Intégration de Lumina avec ADFS (SAML)

1. Sur le serveur ADFS, ouvrez l'application Gestion de AD FS.
2. Dans le panneau de gauche, dans la section Relations d'approbation, cliquez sur Approbations de partie de confiance.
3. Dans l'onglet Actions, cliquez sur Ajouter une approbation de partie de confiance.
4. Dans la fenêtre Assistant Ajout d'approbation de partie de confiance, cliquez sur Démarrer.
5. Sélectionnez Entrer manuellement les données relatives à la partie de confiance. Suivez les étapes ci-dessous pour configurer le RPT.
6. Saisissez un nom d'affichage pour le RPT (par exemple, « YuJa »).
7. Cliquez sur Suivant.
8. Sélectionnez Profil AD FS et cliquez sur Suivant.
9. À l'étape Configurer le certificat, cliquez sur Suivant. Ne chiffrez pas les revendications envoyées à YuJa.
10. Sélectionnez Activer la prise en charge du protocole WebSSO SAML 2.0.
11. Dans le champ URL du service SSO SAML 2.0 de la partie de confiance, saisissez https://<YOUR_YUJA_DOMAIN>.yuja.com/D/SamlReceiveResponse.
12. Cliquez sur Suivant.
13. Dans le champ Identificateur d'approbation de partie de confiance, saisissez https://<YOUR_YUJA_DOMAIN>.yuja.com.
14. Cliquez sur Ajouter, puis sur Suivant.
15. Cochez la case Je ne souhaite pas configurer les paramètres d'authentification multifacteur pour cette approbation de partie de confiance pour le moment, puis cliquez sur Suivant.
16. Sélectionnez Autoriser tous les utilisateurs à accéder à cette partie de confiance, puis cliquez sur Suivant.
17. Vérifiez les paramètres, puis cliquez sur Suivant.
18. Sélectionnez l'option Ouvrir la boîte de dialogue Modifier les règles de revendication pour cette approbation de partie de confiance à la fermeture de l'Assistant, puis cliquez sur Fermer.

1. Cliquez sur le RPT.
2. Dans le panneau de droite, cliquez sur Modifier les règles de revendication.
3. Dans la fenêtre Modifier les règles de revendication, cliquez sur Ajouter une règle.
4. Sélectionnez Envoyer les attributs LDAP en tant que revendications, puis cliquez sur Suivant.
5. Saisissez le Nom de la règle de revendication.
6. Sélectionnez Active Directory comme Magasin d'attributs.

7. Créez quatre mappages de revendications. Le cinquième, yujaUserIDmapping, est facultatif et sert à remplacer l'ID YuJa de l'utilisateur par le champ yujaUserIDmapping.

   Attribut LDAP	Type de revendication sortante
   E-Mail-Addresses	Adresse courriel
   Given-Name	Prénom
   Surname	Nom de famille
   <Un attribut relatif au rôle d'un utilisateur>	Rôle
   <Un attribut relatif au rôle d'un utilisateur>	yujaUserIDmapping

   La revendication de rôle sert à déterminer si les utilisateurs sont provisionnés en tant qu'étudiants (valeur par défaut) ou reçoivent des privilèges élevés (enseignant/responsable informatique). Les valeurs suggérées pour ce champ sont IT Manager et Instructor (pour les utilisateurs auxquels vous souhaitez attribuer respectivement les privilèges de responsable informatique et d'enseignant), mais vous pouvez utiliser des valeurs existantes ou personnalisées.

8. Cliquez sur Terminer.
9. Pour créer une deuxième règle de revendication, cliquez sur Ajouter une règle.
10. Sélectionnez Transformer une revendication entrante, puis cliquez sur Suivant.
11. Saisissez le Nom de la règle de revendication.
12. Pour Type de revendication entrante, sélectionnez Adresse courriel si chaque utilisateur du système ADFS a une adresse courriel associée. Si ce n'est pas le cas, sélectionnez plutôt Prénom.
13. Pour Type de revendication sortante, sélectionnez NameID.
14. Pour ID de nom sortant, sélectionnez le format Courriel.
15. Cliquez sur Terminer.
16. Cliquez sur OK.

1. Double-cliquez sur votre RPT.
2. Sélectionnez l'onglet Avancé.
3. Dans le menu déroulant, sélectionnez SHA-1.
4. Cliquez sur OK.

1. Accédez à votre certificat racine de confiance.
2. Ajoutez le certificat SAML de YuJa disponible ici.

Si vous utilisez Microsoft ADFS comme fournisseur SAML, vous pouvez accéder à l'assistant d'installation du certificat à partir du panneau de configuration du chiffrement après avoir ajouté le certificat SAML de YuJa. En savoir plus sur l'installation du certificat racine de confiance.

1. Connectez-vous à Lumina en tant qu'administrateur.
2. Cliquez sur le bouton Menu principal > Panneau d'admin.
3. Dans la barre latérale, sélectionnez Intégrations.
4. Dans le champ Sélectionner une API à configurer, sélectionnez SSO - ADFS (SAML).

5. Saisissez les informations :

   Attribut	Obligatoire?	Description
   URL SSO ADFS	Oui	L'URL utilisée pour le SSO. C'est à cette adresse que YuJa enverra les jetons AuthnRequest. Elle se trouve dans les métadonnées IDP sous l'attribut « Location ». Notez que, pour YuJa, une liaison HTTP-Redirect est utilisée. Par exemple : « https:///adfs/ls/ »
   Format d'ID de nom	Oui	Le format à utiliser par le SP et l'IDP pour communiquer à propos d'un sujet. Il se trouve dans les métadonnées IDP comme valeur de cette balise. Notez que, si elle est disponible, la valeur emailAddress doit être privilégiée et utilisée. Par exemple : urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
   URL de déconnexion à distance	Actuellement non pris en charge	Laissez cette valeur vide
   Empreinte du certificat de signature ADFS	Oui	L'empreinte unique du certificat de l'IDP est utilisée lors de la signature des réponses SAML. L'empreinte numérique n'est pas indiquée explicitement dans les métadonnées, mais le certificat sert à signer soit la SAMLResponse, soit l'Assertion. Pour plus de détails, voir Comment dériver l'empreinte d'un certificat dans la section Outils supplémentaires de ce document. Par exemple : 7j2mka9cfe2d09j23eefe21442f6a49d1222391f
   Attribut du prénom	Non	Le nom de l'attribut de la réponse SAML qui décrit le prénom de l'utilisateur (c'est-à-dire son premier prénom). Il se trouve dans les métadonnées IDP. Le fichier .XML comporte une section qui devrait contenir une liste de balises. Saisissez la valeur de la clé « Name » sous la balise appropriée pour le prénom. La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   Attribut du nom de famille	Non	Le nom de l'attribut de la réponse SAML qui décrit le nom de famille de l'utilisateur (c'est-à-dire son nom de famille ou patronyme). Il se trouve dans les métadonnées IDP. Le fichier .XML comporte une section qui devrait contenir une liste de balises. Saisissez la valeur de la clé « Name » sous la balise appropriée pour le nom de famille. La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
   Attribut du courriel	Non	Le nom de l'attribut de la réponse SAML qui décrit l'adresse courriel de l'utilisateur. Il se trouve dans les métadonnées IDP. Le fichier .XML comporte une section qui devrait contenir une liste de balises. Saisissez la valeur de la clé « Name » sous la balise appropriée pour l'adresse courriel. La valeur doit être : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   Attribut du rôle	Non	Le nom de l'attribut de la réponse SAML qui décrit le rôle de l'utilisateur. Il se trouve dans les métadonnées IDP. Le fichier .XML comporte une section qui devrait contenir une liste de balises. Saisissez la valeur de la clé « Name » sous la balise appropriée pour le rôle. La valeur doit être : http://schemas.microsoft.com/ws/2008/06/identity/claims/role
   Responsable informatique	Non	Vous pouvez utiliser une liste de valeurs séparées par des virgules. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné comme responsable informatique. Par exemple : IT Manager
   Enseignant	Non	Vous pouvez utiliser une liste de valeurs séparées par des virgules. Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné comme enseignant. Par exemple : Instructor or, Teacher, TA
   Synchroniser automatiquement les données lors de la connexion de l'utilisateur	Non	Si cette case est cochée, chaque fois qu'un utilisateur se connecte par ADFS, ses informations de base seront mises à jour en fonction des données reçues dans le jeton de réponse SAML

6. Cochez la case Activer la signature des demandes d'authentification pour activer la signature de la demande d'authentification.
   Remarque : Cela nécessite d'ajouter le certificat SAML de YuJa à votre magasin de certificats racine de confiance.
7. Cliquez sur OK. Si vous avez fait une erreur, vous pouvez modifier les paramètres de configuration.
8. Cliquez sur Enregistrer pour conserver les modifications.
9. Pour vérifier que la configuration est correcte, cliquez sur Tester la connexion SAML. Un nouvel onglet s'ouvrira et vous serez dirigé vers votre serveur ADFS, qui vous invitera à vous connecter. Saisissez des identifiants de connexion valides, puis connectez-vous. Vous serez redirigé vers YuJa, connecté en tant que nouvel utilisateur. La connexion en tant que nouvel utilisateur peut déconnecter le compte d'origine. Déconnectez-vous du compte nouvellement créé, puis reconnectez-vous en tant qu'administrateur. Accédez ensuite à Panneau d'admin > Intégrations > SSO > ADFS (SAML).
10. Pour activer le nouveau mode d'authentification pour votre organisation, cliquez sur Activer.

11. Cliquez sur OK.

    Important : N'activez le nouveau mode d'authentification qu'après avoir effectué une connexion de test réussie, lorsque vous êtes prêt à le rendre disponible à tous les utilisateurs de votre organisation

1. Configurez votre LMS pour qu'il transmette à l'outil YuJa un paramètre LTI personnalisé nommé lis_person_sourcedid, qui contient la valeur SSO de correspondance croisée. Il peut s'agir d'un courriel, d'un identifiant d'employé ou d'autres champs. Vous devrez peut-être consulter la documentation produit de votre LMS pour savoir comment définir des paramètres LTI personnalisés. Lumina utilisera cette fonctionnalité pour lier les deux méthodes de connexion au même compte.
2. Obtenez le nom d'attribut précis utilisé dans le jeton de réponse SAML dont la valeur correspond à l'identifiant unique utilisé par le fournisseur LTI (à l'étape 1 ci-dessus). Par exemple, si l'identifiant unique est l'adresse courriel de l'utilisateur, l'attribut de liaison peut être http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress. Vous trouverez la liste complète des noms d'attribut possibles dans le fichier de métadonnées ADFS, dans les balises Attribute.
3. Saisissez cette valeur dans le champ Attribut de liaison. Ce champ de texte n'apparaîtra que si votre organisation a activé l'accès LTI.
4. Cliquez sur Enregistrer. Désormais, lors de la première connexion par ADFS (SAML), Lumina recherchera un lien avec un compte LTI à l'aide de la valeur de l'attribut de liaison. S'il en trouve un, le compte SAML sera lié au compte existant. Sinon, un nouveau compte sera provisionné normalement. Toutes les connexions suivant la première continueront d'être liées au compte Lumina créé ou trouvé lors de la première connexion.

1. Dans les métadonnées IDP d'ADFS, extrayez le certificat X509. Il se trouve sous :
   <IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate>
2. Accédez au site Web : https://www.samltool.com/fingerprint.php.
3. Dans le champ X509 cert, collez le certificat.
4. Sélectionnez sha1 comme Algorithm.
5. Cliquez sur Calculate Fingerprint.
6. Copiez la valeur Fingerprint générée. Il s'agit de la valeur utilisée dans la base de données.
   Remarque : L'empreinte doit être un tableau de 20 octets pour sha1.