Lorsque vous ajoutez et configurez des instances de fournisseur d'identité SAML pour votre déploiement Workspace ONE Access, vous pouvez garantir une haute disponibilité, prendre en charge des méthodes d'authentification d'utilisateurs supplémentaires et améliorer la souplesse de gestion du processus d'authentification des utilisateurs en fonction des plages d'adresses IP de ces derniers.

Conditions préalables

Effectuez les tâches suivantes avant d'ajouter l'instance de fournisseur d'identité tiers.

  • Vérifiez que les instances tierces sont conformes à SAML 2.0 et que le service Workspace ONE Access peut accéder à l'instance tierce.
  • Coordonnez l'intégration au fournisseur d'identité tiers. En fonction du fournisseur d'identité, vous devrez peut-être configurer les deux paramètres de la même façon.
  • Obtenez les informations sur les métadonnées tierces à ajouter lors de la configuration du fournisseur d'identité dans la console Workspace ONE Access. Les informations de métadonnées que vous obtenez de l'instance tierce correspondent à l'URL d'accès aux métadonnées ou aux métadonnées proprement dites.

Procédure

  1. Dans l'onglet Gestion des identités et des accès de la console Workspace ONE Access, sélectionnez Fournisseurs d'identité.
  2. Cliquez sur Ajouter un fournisseur d'identité et sélectionnez Créer un IDP SAML.
  3. Configurez les paramètres du fournisseur d'identité SAML.
    Élément de formulaire Description
    Nom du fournisseur d'identité Entrez un nom pour cette instance de fournisseur d'identité.
    Métadonnées SAML

    Ajoutez le document sur les métadonnées XML de fournisseur d'identité tiers afin d'établir une relation d'approbation avec le fournisseur d'identité.

    1. Entrez l'URL des métadonnées SAML ou le contenu xml dans la zone de texte. Cliquez sur Traiter des métadonnées IdP.
    2. Sélectionnez le mode d'identification de l'utilisateur. Vous pouvez envoyer l'identifiant envoyé dans une assertion SAML entrante dans l'élément Sujet ou Attribut.
      • Élément NameID. L'identifiant d'utilisateur est récupéré à partir de l'élément NameID de l'élément Sujet.
      • Attribut SAML. L'identifiant d'utilisateur est récupéré à partir d'un élément Attribut ou AttributeStatement spécifique.
    3. Si vous sélectionnez Élément NameID, les formats de NameID pris en charge par le fournisseur d'identité sont extraits des métadonnées et ajoutés à la table Format de l'ID du nom qui s'affiche.
      • Dans la colonne Valeur de l'ID du nom, sélectionnez les attributs utilisateur configurés dans le service Workspace ONE Access à mapper aux formats de NameID qui s'affichent. Vous pouvez ajouter des formats d'ID de noms tiers personnalisés et les mapper aux valeurs d'attributs utilisateur du service Workspace ONE Access.
      • Sélectionnez le format de chaîne de l'identifiant de réponse Stratégie de l'ID du nom dans la demande SAML à utiliser. Ce format doit correspondre à la configuration du format de stratégie de l'ID du nom spécifique du fournisseur d'identité tiers utilisé pour établir une relation de confiance avec le service Workspace ONE Access.
      • Sélectionnez l'option pour envoyer les informations sur le sujet dans la demande SAML lorsque les informations sont disponibles.
    4. Si vous sélectionnez Attribut SAML, incluez le format d'attribut et le nom d'attribut. Sélectionnez l'attribut utilisateur dans le service Workspace ONE Access à mapper à l'attribut SAML.
    Provisionnement juste-à-temps Les utilisateurs du provisionnement juste-à-temps sont créés et mis à jour dynamiquement lorsqu'ils se connectent, en fonction des assertions SAML envoyées par le fournisseur d'identité.Voir Provisionnement juste-à-temps. Si vous activez JIT, entrez le nom d'annuaire et de domaine de l'annuaire JIT.
    Utilisateurs Sélectionnez les annuaires qui incluent les utilisateurs qui peuvent s'authentifier à l'aide de ce fournisseur d'identité.
    Réseau Les plages réseau existantes configurées dans le service sont répertoriées.

    Sélectionnez les plages réseau des utilisateurs en fonction de leurs adresses IP, que vous souhaitez rediriger vers cette instance de fournisseur d'identité à des fins d'authentification.

    Méthodes d'authentification Ajoutez les méthodes d'authentification prises en charge par le fournisseur d'identité tiers. Sélectionnez la classe de contexte d'authentification SAML qui prend en charge la méthode d'authentification.
    Configuration de la déconnexion unique

    Lorsque les utilisateurs se connectent à Workspace ONE à partir d'un fournisseur d'identité tiers (IDP), deux sessions sont ouvertes, la première sur le fournisseur d'identité tiers et la seconde sur le fournisseur du service Identity Manager pour Workspace ONE. La durée de vie de ces sessions est gérée de façon indépendante. Lorsque des utilisateurs se déconnectent de Workspace ONE, la session Workspace ONE est fermée, mais la session du fournisseur d'identité tiers peut toujours être ouverte. En fonction de vos exigences de sécurité, vous pouvez activer la déconnexion unique et configurer la déconnexion unique pour se déconnecter des deux sessions, ou maintenir la session du fournisseur d'identité tiers intacte.

    Option de configuration 1

    • Vous pouvez activer la déconnexion unique lorsque vous configurez le fournisseur d'identité tiers. Si le fournisseur d'identité tiers prend en charge le protocole de déconnexion unique (SLO) basé sur SAML, les deux sessions sont fermées lorsque les utilisateurs se déconnectent du portail Workspace ONE. La zone de texte URL de redirection n'est pas configurée.
    • Si le fournisseur d'identité tiers ne prend pas en charge la déconnexion unique basée sur SAML, activez la déconnexion unique et, dans la zone de texte URL de redirection, désignez une URL de point de terminaison de déconnexion unique du fournisseur d'identité. Vous pouvez également utiliser un paramètre de redirection à ajouter à l'URL qui envoie les utilisateurs vers un point de terminaison spécifique. Les utilisateurs sont redirigés vers cette URL lorsqu'ils se déconnectent du portail Workspace ONE et qu'ils sont déconnectés du fournisseur d'identité également.

    Option de configuration 2

    • Une autre option de déconnexion unique consiste à déconnecter les utilisateurs de leur portail Workspace ONE et à les rediriger vers une URL de point de terminaison personnalisée. Vous activez la déconnexion unique, désignez l'URL dans la zone de texte URL de redirection et le paramètre de redirection du point de terminaison personnalisé. Lorsque les utilisateurs se déconnectent du portail Workspace ONE, ils sont dirigés vers cette page, qui peut afficher un message personnalisé. Il est possible que la session du fournisseur d'identité soit toujours ouverte. L'URL https://<vidm-access-url>/SAAS/auth/federation/slo est saisie.

    Si l'option Activer la déconnexion unique n'est pas activée, la configuration par défaut dans le service Workspace ONE Access consiste à rediriger les utilisateurs vers la page de connexion du portail Workspace ONE lorsqu'ils se déconnectent. Il est possible que la session du fournisseur d'identité soit toujours ouverte.

    Certificat de signature SAML Cliquez sur Métadonnées du fournisseur de services (SP) pour voir l'URL vers les métadonnées du fournisseur de services SAML Workspace ONE Access. Copiez et enregistrez l'URL. Cette URL est configurée lorsque vous modifiez l'assertion SAML dans le fournisseur d'identité tiers pour mapper des utilisateurs Workspace ONE Access.
    Nom d'hôte IdP Si la zone de texte Nom d'hôte s'affiche, entrez le nom d'hôte vers lequel le fournisseur d'identité est redirigé pour l'authentification. Si vous utilisez un port non standard autre que 443, vous pouvez définir le nom d'hôte avec le format Nom d'hôte:Port. Par exemple, myco.example.com:8443.
  4. Cliquez sur Ajouter.

Que faire ensuite

  • Ajoutez la méthode d'authentification par fournisseur d'identité tiers à la stratégie d'accès par défaut de Workspace ONE. Voir #GUID-25549B4D-F2D7-4658-85CB-53EED8149438
  • Modifiez la configuration du fournisseur d'identité tiers pour ajouter l'URL de certificat de signature SAML que vous avez enregistrée.