Aller sur YuJa
  1. Centre d'aide YuJa
  2. Plateforme d'accessibilité Web EqualGround
  3. Intégrations
  4. Intégrations SSO

Intégration d'EqualGround avec ADFS (SAML)

Avatar
YuJa
  • Mise à jour

Les administrateurs peuvent configurer une connexion sécurisée entre EqualGround et ADFS afin d'authentifier les utilisateurs qui se connectent à EqualGround. Pour authentifier et connecter les utilisateurs de façon sécurisée, veuillez vous assurer qu'EqualGround et ADFS ont été configurés en suivant les étapes ci-dessous.

Éléments requis pour la configuration d'ADFS

La configuration d'ADFS comporte trois étapes, énumérées ci-dessous.

  1. Création d'une approbation de partie de confiance (RPT) avec EqualGround.
  2. Ajout de règles de revendication pour la RPT afin que les réponses SAML contiennent les bonnes informations sur l'utilisateur.
  3. Ajustement de l'algorithme de hachage de la RPT. Cela garantit que les 3 parties sont réalisées et que la configuration est correcte.

Création d'une approbation de partie de confiance

  1. Sur le serveur ADFS, ouvrez l'application Gestion AD FS.
  2. Dans le panneau de gauche, sous Relations d'approbation, cliquez sur Approbations de partie de confiance (RPT).
  3. Dans l'onglet Actions, cliquez sur Ajouter une approbation de partie de confiance.
    Le dossier Approbations de partie de confiance est affiché dans ADFS, avec l'option Ajouter une approbation de partie de confiance en surbrillance.
  4. Dans la fenêtre Assistant Ajout d'approbation de partie de confiance, cliquez sur Démarrer.
    L'Assistant Ajout d'approbation de partie de confiance invite l'utilisateur à commencer le processus en effectuant plusieurs étapes.
  5. Sélectionnez Entrer manuellement les données relatives à la partie de confiance, puis cliquez sur Suivant.
    À l'étape Sélectionner une source de données, l'option Entrer manuellement les données relatives à la partie de confiance est sélectionnée et le bouton Suivant est affiché en surbrillance.
  6. Saisissez un nom d'affichage pour la RPT (p. ex. « EqualGround), puis cliquez sur Suivant.
    À l'étape Spécifier le nom d'affichage, un nom d'affichage est saisi et le bouton Suivant est affiché en surbrillance.
  7. Sélectionnez Profil ADFS puis cliquez sur Suivant.
    À l'étape Choisir un profil, le profil AD FS est sélectionné et le bouton Suivant est affiché en surbrillance.
  8. Lorsque vous êtes à l'étape Configurer le certificat, cliquez sur Suivant. Ne chiffrez pas les revendications envoyées à YuJa.
    Le bouton Suivant est affiché en surbrillance à l'étape Configurer le certificat.
  9. Sélectionnez Activer la prise en charge du protocole WebSSO SAML 2.0.
  10. Saisissez l'URL du service SSO SAML 2.0 de la partie de confiance selon votre zone. Important : Si vous avez une URL personnalisée pour la plateforme EqualGround, saisissez-la à la place de l'URL de la zone.
    • Zone États-Unis : https://EqualGround.yuja.com/api/sso/samlReceiveResponse
    • Zone Canada : https://EqualGround-cz.yuja.com/api/sso/samlReceiveResponse
    • Zone Europe : https://EqualGround-ez.yuja.com/api/sso/samlReceiveResponse
    • Zone Australie : https://EqualGround-az.yuja.com/api/sso/samlReceiveResponse
    • URL personnalisée : https://YOUR_CUSTOM_EqualGround_URL/api/sso/samlReceiveResponse
      • Exemple : https://hudsonu.EqualGround.yuja.com/api/sso/samlReceiveResponse
  11. Cliquez sur Suivant.
    À l'étape Configurer l'URL, l'option Activer la prise en charge du protocole WebSSO SAML 2.0 est sélectionnée et le bouton Suivant est affiché en surbrillance.
  12. Pour l'identificateur de l'approbation de partie de confiance, saisissez l'URL correspondant à votre zone. Important : Si vous avez une URL personnalisée pour la plateforme EqualGround, saisissez-la à la place de l'URL de la zone.
    • Zone États-Unis : https://EqualGround.yuja.com
    • Zone Canada : https://EqualGround-cz.yuja.com
    • Zone Europe : https://EqualGround-ez.yuja.com
    • Zone Australie : https://EqualGround-az.yuja.com
    • URL personnalisée : YOUR_CUSTOM_EqualGround_URL
      • Exemple : https://hudsonu.EqualGround.yuja.com
  13. Cliquez sur Ajouter, puis sur Suivant.
    À l'étape Configurer les identificateurs, un identificateur d'approbation de partie de confiance est ajouté et le bouton Suivant est en surbrillance.
  14. Sélectionnez Je ne souhaite pas configurer les paramètres d'authentification multifacteur pour cette approbation de partie de confiance pour le moment. Cliquez ensuite sur Suivant.
    À l'étape Configurer l'authentification multifacteur maintenant, l'option Je ne souhaite pas configurer l'authentification multifacteur est sélectionnée et le bouton Suivant est affiché en surbrillance.
  15. Sélectionnez Autoriser tous les utilisateurs à accéder à cette partie de confiance. Cliquez sur Suivant.
    À l'étape Choisir les règles d'autorisation d'émission, l'option Autoriser tous les utilisateurs à accéder à la partie de confiance est sélectionnée et le bouton Suivant est en surbrillance.
  16. Vérifiez les paramètres pour vous assurer que tout est correct, puis cliquez sur Suivant.
    À l'étape Prêt à ajouter l'approbation, le bouton Suivant est affiché en surbrillance.
  17. Assurez-vous que l'option Ouvrir la boîte de dialogue Modifier les règles de revendication pour cette approbation de partie de confiance lorsque l'Assistant se ferme est sélectionnée, puis cliquez sur Fermer.
    À l'étape Terminer, l'option Ouvrir la boîte de dialogue Modifier les règles de revendication est cochée et le bouton Suivant est affiché en surbrillance.

Ajout de règles de revendication

  1. Pour créer ou modifier des règles de revendication, cliquez d'abord sur la RPT. Dans le panneau de droite, cliquez sur Modifier les règles de revendication.
    Dans l'application AD FS, la partie de confiance EqualGround est sélectionnée.
  2. Cliquez sur Ajouter une règle.
  3. Sélectionnez Envoyer les attributs LDAP en tant que revendications et cliquez sur Suivant.
    La fenêtre Modifier les règles de revendication est affichée, avec le bouton Ajouter une règle en surbrillance.
  4. Saisissez un nom de règle de revendication (p. ex. EqualGround).
  5. Sélectionnez Active Directory comme magasin d'attributs.

  6. Créez quatre mappages de revendications comme indiqué dans le tableau ci-dessous, puis cliquez sur Terminer.
    Mappage des attributs LDAP aux types de revendications sortantes :

    Attribut LDAP Type de revendication sortante
    Email-Addresses Adresse de messagerie
    Given-Name Prénom
    Surname Nom
    <Un attribut lié au rôle d'un utilisateur (p. ex. Admin)> Rôle

    Les attributs LDAP sont présentés dans un tableau comportant les attributs LDAP et leur type de revendication sortante.

  7. Créez maintenant une deuxième règle de revendication. Cliquez sur Ajouter une règle.
    La fenêtre Modifier les règles de revendication est affichée, avec le bouton Ajouter une règle en surbrillance.
  8. Sélectionnez Transformer une revendication entrante. Cliquez sur Suivant.
    Transformer une revendication entrante est sélectionné comme modèle de règle de revendication et le bouton Suivant est affiché en surbrillance.
  9. Saisissez un nom de règle de revendication. Pour le type de revendication entrante, sélectionnez Adresse de messagerie. Important : Cela suppose que chaque utilisateur du système ADFS a une adresse courriel associée. Si ce n'est pas le cas, sélectionnez plutôt Given-Name.
  10. Pour Type de revendication sortante, sélectionnez ID de nom. Pour Format d'ID de nom sortant, sélectionnez Courriel.
  11. Cliquez sur Terminer.
    Les informations de la règle de revendication sont remplies et le bouton Terminer est en surbrillance.
  12. Cliquez sur OK dans la fenêtre Modifier les règles de revendication.
    Le bouton OK est affiché en surbrillance dans la fenêtre Modifier les règles de revendication.

Ajustement de l'algorithme de hachage

  1. Double-cliquez sur votre RPT.
    L'approbation de partie de confiance Engage est sélectionnée dans l'application AD FS.
  2. Sélectionnez l'onglet Avancé .
  3. Dans la liste déroulante Algorithme de hachage sécurisé, sélectionnez SHA-1.
  4. Cliquez sur OK.
    L'onglet Avancé est sélectionné dans les propriétés d'EqualGround et SHA-1 est sélectionné pour l'algorithme de hachage sécurisé.

Configuration d'EqualGround

Une fois tous les paramètres ajustés dans ADFS, vous pourrez configurer les paramètres dans EqualGround.

  1. Connectez-vous à EqualGround.
  2. Sélectionnez Configurations puis Paramètres d'intégration.
  3. Dans le menu déroulant Sélectionner les intégrations, sélectionnez SSO-SAML et activez Autoriser l'authentification via SSO.
    La page des intégrations SSO SAML d'EqualGround.

  4. Vous devrez renseigner les informations de chacun des panneaux de l'intégration : Détails généraux de SSO, Provisionnement des utilisateurs, Cartographie des rôles et Intégration croisée avec LTI 1.3. Suivez le tableau ci-dessous pour renseigner les informations.

    Attribut Obligatoire? Description
    Détails généraux de SSO
    URL SSO Oui

    L'URL utilisée pour le SSO. C'est à cette adresse qu'EqualGround enverra les jetons AuthnRequest. Elle se trouve dans les métadonnées de l'IDP, dans l'attribut « Location ». Remarque : Pour EqualGround, une liaison HTTP-Redirect est utilisée.

    Exemple : « https:///adfs/ls/ »
    Format de l'ID de nom Oui

    Le format que le SP et l'IDP doivent utiliser lorsqu'ils communiquent au sujet d'une personne. Il se trouve dans les métadonnées de l'IDP, comme valeur de cette balise. Remarque : Si elles sont disponibles, les adresses courriel doivent être privilégiées et utilisées.

    Exemple : urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Empreinte du certificat de signature ADFS Oui

    L'empreinte unique du certificat de l'IDP est utilisée lors de la signature des réponses SAML. L'empreinte numérique ne figure pas explicitement dans les métadonnées, mais le certificat sert à signer soit la SAMLResponse, soit l'assertion. Pour plus de détails, consultez la section « Comment obtenir l'empreinte d'un certificat » dans la section Outils supplémentaires du présent document.

    Exemple : 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Provisionnement des utilisateurs
    Attribut du prénom Oui

    Le nom de l'attribut de la réponse SAML qui décrit le prénom de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Une section du fichier .XML doit contenir une liste de balises. Saisissez la valeur de la clé « Name » sous le prénom approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Attribut du nom de famille Oui

    Le nom de l'attribut de la réponse SAML qui décrit le nom de famille de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Une section du fichier .XML doit contenir une liste de balises. Saisissez la valeur de la clé « Name » sous le nom de famille approprié.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Attribut du courriel Oui

    Le nom de l'attribut de la réponse SAML qui décrit l'adresse courriel de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Une section du fichier .XML doit contenir une liste de balises. Saisissez la valeur de la clé « Name » sous l'adresse courriel appropriée.

    La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Attribut du rôle Oui

    Le nom de l'attribut de la réponse SAML qui décrit le rôle de l'utilisateur. Il se trouve dans les métadonnées de l'IDP. Une section du fichier .XML doit contenir une liste de balises. Saisissez la valeur de la clé « Name » sous le rôle approprié.

    La valeur doit être : http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Cartographie des rôles
    Mappage de l'administrateur Oui

    Une liste de valeurs séparées par des virgules peut être utilisée. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant que gestionnaire TI.

    Exemple : IT Manager
    Mappage de l'enseignant Oui

    Une liste de valeurs séparées par des virgules peut être utilisée. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné en tant qu'enseignant.

    Exemple : Instructor, Teacher ou TA
    Intégration croisée avec LTI
    Attribut de liaison SSO Non Un attribut unique qui relie le SSO au LMS. Il permet de reconnaître un utilisateur comme une seule et même personne, qu'il se connecte avec son SSO ou son LMS. Vous devrez saisir le nom de l'attribut de liaison fourni par votre SSO.
    Champ personnalisé de liaison LTI 1.3 Non Un attribut unique qui relie le SSO au LMS. Il permet de reconnaître un utilisateur comme une seule et même personne, qu'il se connecte avec son SSO ou son LMS. Vous devrez saisir le nom du champ personnalisé utilisé pour configurer le lancement LTI.
  5. Une fois tous les paramètres requis ajustés, cliquez sur Enregistrer les changements pour terminer l'intégration. Remarque : Vous pouvez tester votre intégration SSO en sélectionnant Lancer la page de connexion SSO et en vous connectant avec votre intégration.
    Le bouton Enregistrer est affiché en surbrillance sur la page des intégrations SSO SAML d'EqualGround.

Outils supplémentaires

Comment obtenir l'empreinte d'un certificat

L'empreinte du certificat de l'IDP est utilisée à des fins de sécurité supplémentaires lorsque le SP vérifie une réponse SAML provenant de l'IDP. Pour obtenir l'empreinte du certificat, suivez les instructions ci-dessous :

  1. Dans les métadonnées de l'IDP Google, extrayez le certificat X509. Il devrait se trouver sous : <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Une fois le certificat en main, rendez-vous sur le site Web suivant : https://www.samltool.com/fingerprint.php.
  3. Collez le certificat dans la zone de texte « X509 cert ».
  4. Assurez-vous que « sha1 » est sélectionné comme algorithme.
  5. Cliquez sur « Calculate Fingerprint ».
  6. Copiez la valeur « FingerPrint » générée. C'est la valeur utilisée dans la base de données. L'empreinte doit être un tableau de 20 octets pour « sha1 ».

Articles associés

Contacter le support