exportez le certificat en Base-64 encodé (. CER). Le format codé par défaut en DER d’ADFS n’est pas pris en charge par Document360. Sélectionnez toujours l’encodage Base-64 lors de l’exportation du certificat X.509.
• Utilisez un outil tiers pour SCIM. ADFS ne prend pas en charge nativement le provisionnement SCIM. Planifiez votre approche de provisionnement utilisateur avant d’activer SCIM dans Document360.
• Configurez soigneusement les règles de réclamation. Assurez-vous que les trois correspondances d’attributs LDAP (ID de nom, adresses e-mail et nom) sont correctement configurées. Des réclamations manquantes ou incorrectes entraîneront des échecs d’authentification.
• Testez d’abord avec un seul utilisateur. Avant de déployer SSO à tous les utilisateurs, testez la configuration avec un utilisateur pour vérifier que les règles, certificats et URL de revendication fonctionnent tous correctement.

FAQ