Avant que Security Center puisse utiliser Azure Active Directory pour authentifier les utilisateurs avec OpenID Connect, une configuration est requise dans Config Tool et sur le portail Azure.
Cet exemple présente la procédure de configuration de l'authentification tierce avec Azure Active Directory (Azure AD) à l'aide de jetons d'accès OpenID Connect (OIDC). La procédure se divise en trois sections :
- Localiser les propriétés sur le portail Azure
- Comprendre la signification de chaque propriété
- Valider les propriétés avant de poursuivre
- Accéder aux rubriques d'aide correspondantes
Pour implémenter l'authentification tierce, vous devez disposer des droits d'administrateur dans Security Center et Azure AD.
1 - Préparation de Security Center
- Ouvrez Config Tool et connectez-vous à Security Center serveur principal en tant qu'administrateur.
- Sur la page d'accueil de Config Tool, ouvrez la tâche Système, puis cliquez sur la vue Rôles.
- Cliquez sur Ajouter une entité (
) > Service d'authentification.
La fenêtre Créer un rôle : Service d'authentification s'ouvre.
- Dans la section Informations spécifiques, sélectionnez le fournisseur d'identité et le protocole d'authentification, puis cliquez sur Suivant.
- services cloud
- Azure AD
- Protocole
- OpenID Connect
- Dans la section Informations de base, saisissez un nom et une description facultative pour le nouveau rôle Service d'authentification.
- Si votre système comprend des partitions, sélectionnez la partition dont ce rôle fait partie, puis cliquez sur Créer.
Les partitions déterminent quels utilisateurs Security Center ont accès à cette entité. Seuls les utilisateurs ayant accès à la partition peuvent voir ce rôle.
- Sur la page Inscription de l'application, copiez les URI de redirection et de déconnexion.
Pour en savoir plus, voir À propos de la configuration des points de terminaison des rôles.
- Cliquez sur .REMARQUE : Le bouton Suspendre vous permet d'enregistrer et de quitter temporairement l'assistant de configuration. Vous pouvez suspendre la configuration à tout moment au cours du processus.
2 - Préparation d'Azure AD
- Disposer d'un répertoire Azure AD représentant votre domaine.
- Avoir provisionné au moins un utilisateur.
- Avoir provisionné au moins un groupe d'utilisateurs contenant les utilisateurs auxquels vous souhaitez accorder l'accès à Security Center.
- Dans le portail Azure, ouvrez l'instance Azure Active Directory de votre locataire.
- Dans le menu de gauche, sélectionnez Inscriptions d'applications, puis cliquez sur Nouvelle inscription.
- Saisissez un Nom, sélectionnez Locataire unique sous Types de comptes pris en charge, puis cliquez sur Inscrire.
- Dans le menu de gauche de votre application, sélectionnez Authentification, cliquez sur Ajouter une plate-forme et sélectionnez Web.
- Dans Configuration Web, saisissez le premier URI de redirection pour Security Center dans les URI de redirection et cliquez sur Configurer.
REMARQUE : OIDC ne nécessite pas d'URI de déconnexion explicite. - Sous URI de redirection pour la plateforme Web, cliquez sur Ajouter un URI, saisissez les URI de redirection et de déconnexion restants pour Security Center, puis cliquez sur Enregistrer.
- Dans le menu de gauche de votre application, sélectionnez Certificats et secrets, puis cliquez sur Nouveau secret client pour générer un secret client pour Security Center.
BONNE PRATIQUE : Après avoir généré votre secret, copiez-le depuis l'en-tête de colonne Valeur et conservez-le en lieu sûr jusqu'à ce que l'intégration soit terminée. Il est impossible de récupérer un secret client à partir de la configuration Azure AD. Si le secret est perdu, vous devez en générer un nouveau.
- Dans le menu de gauche de votre application, sélectionnez Configuration du jeton.
- Cliquez sur Ajouter une revendication de groupe, sélectionnez le type de groupe auquel vous souhaitez accorder l'accès à Security Center, sélectionnez ID de groupe pour le type de jeton d'accès, puis cliquez sur Ajouter.
IMPORTANT : Pour éviter d'atteindre une revendication de dépassement de groupe, nous recommandons aux grandes entreprises de sélectionner Groupes affectés à l’application plutôt que Tous les groupes dans la section Modifier les revendications de groupe. Voir cet rubrique d'aide de Microsoft Pour en savoir plus. - Cliquez sur Ajouter une revendication facultative, sélectionnez le type de jeton Accès, sélectionnez la revendication UPN, puis cliquez sur Ajouter.REMARQUE : Security Center nécessite un identifiant unique pour l'utilisateur. La revendication UPN est une possibilité, mais d'autres revendications facultatives, telles que l'e-mail, peuvent être utilisées à la place.
- Dans le menu de gauche de votre application, sélectionnez Manifeste, définissez accessTokenAcceptedVersion sur 2, puis cliquez sur Enregistrer.
- Dans le menu de gauche de votre application, sélectionnez Exposer une API.
- Cliquez sur Ajouter à côté d'URI d'ID d'application pour spécifier un URI global unique pour l'application Security Center, puis cliquez sur Enregistrer.
Azure AD génère automatiquement un URI utilisable. Vous pouvez utiliser la valeur par défaut ou la modifier selon vos besoins.
- Cliquez sur Ajouter une portée, remplissez les champs obligatoires avec les valeurs de votre choix, puis cliquez sur Ajouter une portée.REMARQUE : Une portée personnalisée garantit qu'Azure AD cible Security Center. La portée peut spécifier n'importe quelle valeur.
3 - Intégration de Security Center à Azure AD
- Avant de configurer un Service d'authentification dans Security Center, vous devez enregistrer les URI de redirection et de déconnexion sur le portail Azure.
- Le système valide les propriétés à chaque étape avant que vous ne puissiez continuer.
- Dans Config Tool, sélectionnez le rôle Service d'authentification créé précédemment, puis cliquez sur Configuration.
La page Inscription de l'application de la fenêtre Créer un rôle : Service d'authentification s'ouvre et vous pouvez reprendre la configuration.
- Sur la page Inscription de l'application, cliquez sur Suivant.
- Sur la page Communiquer avec le fournisseur , cliquez sur Démarrer, saisissez l'URI de l'emetteur et l'ID d'application (client), puis cliquez sur Suivant.
- Émetteur
- URL sécurisée (HTTPS) pointant vers le document de métadonnées OpenID Connect. Copiez-le depuis Points de terminaison dans la configuration de l'application Azure AD.
- ID d'application (client)
- Un identificateur unique représentant Security Center dans Azure AD. Copiez-le à partir de la Présentation dans la configuration de l'application Azure AD.
- Dans la section Métadonnées, saisissez l'URL et cliquez sur Suivant.
- URL
- URL sécurisée (HTTPS) pointant vers le document de métadonnées OpenID Connect. Copiez-le depuis Points de terminaison dans la configuration de l'application Azure AD.
- Sur la page Domaines acceptés, configurez l'option Fournisseur par défaut :
- Cette option est désactivée par défaut. Lorsqu'elle est désactivée, vous devez ajouter au moins un nom de domaine pour les utilisateurs qui peuvent s'authentifier à l'aide de ce service d'authentification.
- Activez l'option Fournisseur par défaut pour utiliser ce fournisseur d'identité pour authentifier les utilisateurs de tous les domaines.
Si vous avez plusieurs rôles de service d'authentification, un seul rôle peut être défini comme fournisseur par défaut, et cette option est désactivée pour tous les autres rôles.
ATTENTION :L'activation de l'option Fournisseur par défaut supprime tous les noms de domaine qui ont été ajoutés précédemment.
- Cette option est désactivée par défaut. Lorsqu'elle est désactivée, vous devez ajouter au moins un nom de domaine pour les utilisateurs qui peuvent s'authentifier à l'aide de ce service d'authentification.
- Spécifiez s'il convient ou non d'utiliser ce fournisseur d'identité en tant qu’option de connexion.
Si vous sélectionnez Oui, saisissez le nom du fournisseur d'identité à afficher sur l'écran de connexion avec le texte « Se connecter avec <nom d'affichage> ».
- Cliquez sur Suivant.
- (Facultatif) Sur la page Authentification du client, activez l'option Client confidentiel pour définir Security Center comme un client confidentiel de ce fournisseur d'identité.
Le champ Secret du client apparaît.
- (Facultatif) Dans le champ Secret du client, saisissez le secret client qui a été généré précédemment sur le portail Azure.
- Cliquez sur Suivant.
- Sur la page Revendications et périmètres, sélectionnez les propriétés suivantes :
- Revendication de nom d’utilisateur
- La revendication OpenID renvoyée par le fournisseur d'identité contenant le nom d'utilisateur de la partie authentifiée.
Sélectionnez : preferred_username
- Revendication de groupe
- La revendication OpenID renvoyée par le fournisseur d'identité contenant les groupes auxquels appartient la partie authentifiée.
Sélectionnez : groups
- Cliquez sur Suivant.
- Sur la page Groupes, cliquez sur Ajouter un élément (
), sélectionnez un groupe existant ou créez un groupe d'utilisateurs, puis cliquez sur Suivant.CONSEIL : Vous pouvez télécharger l'ensemble des groupes d'utilisateurs depuis Azure Active Directory sous forme de fichier CSV et importer ces groupes dans Security Center. L'identificateur unique externe des groupes importés doit correspondre à l'ID d'objet de ces groupes dans Azure AD. - Sur la page Tester la configuration, cliquez sur Test de connexion pour valider la configuration, puis cliquez sur Suivant.
Pour en savoir plus, voir Test d'une configuration d'authentification tierce.
- Sur la page Résultat de la création, vérifiez que les informations sont correctes et cliquez sur .