Documentation technique Ekinops SSE

Pour configurer l'Entra ID (ex Azure AD) avec Ekinops SSE, vous devez ajouter l'application Ekinops SSE à votre Entra ID (ex Azure AD).

L'application Olfeo ou Ekinops SSE est disponible dans la galerie d'applications Entra ID (ex Azure AD).

Suivez le pas-à-pas ci-dessous pour ajouter l'application :

1. Connectez-vous à votre interface Microsoft Azure.

2. Sélectionnez le service Entra ID (ex Azure AD).

   

3. Depuis la page d'accueil, rendez-vous sur la page Applications d'entreprise > + Nouvelle application.

4. Tapez Ekinops SSE dans la zone de recherche.

5. Sélectionnez l'application Ekinops SSE dans le volet des résultats.

6. Cliquez sur Ajouter l'application. Patientez quelques instants.

7. L'application est maintenant ajoutée à votre liste d'applications Entra ID (ex Azure AD).

1. Dans votre console Entra ID (ex Azure AD) , rendez-vous dans le détail de votre application d'entreprise Ekinops SSE et allez dans la section Approvisionnement et cliquez sur Démarrer (la première fois).

2. Choisissez le mode d'approvisionnement Automatique, puis copiez / collez le Tenant URL et le Jeton Secret dans les champs correspondants.

3. Vous trouverez le tenant URL et le jeton secret dans votre interface Ekinops SSE, à l'onglet Synchronisation de votre annuaire.

4. Cliquez sur Test de la connexion pour vérifier qu'Entra ID (ex Azure AD) peut se connecter à Ekinops SSE.

   Un message de confirmation s'affiche.

5. Cliquez sur Enregistrer.

6. À présent, définissez le paramètre État de l'approvisionnement sur Activé pour activer le service d'approvisionnement Entra ID (ex Azure AD) pour Ekinops SSE. Vous pouvez également définir un e-mail de contact en cas d'anomalie sur le service de synchronisation.

7. Dans la section Étendue, définissez les utilisateurs que vous souhaitez approvisionner :

   • l'intégralité de vos utilisateurs/groupes (nécessite que l'affectation à l'application ne soit pas requise - voir ici pour plus de détails) ;

   • uniquement vos utilisateurs/groupes assignés à cette application (nécessite que vous ayez affecté des utilisateurs ou groupes à l'application - voir ici pour plus de détails).

8. Cliquez sur Enregistrer puis fermez cette section consacrée aux détails des paramètres d'approvisionnement en cliquant sur la croix en haut à droite de la zone et revenez au sommaire de l'approvisionnement.

9. Cliquez sur Démarrer l'approvisionnement pour lancer le cycle initial d'approvisionnement.

   Note

   Cette opération démarre la synchronisation initiale de tous les utilisateurs et/ou groupes définis dans le paramètre Étendue. Le cycle initial d'approvisionnement dépend de la charge d'Azure et peut prendre jusqu'à 40 minutes.

   Pour mieux comprendre le fonctionnement du provisioning SCIM et les moyens de relancer une synchronisation, consultez la documentation Microsoft.

1. Rendez-vous sur Configuration > Annuaires.

2. Cliquez sur le bouton + Créer un annuaire en haut à droite de votre écran.

3. Saisissez le nom que vous souhaitez donner à votre annuaire.

4. Sélectionnez le fournisseur : Via agent de synchronisation Ekinops SSE.

5. Cliquez sur Créer.

   L'annuaire a été créé.

6. Ajoutez une description (optionnel) et cliquez sur Mettre à jour sinon cliquez sur l'onglet Synchronisation pour télécharger l'Agent de synchronisation d'annuaires et commencer à mettre en place la synchronisation entre votre annuaire et Ekinops SSE.

1. Installez l'Agent de synchronisation en suivant les instructions de l'assistant d'installation.

2. Avant de quitter l'assistant d'installation, cochez la case Démarrer la configuration :

   L'Agent de synchronisation d'annuaires se lance sur l'assistant de configuration.

1. À l'étape de Connexion à l'Active Directory, remplissez les champs suivants pour vous connecter à votre Active Directory :

   • URL du serveur de votre Active Directory

   • Choix de l'option LDAP sécurisé

   • Port de l'Active Directory si le LDAPS est activé (par défaut : LDAP 389; LDAPS 636)

   • Login du compte dédié à l'Agent de synchronisation pour la lecture sur votre AD

   • Mot de passe de connexion à l'AD

   Cliquez sur Vérifier et observez si le test est réussi et si les nombres d'utilisateurs/groupes trouvés sont cohérents avec votre requête LDAP.

   La vérification est réussie et votre Agent peut bien communiquer avec votre AD.

2. Définissez les attributs des utilisateurs et groupes à synchroniser. Définissez également l'association avec les propriétés de l'annuaire Ekinops SSE.

   Choix de la propriété identifiante qui sera utilisée pour l'authentification

   Choisissez prudemment : la propriété identifiante (SamAccountName ou UserPrincipalName) que vous allez associer à userName sera utilisée par l'authentification sur Ekinops SSE. Pour prévenir les erreurs, cette propriété n'est plus modifiable une fois définie sur un annuaire donné.

   Nous recommandons l'usage du UserPrincipalName comme propriété identifiante parce que cela correspond aux préconisations récentes de Microsoft sur ce point mais l'usage de l'un comme de l'autre pour l'authentification est possible et dépendent surtout de votre contexte d'usage (veuillez noter cependant que l'usage de SamAccountName comme propriété identifiante pour Ekinops SSE peut nécessiter des ajustements complémentaires à votre configuration ADFS).

   Choix de la propriété identifiante qui sera utilisée comme nom des groupes

   Choisissez prudemment la propriété identifiante (SamAccountName, cn …) que vous allez associer à l’attribut de groupe DISPLAYNAME. C'est cette propriété qui sera affichée dans les sélecteurs de population sur Ekinops SSE. Pour prévenir les erreurs, cette propriété n'est plus modifiable une fois définie sur un annuaire donné.

3. À l'étape Connexion à l'annuaire Ekinops SSE, complétez les champs Tenant URL et Jeton Secret.

   Au clic sur Suivant, l'Agent de synchronisation d'annuaires vérifie l'existence de l'annuaire indiqué sur la plateforme et la validité du jeton d'accès.

4. Définissez ensuite l'Intervalle de synchronisation, pour la synchronisation incrémentale puis cliquez sur Suivant pour terminer la configuration initiale de l'Agent de synchronisation d'annuaires.

5. La configuration est terminée, l'application s'ouvre automatiquement et lance une synchronisation complète.

6. Lorsque la date s'affiche dans un badge vert, la synchronisation complète est terminée entre votre Active Directory et Ekinops SSE. Pour plus d'informations sur la synchronisation, consultez le rapport de synchronisation Interpréter un rapport de synchronisation.

1. Rendez-vous sur Configuration > Annuaires et cliquez sur l'icône (modifier) de l'annuaire.

2. Allez sur la vue Authentification. Dans la liste déroulante des méthodes d'authentification, choisissez SAML :

3. Cliquez sur Activer. Cette action génère des métadonnées Ekinops SSE nécessaires à la configuration de l'authentification SAML.

4. Saisissez l'URL d'exposition des métadonnées de fédération SAML fournies par votre ADFS dans le champ Métadonnées du fournisseur, puis cliquez sur Mettre à jour.

   Cette URL devrait se trouver dans les détails de la partie de confiance publique (Relying Party Trust) de votre ADFS dans l'outil ADFS manager.

   Par défaut, cette URL devrait fortement ressembler à : https://<adfs_hostname>/FederationMetadata/2007-06/FederationMetadata.xml.

   Important

   Rappel : cette URL doit être publique et accessible sur internet pour qu'Ekinops SSE puisse y accéder et que l'authentification fonctionne.

   Alternativement, vous pouvez importer le fichier XML de métadonnées de fédération en copiant-collant son contenu. Assurez-vous qu'il respecte le format suivant :

   <?xml version="1.0" encoding="UTF-8"?>
   <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://sub-domain.domain.tld/path-to-entity-">
      <IDPSSODescriptor xmlns:ds="http://www.w3.org/2000/09/xmldsig#" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
         <KeyDescriptor use="signing">
            <ds:KeyInfo>
               <ds:X509Data>
                  <ds:X509Certificate>MIIDST_certificat_valide_en_base_64_XLswDQYJKoZINw=</ds:X509Certificate>
               </ds:X509Data>
            </ds:KeyInfo>
         </KeyDescriptor>
         <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sub-domain.domain.tld/path-to-logout" />
         <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sub-domain.domain.tld/path-to-logout" />
         <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
         <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sub-domain.domain.tld/path-to-sign-on" />
         <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sub-domain.domain.tld/path-to-sign-on" />
      </IDPSSODescriptor>
      <ContactPerson contactType="technical">
         <SurName>your_tech_support_team_name</SurName>
         <EmailAddress>your_tech_support_team_emailID@domain.tld</EmailAddress>
      </ContactPerson>
   </EntityDescriptor>

5. La configuration côté Ekinops SSE est terminée. Copiez l'URL des métadonnées Ekinops SSE, vous allez en avoir besoin dans la configuration de votre ADFS.

1. Dans l'outil ADFS management de votre serveur, affichez les approbations de partie de confiance et ajoutez-en une nouvelle.

2. Sélectionnez le choix "Claims aware" pour que cette approbation soit basée sur des revendications.

3. Indiquez l'URL de récupération des métadonnées de fournisseur de service de Ekinops SSE comme suit.

4. Donnez un nom à cette approbation qui a du sens pour vous.

5. Autorisez tous les utilisateurs de votre AD (le contrôle d'accès sécurisé par une authentification à facteurs multiples au service d'Ekinops SSE n'est pas encore supporté).

6. Vérifiez votre saisie.

7. Validez en décochant la configuration des revendications.

1. Dans votre console de gestion ADFS, éditez la politique de revendication de l'approbation que vous venez ne créer.

   Nous allons ajouter deux règles chaînées pour utiliser l'attribut SamAccountName et l'associer ensuite à la propriété NameID de la revenidaction SAML faite lors de l'authentification.

2. Choisissez le type de règle "Utiliser un attribut LDAP comme revendication"

3. Configurez la règle comme suit : associez l'attribut SamAccountName, récupéré dans votre AD, au type de revendication sortante "Common Name". Puis validez !

   Vous devriez à présent avoir une première règle dans votre politique, comme ceci :

4. Ajoutez-en une seconde, en sélectionnant cette fois le type "Transformer une revendication entrante"

5. Configurez la règle en lui indiquant d'associer le type de revendication entrante "Common Name" au type de revendication sortante "Name ID" associé au format "email" et sans faire de surcharge quelconque. Puis validez

   Vous devriez à présent avoir quelque chose de semblable à ceci.

6. Si tout est bien paramétré, lors d'une requête d'authentification SAML, votre ADFS confirmera à Ekinops SSE l'identité d'un utilisateur en s'appuyant sur la propriété SamAccountName.