Google Apps est un produit qui offre une solution d'identité fédérée permettant de connecter les utilisateurs à des applications, tant à l'intérieur qu'à l'extérieur des organisations. Le cadre flexible du fournisseur de modules SSO de la plateforme vidéo est conçu pour prendre en charge une grande variété de solutions d'identité, ce qui permet une intégration complète de Google Apps dans votre infrastructure.
Ce document vise à guider les utilisateurs dans l'intégration de la plateforme vidéo en tant que fournisseur de services (SP), avec Google comme fournisseur d'identité (IDP). Une fois la configuration terminée, les utilisateurs qui tentent d'accéder aux services de la plateforme vidéo seront d'abord redirigés vers Google, qui leur demandera leurs identifiants de connexion. Une fois authentifié, le navigateur redirigera de nouveau l'utilisateur vers la plateforme vidéo, où il sera connecté en tant qu'utilisateur nouveau ou existant.
Configuration
La configuration consiste à créer une nouvelle application SAML dans la console d'administration Google, puis à configurer le côté plateforme vidéo en l'intégrant à Google comme IDP, et enfin à tester et à activer le SSO SAML pour les utilisateurs de l'établissement.
Pour certaines étapes, <organization> doit être remplacé par le DNS générique de l'organisation associée à la plateforme vidéo. Par exemple, pour « https://hudson.yuja.com », organization serait remplacé par « hudson ».
Créer une nouvelle application SAML pour la plateforme vidéo dans la console d'administration Google
Suivez les instructions des sections suivantes : Configurer votre propre application SAML, Activer le SSO pour votre nouvelle application SAML et Vérifier le SSO entre Google Apps et votre nouvelle application SAML, en vous reportant au présent document pour les instructions propres à certaines étapes.
Section de référence : configurer votre propre application SAML
- Téléchargez les métadonnées de l'IDP. Elles serviront à configurer le côté plateforme vidéo.
- Saisissez les renseignements suivants :
Paramètre Valeur URL ACS https://<organization>.yuja.com/D/SamlReceiveResponse ID d'entité https://<organization>.yuja.com URL de démarrage **laissez ce champ vide** ID de nom Informations de base, adresse courriel principale Format de l'ID de nom Courriel - Cochez Réponse signée. Cela renforce la sécurité des communications entre le SP et l'IDP.
- Créez quatre mappages :
Attribut de l'application Catégorie Champ utilisateur Given Name Informations de base Prénom Family Name Informations de base Nom de famille Email Informations de base Courriel Role Détails du poste Titre du poste (ou un autre champ approprié). Ce champ sert à déterminer si les utilisateurs sont provisionnés comme étudiants (valeur par défaut) ou reçoivent des privilèges élargis (Instructeur ou Gestionnaire TI). Les valeurs suggérées pour ce champ sont IT Manager et Instructor (pour les utilisateurs auxquels vous souhaitez accorder respectivement les privilèges de gestionnaire TI ou d'instructeur), mais vous pouvez utiliser des valeurs existantes ou personnalisées (voir ci-dessous pour une description du mappage des rôles de gestionnaire TI et d'instructeur)
Configuration SAML du côté de la plateforme vidéo
- Accédez à https://<organization>.yuja.com et connectez-vous en tant que gestionnaire TI de votre établissement.
- Accédez à l'onglet Panneau d'admin du Menu principal.
- Dans la barre latérale de gauche, accédez à Intégrations.
- Dans la liste déroulante sous Sélectionner l'intégration, sélectionnez SSO – Google Apps (SAML).
- Saisissez les renseignements indiqués dans le tableau suivant :
Attribut Obligatoire? Description URL SSO Google Oui L'URL utilisée pour le SSO. C'est à cette adresse que la plateforme vidéo enverra les jetons AuthnRequest.
Elle se trouve dans les métadonnées de l'IDP Google sous : <IDPSSODescriptor> → <SingleSignOnService>
comme attribut « Location ». Notez que la plateforme vidéo utilise une liaison HTTP-Redirect.Par exemple : https://accounts.google.com/o/saml2/idp?idpid=B05pakw7
Format de l'ID de nom Oui Le format que le SP et l'IDP doivent utiliser pour communiquer au sujet d'un sujet.
Il se trouve dans les métadonnées de l'IDP Google sous :
<IDPSSODescriptor> → <NameIDFormat>
comme valeur de cette balise. Notez que, si elle est disponible, la valeur emailAddress doit être privilégiée et utilisée.Par exemple : urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
URL de déconnexion à distance Non prise en charge actuellement Laissez ce champ vide Empreinte du certificat de signature Google Non, mais fortement recommandée L'empreinte unique du certificat de l'IDP est utilisée lors de la signature des réponses SAML.
Pour plus de détails, consultez la section intitulée Comment obtenir l'empreinte d'un certificat dans le présent article.Par exemple : 7j2mka9cfe2d09j23eefe01442f6a49d1222391f
Attribut du prénom Non (Sensible à la casse) Saisissez la valeur suivante : First Name
Il s'agit de la valeur exacte utilisée dans le champ Attribut de l'application lors de la création des mappages d'attributs.
Attribut du nom de famille Non (Sensible à la casse) Saisissez la valeur suivante : Last Name
Il s'agit de la valeur exacte utilisée dans le champ Attribut de l'application lors de la création des mappages d'attributs.
Attribut du courriel Non (Sensible à la casse) Saisissez la valeur suivante : Email
Il s'agit de la valeur exacte utilisée dans le champ Attribut de l'application lors de la création des mappages d'attributs.
Attribut du rôle Non (Sensible à la casse) Saisissez la valeur suivante : Title
Il s'agit de la valeur exacte utilisée dans le champ Attribut de l'application lors de la création des mappages d'attributs.
Gestionnaire TI Non Vous pouvez utiliser une liste de valeurs séparées par des virgules.
Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné comme gestionnaire TI.
Par exemple : IT ManagerInstructeur Non Vous pouvez utiliser une liste de valeurs séparées par des virgules
Si la valeur reçue dans l'attribut du rôle correspond à l'une de ces valeurs, l'utilisateur sera provisionné comme instructeur.Par exemple : Instructor ou Teacher, TA
Synchroniser automatiquement les données à la connexion de l'utilisateur Non Si cette option est cochée, chaque fois qu'un utilisateur se connecte par Google SAML Apps, ses renseignements de base sont mis à jour à partir des données reçues dans la réponse SAML. - Cliquez sur Créer. Dans la boîte de dialogue de confirmation, cliquez sur OK.
- Au besoin, vous pouvez modifier les paramètres de configuration si vous avez fait une erreur. Il suffit de cliquer sur
Enregistrer pour conserver les modifications. - Pour vérifier que la configuration est correcte des deux côtés, cliquez sur Tester la connexion SAML. Un nouvel onglet devrait s'ouvrir et accéder à Google, qui vous demandera vos identifiants.
- Connectez-vous avec un compte Google valide.
- Une fois la connexion réussie, vous devriez être redirigé vers la plateforme vidéo, connecté en tant que nouvel utilisateur.
La connexion en tant que nouvel utilisateur déconnectera le compte d'origine. Déconnectez-vous du compte nouvellement créé et reconnectez-vous en tant que gestionnaire TI. Retournez ensuite à Panneau d'admin → Intégrations → SSO – Google Apps (SAML).
- Une fois que vous avez vérifié que le SSO Google SAML Apps fonctionne, vous pouvez choisir d'activer le nouveau schéma d'authentification pour votre organisation. Pour ce faire, cliquez sur Activer, puis sur OK.
Remarque importante : n'activez le nouveau schéma d'authentification qu'après avoir effectué avec succès une connexion de test et lorsque vous êtes prêt à le rendre disponible à tous les utilisateurs de votre établissement.
Double intégration avec LTI
Si votre organisation a activé à la fois l'intégration LMS par LTI et l'accès SSO, vous pouvez choisir de lier les deux intégrations. Nous le recommandons généralement, car cela signifie que, peu importe que vos utilisateurs se connectent par leur LMS ou par leur SSO, les mêmes informations de compte de la plateforme vidéo leur seront présentées. En revanche, si la double intégration avec LTI n'est pas configurée, un utilisateur qui utilise à la fois son LMS et son SSO avec la plateforme vidéo se verra provisionner deux comptes distincts, ce qui n'est pas idéal dans bien des cas. Si votre fournisseur LTI au sein de votre LMS peut être configuré pour fournir à la plateforme vidéo un identifiant unique de l'utilisateur dans le système SAML, il est possible de lier les deux comptes.
- Configurez votre LMS pour qu'il transmette à l'outil de la plateforme vidéo un paramètre LTI personnalisé appelé lis_person_sourcedid, qui contient la valeur SSO de correspondance. Il peut s'agir d'un courriel, d'un identifiant d'employé ou d'un autre champ. Vous devrez peut-être consulter la documentation produit de votre plateforme LMS pour savoir comment définir des paramètres LTI personnalisés. La plateforme vidéo utilisera cette fonctionnalité pour lier les deux méthodes de connexion au même compte.
- Obtenez le nom précis de l'attribut utilisé dans le jeton de réponse SAML dont la valeur correspond à l'identifiant unique utilisé par le fournisseur LTI (à l'étape 1 ci-dessus). Par exemple, si l'identifiant unique est l'adresse courriel de l'utilisateur, l'attribut de liaison sera « email ». Les valeurs possibles sont précisément celles définies dans la console d'administration Google lors de la configuration de l'application SAML. Ce sont les noms utilisés à l'étape de mappage des attributs.
- Saisissez cette valeur dans le champ Attribut de liaison. Cette zone de texte n'apparaît que si votre établissement a activé l'accès LTI.
- Cliquez sur Enregistrer.
- Désormais, lors de la première connexion par ADFS (SAML), le système de la plateforme vidéo recherchera un lien avec un compte LTI à l'aide de la valeur de l'attribut de liaison. Si un lien est trouvé, le compte SAML sera lié au compte existant. Sinon, un nouveau compte sera provisionné normalement.
- Toutes les connexions après la première continueront d'être liées au compte de la plateforme vidéo créé ou trouvé lors de la première connexion.
Utilisation
Une fois les deux côtés configurés et le SSO SAML activé, il est facile de vérifier que tout a été fait correctement.
- Accédez au domaine de la plateforme vidéo de l'organisation (c'est-à-dire https://<organization>.yuja.com) et cliquez sur Connexion. L'utilisateur devrait être redirigé vers la page de connexion du serveur SSO.
- Saisissez des identifiants valides et connectez-vous.
- Une fois authentifié, l'utilisateur devrait être redirigé vers la plateforme vidéo, ce qui confirme que la connexion a réussi.
Comment obtenir l'empreinte d'un certificat
L'empreinte du certificat de l'IDP sert à renforcer la sécurité lorsque le SP vérifie une réponse SAML de l'IDP. Pour obtenir l'empreinte du certificat, suivez les instructions ci-dessous :
- Dans les métadonnées de l'IDP Google, extrayez le certificat X509. Il devrait se trouver sous :
<IDPSSODescriptor> → <KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> →
<X509Certificate> - Une fois le certificat en main, accédez au site Web suivant : https://www.samltool.com/fingerprint.php
- Collez le certificat dans la zone de texte X509 cert.
- Assurez-vous que sha1 est sélectionné comme Algorithm.
- Cliquez sur Calculate Fingerprint.
- Copiez la valeur Fingerprint générée. C'est la valeur utilisée dans la base de données. Remarque : l'empreinte devrait être un tableau de 20 octets pour sha1.
Extension Chrome utile pour déboguer le jeton SAML
- Si vous utilisez Chrome comme navigateur Web, vous pouvez installer une extension SAML utile à l'adresse suivante :
https://chrome.google.com/webstore/detail/saml-chrome-panel/paijfdbeoenhembfhkhllainmocckace?hl=en - Une fois l'extension installée, il suffit d'ouvrir les outils de développement du navigateur (F12) et de cliquer sur l'onglet SAML. Désormais, lors d'une connexion lancée par le SP, les jetons SAML envoyés par le navigateur seront affichés en détail. Cet outil peut être très utile pour déboguer les demandes et les réponses SAML.