Documentation technique Olfeo SaaS

Pour configurer Entra ID (ex Azure AD) avec Olfeo SaaS, vous devez ajouter l'application Olfeo SaaS à votre Entra ID (ex Azure AD).

L'application Olfeo ou Olfeo SaaS est disponible dans la galerie d'applications Entra ID (ex Azure AD).

Suivez le pas-à-pas ci-dessous pour ajouter l'application :

1. Connectez-vous à votre interface Microsoft Azure.

2. Sélectionnez le service Entra ID (ex Azure AD).

3. Depuis la page d'accueil, rendez-vous sur la page Applications d'entreprise > + Nouvelle application.

4. Tapez Olfeo SaaS dans la zone de recherche.

5. Sélectionnez l'application dans le volet des résultats et adaptez son nom à votre convenance.

6. Cliquez sur Ajouter l'application. Patientez quelques instants.

7. L'application est maintenant ajoutée à votre liste d'applications Entra ID (ex Azure AD).

1. Dans votre console Entra ID (ex Azure AD) , rendez-vous dans le détail de votre application d'entreprise Olfeo SaaS et allez dans la section Approvisionnement et cliquez sur Démarrer (la première fois).

2. Choisissez le mode d'approvisionnement Automatique, puis copiez / collez le Tenant URL et le Jeton Secret dans les champs correspondants.

3. Vous trouverez le tenant URL et le jeton secret dans votre interface Olfeo SaaS, à l'onglet Synchronisation de votre annuaire.

4. Cliquez sur Test de la connexion pour vérifier qu' Entra ID (ex Azure AD) peut se connecter à Olfeo SaaS.

   Un message de confirmation s'affiche.

5. Cliquez sur Enregistrer.

6. A présent, définissez le paramètre État de l'approvisionnement sur Activé pour activer le service d'approvisionnement Entra ID (ex Azure AD) pour Olfeo SaaS. Vous pouvez également définir un email de contact en cas d'anomalie sur le service de synchronisation.

7. Dans la section Étendue, définissez les utilisateurs que vous souhaitez approvisionner :

   • l'intégralité de vos utilisateurs/groupes (nécessite que l'affectation à l'application ne soit pas requise - voir ici pour plus de détails) ;

   • "uniquement vos utilisateurs/groupes assignés à cette application (nécessite que vous ayez affecté des utilisateurs ou groupes à l'application - voir ici pour plus de détails) .

8. Cliquez sur Enregistrer puis fermez cette section consacrée aux détails des paramètres d'approvisionnement en cliquant sur la croix en haut à droite de la zone et revenir au sommaire de l'approvisionnement.

9. Cliquez sur Démarrer l'approvisionnement pour lancer le cycle initial d'approvisionnement.

   Note

   Cette opération démarre la synchronisation initiale de tous les utilisateurs et/ou groupes définis dans le paramètre Étendue. Le cycle initial d'approvisionnement dépend de la charge d'Azure et peut prendre jusqu'à 40 minutes.

   Les synchronisations suivantes se font en temps quasi-réel.

1. Rendez-vous sur Configuration > Annuaires.

2. Cliquez sur + Créer un annuaire.

3. Saisissez le nom que vous souhaitez donner à votre annuaire.

4. Sélectionnez le fournisseur : Via agent de synchronisation Olfeo SaaS.

5. Cliquez sur Créer.

   L'annuaire a été créé.

6. Ajoutez une description (optionnel) et cliquez sur Mettre à jour sinon cliquez sur l'onglet Synchronisation pour télécharger l'Agent de synchronisation d'annuaires et commencer à mettre en place la synchronisation entre votre annuaire et Olfeo SaaS.

1. Installez l'Agent de synchronisation en suivant les instructions de l'assistant d'installation.

2. Avant de quitter l'assistant d'installation, cochez la case Démarrer la configuration :

   L'Agent de synchronisation d'annuaires se lance sur l'assistant de configuration.

1. A l'étape de Connexion à l'Active Directory, remplissez les champs suivants pour vous connecter à votre Active Directory :

   • URL du serveur de votre Active Directory

   • Choix de l'option LDAP sécurisé

   • Port de l'Active Directory si le LDAPS est activé (par défaut: LDAP 389; LDAPS 636)

   • Login du compte dédié à l'Agent de synchronisation pour la lecture sur votre AD

   • Mot de passe de connexion à l'AD

   Cliquez sur Vérifier et observez si le test est réussi et les nombres d'utilisateurs/groupes trouvés cohérents avec votre requête LDAP.

   La vérification est réussie et votre Agent peut bien communiquer avec votre AD. .

2. Définissez les attributs des utilisateurs et groupes à synchroniser. Définissez également l'association avec les propriétés de l'annuaire Olfeo SaaS.

   Choix de la propriété identifiante qui sera utilisée pour l'authentification

   Choisissez prudemment : la propriété identifiante (SamAccountName ou UserPrincipalName) que vous allez associer à userName sera utilisée par l'authentification sur Olfeo SaaS. Pour prévenir les erreurs, cette propriété n'est plus modifiable une fois définie sur un annuaire donné.

   Nous recommandons l'usage du UserPrincipalName comme propriété identifiante parce que cela correspond aux préconisations récentes de Microsoft sur ce point mais l'usage de l'un comme de l'autre pour l'authentification sont possibles et dépendent surtout de votre contexte d'usage (veuillez noter cependant que l'usage de SamAccountName comme propriété identifiante pour Olfeo SaaS peut nécessiter des ajustements complémentaires à votre configuration ADFS).

   Choix de la propriété identifiante qui sera utilisée comme nom des groupes

   Choisissez prudemment la propriété identifiante (SamAccountName, cn …) que vous allez associer à l’attribut de groupe DISPLAYNAME. C'est cette propriété qui sera affichée dans les sélecteurs de population sur Olfeo SaaS. Pour prévenir les erreurs, cette propriété n'est plus modifiable une fois définie sur un annuaire donné.

3. A l'étape Connexion à l'annuaire Olfeo SaaS, complétez les champs Tenant URL et Jeton Secret.

   Au clic sur Suivant, l'Agent de synchronisation d'annuaires vérifie l'existence de l'annuaire indiqué sur la plateforme et la validité du jeton d'accès.

4. Définissez ensuite l'Intervalle de synchronisation, pour synchronisation incrémentale puis cliquez sur Suivant pour terminer la configuration initiale de l'Agent de synchronisation d'annuaires

5. La configuration est terminiée, l'application s'ouvre automatiquement et lance une synchronisation complète.

6. Lorsque la date s'affiche dans un badge vert, la synchronisation complète est terminée entre votre Active Directory et Olfeo SaaS . Pour plus d'informations sur la synchronisation, consultez le rapport de synchronisation Consulter et comprendre les rapports de synchronisation.

1. Rendez-vous sur Configuration > Annuaires et cliquez sur l'icône (modifier) de l'annuaire.

2. Allez sur la vue Authentification. Dans la liste déroulante des méthodes d'authentification, choisissez SAML :

3. Cliquez sur Activer. Cette action génère des métadonnées Olfeo SaaS nécessaires à la configuration de l'authentification SAML.

4. Saisissez l'URL d'exposition des métadonnées de fédération SAML fournies par votre ADFS dans le champ Métadonnées du fournisseur. puis cliquez sur Mettre à jour

   Cette URL devrait se trouver dans les détails de la partie de confiance publique (Relying Party Trust) de votre ADFS dans l'outil ADFS maanger.

   Par défaut, cette URL devrait fortement ressembler à : https://<adfs_hostname>/FederationMetadata/2007-06/FederationMetadata.xml.

   Important

   Rappel : cette URL doit être publique et accessible sur internet pour queOlfeo SaaS puisse y accéder et que l'authentification fonctionne.

   Alternativement, vous pouvez importer le fichier XML de métadonnées de fédération en copiant-collant son contenu. Assurez-vous qu'il respecte le format suivant :

   <?xml version="1.0" encoding="UTF-8"?>
   <EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://sub-domain.domain.tld/path-to-entity-">
      <IDPSSODescriptor xmlns:ds="http://www.w3.org/2000/09/xmldsig#" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
         <KeyDescriptor use="signing">
            <ds:KeyInfo>
               <ds:X509Data>
                  <ds:X509Certificate>MIIDST_certificat_valide_en_base_64_XLswDQYJKoZINw=</ds:X509Certificate>
               </ds:X509Data>
            </ds:KeyInfo>
         </KeyDescriptor>
         <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sub-domain.domain.tld/path-to-logout" />
         <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sub-domain.domain.tld/path-to-logout" />
         <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
         <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sub-domain.domain.tld/path-to-sign-on" />
         <SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sub-domain.domain.tld/path-to-sign-on" />
      </IDPSSODescriptor>
      <ContactPerson contactType="technical">
         <SurName>your_tech_support_team_name</SurName>
         <EmailAddress>your_tech_support_team_emailID@domain.tld</EmailAddress>
      </ContactPerson>
   </EntityDescriptor>

5. La configuration coté Olfeo SaaS est terminée. Copiez l'URL des métadonnées Olfeo SaaS, vous allez en avoir besoin dans la configuration de votre ADFS.

1. Dans l'outil AD FS management de votre serveur, affichez les approbations de partie de confiance et ajoutez-en une nouvelle.

2. Sélectionnez le choix "Claims avare" pour que cette approbation soit basée sur des revendications.

3. Indiquez l'URL de récupération des métadonnées de fournisseur de service de Olfeo SaaS comme suit.

4. Donnez un nom à cette approbation qui a du sens pour vous.

5. Autorisez tous les utilisateurs de votre AD (le contrôle d'accès sécurisé par une authentification à facteurs multiples au service IOlfeo SaaS n'est pas encore supporté).

6. Vérifiez votre saisie.

7. Validez en décochant la configuration des revendications.

1. Dans votre console de gestion ADFS, éditez la politique de revendication de l'approbation que vous venez ne créer.

   Nous allons ajouter deux règles chaînées pour utiliser l'attribut SamAccountName et l'associer ensuite à la propriété NameID de la revenidaction SAML faite lors de l'authentification.

2. Choisissez le type de règle "Utiliser un attribut LDAP comme revendication"

3. Configurez la règle comme suit : associez l'attribut SamAccountName, récupéré dans votre AD, au type de revendication sortante "Common Name". Puis validez !

   Vous devriez à présent avoir une première règle dans votre politique, comme ceci :

4. Ajoutez-en une seconde, en sélectionnant cette fois le type "Transformer une revendication entrante"

5. Configurez la règle en lui indiquant d'associer le type de revendication entrante "Common Name" au type de revendication sortante "Name ID" associé au format "email" et sans faire de surcharge quelconque. Puis validez

   Vous devriez à présent avoir quelque chose de semblable à ceci.

6. Si tout est bien paramétré, lors d'une requête d'authentification SAML, votre ADFS confirmera à Olfeo SaaS l'identité d'un utilisateur en s'appuyant sur la propriété SamAccountName.