Configuration de l'authentification unique (SSO)

Créer une application SAML dans Google

1. Connectez-vous à votre console d'administration Google à l'aide d'un compte administrateur.
2. Cliquez sur Applications > Applications SAML.
3. Cliquez sur l'icône plus en bas à droite.
4. Cliquez sur CONFIGURER MA PROPRE APPLICATION PERSONNALISÉE.
5. La fenêtre d'informations du fournisseur d'identité Google s'ouvre et les URL SSO et ID d'entité sont automatiquement renseignés. Vous devez copier l'ID d'entité et les valeurs des champs SSO, puis télécharger les métadonnées du fournisseur d'identité (option 2) et les coller dans les champs correspondants de Celoxis.
6. Une fois ces informations saisies dans Celoxis, retournez à la console d'administration et cliquez sur Suivant.
7. Dans la fenêtre « Basique », saisissez un nom et une description.
8. Cliquez sur Suivant.
9. Dans la fenêtre Détails du fournisseur de services, saisissez :
   • URL ACS: Saisissez la valeur copiée depuis l'onglet SSO.
   • Identifiant de l'entité : Saisissez celoxis.com
   • URL de démarrage : Pour une solution SaaS, saisissez https://app.celoxis.com/psa/person.Login.do ; pour une solution sur site, saisissez https://votre_URL/person.Login.do
10. Laissez la case « Réponse signée » décochée.
11. Sous le nom d'utilisateur, dans la section Informations de base, sélectionnez Courriel principal.
12. Dans la liste déroulante Format d'identification du nom , sélectionnez EMAIL .
13. Cliquez sur Suivant.
14. Cliquez sur Terminer.

Activer l'application SAML pour les utilisateurs

1. Accédez à Applications > Applications SAML.
2. Sélectionnez l'application SAML que vous avez créée ci-dessus.
3. En haut de la boîte grise, cliquez sur Paramètres , choisissez Activé pour tout le monde et confirmez les paramètres.

Erreurs courantes

Erreur : application non activée pour l'
utilisateur. Solution : L'application SAML n'est pas activée pour vos utilisateurs. Suivez les étapes ci-dessus pour l'activer pour tous. La même erreur s'affiche si vous êtes connecté à votre compte Google avec un compte différent de celui configuré pour le fournisseur d'identité (IdP).

Erreur serveur : Aucune entreprise trouvée avec le code société : XXXX.
Solution : L’URL ACS que vous avez saisie dans la configuration Google est incorrecte. Copiez l’URL correcte depuis le champ URL ACS de l’onglet Authentification unique dans Celoxis.

Requête invalide : aucun ID fournisseur d'identité (IdP) n'est présent dans l'URL ou le paramètre Destination de la requête SAML.
Solution : l'URL du fournisseur d'identité (IdP) saisie dans Celoxis est incorrecte. Veuillez la copier depuis votre fournisseur d'identité et la coller dans Celoxis.

1. Activez Mon domaine depuis Configuration > Administration > Gestion des domaines > Mon domaine. Déployez-le pour tous les utilisateurs. Cela créera automatiquement un fournisseur d'identité Salesforce.
2. Accédez à Administration > Contrôles de sécurité > Fournisseur d'identité. Vous y trouverez les informations de configuration du fournisseur d'identité, qui doivent être saisies dans Celoxis.
3. Cliquez sur le« Télécharger les métadonnées » pour télécharger le certificat. Le contenu de ce certificat doit être saisi dans le « Certificat IdP » de Celoxis, comme indiqué précédemment dans ce document.
4. Sur la même page, plus bas, cliquez sur « Les fournisseurs de services sont désormais créés via les applications connectées ». Cliquez ici.
5. Sur le Nouvelle application connectée page, veuillez saisir les informations suivantes :
   • Nom de l'application connectée
   • URL de démarrage
   • Cochez la Activer SAML .
   • ID d'entité
   • URL ACS
   • Type de sujet: Sélectionner un attribut personnalisé
   • Format de l'identifiant du nom : Sélectionnez urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
   • Certificat IdP: Sélectionnez le certificat approprié que vous avez saisi dans Celoxis (Étape 3)
6. Cliquez sur Enregistrer.
7. Une fois l'application créée, vous devez y associer des profils utilisateur afin que les utilisateurs appartenant à ces profils puissent se connecter via l'authentification unique (SSO).
   Accédez àGérer les applications > Applications connectées. Cliquez sur l'application que vous venez de créer.
8. Faites défiler vers le bas et cliquez sur Gérer les profils.
9. Sélectionnez les profils requis et cliquez sur Enregistrer.

Erreurs courantes

Erreur serveur : Authentification impossible.
Solution : Le certificat IdP saisi dans Celoxis est incorrect. Veuillez saisir le certificat correct que vous avez créé à cet effet (étape 3 ci-dessus). Vous rencontrerez la même erreur si vous n’avez pas associé le profil de l’utilisateur se connectant à l’application Connected, comme expliqué aux étapes 7 à 9 ci-dessus.

1. Connectez-vous à votre organisation Okta en tant qu'utilisateur disposant de privilèges d'administrateur.
2. Cliquez sur le Admin en haut à droite.
3. Cliquez sur l' onglet « Ajouter des applications »
4. Cliquez sur le bouton « Créer une nouvelle application »
5. Dans la boîte de dialogue qui s'ouvre, sélectionnez l' SAML 2.0 , puis cliquez sur le Créer .
6. Sur la page Paramètres généraux , saisissez le nom de l'application, par exemple Celoxis, dans le champ Nom de l'application , puis cliquez sur le bouton Suivant
7. Pour Configurer SAML Étape suivante, veuillez saisir les informations suivantes :
   • URL d'authentification unique: Il s'agit de l'URL ACS que vous obtiendrez de Celoxis.
   • URI de l'audience (ID d'entité SP) : Pour les utilisateurs SaaS, saisissez : https://app.celoxis.com ; pour les utilisateurs sur site, saisissez l'URL de votre application.
   • Format d'identification du nom: Adresse e-mail
8. Cliquez sur Suivant.
9. Dans la section Commentaires, sélectionnez « Je suis un client Okta ajoutant une application interne » et « Il s'agit d'une application interne que nous avons créée », puis cliquez sur Terminer.
10. Dans la « Personnes » de l’application, cliquez sur le « Attribuer à des personnes » . Sélectionnez les utilisateurs concernés et cliquez sur « Terminé ».
11. Dans la « Connexion » de votre nouvelle application, cliquez sur « Afficher les instructions de configuration ». Un nouvel onglet s'ouvre avec les informations à saisir dans Celoxis. Remplissez l' « Authentification unique » dans Celoxis comme indiqué précédemment dans ce document.

Erreurs courantes

Si le système vous demande toujours vos identifiants après avoir cliqué sur « Se connecter via SSO » et saisi vos identifiants SSO, cela signifie que vous avez mal saisi l'URL ACS/l'URL d'authentification unique dans Okta. Veuillez la corriger et réessayer.

Désolé, vous ne pouvez pas accéder
L'utilisateur qui tente de se connecter via l'authentification unique (SSO) n'est pas associé à l'application créée dans Okta. Veuillez répéter l'étape « Associer à des personnes » mentionnée ci-dessus.

1. Connectez-vous à votre compte OneLogin avec des privilèges d'administrateur.
2. Cliquez sur Applications > Applications dans le menu principal.
3. Cliquez sur le Ajouter une application .
4. Recherchez « SAML Test Connector (IdP avec attributs et réponse signée) » et cliquez dessus.
5. Saisissez Celoxis comme nom d'affichage et cliquez sur Enregistrer.
6. Cliquez sur l' onglet Configuration
7. Copiez l' URL ACL de Celoxis dans l' destinataire et de l'ACS (consommateur) .
8. Dans le champ « Validateur d'URL ACS (Consommateur) », échappez l'URL ACS comme indiqué dans la documentation OneLogin. En bref, vous devez préfixer l'URL par ^ et placer une barre oblique inverse (\) avant chaque barre oblique. Exemple : ^https:\/\/app.celoxis.com\/psa\/person.Login.do?code=abc
9. Votre écran OneLogin devrait ressembler à ceci : Cliquez sur le bouton Enregistrer
10. Cliquez sur l' SSO .
11. Copiez l' du point de terminaison SAML 2.0 (HTTP) et définissez-la comme URL du fournisseur d'identité dans Celoxis.

Erreurs courantes

La réponse a été reçue à
Le validateur d'URL ACS (consommateur) n'est pas échappé en URL comme indiqué dans la capture d'écran ci-dessus.

1. Connectez-vous au serveur ADFS.
2. Lancez la console de gestion ADFS.
3. Ouvrez le AD FS > Relations d'approbation depuis le menu de gauche.
4. Cliquez avec le bouton droit sur « Fiducies de la partie répondante » et choisissez « Ajouter une fiducie de partie de confiance… » .
5. Cela ouvrira un assistant. Cliquez sur le bouton Démarrer
6. À l' Sélectionner la source de données , sélectionnez l' Saisir manuellement les données relatives à la partie de confiance . Cliquez sur Suivant.
7. À l' « Spécifier le nom d'affichage » , saisissez Celoxis. Cliquez sur Suivant.
8. À l' Choisir un profil , sélectionnez le profil AD FS. Cliquez sur Suivant.
9. À l' « Configurer le certificat » , nous utiliserons les valeurs par défaut. Cliquez sur Suivant.
10. À l' « Configurer l'URL » , cochez l' Activer la prise en charge du protocole WebSSO SAML 2.0 » . Sous « URL du service SSO SAML 2.0 du relais », saisissez l' URL ACS copiée depuis Celoxis. Cliquez sur « Suivant ».
11. À l' Configurer les identifiants , saisissez l' URL ACS comme identifiant de confiance de la partie relais et cliquez sur Ajouter. Cliquez sur Suivant.
12. À l' « Configurer l'authentification multifacteur... » , nous utiliserons les valeurs par défaut. Cliquez sur Suivant.
13. À l’ « Choisir l’autorisation d’émission… » , sélectionnez « Autoriser tous les utilisateurs à accéder à cette partie de confiance ». Cliquez sur « Suivant ».
14. À l' « Prêt à ajouter une approbation » , un aperçu de vos paramètres s'affichera. Cliquez sur Suivant.
15. À l' étape Terminer , sélectionnez l' option Ouvrir la modification des revendications... Cliquez sur Fermer .
16. La fenêtre de l'éditeur de revendications devrait maintenant s'afficher .
17. Cliquez sur Ajouter une règle... sous l' Règles de transformation d'émission .
18. À l' « Choisir le type de règle » , sélectionnez « Envoyer les attributs LDAP en tant que revendications » comme modèle de règle de revendication . Cliquez sur « Suivant ».
19. Sur l'écran suivant, en utilisant Active Directory comme magasin d'attributs, procédez comme suit :
    • Dans la Attribut LDAP , sélectionnez Adresses e-mail.
    • Dans le type de réclamation sortante, sélectionnez Adresse e-mail.
20. Cliquez sur OK pour enregistrer cette règle.
21. Cliquez sur « Ajouter une règle… » ​​sous l’ « Règles de transformation d’émission » pour ajouter une nouvelle règle.
22. À l' « Choisir le type de règle » , sélectionnez « Transformer une réclamation entrante en tant que modèle de règle de réclamation » . Cliquez sur « Suivant ».
23. Sur l'écran suivant :
    • Sélectionnez Adresses e-mail comme type de réclamation entrante.
    • Sélectionnez ID du nom comme type de revendication sortante.
    • Sélectionnez Courriel comme format d'identifiant du nom sortant.
    • Sélectionnez « Transmettre toutes les valeurs des réclamations » .
24. Cliquez sur OK pour enregistrer cette règle.
25. Cliquez sur OK pour terminer la création des règles.

Nous allons maintenant exporter le certificat qui doit être copié dans Celoxis

1. Ouvrez le AD FS > Paramètres > Certificats depuis le menu de gauche. Le volet Certificats affichant tous les certificats disponibles apparaît.
2. Sélectionnez le certificat sous Signature par jeton dans le Certificats .
3. Cliquez sur l' option « Copier dans un fichier » dans l' onglet « Détails » de la fenêtre du certificat . L'assistant d'exportation du certificat s'ouvre alors .
4. À l' Bienvenue , cliquez sur Suivant.
5. Choisissez X.509 encodé en Base64 (.CER) pour l'exportation du certificat. Cliquez sur Suivant.
6. Enregistrez le fichier à un emplacement approprié et terminez l'assistant.
7. Assurez-vous que le fichier enregistré possède l' .CER .
8. Vous devrez copier-coller le contenu de ce fichier dans le Certificat IDP de Celoxis, comme décrit précédemment dans ce document.

1. Connectez-vous au portail Azure.
2. Dans le menu LHS, cliquez sur Azure Active Directory.
3. Dans le menu Azure Active Directory, cliquez sur Applications d'entreprise .
4. Cliquez sur « Nouvelle application » en haut de l'écran.
5. Dans la Ajouter une application , choisissez Application hors galerie.
6. Donnez un nom à la nouvelle application (par exemple, Celoxis SSO), puis cliquez sur Ajouter en bas de l'écran. Une application personnalisée sera ainsi ajoutée à votre Azure Active Directory. Remarque : si vous n'avez pas activé Azure AD Premium, vous ne pourrez pas saisir le nom de l'application.
7. Sur la page de l'application, cliquez sur Utilisateurs et groupes dans le menu de gauche.
8. Dans le volet de droite, en haut de la page, cliquez sur Ajouter un utilisateur pour attribuer des utilisateurs ou des groupes à cette application.
9. Cliquez sur Authentification unique dans le menu de gauche, puis choisissez SAML comme méthode d'authentification unique.
10. Cliquez sur le icône à côté du titre du Configuration SAML de base Dans le panneau, saisissez les informations suivantes :
    • Identifiant (ID d'entité): Saisissez la valeur de l'onglet Authentification unique (reportez-vous à l'image ci-dessus).
    • URL de réponse (URL du service de consommation d'assertion) : Copiez les informations figurant sous le champ URL ACS (Admin > Paramètres de l'entreprise)
    • URL de connexion : Pour une solution SaaS, saisissez https://app.celoxis.com. Pour une solution sur site, saisissez votre URL.
    • État du relais : Ignorer ce champ
    • URL de déconnexion : Pour les solutions SaaS, saisissez https://app.celoxis.com/psa/logout.do. Pour les solutions sur site, saisissez [votre-url]/psa/logout.do.
11. Retour à l'écran de configuration.
12. Cliquez sur le icône à côté du titre du Attributs et revendications de l'utilisateur panneau.
13. Cliquez sur le icône à côté de valeur d'identification du nom. UN Gérer les revendications des utilisateurs Une barre latérale apparaîtra.
14. Saisissez un nom et sélectionnez user.mail dans la liste déroulante Attribut Source . Cliquez sur Enregistrer .
15. Retour à l'écran de configuration.
16. Cliquez sur le icône à côté du titre du Certificat de signature SAML panneau.
17. Saisissez une adresse e-mail pour les notifications de rappel d'expiration du certificat. Cliquez sur Enregistrer.
18. Retour à l'écran de configuration.
19. Cliquez sur « Télécharger » à côté de l’ « Certificat (Base64) » pour enregistrer le fichier de certificat sur votre ordinateur. Vous devrez ensuite le copier-coller dans Celoxis, comme indiqué précédemment dans ce document.
20. Retour à l'écran de configuration.
21. Cliquez sur Valider pour valider l'authentification unique avec Celoxis.