KACE Systems Management Appliance 14.0 Common Documents

Utilisation de l'authentification unique Active Directory pour accéder à la Console d'administration ou à la Console utilisateur

Configuration des paramètres du navigateur pour une authentification unique

Configuration des paramètres du navigateur Microsoft Edge

Utilisation de l’authentification unique Active Directory pour accéder à la Console d’administration ou à la Console utilisateur

Pour utiliser l’authentification unique Active Directory avec les navigateurs Microsoft Edge™ et Firefox®, les utilisateurs doivent configurer les paramètres de leur navigateur en conséquence. Le navigateur Chrome™ ne nécessite aucune configuration spécifique.

Configuration des paramètres du navigateur Microsoft Edge

Pour utiliser l’authentification unique Active Directory avec Microsoft Edge, vous devez configurer les paramètres de sécurité Windows.

Dans le Panneau de configuration de Windows, cliquez sur Options InternetOutils > Options Internet > Sécurité.

Dans la boîte de dialogue Propriétés Internet qui s’affiche, sous l’onglet Sécurité, sélectionnez la stratégie de sécurité appropriée :

◦

Si l’appliance est disponible sur Internet, sélectionnez Sites sécurisés.

◦

Si l’appliance n’est pas disponible sur Internet, sélectionnez Intranet local.

Cliquez sur Personnaliser le niveau, puis faites défiler la liste jusqu’à la fin.

Sélectionnez Connexion automatique avec le nom d’utilisateur et le mot de passe actuels. Si cette option n’est pas sélectionnée, Microsoft Edge ne peut pas se connecter automatiquement à la Console d’administration ou à la Console utilisateur même si l’authentification unique est activée sur l’appliance.

Configuration des paramètres de Firefox

Pour utiliser l'authentification unique Active Directory avec Firefox, vous devez configurer les paramètres d'authentification du navigateur.

Dans Firefox, tapez about:config dans la barre d'adresses.

Dans le champ Rechercher, saisissez network.negotiate-auth.trusted-uris.

Dans les résultats de la recherche, double-cliquez sur le nom de votre choix.

Dans la zone de valeur de chaîne, saisissez l’URL de l’appliance. Par exemple http://kace_sma.example.com, puis cliquez sur OK.

Utilisation de l’authentification unique Active Directory pour accéder à la Console d’administration ou à la Console utilisateur

Lorsque l’authentification unique Active Directory est activée sur l’appliance, les utilisateurs connectés au domaine peuvent accéder à la Console d’administration ou à la Console utilisateur sans saisir leurs informations d’identification sur la page de connexion de l’appliance.

L'authentification unique doit être activée via Active Directory. Voir Activation de l'authentification unique.

Connectez-vous au domaine.

Dans un navigateur Web, saisissez le nom d’hôte de l’appliance dans le champ d’adresse. Pour identifier le nom d'hôte, consultez Modifier les paramètres du réseau de l'appliance.

Tip:	CONSEIL: lorsque vous entrez l'adresse IP de l'appliance, vous êtes dirigé vers la page de connexion de l'appliance au lieu d'être authentifié automatiquement.

La Console d’administration ou la Console utilisateur s’affichent en fonction des privilèges de compte de l’utilisateur.

Déconnecter le domaine et désactiver l'authentification unique Active Directory

Vous pouvez supprimer l’appliance du domaine Active Directory. En supprimant l'appliance du domaine, vous désactivez automatiquement l'authentification unique.

Accédez au Panneau de configuration de l’appliance :

◦

Si le composant Organisation n’est pas activé sur l’appliance, connectez-vous à la Console d’administration de l’appliance à l’adresse https://nom_hôte_appliance/admin, puis cliquez sur Paramètres > Panneau de configuration.

◦

Si le composant Organisation est activé sur l’appliance, connectez-vous à la Console d’administration système de l’appliance à l’adresse https://nom_hôte_appliance/system, ou sélectionnez Système dans la liste déroulante figurant dans l’angle supérieur droit de la page, puis cliquez sur Paramètres > Panneau de configuration.

Cliquez sur Paramètres de sécurité pour afficher la page Paramètres de sécurité.

Dans l’onglet Authentification unique, cliquez sur Déconnexion du domaine.

REMARQUE: Les utilisateurs qui sont actuellement connectés à la Console utilisateur ou à la Console d’administration restent connectés jusqu’à la fin de leur session. Toutefois, lors de leur prochaine tentative d’accès à la Console utilisateur ou à la Console d’administration, ils devront saisir leurs informations d’identification.

Configuration du protocole SAML pour l'authentification unique

Exemple : Utilisation de Microsoft Active Directory dans Azure comme fournisseur d’identité SAML

Vous pouvez configurer l'appliance pour que les utilisateurs s'authentifient sans fournir leurs informations d'identification sur la Page d'accueil à l'aide d'un outil d'authentification tiers.

SAML (Security Assertion Markup Language) est un protocole basé sur XML qui utilise des jetons de sécurité entre les fournisseurs d'identité et de services. Les jetons de sécurité contiennent des éléments d'assertion qui fournissent des informations sur l'identité de l'utilisateur.

Lorsque le protocole SAML est activé et configuré sur l'appliance et que l'utilisateur se connecte en utilisant cette méthode d'authentification unique, l'appliance envoie une demande d'autorisation à votre fournisseur d'identité (IdP). Celui-ci confirme ensuite l'identité de l'utilisateur et envoie une réponse d'authentification à l'appliance. Ensuite, l’appliance enregistre l’utilisateur dans la Console d’administration (ou la Console utilisateur) et établit la session utilisateur. Lorsqu’un utilisateur SAML se déconnecte de l’appliance, il est déconnecté de son compte IdP. Si vous souhaitez rester connecté à votre compte IdP après avoir utilisé l’appliance, fermez simplement la fenêtre du navigateur Console d’administration sans vous déconnecter. Si la session d'un utilisateur SAML se termine et que celui-ci est toujours connecté à son compte IdP, l'appliance démarre automatiquement une nouvelle session pour cet utilisateur.

Si vous avez plusieurs organisations, vous pouvez configurer le protocole SAML dans chaque organisation qui utilise cette méthode d'authentification et conserver la méthode de connexion locale pour les autres organisations.

Assurez-vous que votre IdP dispose d'informations d'identité valides pour vous connecter à l'appliance.

Connectez-vous à la Console d’administration de l’appliance à l’adresse https://nom_hôte_appliance/admin. Ou bien, si l'option Afficher le menu de l'organisation dans l'en-tête d'administrateur est activée dans les Paramètres généraux de l'appliance, sélectionnez une organisation dans la liste déroulante située en haut à droite de la page, à côté des informations de connexion.

Accédez à la page Paramètres SAML.

Dans la barre de navigation de gauche, cliquez sur Paramètres, puis sur Configuration SAML > Configurer l’authentification unique avec SAML.

Dans la page Paramètres SAML, sous Security Assertion Markup Language (SAML), cochez la case Activer le prestataire de services SAML.

Si vous souhaitez autoriser les utilisateurs à utiliser uniquement SAML pour accéder à cette appliance, sélectionnez Connexion SAML requise.

Cette option désactive toutes les connexions locales à l’appliance, à l’exception de l’utilisateur admin local et du compte de support KACE (disponible uniquement avec un point d’ancrage de support actif).

Dans la section Paramètres du fournisseur d'identité distant (IdP), spécifiez vos métadonnées IdP pour authentifier les utilisateurs en effectuant l'une des opérations suivantes.

◦

Recommandé. Si votre IdP fournit une URL vers la page XML contenant les métadonnées de l’IdP (option suggérée), cliquez sur Obtenir les métadonnées auprès de l’IdP. Dans le champ URL des métadonnées IdP qui s'affiche, saisissez cette URL, puis cliquez sur Importer les métadonnées IdP.

◦

Pour utiliser votre fichier XML de métadonnées IdP, cliquez sur Saisir les métadonnées XML, et dans le champ Contenu XML des métadonnées IdP qui s'affiche, copiez et collez le contenu du fichier XML. Cliquez ensuite sur Importer les métadonnées IdP. L'appliance analyse le contenu XML fourni et remplit les champs des paramètres nécessaires pour établir une connexion avec l'IdP.

La section Paramètres du fournisseur d'identité distant (IdP) s'actualise et affiche les détails de votre configuration IdP. Les options listées spécifient les URL de redirection de la page de l'appliance lors de l'authentification SAML. Pour plus d'informations, visitez le site https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=security.

REMARQUE: pour consulter ces informations à tout moment pendant la configuration SAML, cliquez sur Afficher les métadonnées dans cette section.

Dans l’onglet Mappages d’attributs IdP, sélectionnez l’option que vous souhaitez utiliser pour autoriser l’utilisateur SAML à accéder à l’appliance.

◦

Utiliser le tableau des utilisateurs locaux : s'appuie sur la liste des utilisateurs stockée localement sur l'appliance.

◦

Utiliser la recherche LDAP : importe les informations utilisateur à partir d'un serveur LDAP externe. Pour plus d'informations, voir Utilisation d'un serveur LDAP pour l'authentification utilisateur.

◦

Utiliser SAML : utilise les valeurs spécifiées sur cette page pour mapper les champs utilisés par votre IdP sur les enregistrements utilisateur de l'appliance, tels que le nom, l'adresse e-mail, etc. Par exemple, si l'IdP utilise le protocole LDAP pour authentifier les utilisateurs, vous pouvez définir UID et Connexion sur objectGUID et cn, respectivement. Pour plus d'informations, voir la documentation de l'IdP.

Si vous avez sélectionné Utiliser SAML, indiquez si vous souhaitez créer un utilisateur sur l’appliance pour les utilisateurs SAML authentifiés qui ne disposent pas de compte sur l’appliance. Pour ce faire, sélectionnez Créer un utilisateur SMA si un utilisateur SAML authentifié n’existe pas sur SMA.

Si vous avez sélectionné l’option Utiliser SAML, spécifiez les rôles que vous voulez attribuer à l’utilisateur authentifié par SAML. Sous Mappage des rôles, spécifiez les conditions que vous souhaitez vérifier lors de l’attribution des rôles.

Par exemple, vous pouvez attribuer le rôle d'Administrateur aux membres d'un groupe LDAP dont le nom contient une chaîne de texte spécifique (par exemple admin). Définissez le rôle d'Administrateur comme suit :

Administrateur memberOf Contient admin

Les rôles sont listés par ordre de priorité. Vous pouvez modifier la priorité des rôles par glisser-déposer en fonction des besoins. Si plusieurs correspondances existent, l'appliance attribue le rôle ayant la priorité la plus élevée à l'utilisateur SAML.

Le mappage des rôles est facultatif. Si aucune correspondance n’est trouvée, l’appliance attribue le rôle par défaut. Pour spécifier le rôle par défaut, cliquez sur Rôle par défaut pour les utilisateurs non associés et choisissez un rôle parmi les options disponibles, le cas échéant : Administrateur, Aucun accès, Administrateur en lecture seule ou Console utilisateur uniquement.

Facultatif. pour afficher les paramètres SAML spécifiques à l'appliance, dans la section Paramètres locaux du fournisseur de services, cliquez sur Afficher les métadonnées et vérifiez les options qui s'affichent.

Ces champs contiennent des valeurs par défaut et, dans la plupart des cas, vous n'avez pas besoin d'apporter de modifications.

10.

Cliquez sur Enregistrer.

11.

Testez votre configuration SAML.

Déconnectez-vous de l'appliance.

Assurez-vous d'être connecté à votre compte IdP.

Ouvrez l’interface Console d’administration ou la page d’accueil de l’interface Console utilisateur.

Sans spécifier vos informations d'identification utilisateur, cliquez sur Connexion.

Tip:	CONSEIL: lorsque SAML est activé sur l’appliance, cliquez sur Authentification locale et spécifiez vos informations d’identification.

L’interface Console d’administration ou la page de l’interface Console utilisateur s’affiche.

Exemple : Utilisation de Microsoft Active Directory dans Azure comme fournisseur d'identité SAML

Exemple : Utilisation de Microsoft Active Directory dans Azure comme fournisseur d’identité SAML

Lorsque vous utilisez Active Directory dans Azure en tant que fournisseur d’identité SAML (IdP), quelques étapes supplémentaires sont nécessaires. Cette rubrique décrit le processus de configuration de SAML avec Active Directory en tant qu’IdP.

Assurez-vous que votre IdP dispose d'informations d'identité valides pour vous connecter à l'appliance.

Effectuez les opérations suivantes :

Activez SSL pour l’appliance. Cette étape est nécessaire car Microsoft Azure ne peut communiquer avec succès qu’avec des clients SSL. Pour obtenir des instructions, voir Configuration des paramètres de sécurité pour l'appliance.

Connectez-vous à https://portal.azure.com et sélectionnez Azure Active Directory.

Sous Enregistrements d’applications, créez un nouvel enregistrement, en laissant les paramètres URI de redirection vides.

Dans l’enregistrement d’application nouvellement créé, sur la page Points de terminaison, copiez le contenu du champ Document de métadonnées de fédération.

Accédez à la page Paramètres SAML.

Dans la barre de navigation de gauche, cliquez sur Paramètres, puis sur Configuration SAML > Configurer l’authentification unique avec SAML.

Dans la page Paramètres SAML, sous Security Assertion Markup Language (SAML), cochez la case Activer le prestataire de services SAML.

Dans la section Paramètres du fournisseur d’identité distant (IdP), spécifiez les métadonnées de votre IdP pour authentifier les utilisateurs en effectuant les opérations suivantes.

Cliquez sur Obtenir les métadonnées auprès de l’IdP.

Dans le champ URL des métadonnées de l’IdP qui s’affiche, saisissez le contenu du champ Document de métadonnées de fédération que vous avez enregistré dans 2.d, puis cliquez sur Importer les métadonnées de l’IdP.

REMARQUE: pour consulter ces informations à tout moment pendant la configuration SAML, cliquez sur Afficher les métadonnées dans cette section.

Dans l’onglet Security Assertion Markup Language (SAML), assurez-vous que la case L’IdP ne prend pas en charge l’authentification passive est cochée.

Dans l’onglet Mappages d’attributs IdP, sélectionnez l’option que vous souhaitez utiliser pour autoriser l’utilisateur SAML à accéder à l’appliance.

◦

Utiliser le tableau des utilisateurs locaux : s'appuie sur la liste des utilisateurs stockée localement sur l'appliance.

◦

Sélectionnez Utiliser SAML et définissez les options suivantes :

◦

UID : http://schemas.microsoft.com/identity/claims/objectidentifier

◦

Identifiant : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

◦

Nom : http://schemas.microsoft.com/identity/claims/displayname

◦

E-mail principal : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

Si vous avez sélectionné l’option Utiliser SAML, sous Mappage des rôles, spécifiez la condition suivante pour le rôle que vous souhaitez attribuer aux utilisateurs authentifiés par SAML (par exemple, le rôle Administrateur) :

http://schemas.microsoft.com/ws/2008/06/identity/claims/groups équivaut à <Object ID>

Où <Object ID> est l’ID objet du groupe.

Ces champs contiennent des valeurs par défaut et, dans la plupart des cas, vous n'avez pas besoin d'apporter de modifications.

10.

Effectuez les opérations suivantes :

Dans la section Paramètres du fournisseur de services locaux (SP), cliquez sur Afficher les métadonnées.

Sur le portail Microsoft Azure, trouvez l’enregistrement d’application nouvellement créé.

Sur la page Enregistrement de l’application, cliquez sur Ajouter un URI de redirection.

Dans la section URI de redirection, sélectionnez Web et réglez-le sur la valeur Service de consommation pour les assertions SP (URL) de la page Paramètres SAML, sous Paramètres du fournisseur de services locaux (SP).

Dans les Paramètres avancés, définissez le champ URL de déconnexion sur la valeur Point de terminaison SP SLO (URL) de la section Paramètres du fournisseur de services locaux (SP).

Dans Azure, cliquez sur Exposer une API et cliquez sur Définir à côté de l’URI d’ID de l’application. Définissez ce champ sur la valeur Identificateur d’entité SP (URI) de la section Paramètres du fournisseur de services locaux (SP).

Dans Azur, cliquez sur Manifeste, et dans l’éditeur qui s’affiche à droite, ajoutez ou mettez à jour l’attribut « groupMembershipClaims » et définissez sa valeur sur « SecurityGroup » ou « All ».

Exemple : « groupMembershipClaims » : « SecurityGroup »,

11.

Cliquez sur Enregistrer.

12.

Testez votre configuration SAML.

Déconnectez-vous de l'appliance.

Assurez-vous d'être connecté à votre compte IdP.

Ouvrez l’interface Console d’administration ou la page d’accueil de l’interface Console utilisateur.

Sans spécifier vos informations d'identification utilisateur, cliquez sur Connexion.

Tip:	CONSEIL: lorsque SAML est activé sur l’appliance, cliquez sur Authentification locale et spécifiez vos informations d’identification.

L’interface Console d’administration ou la page de l’interface Console utilisateur s’affiche.

Veuillez sélectionner votre produit

Afin de mieux répondre à vos besoins, précisez l'objet du tchat:

Solutions recommandées pour votre problème

KACE Systems Management Appliance 14.0 Common Documents - Guide d'administration

Utilisation de l'authentification unique Active Directory pour accéder à la Console d'administration ou à la Console utilisateur

Configuration des paramètres du navigateur pour une authentification unique

Configuration des paramètres du navigateur Microsoft Edge

Configuration des paramètres de Firefox

Utilisation de l’authentification unique Active Directory pour accéder à la Console d’administration ou à la Console utilisateur

Déconnecter le domaine et désactiver l'authentification unique Active Directory

Déconnecter le domaine et désactiver l'authentification unique Active Directory

Configuration du protocole SAML pour l'authentification unique

Configuration du protocole SAML pour l'authentification unique

Exemple : Utilisation de Microsoft Active Directory dans Azure comme fournisseur d'identité SAML

Exemple : Utilisation de Microsoft Active Directory dans Azure comme fournisseur d’identité SAML