Configuration du SSO pour Beamery

Les étapes suivantes permettent d’activer l’authentification unique pour les comptes Azure AD avec les systèmes de production et Sandbox de Beamery

Prérequis :

• Privilèges d’administrateur Azure ou d’administrateur général
• Accès à un système sécurisé de transfert de fichiers (à l’exclusion de Zoom, Dropbox ou de tout autre système de transfert de fichiers tiers)
• Assistance de l’administrateur Beamery pour charger les métadonnées et les certificats dans le système Beamery
• Identifiants de configuration SAML fournis par la partie ou le fournisseur externe

Étapes

Étape 1 : accéder à Azure AD pour créer l’application SSO

• Accédez à https://aad.portal.azure.com
• Sélectionnez « Enterprise Application »
• Sélectionnez « + New application »
  
   
• Sélectionnez « + Create your own application »
• Saisissez le nom de l’application en utilisant la convention de nommage
  « DDIE – » + Nom du système + « SSO » + Instance, par exemple « DDIE – Beamery SSO sandbox »
  
   

Étape 2 : attribuer aux utilisateurs l’accès à ce SSO

• Dans le portail AAD, sélectionnez « Enterprise Applications » et recherchez le nom de l’application utilisé ci-dessus
  
• Sélectionnez « Users and groups » ; les membres actuels s’afficheront
• Pour supprimer un utilisateur, sélectionnez son nom et cliquez sur « Remove »
• Pour ajouter un utilisateur ou un groupe, sélectionnez « + Add user/group »
• Cliquez sur « None Selected »
• Utilisez la zone de recherche pour trouver et sélectionner les noms d’utilisateurs ou de groupes, puis cliquez sur « Select »
• Une fois tous les utilisateurs et groupes sélectionnés, cliquez sur « Assign »

Étape 3 : configurer l’authentification unique

• Dans le portail AAD, ouvrez l’application d’entreprise et sélectionnez « Single Sign-on »
  
• Choisissez la méthode SSO requise ; dans cet exemple, « SAML » est la méthode par défaut
• Configuration SAML de base
  • Sélectionnez « Edit » dans la section de configuration SAML
    
  • Les deux valeurs obligatoires sont « Entity ID » et « Assertion Consumer Service URL »
    
  • Pour les mettre à jour, sélectionnez « Add Identifier » et saisissez l’Entity ID fournie, puis sélectionnez « Add reply URL » et saisissez l’Assertion Consumer Service URL issue des métadonnées Beamery
    • Des URL de configuration facultatives sont disponibles pour la connexion, le relais et la déconnexion
  • Sélectionnez « Save » une fois terminé
    
     
• Configuration des attributs et des revendications
  • Les attributs par défaut sont affichés et, en général, aucune modification n’est nécessaire. Si la partie tierce requiert un attribut de métadonnées spécifique, celui-ci peut être ajouté ou un attribut existant peut être mis à jour
  • Sélectionnez « Edit » dans la section « Attributes & Claims »

• Pour ajouter l’attribut requis « emailAddress » (notez le « A » majuscule), sélectionnez « + Add new claim »
• Saisissez « emailAddress » dans le champ Name et « http://schemas.xmlsoap.org/ws/2005/05/identity/claims » dans le champ Namespace
• Dans la section « source attribute », sélectionnez la liste déroulante et choisissez « user.mail »

• Sélectionnez « Save » pour terminer
   
• Exporter les métadonnées et les certificats SAML
  • Dans la section « SAML Signing Certificate », sélectionnez Download à côté de « Federation Metadata XML »

• Enregistrez le fichier dans un emplacement sécurisé et organisez le transfert du fichier à la partie tierce à l’aide d’une méthode sécurisée. N’utilisez pas de « Dropbox » tiers ni de service similaire.
• La partie tierce peut également demander le fichier « certificate (Base64) » ; téléchargez-le et transférez-le comme indiqué ci-dessus.
• Une fois que la partie tierce a installé les fichiers, le SSO devrait être disponible pour les tests.

Étape 4 : tester le SSO

• Utilisez l’option « Test » intégrée

ou utilisez une URL fournie par la partie tierce

• Vous serez invité à saisir votre identifiant de connexion, puis le système devrait se connecter automatiquement sans demander de mot de passe
  Remarque : vous devez utiliser un identifiant de connexion inclus dans la section « Assigned User to Access SSO » ; une connexion secondaire peut ne pas demander d’identifiant, car les informations sont désormais mises en cache.
• Il est recommandé d’utiliser d’abord l’option « Test » ; en cas d’erreur, un message plus détaillé s’affichera