| Nom du fournisseur d'identité |
Entrez un nom pour cette instance de fournisseur d'identité. |
| Métadonnées SAML |
Ajoutez le document sur les métadonnées XML de fournisseur d'identité tiers afin d'établir une relation d'approbation avec le fournisseur d'identité.
- Entrez l'URL des métadonnées SAML ou le contenu xml dans la zone de texte. Cliquez sur Traiter des métadonnées IdP.
- Sélectionnez le mode d'identification de l'utilisateur. Vous pouvez envoyer l'identifiant envoyé dans une assertion SAML entrante dans l'élément Sujet ou Attribut.
- Élément NameID. L'identifiant d'utilisateur est récupéré à partir de l'élément NameID de l'élément Sujet.
- Attribut SAML. L'identifiant d'utilisateur est récupéré à partir d'un élément Attribut ou AttributeStatement spécifique.
- Si vous sélectionnez Élément NameID, les formats de NameID pris en charge par le fournisseur d'identité sont extraits des métadonnées et ajoutés à la table Format de l'ID du nom qui s'affiche.
- Dans la colonne Valeur de l'ID du nom, sélectionnez les attributs utilisateur configurés dans le service Workspace ONE Access à mapper aux formats de NameID qui s'affichent. Vous pouvez ajouter des formats d'ID de noms tiers personnalisés et les mapper aux valeurs d'attributs utilisateur du service Workspace ONE Access.
- Sélectionnez le format de chaîne de l'identifiant de réponse Stratégie de l'ID du nom dans la demande SAML à utiliser. Ce format doit correspondre à la configuration du format de stratégie de l'ID du nom spécifique du fournisseur d'identité tiers utilisé pour établir une relation de confiance avec le service Workspace ONE Access.
- (Cloud uniquement) Sélectionnez l'option Envoyer le sujet dans la demande SAML (si disponible) comme indication de connexion ou comme indication d'authentification, par exemple authentification multifacteur (MFA, Multi-Factor Authentication). Lorsque vous activez cette option, vous pouvez également activer Envoyer la valeur Sujet selon le mappage du format de NameID pour mapper l'indication de connexion fournie par l'application tierce à la valeur NameID.
Note : Lorsque l'option Envoyer la valeur Sujet selon le mappage du format de NameID est activée, le service Workspace ONE Access est vulnérable à un risque de sécurité appelé énumération des utilisateurs. Activez cette option avec prudence.
Exemple de configuration dans laquelle l'option Envoyer la valeur Sujet selon le mappage du format de NameID est activée Configuration du fournisseur d'identité tiers
Flux d'authentification de l'utilisateur final
- L'utilisateur final sélectionne l'application « X ».
- L'application « X » présente une page de connexion à l'utilisateur final pour qu'il entre son adresse e-mail.
- L'application « X » renvoie l'e-mail comme indication de connexion à Workspace ONE Access.
- Étant donné que l'option Envoyer la valeur Sujet selon le mappage du format de NameID est activée, Workspace ONE Access accepte l'e-mail et recherche le UserPrincipleName pour cet utilisateur.
- Workspace ONE Access envoie la demande SAML avec le UserPrincipleName correspondant qui a été mappé à l'IDP tiers responsable de l'authentification de l'utilisateur final.
- Si vous sélectionnez Attribut SAML, incluez le format d'attribut et le nom d'attribut. Sélectionnez l'attribut utilisateur dans le service Workspace ONE Access à mapper à l'attribut SAML.
|
| Provisionnement juste-à-temps |
Les utilisateurs du provisionnement juste-à-temps sont créés et mis à jour dynamiquement lorsqu'ils se connectent, en fonction des assertions SAML envoyées par le fournisseur d'identité. Reportez-vous à la section Fonctionnement du provisionnement d'utilisateurs juste-à-temps dans Workspace Access. Si vous activez JIT, entrez le nom d'annuaire et de domaine de l'annuaire JIT. |
| Utilisateurs |
Sélectionnez les annuaires qui incluent les utilisateurs qui peuvent s'authentifier à l'aide de ce fournisseur d'identité. |
| Réseau |
Les plages réseau existantes configurées dans le service sont répertoriées. Sélectionnez les plages réseau des utilisateurs en fonction de leurs adresses IP, que vous souhaitez rediriger vers cette instance de fournisseur d'identité à des fins d'authentification. |
| Méthodes d'authentification |
Entrez le nom de la méthode d'authentification à associer à ce fournisseur d'identité tiers. Vous pouvez entrer plusieurs méthodes d'authentification à associer au fournisseur d'identité tiers. Attribuez à chaque méthode d'authentification un nom convivial qui identifie la méthode d'authentification. Sélectionnez le nom de la méthode d'authentification dans la stratégie d'accès pour configurer les règles de la méthode d'authentification de l'IDP tiers. Mappez le nom de la méthode d'authentification avec le contexte d'authentification SAML envoyé par le fournisseur d'identité tiers dans la réponse SAML. Dans le menu déroulant, sélectionnez une chaîne de classe de contexte d'authentification SAML dans la liste des chaînes couramment utilisées ou entrez une chaîne personnalisée. |
| Configuration de la déconnexion unique |
Lorsque les utilisateurs se connectent à Workspace ONE à partir d'un fournisseur d'identité tiers (IDP), deux sessions sont ouvertes, la première sur le fournisseur d'identité tiers et la seconde sur le fournisseur du service Identity Manager pour Workspace ONE. La durée de vie de ces sessions est gérée de façon indépendante. Lorsque des utilisateurs se déconnectent de Workspace ONE, la session Workspace ONE est fermée, mais la session du fournisseur d'identité tiers peut toujours être ouverte. En fonction de vos exigences de sécurité, vous pouvez activer la déconnexion unique et configurer la déconnexion unique pour se déconnecter des deux sessions, ou maintenir la session du fournisseur d'identité tiers intacte. Option de configuration 1
- Vous pouvez activer la déconnexion unique lorsque vous configurez le fournisseur d'identité tiers. Si le fournisseur d'identité tiers prend en charge le protocole de déconnexion unique (SLO) basé sur SAML, les deux sessions sont fermées lorsque les utilisateurs se déconnectent du portail Workspace ONE. La zone de texte URL de redirection n'est pas configurée.
- Si le fournisseur d'identité tiers ne prend pas en charge la déconnexion unique basée sur SAML, activez la déconnexion unique et, dans la zone de texte URL de redirection, désignez une URL de point de terminaison de déconnexion unique du fournisseur d'identité. Vous pouvez également utiliser un paramètre de redirection à ajouter à l'URL qui envoie les utilisateurs vers un point de terminaison spécifique. Les utilisateurs sont redirigés vers cette URL lorsqu'ils se déconnectent du portail Workspace ONE et qu'ils sont déconnectés du fournisseur d'identité également.
Option de configuration 2
- Une autre option de déconnexion unique consiste à déconnecter les utilisateurs de leur portail Workspace ONE et à les rediriger vers une URL de point de terminaison personnalisée. Vous activez la déconnexion unique, désignez l'URL dans la zone de texte URL de redirection et le paramètre de redirection du point de terminaison personnalisé. Lorsque les utilisateurs se déconnectent du portail Workspace ONE, ils sont dirigés vers cette page, qui peut afficher un message personnalisé. Il est possible que la session du fournisseur d'identité soit toujours ouverte. L'URL https://<vidm-access-url>/SAAS/auth/federation/slo est saisie.
Si l'option Activer la déconnexion unique n'est pas activée, la configuration par défaut dans le service Workspace ONE Access consiste à rediriger les utilisateurs vers la page de connexion du portail Workspace ONE lorsqu'ils se déconnectent. Il est possible que la session du fournisseur d'identité soit toujours ouverte. |
| Certificat de signature SAML |
Cliquez sur Métadonnées du fournisseur de services (SP) pour voir l'URL vers les métadonnées du fournisseur de services SAML Workspace ONE Access. Copiez et enregistrez l'URL. Cette URL est configurée lorsque vous modifiez l'assertion SAML dans le fournisseur d'identité tiers pour mapper des utilisateurs Workspace ONE Access. |
| Nom d'hôte IdP |
Si la zone de texte Nom d'hôte s'affiche, entrez le nom d'hôte vers lequel le fournisseur d'identité est redirigé pour l'authentification. Si vous utilisez un port non standard autre que 443, vous pouvez définir le nom d'hôte avec le format Nom d'hôte:Port. Par exemple, myco.example.com:8443. |
