Partager cette page

# Configuration de l’authentification SSO (pour ALM 15.00)

Cette rubrique décrit comment configurer l’authentification SSO pour se connecter à ALM.

Pour plus de détails sur la façon de configurer l’authentification SSO dans ALM 15.0.1, voir Configurer l’authentification SSO.

Note : Pour CAC (Common Access Card) et SiteMinder, voir le ALM External Authentication Configuration Guide.

Dans cette rubrique :

## Présentation

Cette section décrit comment l’accès SSO à ALM peut être autorisé dans un environnement fédéré. Ainsi, les utilisateurs peuvent utiliser l’authentification unique pour se connecter à ALM comme ils le font avec les autres applications SSO du site.

### Comment ALM prend en charge le SSO

ALM prend en charge le SSO via SAML 2.0 et agit comme un fournisseur de services (SP) pour le SSO. Vous devez mettre en œuvre un service de fédération pour agir comme un fournisseur d’identité (IdP) avec le protocole de fédération de SAML 2.0.

Pour faciliter l’authentification unique, le fournisseur de services ALM (SP) envoie une demande d’authentification à l’IdP, qui est un service en ligne qui authentifie les utilisateurs à l’aide de jetons de sécurité. Il est essentiel que le fournisseur de services ALM (SP) puisse identifier les utilisateurs de manière unique lorsqu’il communique avec le fournisseur d’identité (IdP).

### A propos de l’autorisation des utilisateurs

Lorsqu’un utilisateur se connecte, ALM tente de trouver un utilisateur correspondant dans ALM.

Scénario | Description et résultat
--- | ---
Un utilisateur correspondant existe | ALM vérifie par Clé d’identité et IDP. Si ces deux éléments sont localisés chez un même utilisateur, celui-ci est autorisé.
Aucun utilisateur correspondant n’existe | L’utilisateur n’est pas autorisé et ne peut pas se connecter. Si le provisionnement automatique des utilisateurs est activé, ALM exécutera le processus de provisionnement automatique des utilisateurs pour créer un utilisateur correspondant dans ALM. Pour plus d’informations, voir Configurations de l’approvisionnement automatique des utilisateurs.

Retour en haut

## Conditions préalables

Vous obtenez déjà un certificat (ou un fichier de magasin de clés pour stocker le certificat) qui est utilisé par ALM SP pour signer SAML 2 et le jeton OAuth.

Le fichier de magasin de clés sera chargé dans l’outil de configuration SSO.

Assurez-vous que le certificat https du serveur ALM, du proxy inverse ou de l’IdP est ajouté au magasin de confiance du runtime JVM utilisé pour exécuter ALM afin que l’authentification réussisse.

Si ALM est déployé dans un environnement de cluster, l’authentification SSO exige que l’heure du système sur tous les nœuds ALM et sur les serveurs IdP des utilisateurs soit synchronisée aussi étroitement que possible. Les systèmes sur ces serveurs peuvent être configurés pour utiliser un protocole de synchronisation d’heure réseau tel que le protocole d’heure réseau (NTP). Si l’heure d’un nœud ALM est différente de l’heure du serveur IdP, l’authentification échoue.

Retour en haut

## Configurer ALM SP

1. Connectez-vous à Administration du site ALM.

2. Cliquez sur Outils > Configuration SSO pour ouvrir l’outil de configuration SSO.

3. Cliquez sur Paramètres généraux > Propriétés et fournissez les informations suivantes :

   Champ (* obligatoire) | Description
   --- | ---
   *Clé secrète du client OAuth | La clé secrète utilisée par le fournisseur de services ALM (SP) pour générer le jeton d’accès.
   *Nom de domaine complet de communication | Nom de domaine complet (FQDN) du serveur ALM. Si un serveur Web/Proxy inverse est utilisé devant le serveur ALM, il s’agit du nom de domaine complet du serveur Web.
   *Port de communication | Numéro de port du serveur ALM. Si un serveur Web/proxy inverse est utilisé, il doit s’agir du numéro de port du serveur Web. Le port peut être réécrit. Vous pouvez vérifier avec votre équipe réseau pour obtenir le port.
   *Activer la communication sécurisée | Si le serveur ALM utilise ou non le protocole HTTPS (TLS) Si un serveur Web/proxy inverse est utilisé, il faut savoir si le serveur Web utilise ou non le protocole HTTPS (TLS), qui peut être réécrit. Vous pouvez vérifier auprès de votre équipe réseau.
   Utiliser un proxy inverse | Utilisation ou non d’un proxy inverse. Si oui, vous devez également spécifier le port du proxy inverse.
   Port du proxy inverse | Numéro de port du proxy inverse
   Activer le proxy inverse sécurisé | Si le proxy inverse utilise ou non le protocole HTTPS (TLS)

4. Cliquez sur Enregistrer pour sauvegarder les paramètres.

5. Cliquez sur Paramètres généraux > Certificat SAML2 pour fournir le certificat.

   Vous pouvez fournir le certificat soit en téléchargeant le fichier de magasin de clés, soit en saisissant les informations du certificat manuellement.

   Pour fournir votre certificat en téléchargeant un fichier de magasin de clés | Dans le champ Type de soumission de certificat, sélectionnez Télécharger le fichier du magasin de clés. Dans le champ Choisir un fichier à télécharger, sélectionnez le fichier de magasin de clés qui contient le certificat. Assurez-vous que le certificat dans le fichier de magasin de clés contient à la fois la clé privée et la clé publique. Les types de magasin de clés pris en charge par ALM sont les suivants : JKS, JCEKS, et PKCS12. Pour cela, le fichier de magasin de clés que vous vous apprêtez à télécharger doit utiliser l’un des noms d’extension suivants : Pour le type de magasin de clés JKS : `.jks` ou`.ks` Pour le type de magasin de clés JCEKS : `.jce` Pour le type de magasin de clés PKCS12 : `.p12` ou`.pfx` Saisissez les mots de passe du magasin de clés et du certificat. Saisissez l’alias du certificat utilisé dans le fichier du magasin de clés téléchargé. Cliquez sur Soumettre.
   Pour fournir votre certificat en saisissant manuellement les informations relatives au certificat | Dans le champ Type de soumission de certificat, sélectionnez Saisir manuellement. Saisissez les mots de passe du magasin de clés et du certificat, la chaîne de certificats et la clé privée. Cliquez sur Soumettre.

   Comment mettre à jour le certificat ?

   1. Supprimez le certificat actuel du répertoire `{ALM Deploy Directory}\ALM\repository\sa\DomsInfo\osp\basic.pfx`.

      Vous pouvez également

   2. Actualiser la page actuelle.
   3. Soumettez à nouveau les informations relatives au certificat comme décrit à l’étape 5.
   4. Redémarrez le serveur ALM. Si ALM se trouve dans un environnement de cluster, redémarrez chaque nœud.
   5. Si vous avez partagé les métadonnées du SP ALM avec votre IdP, vous devez obtenir les métadonnées du SP mises à jour et les partager à nouveau avec l’IdP. Voir Configurer l’IdP.

Retour en haut

## Ajouter IdP

Vous devez commencer par ajouter l’IdP par défaut nommé « alm ». Vous pouvez ajouter d’autres IdP après avoir validé avec succès l’IdP d’alm et activé le SSO.

Note : Lorsque vous ajoutez des IdP, l’ID IdP ne doit pas être nommé « local ».

Pour ajouter et configurer l’alm IdP :

1. Dans le volet de gauche de la page de l’outil de configuration du SSO, cliquez sur l’onglet alm.

2. Fournissez les informations suivantes :

   Champ (*Obligatoire) | Description
   --- | ---
   Configurations de l’approvisionnement automatique des utilisateurs
   Champ SAML associé au nom d’utilisateur ALM par défaut | Si l’ALM ne parvient pas à trouver le seul utilisateur ALM correspondant à un utilisateur IdP en fonction de la clé d’identité et de l’ID IdP, cette option contrôle ce qui suit : activer ou non le provisionnement automatique d’utilisateurs pour créer un utilisateur correspondant dans ALM pour l’utilisateur IdP. si le provisionnement automatique des utilisateurs est activé pour créer un utilisateur, alors quel attribut ALM utilisera comme nom d’utilisateur par défaut lors de la création de l’utilisateur. DÉSACTIVER : Désactiver le provisionnement automatique des utilisateurs pour créer des utilisateurs. IdentityKey : Lors de la création de nouveaux utilisateurs, ALM utilisera la valeur de l’IdentityKey comme nouveau nom d’utilisateur ALM. ALMUsername : Lors de la création de nouveaux utilisateurs, ALM utilisera la valeur ALMUsername comme nouveau nom d’utilisateur ALM. ALMEmail : Lors de la création de nouveaux utilisateurs, ALM utilisera la valeur ALMEmail comme nouveau nom d’utilisateur ALM.
   Nom d’utilisateur ALM par défaut modifiable | Si le nouvel utilisateur ALM peut ou non changer son nom d’utilisateur par défaut lors de la création de l’utilisateur. Sa valeur n’est pas prise en compte si l’option Attribut mappé au nom d’utilisateur ALM est réglée sur Désactivé.
   Partager les métadonnées IdP avec ALM SP
   Métadonnées IdP | XML codé en base64 du descripteur de métadonnées SAML de l’IdP. À utiliser si l’URL des métadonnées IdP n’est pas accessible depuis le serveur ALM
   URL des métadonnées IdP | L’URL de l’IdP pour la publication des métadonnées de l’IdP. Choisissez cette option si l’URL des métadonnées IdP est accessible par le serveur ALM.

Retour en haut

## Déploiement de composants SSO

Exécutez le script suivant en tant qu’administrateur pour déployer les composants SSO :

- Pour Windows : `{ALM Installation Directory}\ALM\run_osp_deploy.bat`
- Pour Linux : `{ALM Installation Directory}\run_osp_deploy.sh`

Il vous sera demandé de redémarrer le service ALM pendant le déploiement. Arrêtez le service ALM pour poursuivre le processus de déploiement et redémarrez le service ALM une fois le déploiement réussi. Si vous n’arrêtez pas le service ALM, le processus est abandonné.

Si vous modifiez les paramètres du SP ALM, si vous éditez, ajoutez ou supprimez un IdP, vous devez exécuter à nouveau le script.

Si ALM est dans un environnement de cluster, exécutez le script dans chaque nœud.

Retour en haut

## Configurer l’IdP

Les détails de la configuration varient selon les IdP. En général, pour configurer votre IdP, vous devez effectuer les tâches suivantes :

1. Créez un client qui utilise SAML2 comme protocole client.

2. Obtenir les métadonnées du SP ALM et les partager avec l’IdP.

   1. Obtenir les métadonnées SP à partir du répertoire http(s)://{server}:{port}/osp/a/alm/auth/saml2/sp-metadata.
   2. Enregistrez les données dans un fichier XML.

   3. Les métadonnées du SP seront utilisées dans le cadre de la configuration de l’IdP pour établir la confiance entre le SP et l’IdP. Pour des configurations supplémentaires de l’IdP, voir les documentations de l’IdP.

3. Créez des mappeurs pour mapper les attributs de l’utilisateur qui sont renvoyés par l’IdP dans les assertions de SAML avec les attributs d’ALM équivalents.

   Assurez-vous de mapper l’attribut d’IdP qui peut identifier de façon unique les utilisateurs d’IdP avec l’attribut IdentityKey d’ALM.

   ALM exige que le format de NameID soit emailAddress.

   Si vous mappez un attribut d’ALM avec un attribut d’IdP différent de celui avec lequel vous le mappez dans l’outil de configuration SSO (comme dans Configuration de l’authentification SSO (pour ALM 15.00)), le mappage dans l’outil de configuration SSO prévaut. Par exemple, si l’attribut d’ALM « ALMDescription » est mappé avec le champ A dans l’outil de configuration SSO, ALM utilisera la valeur du champ A dans les assertions de SAML pour mettre à jour l’attribut d’ALM « ALMDescription ».

   Les attributs sont sensibles à la casse. La réponse SAML doit être signée.

Exemple de réponse SAML

    <samlp:Response>
    	<saml:Assertion>
    ...
    ...
    ...
    		<saml:Subject>
    			<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">sa@yopmail.com
                           </saml:NameID>
    			<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    				<saml:SubjectConfirmationData
    					InResponseTo="idhSHtlcKqu3Xn8CpOIRc658-cnAI"
    					NotOnOrAfter="2019-04-30T09:11:36.887Z"
    					Recipient="https://shcappsvm76.hpeswlab.net:9443/osp/a/alm/auth/saml2/
                                               spassertion_consumer"/>
    			</saml:SubjectConfirmation>
    		</saml:Subject>
    		<saml:Conditions NotBefore="2019-04-30T08:51:36.887Z" NotOnOrAfter="2019-04-30T08:52:36.887Z">
    			<saml:AudienceRestriction>
    				<saml:Audience>https://shcappsvm76.hpeswlab.net:9443/osp/a/alm/auth/saml2/metadata
                                   </saml:Audience>
    			</saml:AudienceRestriction>
    		</saml:Conditions>
    		<saml:AuthnStatement
    			AuthnInstant="2019-04-30T08:51:38.887Z"
    			SessionIndex="5e968b7c-c2ad-41e6-81fb-3feb38644bcf::dfb1c06f-89e1-42ca-a6b0-f3ff41bb2fbd">
    			<saml:AuthnContext>
    				<saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
                                   </saml:AuthnContextClassRef>
    			</saml:AuthnContext>
    		</saml:AuthnStatement>
    		<saml:AttributeStatement>
    			<saml:Attribute
    				Friendly="IdentityKey" Name="IdentityKey"
    				NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
    				<saml:AttributeValue
    					xmlns:xs="http://www.w3.org/2001/XMLSchema"
    					xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">**
                                  </saml:AttributeValue>
    			</saml:Attribute>
    		</saml:AttributeStatement>
    	</saml:Assertion>
    </samlp:Response>

Retour en haut

## Mapper les utilisateurs IdP avec les utilisateurs ALM

Les utilisateurs IdP sont mappés aux utilisateurs ALM par deux attributs : Nom du fournisseur d’identité et Clé d’identité.

Attribut ALM | Mappé à l’attribut IdP
--- | ---
Nom du fournisseur d’identité | Le nom de l’IdP qui est configuré dans l’outil de configuration ALM SSO, tel que le nom de l’IdP par défaut « alm ».
Clé d’identité | L’attribut IdP qui permet d’identifier de manière unique un utilisateur IdP. Par exemple, le nom d’utilisateur, l’ID utilisateur et l’email de l’utilisateur.

Vous pouvez mapper les utilisateurs IdP avec les utilisateurs ALM individuellement ou par lots. Le premier utilisateur IdP à être mappé avec un utilisateur ALM doit être un utilisateur Administrateur de site.

Méthode | Détails
--- | ---
Cartographier les utilisateurs individuellement | Vous ne pouvez utiliser cette méthode qu’après avoir activé SSO. Pour mettre en correspondance un utilisateur IdP avec un utilisateur ALM, Ouvrez les détails de l’utilisateur ALM dans l’onglet Administration du site > Utilisateurs du site. Mettez à jour les attributs : Nom du fournisseur d’identité et Clé d’identité avec les informations d’utilisateur correspondantes de l’utilisateur IdP. Pour plus d’informations, voir Mise à jour des détails de l’utilisateur.
Cartographier les utilisateurs par lots en utilisant l’API REST de l’administration du site | Vous pouvez utiliser cette méthode, que le SSO soit activé ou non. Définissez les attributs : idp-name et identity-key pour les utilisateurs du site. Pour plus d’informations, voir Référence API REST d’Administration du site : Utilisateurs du site > Mettre à jour un utilisateur du site.

Note : Si vous ne mappez pas un utilisateur IdP avec un utilisateur ALM, ALM suppose que l’utilisateur IdP n’a pas d’utilisateur correspondant dans ALM. Pour plus d’informations sur la façon dont l’utilisateur se connecte à ALM, voir Accès SSO à ALM

Retour en haut

## Valider et activer l’authentification SSO

Avant de valider le SSO pour un IdP, assurez-vous qu’au moins un utilisateur ALM avec le rôle d’administrateur de site est déjà mappé à un utilisateur IdP. Dans le cas contraire, aucun utilisateur ne peut configurer ALM en tant qu’administrateur de site.

Note : Avant la validation, vous devez également ajouter les URL ALM et IdP dans les URL de confiance d’IE.

1. Dans l’outil de configuration SSO, cliquez sur le nom de l’IdP, puis cliquez sur Valider dans la partie inférieure pour lancer la validation.
2. La page de connexion IdP s’ouvre. Saisissez votre nom d’utilisateur et votre mot de passe IdP.

3. La page de connexion se ferme lorsque la validation réussit. Par ailleurs, un indicateur de réussite s’affiche devant le nom de l’IdP.

   Si la validation échoue, un indicateur d’échec s’affiche.

4. Après avoir passé la validation du SSO, cliquez sur Activer le SSO.

   Une fois l’authentification SSO activée, il est impossible de la désactiver.

Retour en haut

## Accès SSO à ALM

Une fois le SSO activé, l’authentification SSO est requise pour accéder à presque toutes les ressources ALM.

Le flux suivant illustre comment ALM gère la connexion SSO.

Cas spécial

Si vous avez configuré plusieurs IdP et que la mise en service automatique est activée dans un IdP spécifique, un utilisateur, qui n’a pas d’utilisateur correspondant dans ALM et qui veut accéder à ALM, doit accéder directement à l’IdP via l’URL suivante : http(s)://{server}:{port}/qcbin?idpId={idp id}

Retour en haut

https://admhelp.microfocus.com ALM 8942
Conseils pour améliorer vos résultats de recherche... ALM Help Center ALM Help Center Aide ALM 16.00 Tout Afficher le centre d’aide local Afficher le centre d’aide en ligne arrière Revenir en arrière dans l’historique de navigation avant Avancer dans l’historique de navigation Désactiver la mise en surbrillance dans les résultats de recherche rubrique suivante Atteindre la rubrique suivante rubrique précédente Atteindre la rubrique précédente Imprimer la rubrique actuelle Version :