Aller sur YuJa
  1. Centre d'aide YuJa
  2. Système de réponse des étudiants Engage
  3. Intégrations SSO

Intégration d'Engage avec ADFS (SAML)

Avatar
YuJa
  • Mise à jour

Les administrateurs peuvent configurer une connexion sécurisée entre Engage et ADFS afin d'authentifier les utilisateurs qui se connectent à Engage. La configuration d'Engage et d'ADFS permet aux utilisateurs de s'authentifier et de se connecter en toute sécurité.

Exigences pour la configuration d'ADFS

La configuration d'ADFS comporte trois étapes.

  1. Création d'une approbation de partie de confiance (RPT) avec Engage.
  2. Ajout de règles de revendication pour la RPT afin que les réponses SAML contiennent les bonnes informations sur l'utilisateur.
  3. Ajustement de l'algorithme de hachage de la RPT. Cela garantit que les 3 parties sont réalisées et que la configuration est correcte.

Création d'une approbation de partie de confiance

Avant de commencer, assurez-vous d'avoir reçu de votre gestionnaire de compte l'URL du service SSO SAML 2.0 de la partie de confiance (Relying party SAML 2.0 SSO Service URL).

  1. Sur le serveur ADFS, ouvrez l'application Gestion de AD FS.
  2. Dans le panneau de gauche, sous Relations d'approbation, cliquez sur Approbations de partie de confiance (RPT).
  3. Dans l'onglet Actions, cliquez sur Ajouter une approbation de partie de confiance.
    Le dossier Approbations de partie de confiance est affiché dans ADFS, avec l'option Ajouter une approbation de partie de confiance mise en évidence.
  4. Dans la fenêtre de l'Assistant Ajout de RPT, cliquez sur Démarrer.
    L'Assistant Ajout d'approbation de partie de confiance invite l'utilisateur à commencer le processus en effectuant plusieurs étapes.
  5. Sélectionnez Entrer manuellement les données relatives à la partie de confiance.
  6. Cliquez sur Suivant.
    À l'étape Sélectionner la source de données, l'option permettant d'entrer manuellement les données relatives à la partie de confiance est sélectionnée et le bouton Suivant est mis en évidence.
  7. Entrez un nom d'affichage pour la RPT (p. ex. « YuJa Engage ») et cliquez sur Suivant.
    À l'étape Spécifier le nom complet, un nom d'affichage est saisi et le bouton Suivant est mis en évidence.
  8. Sélectionnez Profil AD FS et cliquez sur Suivant.
    À l'étape Choisir un profil, le profil AD FS est sélectionné et le bouton Suivant est mis en évidence.
  9. Cliquez sur Suivant. Ne chiffrez pas les revendications envoyées à YuJa.
    Le bouton Suivant est mis en évidence à l'étape Configurer le certificat.
  10. Cochez la case Activer la prise en charge du protocole WebSSO SAML 2.0.
  11. Entrez l'URL du service SSO SAML 2.0 de la partie de confiance que vous avez reçue de votre gestionnaire de compte et cliquez sur Suivant.
    À l'étape Configurer l'URL, la prise en charge du protocole WebSSO SAML 2.0 est activée et le bouton Suivant est mis en évidence.
  12. Dans le champ Identificateur de l'approbation de partie de confiance, entrez https://<YOUR_YUJA_ENGAGE_DOMAIN>.engage.yuja.com.
  13. Cliquez sur Ajouter > Suivant.
    À l'étape Configurer les identificateurs, un identificateur d'approbation de partie de confiance est ajouté et le bouton Suivant est mis en évidence.
  14. Sélectionnez Je ne souhaite pas configurer les paramètres d'authentification multifacteur pour cette approbation de partie de confiance pour le moment et cliquez sur Suivant.
    À l'étape Configurer l'authentification multifacteur maintenant, l'option Je ne souhaite pas configurer l'authentification multifacteur est sélectionnée et le bouton Suivant est mis en évidence.
  15. Sélectionnez Autoriser tous les utilisateurs à accéder à cette partie de confiance et cliquez sur Suivant.
    À l'étape Choisir les règles d'autorisation d'émission, l'option Autoriser tous les utilisateurs à accéder à la partie de confiance est sélectionnée et le bouton Suivant est mis en évidence.
  16. Vérifiez les paramètres pour vous assurer que tout est correct et cliquez sur Suivant.
    À l'étape Prêt à ajouter l'approbation, le bouton Suivant est mis en évidence.
  17. Sélectionnez Ouvrir la boîte de dialogue Modifier les règles de revendication de cette approbation de partie de confiance à la fermeture de l'assistant, et cliquez sur Fermer.
    À l'étape finale, l'option Ouvrir la boîte de dialogue Modifier les règles de revendication est cochée et le bouton Suivant est mis en évidence.

Ajout de règles de revendication

  1. Pour créer ou modifier des règles de revendication, cliquez sur la RPT.
  2. Dans le panneau de droite, cliquez sur Modifier les règles de revendication.
    Dans l'application AD FS, la partie de confiance YuJa Engage est sélectionnée.
  3. Dans la fenêtre Modifier les règles de revendication de YuJa Engage , cliquez sur Ajouter une règle.
    La fenêtre de modification des règles de revendication est affichée, avec le bouton Ajouter une règle mis en évidence.
  4. Sélectionnez Envoyer les attributs LDAP en tant que revendications et cliquez sur Suivant.
    Envoyer les attributs LDAP en tant que revendications est sélectionné dans le menu déroulant et le bouton Suivant est mis en évidence.
  5. Entrez un Nom de la règle de revendication (p. ex. YuJa Engage).
  6. Sélectionnez Active Directory comme Magasin d'attributs.

  7. Créez quatre mappages de revendications comme indiqué dans le tableau ci-dessous, puis cliquez sur Terminer.
    Mappage des attributs LDAP aux types de revendications sortantes

    Attribut LDAP Type de revendication sortante
    Email-Addresses E-mail Address
    Given-Name Given Name
    Surname Surname
    <Un attribut lié au rôle d'un utilisateur (p. ex. ITManager)> Role

    Les attributs LDAP sont affichés dans un tableau présentant les attributs LDAP et leur type de revendication sortante.

  8. Pour créer une deuxième règle de revendication, cliquez sur Ajouter une règle.
    La fenêtre de modification des règles de revendication est affichée, avec le bouton Ajouter une règle mis en évidence.
  9. Sélectionnez Transférer une revendication entrante et cliquez sur Suivant.
    Transformer une revendication entrante est sélectionné comme modèle de règle de revendication et le bouton Suivant est mis en évidence.
  10. Entrez un nom de règle de revendication .
  11. Dans la liste déroulante Type de revendication entrante, sélectionnez E-Mail Address (si chaque utilisateur du système ADFS possède une adresse courriel associée) ou Given Name.
  12. Dans le champ Type de revendication sortante, sélectionnez Name ID.
  13. Dans le champ Format de l'ID de nom sortant , sélectionnez Email.
  14. Cliquez sur Terminer.
    Les informations de la règle de revendication sont renseignées et le bouton Terminer est mis en évidence.
  15. Cliquez sur OK.
    Le bouton OK est mis en évidence dans la fenêtre de modification des règles de revendication.

Ajustement de l'algorithme de hachage

  1. Double-cliquez sur votre RPT.
    L'approbation de partie de confiance Engage est sélectionnée dans l'application AD FS.
  2. Sélectionnez l'onglet Avancé .
  3. Dans la liste déroulante Algorithme de hachage sécurisé, sélectionnez SHA-1.
  4. Cliquez sur OK.
    L'onglet Avancé est sélectionné dans les propriétés de YuJa ENgage et SHA-! est sélectionné pour l'algorithme de hachage sécurisé.

Configuration d'Engage

Une fois tous les paramètres ajustés dans ADFS, vous pourrez configurer les paramètres dans Engage.

  1. Connectez-vous à Engage en tant que gestionnaire TI.
  2. Dans la barre de navigation latérale, sélectionnez Intégrations.
    Intégrations d'Engage
  3. Dans la liste déroulante, sélectionnez SSO - ADFS [SAML].
    Intégration SSO-ADFS d'Engage

  4. Entrez les informations comme indiqué pour chacun des panneaux de l'intégration—Détails généraux de SSO, Provisionnement des utilisateurs, Cartographie des rôles et Intégration croisée avec LTI.
    Informations d'Engage à saisir pour l'intégration

    Attribut Obligatoire? Description
    Détails généraux de SSO
    URL SSO d'ADFS Oui

    L'URL utilisée pour le SSO. C'est à cette adresse que YuJa Engage enverra les jetons AuthnRequest. Elle se trouve dans les métadonnées du IDP sous forme d'attribut « Location ». Remarque : Pour Engage, une liaison HTTP-Redirect est utilisée.

    Exemple : « https:///adfs/ls/ »
    Format de l'ID de nom Oui

    Le format que le SP et le IDP doivent utiliser lorsqu'ils communiquent au sujet d'un sujet. Il se trouve dans les métadonnées du IDP, sous forme de valeur de cette balise. Remarque : Si elles sont disponibles, les adresses courriel doivent être privilégiées et utilisées.

    Exemple : urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    URL de déconnexion à distance Actuellement non pris en charge Laissez cette valeur vide.
    Empreinte du certificat de signature ADFS Oui

    L'empreinte unique du certificat du IDP est utilisée lors de la signature des réponses SAML. L'empreinte numérique ne figure pas explicitement dans les métadonnées, mais le certificat sert à signer soit la SAMLResponse, soit l'Assertion. Pour plus de détails, consultez la rubrique Comment dériver l'empreinte d'un certificat dans la section Outils supplémentaires du présent document.

    Exemple : 7j2mka9cfe2d09j23eefe01442f6a49d1222391
    URL de déconnexion Actuellement non pris en charge Laissez cette valeur vide.
    Provisionnement des utilisateurs
    Attribut du prénom Non

    Le nom de l'attribut dans la réponse SAML qui décrit le prénom de l'utilisateur. Il se trouve dans les métadonnées du IDP. Une section du fichier XML devrait contenir une liste de balises. Entrez la valeur de la clé « Name » sous le prénom approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Attribut du nom de famille Non

    Le nom de l'attribut dans la réponse SAML qui décrit le nom de famille de l'utilisateur. Il se trouve dans les métadonnées du IDP. Une section du fichier XML devrait contenir une liste de balises. Entrez la valeur de la clé « Name » sous le nom de famille approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Attribut du courriel Non

    Le nom de l'attribut dans la réponse SAML qui décrit l'adresse courriel de l'utilisateur. Il se trouve dans les métadonnées du IDP. Une section du fichier XML devrait contenir une liste de balises. Entrez la valeur de la clé « Name » sous l'adresse courriel appropriée.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Attribut du rôle Non

    Le nom de l'attribut dans la réponse SAML qui décrit le rôle de l'utilisateur. Il se trouve dans les métadonnées du IDP. Une section du fichier XML devrait contenir une liste de balises. Entrez la valeur de la clé « Name » sous le rôle approprié.

    La valeur doit être : http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Cartographie des rôles
    Gestionnaire TI Non

    Une liste de valeurs séparées par des virgules peut être utilisée. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant que gestionnaire TI.

    Exemple : IT Manager
    Enseignant Non

    Une liste de valeurs séparées par des virgules peut être utilisée. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant qu'enseignant.

    Exemple : Instructor, Teacher ou TA
    Intégration croisée avec LTI
    Attribut de liaison Non Un attribut unique qui relie le SSO au LMS. Cela permet à un utilisateur d'être reconnu comme un seul utilisateur, qu'il se connecte avec son SSO ou avec son LMS (p. ex. attribut : courriel)
  5. Cliquez sur Enregistrer les changements.
    Enregistrement des changements de l'intégration d'Engage

Outils supplémentaires

Comment dériver l'empreinte d'un certificat

L'empreinte du certificat du IDP est utilisée à des fins de sécurité supplémentaires lorsque le SP vérifie une réponse SAML provenant du IDP. Pour dériver l'empreinte du certificat, suivez les instructions ci-dessous :

  1. Dans les métadonnées du IDP Google, extrayez le certificat X509. Il devrait se trouver sous : <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Une fois le certificat en main, accédez au site Web suivant : https://www.samltool.com/fingerprint.php.
  3. Collez le certificat dans la zone de texte « X509 cert ».
  4. Assurez-vous que « sha1 » est sélectionné comme algorithme.
  5. Cliquez sur « Calculate Fingerprint ».
  6. Copiez la valeur « FingerPrint » générée. C'est la valeur utilisée dans la base de données. L'empreinte doit être un tableau de 20 octets pour « sha1 ».

Articles associés

Contacter le support