Profil requis : Superutilisateur
Security Assertion Markup Language (SAML) est un format de données ouvert utilisé pour l'échange de données d'authentification et d'autorisation entre un fournisseur d'identité IdP (le client) et un fournisseur de services SP (Borealis). Ce processus standard permet de connecter les utilisateurs à des applications à partir de sessions établies dans un autre contexte. Avec SAML, le client gère tous les aspects de l'authentification, y compris le nom d'utilisateur, le mot de passe, la robustesse du mot de passe, etc.
Activer le SAML pour votre organisation
- Dans le menu de navigation, accéder à Utilisateurs > Paramètres d'authentification.
- Dans le menu de l'enregistrement, sélectionner SAML > Configuration de la connexion. Si la section SAML n'est pas visible, communiquer avec notre service d'assistance.
- Cliquer sur l'icône Modifier qui apparaît en haut à droite.
- Cocher la case SAML activé.
- (Facultatif) Sélectionner Autoriser la création d'utilisateurs non-SAML si vous souhaitez permettre l'authentification des utilisateurs qui n'utilisent pas le SAML.
- Téléverser le certificat du fournisseur d'identité (IdP) (fichier .cer).
- Entrer le point d'entrée (URL SingleSignOnService) fourni par votre fournisseur d'identité.
Remarque : cela fera basculer tous les utilisateurs actuels vers le SAML dès l'enregistrement. - Pour activer la déconnexion unique, sélectionner Activer la déconnexion unique et entrer l'URL de déconnexion unique. Remarque : la déconnexion unique initiée par le fournisseur de services (SP) ne fonctionne que si le fournisseur d'identité prend en charge la déconnexion unique SAML (SLO) et est configuré en conséquence.
- Sélectionner l'option de signature appropriée.
- Signer l'assertion SAML — signe uniquement l'assertion contenue dans la réponse SAML (valeur par défaut)
- Signer la réponse SAML — signe uniquement l'enveloppe de la réponse
- Signer la réponse et l'assertion SAML — signe à la fois la réponse et l'assertion
- Entrer l'identifiant (ID d'entité) fourni par votre fournisseur d'identité.
- Cliquer sur Sauvegarder pour appliquer la configuration.
- Si vous avez besoin du certificat du fournisseur de services, cliquer sur le bouton Actions, puis sur Télécharger service_provider.cer. Vous devrez téléverser ce fichier chez votre fournisseur d'identité.
- Copier les informations suivantes chez votre fournisseur d'identité :
- Émetteur (ID d'entité)
- URL de connexion SAML
- URL de déconnexion SAML
Vous pouvez également cliquer sur le bouton Actions pour télécharger le fichier service_provider.xml et le téléverser chez votre fournisseur d'identité.
Configuration avancée
Cette section permet de configurer un contexte d'authentification. Si vous devez configurer un contexte d'authentification, décocher la case et confirmer que le contexte est le bon dans le champ Contexte d'authentification (Authn context). Pour le moment, le seul algorithme de signature pris en charge est sha256.
Configuration de l'utilisateur
Cette section sera remplie automatiquement avec les attributs (claims) que Borealis attend pour l'ID utilisateur, le prénom, le nom de famille et le courriel. Vous pouvez modifier ces valeurs si elles ne correspondent pas à votre structure.
Par défaut, l'option Création automatique de l'utilisateur (Auto Create User) est activée. Cela signifie que si un utilisateur tente de se connecter à Borealis pour la première fois, son compte utilisateur sera créé automatiquement. Il n'aura toutefois accès à aucune donnée : il devra ensuite être assigné à des profils et projets.
Tester votre configuration SAML
Gardez votre session ouverte et utilisez un nouveau navigateur ou une fenêtre de navigation privée pour vous connecter à Borealis. Vous devriez être redirigé vers votre page de connexion de fédération, puis ramené à Borealis avec votre accès habituel.
Problèmes fréquents
| Problème | Que faire? |
| Je ne suis pas redirigé vers ma page de connexion de fédération. | Vérifier que l'option SAML activé est activée et que le point d'entrée est correct. |
| Je suis redirigé vers Borealis, mais je n'ai accès à rien. | Cela signifie qu'un nouvel utilisateur a été créé. Vérifier la section Configuration de l'utilisateur pour confirmer que les attributs (claims) sont correctement configurés. Vous devriez ensuite supprimer ou désactiver le nouvel utilisateur créé, puis effectuer un nouveau test. |
|
Après m'être connecté avec ma fédération, j'obtiens cette erreur : « Erreur d'authentification L'authentification SAML a échoué, veuillez communiquer avec le soutien Borealis » |
- Vérifier que le certificat du fournisseur d'identité téléversé est le bon. - Vérifier, chez votre fournisseur d'identité, que l'utilisateur s'est vu accorder l'accès à Borealis. |
Dépannage : Si vous n'arrivez pas à terminer la configuration SAML ou si les utilisateurs ne parviennent pas à s'authentifier, décochez la case SAML activé et sauvegardez la configuration. Cela désactive l'authentification SAML et ramène les utilisateurs à la connexion Borealis standard avec leurs mots de passe existants.