Avant que Security Center puisse utiliser Okta pour authentifier les utilisateurs avec SAML 2.0, une configuration est requise dans Config Tool et dans Okta Admin Console.
Cet exemple présente la procédure de configuration de l'authentification tierce avec Okta à l'aide du protocole SAML 2.0. La procédure se divise en trois sections :
- Rechercher les propriétés dans Okta Admin Console
- Comprendre la signification de chaque propriété
- Valider les propriétés avant de poursuivre
- Accéder aux rubriques d'aide correspondantes
Pour implémenter l'authentification tierce, vous devez disposer des droits d'administrateur dans Security Center et Okta.
1 - Préparation de Security Center
- Ouvrez Config Tool et connectez-vous à Security Center serveur principal en tant qu'administrateur.
- Sur la page d'accueil de Config Tool, ouvrez la tâche Système, puis cliquez sur la vue Rôles.
- Cliquez sur Ajouter une entité (
) > Service d'authentification.
La fenêtre Créer un rôle : Service d'authentification s'ouvre.
- Dans la section Informations spécifiques, sélectionnez le fournisseur d'identité et le protocole d'authentification, puis cliquez sur Suivant.
- services cloud
- Okta
- Protocole
- SAML 2.0
- Saisissez un nom et une description facultative pour le nouveau rôle de service d'authentification, puis cliquez sur Suivant.
- Si votre système comprend des partitions, sélectionnez la partition dont ce rôle fait partie, puis cliquez sur Créer.
Les partitions déterminent quels utilisateurs Security Center ont accès à cette entité. Seuls les utilisateurs ayant accès à la partition peuvent voir ce rôle.
- Sur la page Inscription de l'application, copiez les URI de redirection et de déconnexion.
Pour en savoir plus, voir À propos de la configuration des points de terminaison des rôles.
- Cliquez sur .REMARQUE : Le bouton Suspendre vous permet d'enregistrer et de quitter temporairement l'assistant de configuration. Vous pouvez suspendre la configuration à tout moment au cours du processus.
- Sur le serveur principal Security Center, suivez les instructions pour votre système d'exploitation afin d'exporter le certificat de clé publique utilisé par le serveur principal Security Center au format X.509.REMARQUE : Les options CN (Common Name) ou SAN (Subject Alternative Name) du certificat doivent correspondre au nom d’hôte, à l’adresse IP ou au nom de domaine complet (FQDN) utilisé dans les URI de redirection et de déconnexion.
Cette clé publique est exigée par Okta pour activer la déconnexion unique. Le certificat Security Center est affiché dans la section Sécuriser les communications de la page Server Admin - Serveur principal.
2- Préparer Okta
- Avoir un compte administrateur Okta.
- Avoir provisionné au moins un utilisateur.
- Avoir provisionné au moins un groupe d'utilisateurs contenant les utilisateurs auxquels vous souhaitez accorder l'accès à Security Center.
- Dans Okta Admin Console, sélectionnez puis cliquez sur Create App Integration.
- Dans l’assistant Create a new app integration, sélectionnez SAML 2.0 et cliquez sur Next.
- Dans l'assistant Create SAML Integration, renseignez App name (Nom de l’application) et cliquez sur Next.
- Sur la page Configure SAML, configurez les réglages suivants :
-
Single sign on URL : copiée depuis les URI de redirection dans Security CenterREMARQUE : Si plusieurs URI sont nécessaires, désélectionnez Use this for Recipient URL and Destination URL et saisissez les URI supplémentaires comme requis.
- Audience URI (SP Entity ID) : saisissez urn:SecurityCenter
- Name ID format : sélectionnez Persistent
-
Single sign on URL : copiée depuis les URI de redirection dans Security Center
- Toujours dans la section SAML Settings, cliquez sur Show Advanced Settings, et configurez les réglages suivants :
- Signature Certificate
- Téléchargez le certificat de clé publique exporté depuis Security Center.
- Enable Single Logout (Activer la déconnexion unique)
- Sélectionnez l'option Allow application to initiate Single Logout.
- Single Logout URL
- Copiez le point de terminaison /genetec depuis les URI de déconnexion dans Security Center
- SP Issuer
- Saisissez urn:SecurityCenter
- Dans la section Attribute statements (Déclarations d'attributs), configurez les réglages suivants :
- Nom
- login
- Name format
- URI Reference
- Valeur
- user.login
- Dans la section Group attribute statements (Déclarations d'attributs de groupe), configurez les réglages suivants :
- Nom
- groups
- Name format
- URI Reference
- Filtrer
-
Matches regex
.*
REMARQUE : Le filtre Correspondances regex avec
.*renvoie tous les groupes auquel appartient l'utilisateur authentifié.Le cas échéant, vous pouvez également utiliser ce filtre pour exclure certains groupes. Au moins un groupe affecté à Security Center doit être inclus pour accorder l'accès.
- Cliquez sur Suivant.
- Sur la page Feedback, sélectionnez I'm an Okta customer adding an internal app (Je suis un client Okta qui ajoute une application interne), entrez vos commentaires éventuels, et cliquez sur Finish (Terminer).
- Sur la page Sign On (Connexion) pour votre application, procédez de la manière suivante :
- Copiez la valeur du champ Metadata URL.
Cette URL est requise par le rôle Service d'authentification dans Security Center.
- Cliquez sur View SAML setup instructions.
- Copiez la valeur du champ Metadata URL.
- Sur la page How to Configure SAML 2.0 for <application> (Comment configurer SAML 2.0 pour <application>), téléchargez le Certificat X.509.
- Sur la page Affectations de votre application, affectez les groupes d'utilisateurs Security Center à l’application.
3 - Intégration de Security Center à Okta
- Avant de configurer un Service d'authentification dans Security Center, vous devez enregistrer les URI de redirection et de déconnexion dans Okta Admin Console.
- Le système valide les propriétés à chaque étape avant que vous ne puissiez continuer.
- Dans Config Tool, sélectionnez le rôle Service d'authentification créé précédemment, puis cliquez sur Configuration.
La page Inscription de l'application de la fenêtre Créer un rôle : Service d'authentification s'ouvre et vous pouvez reprendre la configuration.
- Sur la page Inscription de l'application, cliquez sur Suivant.
- Sur la page Communiquer avec le fournisseur, cliquez sur Démarrer.
- Dans la section Métadonnées, entrez l'URL de métadonnées et cliquez sur Suivant.
L'URL de métadonnées est disponible sur la page Sign On de votre application Okta.
- Dans la section Communiquer avec le fournisseur, sélectionnez les propriétés suivantes :
- Émetteur
- Saisissez l'Émetteur du fournisseur d'identité copié depuis dans Okta.
- Public
- Accessible depuis dans Okta.
- Cliquez sur Suivant.
- Sur la page Domaines acceptés, configurez l'option Fournisseur par défaut :
- Cette option est désactivée par défaut. Lorsqu'elle est désactivée, vous devez ajouter au moins un nom de domaine pour les utilisateurs qui peuvent s'authentifier à l'aide de ce service d'authentification.
- Activez l'option Fournisseur par défaut pour utiliser ce fournisseur d'identité pour authentifier les utilisateurs de tous les domaines.
Si vous avez plusieurs rôles de service d'authentification, un seul rôle peut être défini comme fournisseur par défaut, et cette option est désactivée pour tous les autres rôles.
ATTENTION :L'activation de l'option Fournisseur par défaut supprime tous les noms de domaine qui ont été ajoutés précédemment.
- Cette option est désactivée par défaut. Lorsqu'elle est désactivée, vous devez ajouter au moins un nom de domaine pour les utilisateurs qui peuvent s'authentifier à l'aide de ce service d'authentification.
- Spécifiez s'il convient ou non d'utiliser ce fournisseur d'identité en tant qu’option de connexion.
Si vous sélectionnez Oui, saisissez le nom du fournisseur d'identité à afficher sur l'écran de connexion avec le texte « Se connecter avec <nom d'affichage> ».
- Cliquez sur Suivant.
- Sur la page Revendications et périmètres, saisissez les propriétés suivantes :
- Revendication de nom d’utilisateur
- login
- Revendication de groupe
- groups
- Cliquez sur Suivant.
- Sur la page Groupes, cliquez sur Ajouter un élément (
), sélectionnez un groupe existant ou créez un groupe d'utilisateurs, puis cliquez sur Suivant.CONSEIL : Vous pouvez exporter la liste des utilisateurs actifs depuis Okta Admin Console sous forme de fichier CSV et importer le groupe dans Security Center. Vous pouvez ajouter un ou plusieurs groupes d'utilisateurs Security Center avec le même nom ou le même identificateur unique que les groupes affectés à l'application Security Center dans Okta. - Sur la page Tester la configuration, cliquez sur Test de connexion pour valider la configuration, puis cliquez sur Suivant.
Pour en savoir plus, voir Test d'une configuration d'authentification tierce.
- Sur la page Résultat de la création, vérifiez que les informations sont correctes et cliquez sur .