Ce document vise à guider les utilisateurs dans l’intégration du serveur Dell Cloud
Access Manager (DCAM) de leur établissement en tant que système SSO pour connecter les utilisateurs à la plateforme vidéo
d’entreprise YuJa. Une fois la configuration terminée, un utilisateur qui tente d’accéder aux services YuJa sera d’abord redirigé
vers l’IDP avec lequel DCAM est configuré pour se connecter, puis redirigé vers YuJa où il sera vérifié
et connecté.
Configuration de DCAM
La configuration consiste à créer une nouvelle application dans la console One Identity Cloud Access Manager, puis à intégrer le serveur DCAM du côté YuJa. Une fois les deux côtés correctement configurés, la finalisation comprend un test SSO utilisant DCAM comme IDP, puis l’activation du nouveau SSO afin que les utilisateurs de votre établissement puissent se connecter par le système DCAM.
Remarque : Pour certaines étapes, <organisation> doit être remplacé par le DNS générique de l’organisation associée à la plateforme vidéo. Par exemple, pour « https://hudson.yuja.com », il faut le remplacer par « hudson ».
Ajout de la plateforme vidéo comme application dans la console Cloud Access Manager
- Sur votre serveur DCAM, accédez à : https:///CloudAccessManager/UI/Admin/Go Si une connexion est requise, connectez-vous avec des identifiants valides.
- Dans l’onglet Home, dans la section Applications, cliquez sur Add New.
- Cliquez sur Configure Manually.
- Sous Federated SSO Methods, sélectionnez SAML. Cliquez sur Next.
- Saisissez les paramètres manuellement :
Paramètre Valeur Assertion Consumer Service URLs → Recipient https://<organization>.yuja.com/D/samlReceiveResponse Audience / SP Identity https://<organization>.yuja.com Application Logout Indiquez l’URL de déconnexion de votre choix. Upload Signing Certificate YuJa ne signe ni ne chiffre les demandes d’authentification; ne téléversez donc pas de certificat de signature. Upload Encryption Certificate YuJa ne prend pas en charge les réponses d’authentification chiffrées; ne téléversez donc pas de certificat de chiffrement. - Cliquez sur Next.
- Sélectionnez « Use the username (subject) provided by “Your Authenticator ». Cliquez sur Next.
- Sélectionnez Do not proxy this application. Cliquez sur Next.
- Pour chacun de Admin et Users, sélectionnez-le et cliquez sur Allow Role Access. Cliquez sur Next.
- Saisissez un Application Name, par exemple « YuJa ». Cliquez sur Next.
- Saisissez les informations suivantes :
a. SSO Mode - SP Initiated.
b. URL - « https://.yuja.com/D/SamlAuthentication ».
c. Section - Applications
d. Title - Description
e. Sélectionnez « Add application to application portal home ».
f. Ne sélectionnez pas « Allow users to remove application from application portal home ». Cliquez sur Finish. - Sur la page Application Created, le certificat est nécessaire pour configurer le côté YuJa. Ne le téléchargez pas. Enregistrez simplement le corps du texte (c’est-à-dire sans les lignes « -----BEGIN CERTIFICATE----- » et « -----END CERTIFICATE----- », en n’enregistrant que la partie centrale).
- Dans la barre latérale gauche, sous Applications, accédez à View and Edit. Double-cliquez sur l’application que vous venez de créer.
- Dans la barre latérale gauche, accédez à Token Settings.
- Pour samltoken.name_id, sélectionnez « urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ». Pour samltoken.signature, sélectionnez « AssertionOnly ». Laissez tous les autres paramètres à leur valeur par défaut. Cliquez sur Finish.
Configuration de la plateforme vidéo
- Accédez au domaine de la plateforme vidéo de votre organisation (c’est-à-dire https://.yuja.com).
- Connectez-vous en tant qu’administrateur et accédez au Panneau d’admin à partir du Menu principal. Choisissez l’onglet Intégrations.
- Sous Select an API to configure, choisissez SSO – DCAM(SAML).
- Saisissez les paramètres de configuration suivants :
Paramètre Valeur IDP Login URL L’URL de connexion IDP de l’application que vous avez créée. Elle se trouve sous l’onglet Federation Settings de l’application DCAM. Name ID Format urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress Remote Logout URL <laissez cette valeur vide> DCAM Signing Certificate Fingerprint Récupérez le certificat obtenu à partir de la configuration DCAM. Suivez les étapes sous Comment obtenir l’empreinte digitale d’un certificat. Given Name Attribute Le nom de l’attribut de la réponse SAML** qui décrit le prénom de l’utilisateur. - Par exemple : urn:oid:2.5.4.42 Family Name Attribute Le nom de l’attribut de la réponse SAML** qui décrit le nom de famille de l’utilisateur. Par exemple : urn:oid:2.5.4.4 Email Attribute Le nom de l’attribut de la réponse SAML** qui décrit l’adresse courriel de l’utilisateur. Par exemple : urn:mace:dir:attribute-def:mail Role Attribute Le nom de l’attribut de la réponse SAML** qui décrit le rôle de l’utilisateur. Par exemple : urn:mace:dir:attribute def:eduPersonScopedAffiliation IT Manager Une liste de valeurs séparées par des virgules peut être utilisée. -Si la valeur reçue dans l’attribut de rôle correspond à l’une de ces valeurs, l’utilisateur sera créé comme responsable informatique. -Par exemple : IT Manager Instructor Une liste de valeurs séparées par des virgules peut être utilisée. -Si la valeur reçue dans l’attribut de rôle correspond à l’une de ces valeurs, l’utilisateur sera créé comme enseignant. -Par exemple : Instructor ou Instructor,Teacher,TA Automatically Sync Data on User Login Si cette case est cochée, chaque fois qu’un utilisateur se connecte par ADFS, ses renseignements de base seront mis à jour d’après les données reçues dans le jeton de réponse SAML. - Cliquez sur Créer. Cliquez sur OK dans la boîte de dialogue de confirmation.
- Au besoin, vous pouvez modifier les paramètres de configuration si vous avez fait une erreur. Cliquez simplement sur
Enregistrer pour conserver les modifications. Pour vérifier que la configuration est correcte, cliquez sur Tester la connexion SAML. Un nouvel onglet devrait s’ouvrir et accéder à l’IDP avec lequel votre serveur DCAM est configuré, puis vous inviter à vous connecter. - Saisissez des identifiants de connexion valides et connectez-vous. Vous devriez être redirigé vers la plateforme vidéo, connecté en tant que nouvel utilisateur.
- Une fois que vous avez vérifié que le SSO DCAM fonctionne, vous pouvez choisir d’activer le
nouveau mode d’authentification pour votre organisation.
IMPORTANT : N’activez le nouveau mode d’authentification qu’après avoir effectué avec succès une connexion
de test et lorsque vous êtes prêt à le rendre disponible à tous les utilisateurs de votre établissement.
Intégration croisée avec LTI
Si votre établissement a activé à la fois l’intégration LMS par LTI et l’accès SSO, vous pouvez lier les deux intégrations. Nous le recommandons généralement : que vos utilisateurs se connectent par leur LMS ou par leur SSO, les renseignements de compte de la plateforme vidéo qui leur sont présentés seront les mêmes. En revanche, si l’intégration croisée avec LTI n’est pas configurée, un utilisateur qui se sert à la fois de son LMS et de son SSO avec YuJa se verra attribuer deux comptes distincts, ce qui, dans bien des cas, n’est pas idéal.
- Configurez votre LMS pour transmettre à l’outil YuJa un paramètre LTI personnalisé appelé
lis_person_sourcedid, qui contient la valeur SSO de correspondance. Il peut s’agir d’un courriel,
d’un identifiant d’employé ou d’un autre champ. Vous devrez peut-être consulter la documentation
produit de votre plateforme LMS pour savoir comment définir des paramètres LTI personnalisés. La plateforme vidéo utilisera cette fonctionnalité pour lier les deux méthodes de connexion au même compte. - Obtenez le nom de l’attribut précis utilisé dans le jeton de réponse SAML dont la valeur
correspond à l’identifiant unique utilisé par le fournisseur LTI.
a. Par exemple, si l’identifiant unique est l’adresse courriel de l’utilisateur, l’attribut
de liaison pourrait être « urn:mace:dir:attribute-def:mail »
b. Une liste complète des noms d’attributs possibles se trouve dans le fichier de métadonnées
DCAM, dans les balises Attribute. - Saisissez cette valeur dans le champ Attribut de liaison. Remarque : Cette zone de texte n’apparaît que si votre
établissement a activé l’accès LTI. - Cliquez sur Enregistrer.
Comment obtenir l’empreinte digitale d’un certificat
L’empreinte digitale du certificat de l’IDP sert à renforcer la sécurité lorsque le SP vérifie une réponse SAML provenant de l’IDP. Pour obtenir l’empreinte digitale du certificat, suivez les instructions ci-dessous :
- Dans les métadonnées de l’IDP ADFS, extrayez le certificat X509. Il devrait se trouver sous :
<IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate> - Une fois le certificat en main, rendez-vous sur le site Web suivant : https://www.samltool.com/fingerprint.php
- Collez le certificat dans la zone de texte X509 cert .
- Assurez-vous que sha1 est sélectionné comme Algorithm.
- Cliquez sur Calculate Fingerprint.
- Copiez la valeur d’Fingerprint générée. C’est la valeur utilisée dans la base de données. Remarque : L’empreinte devrait être un tableau de 20 octets pour sha1.