Aller sur YuJa
  1. Centre d'aide YuJa
  2. Plateforme d'accessibilité LMS Panorama
  3. Plateforme de gestion

Intégration de Panorama avec ADFS (SAML)

Avatar
YuJa
  • Mise à jour

Les administrateurs peuvent établir une connexion sécurisée entre Panorama et ADFS afin d'authentifier les utilisateurs qui se connectent à Panorama. Pour authentifier et connecter les utilisateurs en toute sécurité, assurez-vous que Panorama et ADFS ont été configurés en suivant les étapes ci-dessous.

Éléments requis pour la configuration d'ADFS

La configuration d'ADFS exige que vous disposiez d'une URL Panorama personnalisée (exemple : hudsonu.panorama.yuja.com). Si vous n'en avez pas, communiquez avec votre gestionnaire de compte.

Création d'une approbation de partie de confiance

Cette procédure crée une approbation de partie de confiance avec Panorama.

  1. Sur le serveur ADFS, ouvrez l'application Gestion AD FS.
  2. Dans le panneau de gauche, sous Relations d'approbation, cliquez sur Approbations de partie de confiance (RPT).
  3. Dans l'onglet Actions, cliquez sur Ajouter une approbation de partie de confiance.
    Le dossier Approbations de partie de confiance s'affiche dans ADFS, avec l'option Ajouter une approbation de partie de confiance mise en évidence.
  4. Dans la fenêtre Assistant Ajout d'approbation de partie de confiance, cliquez sur Démarrer.
    L'assistant Ajout d'approbation de partie de confiance invite l'utilisateur à démarrer le processus en effectuant plusieurs étapes.
  5. Sélectionnez Entrer manuellement les données relatives à la partie de confiance, puis cliquez sur Suivant.
    À l'étape Sélectionner une source de données, l'option Entrer manuellement les données relatives à la partie de confiance est sélectionnée et le bouton Suivant est mis en évidence.
  6. Saisissez un nom d'affichage pour la RPT (p. ex. « Panorama »), puis cliquez sur Suivant.
    À l'étape Spécifier le nom d'affichage, un nom d'affichage est saisi et le bouton Suivant est mis en évidence.
  7. Sélectionnez Profil AD FS puis cliquez sur Suivant.
    À l'étape Choisir un profil, le profil AD FS est sélectionné et le bouton Suivant est mis en évidence.
  8. Lorsque vous êtes à l'étape Configurer le certificat, cliquez sur Suivant. Ne chiffrez pas les revendications envoyées à YuJa.
    Le bouton Suivant est mis en évidence à l'étape Configurer le certificat.
  9. Sélectionnez Activer la prise en charge du protocole WebSSO SAML 2.0.
  10. Saisissez l'URL du service SSO SAML 2.0 de la partie de confiance.
    • URL du service : https://YOUR_CUSTOM_PANORAMA_URL/api/sso/samlReceiveResponse
      • Exemple : https://hudsonu.panorama.yuja.com/api/sso/samlReceiveResponse
  11. Cliquez sur Suivant.
    À l'étape Configurer l'URL, l'option Activer la prise en charge du protocole WebSSO SAML 2.0 est sélectionnée et le bouton Suivant est mis en évidence.
  12. Pour l'Identificateur d'approbation de partie de confiance, saisissez votre URL Panorama personnalisée.
    • Exemple : https://hudsonu.panorama.yuja.com
  13. Cliquez sur Ajouter, puis sur Suivant.
    À l'étape Configurer les identificateurs, un identificateur d'approbation de partie de confiance est ajouté et le bouton Suivant est mis en évidence.
  14. Sélectionnez Je ne souhaite pas configurer les paramètres d'authentification multifacteur pour cette approbation de partie de confiance pour l'instant. Cliquez ensuite sur Suivant.
    À l'étape Configurer l'authentification multifacteur maintenant, l'option Je ne souhaite pas configurer l'authentification multifacteur est sélectionnée et le bouton Suivant est mis en évidence.
  15. Sélectionnez Autoriser tous les utilisateurs à accéder à cette partie de confiance. Cliquez sur Suivant.
    À l'étape Choisir les règles d'autorisation d'émission, l'option Autoriser tous les utilisateurs à accéder à la partie de confiance est sélectionnée et le bouton Suivant est mis en évidence.
  16. Vérifiez les paramètres pour vous assurer que tout est correct, puis cliquez sur Suivant.
    À l'étape Prêt à ajouter l'approbation, le bouton Suivant est mis en évidence.
  17. Assurez-vous que l'option Ouvrir la boîte de dialogue Modifier les règles de revendication de cette approbation de partie de confiance à la fermeture de l'Assistant est sélectionnée, puis cliquez sur Fermer.
    À l'étape Terminer, l'option Ouvrir la boîte de dialogue Modifier les règles de revendication est cochée et le bouton Suivant est mis en évidence.

Ajout de règles de revendication

Ajoutez des règles de revendication pour la RPT afin que les réponses SAML contiennent les bonnes informations sur l'utilisateur.

  1. Pour créer ou modifier des règles de revendication, cliquez d'abord sur la RPT. Dans le panneau de droite, cliquez sur Modifier les règles de revendication.
    Dans l'application AD FS, la partie de confiance Panorama est sélectionnée.
  2. Cliquez sur Ajouter une règle.
  3. Sélectionnez Envoyer les attributs LDAP en tant que revendications puis cliquez sur Suivant.
    La fenêtre Modifier les règles de revendication s'affiche avec le bouton Ajouter une règle mis en évidence.
  4. Saisissez un Nom de la règle de revendication (p. ex. Panorama).
  5. Sélectionnez Active Directory comme magasin d'attributs.

  6. Créez quatre correspondances de revendications comme indiqué dans le tableau ci-dessous, puis cliquez sur Terminer.
    Correspondance entre les attributs LDAP et les types de revendications sortantes :

    Attribut LDAP Type de revendication sortante
    Email-Addresses Adresse de messagerie
    Given-Name Prénom
    Surname Nom de famille
    <Un attribut relatif au rôle d'un utilisateur (p. ex. Admin)> Rôle

    Les attributs LDAP sont affichés dans un tableau avec leur type de revendication sortante.

  7. Créez maintenant une deuxième règle de revendication. Cliquez sur Ajouter une règle.
    La fenêtre Modifier les règles de revendication affiche le bouton Ajouter une règle mis en évidence.
  8. Sélectionnez Transformer une revendication entrante. Cliquez sur Suivant.
    L'option Transformer une revendication entrante est sélectionnée pour le modèle de règle de revendication et le bouton Suivant est mis en évidence.
  9. Saisissez un Nom de la règle de revendication. Pour le type de revendication entrante, sélectionnez Adresse de messagerie. Important : Cela suppose que chaque utilisateur du système ADFS a une adresse courriel associée. Si ce n'est pas le cas, sélectionnez plutôt Prénom.
  10. Pour Type de revendication sortante, sélectionnez ID de nom. Pour Format d'ID de nom sortant, sélectionnez Courriel.
  11. Cliquez sur Terminer.
    Les informations de la règle de revendication sont renseignées et le bouton Terminer est mis en évidence.
  12. Cliquez sur OK dans la fenêtre Modifier les règles de revendication.
    Le bouton OK est mis en évidence dans la fenêtre Modifier les règles de revendication.

Ajustement de l'algorithme de hachage

Cela garantit que les trois parties sont terminées afin que la configuration soit effectuée correctement.

  1. Double-cliquez sur votre RPT.
    L'approbation de partie de confiance Engage est sélectionnée dans l'application AD FS.
  2. Sélectionnez l'onglet Avancé.
  3. Dans la liste déroulante Algorithme de hachage sécurisé, sélectionnez SHA-1.
  4. Cliquez sur OK.
    L'onglet Avancé est sélectionné dans les propriétés de Panorama et SHA-1 est sélectionné pour l'algorithme de hachage sécurisé.

Configuration de Panorama

Une fois tous les paramètres d'ADFS ajustés, vous pourrez configurer les paramètres dans Panorama.

  1. Connectez-vous à votre LMS et accédez à Panorama.
  2. Sélectionnez Configurations puis sélectionnez Intégrations.
  3. Dans le menu déroulant Sélectionner l'intégration, sélectionnez SSO-SAML.
    Intégration SSO-SAML avec l'option Sélectionner l'intégration entourée d'un cercle

  4. Vous devrez renseigner les informations de chacun des panneaux de l'intégration : Détails généraux de SSO, Provisionnement des utilisateurs, Cartographie des rôles et Intégration croisée avec LTI 1.3. Suivez le tableau ci-dessous pour renseigner les informations.

    Attribut Obligatoire? Description
    Détails généraux de SSO
    URL SSO Oui

    L'URL utilisée pour le SSO. C'est à cette adresse que Panorama enverra les jetons AuthnRequest. Elle se trouve dans les métadonnées de l'IDP, dans l'attribut « Location ». Remarque : Pour Panorama, une liaison HTTP-Redirect est utilisée.

    Exemple : « https:///adfs/ls/ »
    Format de l'ID de nom Oui

    Le format que le SP et l'IDP doivent utiliser lorsqu'ils communiquent à propos d'un sujet. Il se trouve dans les métadonnées de l'IDP, comme valeur de cette balise. Remarque : Si elles sont disponibles, les adresses courriel doivent être utilisées en priorité.

    Exemple : urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Empreinte digitale du certificat de signature ADFS Oui

    L'empreinte unique du certificat de l'IDP est utilisée lors de la signature des réponses SAML. L'empreinte n'est pas indiquée explicitement dans les métadonnées, mais le certificat sert à signer soit la SAMLResponse, soit l'Assertion. Consultez « Comment déterminer l'empreinte d'un certificat » dans la section Outils supplémentaires de ce document pour plus de détails.

    Exemple : 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Provisionnement des utilisateurs
    Attribut du prénom Oui

    Le nom de l'attribut de la réponse SAML qui décrit le prénom de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Le fichier .XML contient une section qui devrait comporter une liste de balises. Saisissez la valeur de la clé « Name » figurant sous le prénom approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Attribut du nom de famille Oui

    Le nom de l'attribut de la réponse SAML qui décrit le nom de famille de l'utilisateur (c.-à-d. son nom). Il se trouve dans les métadonnées de l'IDP. Le fichier .XML contient une section qui devrait comporter une liste de balises. Saisissez la valeur de la clé « Name » figurant sous le nom de famille approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Attribut du courriel Oui

    Le nom de l'attribut de la réponse SAML qui décrit l'adresse courriel de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Le fichier .XML contient une section qui devrait comporter une liste de balises. Saisissez la valeur de la clé « Name » figurant sous l'adresse courriel appropriée.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Attribut de rôle Oui

    Le nom de l'attribut de la réponse SAML qui décrit le rôle de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Le fichier .XML contient une section qui devrait comporter une liste de balises. Saisissez la valeur de la clé « Name » figurant sous le rôle approprié.

    La valeur doit être : http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Cartographie des rôles
    Cartographie Admin Oui

    Vous pouvez utiliser une liste de valeurs séparées par des virgules. Si la valeur reçue dans l'attribut de rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant que gestionnaire des TI.

    Exemple : IT Manager
    Cartographie de l'enseignant Oui

    Vous pouvez utiliser une liste de valeurs séparées par des virgules. Si la valeur reçue dans l'attribut de rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant qu'enseignant.

    Exemple : Instructor, Teacher ou TA
    Intégration croisée avec LTI
    Attribut de liaison SSO Non Un attribut unique qui lie le SSO au LMS. Il permet de reconnaître un utilisateur comme un seul et même utilisateur, qu'il se connecte avec son SSO ou avec son LMS. Vous devrez saisir le nom de l'attribut de liaison fourni par votre SSO.
    Champ personnalisé de liaison LTI 1.3 Non Un attribut unique qui lie le SSO au LMS. Il permet de reconnaître un utilisateur comme un seul et même utilisateur, qu'il se connecte avec son SSO ou avec son LMS. Vous devrez saisir le nom du champ personnalisé utilisé pour configurer le lancement LTI.

  5. Une fois tous les paramètres requis ajustés, cliquez sur Enregistrer les changements pour terminer l'intégration. Remarque : Vous pouvez tester votre intégration SSO en sélectionnant Lancer la page de connexion SSO et en vous connectant avec votre intégration.
    Intégration SSO - SAML avec Enregistrer les changements entouré d'un cercle

Outils supplémentaires

Comment déterminer l'empreinte d'un certificat

L'empreinte du certificat de l'IDP sert à renforcer la sécurité lorsque le SP vérifie une réponse SAML provenant de l'IDP. Pour déterminer l'empreinte du certificat, suivez les instructions ci-dessous :

  1. Dans les métadonnées de l'IDP Google, extrayez le certificat X509. Il devrait se trouver sous : <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Une fois le certificat obtenu, accédez au site Web suivant : https://www.samltool.com/fingerprint.php.
  3. Collez le certificat dans la zone de texte « X509 cert ».
  4. Assurez-vous que « sha1 » est sélectionné comme algorithme.
  5. Cliquez sur « Calculate Fingerprint ».
  6. Copiez la valeur « FingerPrint » générée. C'est la valeur utilisée dans la base de données. L'empreinte doit être un tableau de 20 octets pour « sha1 ».

Articles associés

Contacter le support