Configurer : ESA avec Keycloak
Découvrez comment configurer Efecte Secure Access en utilisant keycloak comme fournisseur d'identité
Configurer : ESA avec Keycloak
Découvrez comment configurer Efecte Secure Access en utilisant keycloak comme fournisseur d'identité
Comment configurer l'authentification pour Keycloak
Cet article décrit les instructions de configuration du composant Efecte Secure Access pour authentifier les utilisateurs finaux des solutions Efecte (comme IGA , ITSM, etc.), basées sur la plateforme de gestion des services Efecte et utilisant Keycloak comme fournisseur d'identité. Ce processus implique l'authentification des utilisateurs via OpenID
Instructions étape par étape
- Connectez-vous avec ESA Admin (main.admin) à l'URL domain.com/auth/admin
- Sélectionnez le royaume correct dans le coin supérieur gauche
- Ouvrez les paramètres Pro fournisseur d'identité à partir du panneau latéral gauche
- Ajoutez un nouveau fournisseur en sélectionnant OpenID Connect v1.0
- Nom du fournisseur d'identité (comme vous le souhaitez)
- Ajoutez des URL pour l'authentification (le client les fournit depuis Keycloak )
- Facultatif : la validation des signatures peut être activée, le client fournit l'URL pour JWKS
- Ajouter le secret client et le mot de passe (le client les fournit)
- Faites défiler vers le bas et choisissez le bouton Ajouter (il enregistre le fournisseur d'identité)
- Une fois la configuration ci-dessus terminée, une nouvelle option de connexion apparaît sur la page de connexion ESA qui vous renvoie à la page de connexion Keycloak .
Configuration des mappeurs ESA
Après avoir utilisé le nouveau bouton pour vous connecter à Okta, l'écran ci-dessous est visible sur l'écran, cela signifie que ESA a besoin d'une configuration supplémentaire pour les mappeurs.
Pour transférer l'utilisateur d' ESA vers d'autres systèmes (ESM, ESS, IGA ), ESA doit connaître le contexte de l'utilisateur. À cette fin, ESA stocke des métadonnées décrivant chaque utilisateur ayant tenté de se connecter.
L'écran ci-dessus s'affiche car ESA n'est pas en mesure de récupérer toutes les données nécessaires auprès du Pro d'identité et demande à l'utilisateur de saisir manuellement toutes les données requises.
Nous pouvons surmonter cela et préparer une automatisation qui mappera automatiquement les attributs avec les données provenant d'Okta, aux attributs requis par l'utilisateur ESA .
- Connectez-vous avec l'administrateur ESA (main.admin) à l'URL domain.com/auth
- Ouvrez les paramètres Pro fournisseur d'identité à partir du panneau latéral gauche
- Accédez à la section Mappers. Voici un exemple de définition.
- Pour le courrier électronique, utilisez le type de mappeur Attribute Importer.
Mappez l'attribut utilisateur email à http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- Pour le nom d'utilisateur, utilisez le type de mappeur Username Attribute Importer.
Mappez l'attribut de nom d'utilisateur username à http://schemas.xmlsoap.org/ws/2005/05/identity/claims/ name
- Pour le nom de famille, utilisez le type de mappeur Attribute Importer.
Mappez l'attribut utilisateur lastName à http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
- Pour le prénom, utilisez le mappeur de type Importateur d'attributs. Associez l'attribut utilisateur prénom à http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname.
Note!
Notez que ESA , pour avoir une compréhension complète de l'utilisateur, nécessite QUATRE mappages obligatoires : attributs nom d'utilisateur, e-mail, prénom et nom de famille.
Après ces étapes :
- Assurez-vous qu'une carte de données personnelle est créée dans ESM.
- Assurez- uid que Person a la bonne valeur dans servlet.auth.person.uid.attribute.code - il sera utilisé plus tard, comme nom de connexion.
Une fois les étapes ci-dessus terminées, pendant le processus de connexion, ESM créera l'objet utilisateur manquant, le liera à la personne déjà existante et passera à la page de démarrage d'ITSM pour le rôle donné.
Exemple de fournisseur d'identité OpenID
