Configuration de votre fournisseur d’identité

Introduction ADFS OKTA Microsoft Entra ID

Introduction

De nombreuses organisations peuvent servir de fournisseur d'identité pour le SAML.

Les sections suivantes décrivent comment configurer les fournisseurs suivants :

• ADFS

• OKTA

• Microsoft Entra ID

Pour les clients dans les environnements FedRAMP, le fournisseur d'identité par défaut (IdP) est Active Directory Federation Services (ADFS), fourni et maintenu par Microsoft Entra ID. S'il est nécessaire d'utiliser un service tiers comme IDP, tel qu'Okta ou OneLogin, veuillez contacter notre équipe Support pour obtenir de l'aide.

Quel que soit le fournisseur d'identité que vous utilisez, vous devriez faire ce qui suit :

1. Définissez le nom de l'algorithme de signature pour le SAML sur SHA256withRSA.

2. Sur votre fournisseur d'identité, configurez les correspondances d'attributs suivantes (OneSpan Sign les utilisera pour identifier l'utilisateur qui se connecte) :

   Utilisateur	Attributs
   Email	L'un des éléments suivants : Email Adresse e-mail Courrier
   Prénom	L'un des éléments suivants : Prénom Prénom CN
   Nom de famille	L'un des éléments suivants : Nom de famille Nom de famille sn
   accountid	L'un des éléments suivants : Compte accountid accountId
   Type	L'un des éléments suivants : Rôle Type userType

Si vous souhaitez configurer un fournisseur d'identité uniquement pour les « destinataires » (et non pour les membres d'un compte OneSpan Sign), spécifiez uniquement l'adresse email du paramètre. Vous n'avez pas besoin de spécifier un prénom ou un nom de famille.

Si vous devez importer les métadonnées requises dans votre boutique de clés, consultez Mise à jour de votre certificat SAML et de vos métadonnées

SSO et rôles et permissions

Si le provisionnement automatique de l'expéditeur est désactivé, un expéditeur sera automatiquement activé lors de sa première connexion (en supposant que son statut d'activation soit En attente et non Verrouillé). Si les rôles et permissions ont été activés, cette fonctionnalité fonctionne dans les scénarios suivants :

• Utilisateur en attente sans rôle

• Utilisateur en attente avec rôle

• Utilisateur actif sans rôle

• Utilisateur actif avec rôle

ADFS

Les Services de fédération Active Directory (ADFS) de Microsoft peuvent servir de fournisseur d'identité SAML 2.0 pour OneSpan Sign.

Pour configurer ADFS afin qu'il serve de fournisseur d'identité SAML pour OneSpan Sign :

1. Lance la console de gestion ADFS 2.0.

2. Ouvrez le dossier Relations de confiance, et faites un clic droit sur Trusts de la Partie Fiable.
   

3. Sélectionnez Ajouter Fiducie de la partie dépendante, puis Démarrer.

4. Dans l'assistant Ajouter confiance à la partie dépendante, sélectionnez Importer les données concernant la partie dépendante d'un fichier.
   

5. Importez les métadonnées requises dans votre magasin de clés. Pour les télécharger, consultez Mise à jour de votre certificat SAML et de vos métadonnées.

6. Complétez l'assistant si nécessaire, en saisissant votre nom d'affichage et les règles d'autorisation que vous souhaitez utiliser.

7. Dans l'onglet Avancé , changez l' algorithme de hachage sécurisé en SHA-256.

8. Créez une nouvelle règle de réclamation pour les attributs LDAP en utilisant le modèle suivant :
   

9. Modifiez la règle pour que votre écran ressemble à ceci :
   

10. Créez une autre règle de réclamation pour transformer une demande entrante. Cela ajoutera un e-mail à l'objet de la réponse sous la forme NameID.

    

11. Cette règle de revendication fera référence à la première règle de revendication. Pour cette raison, la seconde doit rester la règle 1.

    

OKTA

OKTA peut servir de fournisseur d'identité SAML pour OneSpan Sign.

L'exemple suivant configure OKTA comme fournisseur d'identité pour une instance OneSpan Sign US Sandbox .

Pour configurer OKTA afin qu'il serve de fournisseur d'identité SAML pour OneSpan Sign :

1. Naviguez jusqu 'à https://www.okta.com/developer/signup/ et créez une organisation OKTA Developer Edition gratuite.

2. Connectez-vous à la console d'administration et cliquez sur Ajouter des applications.

3. Cliquez sur Créer une nouvelle application, puis sélectionnez SAML 2.0 comme méthode de connexion.

4. Dans la section Paramètres généraux , saisissez un nom d'application . Puis cliquez sur Suivant.

5. Dans la section Configurer le SAML , collez l'URL suivante dans les champs URL Connexion unique , où <votre environnement > représente votre environnement OneSpan Sign :

   https://<your environment>/sso/saml/SSO/alias/e-signlive

   Environnement	FQDN
   Bac à sable canadien	sandbox.e-signlive.ca
   Bac à sable US2	sandbox.esignlive.com
   Bac à sable US1	sandbox.e-signlive.com
   Production européenne	apps.esignlive.eu
   Production canadienne	apps.e-signlive.ca
   US2 Production	apps.esignlive.com
   US1 Production	apps.e-signlive.com
   Production australienne	apps.esignlive.com.au

   Gardez l'URL du destinataire et celle de destination identiques.

6. Dans le champ Restriction d'audience , saisissez l' ID de l'entité SP. Par exemple : urn:saml:sso:<your environment>.

   Assurez-vous de remplacer tous les points dans votre adresse d'environnement par un deux-points. Par exemple, au lieu de urn :saml :sso :sandbox :esignlive.com, l' ID de l'entité SP devrait être urn :saml :sso :sandbox :esignlive :com et non urn:saml:sso:sandbox:esignlive.com .

7. Pour la valeur d'état par défaut du relais, entrez <your environment>/packages/inbox

8. Cliquez sur Afficher Paramètres avancés, et configurez les paramètres dans le tableau suivant :

   CADRE	VALEUR
   Format d'identification de nom	Adresse e-mail
   Réception	Signé
   Signature d'assertion	Non signé
   Algorithme de signature	RSA_SHA256
   Algorithme digestif	SHA256
   Chiffrement par assertion	Non chiffré
   Déconnexion SAML unique	Handicapé
   authContextClassRef	Non précisé
   Authentification par Force d'Honneur	Non
   Identifiant émetteur SAML	http://www.okta.com/${org.externalKey}

9. Dans la section Déclarations d'attribut , ajoutez les trois déclarations suivantes, puis cliquez sur Suivant :

   Nom	Format du nom	Valeur
   Email	Référence URI	user.email
   Prénom	Référence URI	utilisateur.prénom
   Nom de famille	Référence URI	user.nomnom-de-famille

10. Dans la section Rétroaction , sélectionnez Ceci est une application interne que nous avons créée. Puis cliquez sur Terminer.

    Vous verrez désormais la section Connexion de votre application SAML d'exemple nouvellement créée. Gardez cette page ouverte dans un onglet ou une fenêtre de navigateur séparée. Vous aurez besoin de son lien de métadonnées Fournisseur d' identitélorsque vous effectuerez la procédure Configuration SAML sur votre compte eSignLive.

    Pour copier le lien des métadonnées du Fournisseur d'Identité, faites un clic droit dessus et sélectionnez Copier.

11. Faites un clic droit sur la section Personnes du nom de votre application, puis sélectionnez Ouvrir le lien dans un nouvel onglet (pour pouvoir revenir plus tard à la section Connexion ).

12. Dans le nouvel onglet qui s'ouvre, cliquez sur le bouton Assigner une application .

13. Une boîte de dialogue appelée Attribuer le nom de l'application à jusqu'à 500 personnes apparaît. Tapez votre nom d'utilisateur dans la zone de recherche, puis sélectionnez la case à cocher à côté de votre nom d'utilisateur. Puis cliquez sur Suivant.

14. Vous serez invité à saisir des attributs spécifiques à chaque utilisateur. Cliquez sur Confirmer les attributions pour conserver les paramètres par défaut.

    Vous êtes maintenant prêt à effectuer la procédure Configuration SAML sur votre compte eSignLive. Vous aurez besoin du lien de métadonnées du fournisseur d'identité de l'étape 10.

Microsoft Entra ID

Microsoft Azure Active Directory a été renommé Microsoft Entra ID. Les références à Azure et Microsoft Entra ID peuvent être utilisées de manière interchangeable. Pour plus d'informations, voir Nouveau nom pour Azure AD.

Azure AD peut servir de fournisseur d'identité SAML pour OneSpan Sign. Pour plus d'informations à ce sujet, consultez la documentation Microsoft Entra.

Prérequis

Pour commencer, vous avez besoin des éléments suivants :

• Un abonnement Entra ID

• Un compte OneSpan Sign, soit en mode bac à sable soit en production

• Les métadonnées SAML qui s'appliquent à votre instance OneSpan Sign (par exemple, sandbox.esignlive.com)

• Si vous prévoyez d'utiliser le SSO initié par SP, vous devez télécharger le fichier XML de métadonnées de la fédération. Voir Télécharger le fichier XML de métadonnées de la fédération. Cette étape n'est pas requise pour le SSO initié par IDP.

Ajouter OneSpan Sign en tant qu'application à Azure AD

La première étape pour configurer Azure en tant que fournisseur SAML pour OneSpan Sign est d'ajouter OneSpan Sign au portail d'application Azure AD.

Pour ajouter OneSpan Sign au portail Azure AD :

1. Connectez-vous au portail Azure en tant qu'administrateur d'application Cloud ou administrateur d'application pour votre locataire Microsoft Entra ID.

2. Recherchez et sélectionnez Microsoft Entra ID.

3. Sélectionnez les applications Entreprise, puis cliquez sur Toutes les applications.

4. Cliquez sur Nouvelle application.

5. Choisissez Créer votre propre application.

6. Saisissez un nom pour votre application (par exemple, OSS), assurez-vous que Intégrer toute autre application que vous ne trouvez pas dans la galerie (Non-galerie) est sélectionnée, puis cliquez sur Créer.

Téléchargement du fichier XML de métadonnées de la fédération

Si vous prévoyez d'utiliser le SSO initié par SP, vous avez besoin de l'ID d'entité du fournisseur d'identité pour construire votre URL de connexion, et vous devez envoyer ce fichier par email à notre équipe Support afin que nous puissions compléter la configuration de notre côté. Cette étape n'est pas requise pour le SSO initié par IDP.

Pour télécharger le fichier XML de métadonnées de la fédération :

1. Connectez-vous au portail Azure en tant qu'administrateur d'application Cloud ou administrateur d'application pour votre locataire Microsoft Entra ID.

2. Recherchez et sélectionnez Microsoft Entra ID.

3. Cliquez sur Gérer, puis sur applications Entreprise.

4. Choisissez l'application que vous venez d'ajouter (par exemple, OSS).

5. Cliquez sur Définir la connexion unique, puis accédez à la section Certificats SAML .

6. Cliquez sur le lien de téléchargement des métadonnées de la Fédération .

7. Contactez notre équipe de support afin que nous puissions finaliser les configurations nécessaires de notre côté.

Configuration des paramètres SAML de base

Maintenant que vous avez ajouté l'application, vous devez créer quelques configurations SAML de base.

Les paramètres que vous devez configurer varieront selon votre instance OneSpan Sign, et selon que vous configurez SSO comme IDP Initié ou Initié SP.

Pour configurer vos paramètres SAML :

1. Connectez-vous au portail Azure en tant qu'administrateur d'application Cloud ou administrateur d'application pour votre locataire Microsoft Entra ID.

2. Recherchez et sélectionnez Microsoft Entra ID.

3. Cliquez sur Gérer, puis sur applications Entreprise.

4. Choisissez l'application que vous venez d'ajouter (par exemple, OSS).

5. Cliquez sur Configurer la connexion unique.

6. Sélectionnez SAML.

7. Sur la page Configurer une connexion unique avec SAML , cliquez sur l'icône d'édition dans la section Configuration SAML de base .

8. Saisissez les informations suivantes :

   • Identifiant (ID d'entité) : L'identifiant d'entité peut être copié à partir des métadonnées SAML téléchargées précédemment. Pour trouver l'identifiant d'entité, ouvrez le fichier de métadonnées à l'aide d'un éditeur de texte tel que Notepad, et recherchez l'identifiant d'entité. Une fois trouvé, copiez-collez l'entrée dans ce champ.

     Assurez-vous de remplacer tous les points dans votre adresse d'environnement par un deux-points. Par exemple, au lieu de urn :saml :sso :sandbox :esignlive.com, l' ID de l'entité SP devrait être urn :saml :sso :sandbox :esignlive :com et non urn:saml:sso:sandbox:esignlive.com .

   • URL de réponse : L'URL de réponse correspond à l'URL de votre service SSO. Par exemple, https://<votre instance>/sso/saml/SSO/alias/e-signlive.

   • URL de connexion : Ce champ n'est nécessaire que si vous utilisez SP Initiated SSO. Si vous utilisez IDP Initiated SSO, laissez ce champ vide. si vous utilisez SP Initiated SSO, saisissez ce qui suit : https://<server :port>/sso/saml/login/alias/e-signlive ?idp=<EntityId d'un IDP>,
     où :

     • <server :port> est le port serveur utilisé par votre instance OneSpan Sign. Par exemple, https://sandbox.esignlive.com.

     • <EntityId d'un IDP > est l'ID d'entité trouvé dans le fichier XML de métadonnées de la fédération que vous avez téléchargé précédemment. Pour trouver l'ID d'entité, ouvrez le fichier de métadonnées à l'aide d'un éditeur de texte tel que Notepad, et recherchez l'ID d'entité. Une fois trouvé, copiez-collez l'entrée dans cette section de l'URL.

9. Si vous utilisez un SSO initié par SP, contactez notre équipe Support afin que nous puissions finaliser les configurations nécessaires de notre côté.

Le tableau suivant contient plus d'informations sur les paramètres de configuration de la SAML :

Configuration des attributs et revendications utilisateur

Une fois vos paramètres SAML de base configurés, vous pouvez commencer à créer des associations entre un utilisateur et ses attributs.

Si vous avez plusieurs comptes avec le même ID d'entité et que l'auto-provisionnement est activé, vous devrez ajouter l'ID du compte comme attribut. Si ce n'est pas le cas, l'utilisateur ne sera pas créé. Pour obtenir l'identifiant du compte, contactez notre équipe de support.

Pour configurer les attributs et revendications utilisateur :

1. Recherchez et sélectionnez Microsoft Entra ID.

2. Depuis l'Active Directory, cliquez sur Applications Entreprise, puis choisissez l'application que vous venez d'ajouter (par exemple, OSS).

3. Sur la page Configurer une connexion unique avec SAML , cliquez sur l'icône d'édition dans la section Attributs & Réclamations .

4. Supprimez tous les attributs existants qui apparaissent.

5. Cliquez sur Ajouter une nouvelle demande.

6. Dans la boîte Nom , tapez le nom de l'attribut.

7. Laissez le champ Espace de noms vide.

8. Ajoutez les revendications suivantes dans le champ Attribut Source , en mappant le nom de la revendication et les attributs sources comme suit :

   Options de noms	Attribut source
   Prénom	user.givenname
   Email	user.mail
   Nom de famille	user.nom de famille

9. Cliquez sur Enregistrer.

Provisionnement automatique

Si vous avez le même SAML configuré sur plusieurs comptes sur la même instance, vous devrez ajouter un attribut supplémentaire pour provisionner automatiquement de nouveaux expéditeurs sur un compte spécifique. Si vous ne le faites pas, le provisionnement automatique échouera.

Le nom de l'attribut requis est accountid. Il peut être mappé à n'importe quel attribut Azure AD qui possède l'UID du compte de destination (pour la liste des UID de votre compte, contactez notre équipe de support).

• accountid : Cette revendication doit être mappée à un attribut Active Directory contenant l' accountID du compte propriétaire.

• type : Cette revendication doit être mappée à un attribut Active Directory qui est soit une valeur Régulière , soit une valeur Manager .

Configuration des utilisateurs et permissions

Maintenant que vous avez défini certains attributs et revendications utilisateurs, vous pouvez commencer à assigner des utilisateurs à l'application.

Pour configurer les permissions utilisateur :

1. Recherchez et sélectionnez Microsoft Entra ID.

2. Depuis l'Active Directory, cliquez sur Applications Entreprise, puis choisissez l'application que vous venez d'ajouter (par exemple, OSS).

3. Cliquez sur Utilisateurs et groupes.

4. Cliquez sur Ajouter utilisateur/groupe.

5. Dans Utilisateurs et groupes, cliquez sur Aucun Sélectionné.

6. Sélectionnez l'utilisateur ou le groupe que vous souhaitez assigner pour utiliser l'application, puis cliquez sur Sélectionner.

7. Dans la liste déroulante Sélectionner un rôle , choisissez un rôle, ou laissez Accès par défaut sélectionné si votre application n'utilise pas de rôles personnalisés.

8. Cliquez sur Assigner.

Tests du SSO initié par SP

Maintenant que vous avez terminé vos configurations, vous pouvez tester pour voir que tout fonctionne.

Pour tester le SSO initié par SP :

1. Connectez-vous au portail Azure en tant qu'administrateur d'application Cloud ou administrateur d'application pour votre locataire Microsoft Entra ID.

2. Recherchez et sélectionnez Microsoft Entra ID.

3. Depuis l'Active Directory, cliquez sur Applications Entreprise, puis choisissez l'application que vous venez d'ajouter (par exemple, OSS).

4. Trouvez la section Gérer , puis sélectionnez Connexion unique.

5. Dans la section Test Connexion Unique , cliquez sur Test.

6. Cliquez sur Connexion en tant qu'utilisateur actuel.

Si vous avez configuré le SSO initié par IDP à la place, testez de la même manière, en utilisant le même bouton Test décrit ci-dessus. Vous pouvez également lancer OneSpan Sign directement depuis le portail Mes applications ou le lanceur d'applications Microsoft 365 une fois les utilisateurs assignés.