Configurer Okta

Vous pouvez configurer Okta en tant que fournisseur d'identités pour les identifiants de connexion SAML dans Portal for ArcGIS. Le processus de configuration comporte deux étapes principales : l'enregistrement du fournisseur d'identités SAML auprès de Portal for ArcGIS et l'enregistrement de Portal for ArcGIS auprès du fournisseur d'identités SAML.

Remarque :

Pour vous assurer que les identifiants de connexion SAML de votre organisation sont configurés de manière sécurisée, examinez les meilleures pratiques de la sécurité SAML.

Informations requises

Portal for ArcGIS requiert la réception de certaines informations attributaires de la part du fournisseur d’identités lorsqu’un utilisateur se connecte à l’aide d’identifiants SAML. L’attribut NameID est obligatoire. Il doit être envoyé par votre fournisseur d’identités dans la réponse SAML afin que la fédération avec Portal for ArcGIS fonctionne. Puisqu’Portal for ArcGIS utilise la valeur de NameID pour identifier de manière unique un utilisateur nommé, il est recommandé d’utiliser une valeur constante qui identifie l’utilisateur de manière unique. Lorsqu’un utilisateur du fournisseur d’identités se connecte, un nouvel utilisateur doté du nom d’utilisateur NameID est créé par Portal for ArcGIS dans son magasin d’utilisateurs. Les caractères autorisés pour la valeur envoyée par NameID sont les caractères alphanumériques, _ (trait de soulignement), . (point) et @ (symbole arobase). Tous les autres caractères sont désactivés pour contenir des traits de soulignement dans le nom d’utilisateur créé par Portal for ArcGIS.

Portal for ArcGIS prend en charge le flux de l’adresse électronique, de l’adhésion à des groupes, du nom donné et du prénom d’un utilisateur provenant du fournisseur d’identités SAML.

Enregistrez Okta en tant que fournisseur d'identités SAML auprès de Portal for ArcGIS

1. Vérifiez que vous êtes connecté en tant qu'administrateur de votre organisation.
2. En haut du site, cliquez sur Organization (Organisation), puis sur l’onglet Settings (Paramètres).
3. Cliquez sur Sécurité dans la partie gauche de la page.
4. Dans la section Logins (Connexions), cliquez sur le bouton New SAML login (Nouvelle connexion SAML) et sélectionnez l’option One identity provider (Un fournisseur d’identités). Sur la page Specify properties (Spécifier les propriétés), saisissez le nom de votre organisation (par exemple Ville de Redlands). Lorsque les utilisateurs accèdent au site Web du portail, ce texte est intégré dans le nom de l’option de connexion SAML (Utilisation de votre compte City of Redlands, par exemple).

   Remarque :

   Vous ne pouvez enregistrer qu’un seul fournisseur d’identités SAML ou une seule fédération de fournisseurs d’identités pour votre portail.

5. Sélectionnez Automatically (Automatiquement) ou Upon invitation from an administrator (À l’invitation d’un administrateur) pour préciser comment les utilisateurs peuvent rejoindre l’organisation. Sélectionnez la première option pour permettre aux utilisateurs de se connecter à l’organisation avec leur identifiant de connexion SAML sans intervention de l’administrateur. Leur compte est automatiquement enregistré auprès de l'organisation lors de leur première connexion. La seconde option suppose que l'administrateur enregistre les comptes nécessaires auprès de l'organisation à l'aide d'un utilitaire de ligne de commande ou d'un exemple de script Python. Une fois les comptes enregistrés, les utilisateurs peuvent se connecter à l’organisation.

   Conseil :

   Nous vous recommandons de désigner au moins un compte d'entreprise pour administrer votre portail et de rétrograder ou de supprimer le compte d'administrateur initial. Nous vous conseillons également de désactiver le bouton Create an account (Créer un compte) sur le site web du portail pour empêcher les utilisateurs de créer leurs propres comptes. Pour obtenir des instructions complètes, reportez-vous à la rubrique Configurer un fournisseur d'identités compatible avec SAML avec votre portail.

6. Indiquez des informations de métadonnées concernant le fournisseur d'identités à l'aide d'une des options ci-dessous :
   • File (Fichier) : téléchargez ou obtenez une copie du fichier de métadonnées de la fédération auprès de Okta et chargez le fichier dans Portal for ArcGIS à l’aide de l’option File (Fichier).

     Remarque :

     Si c’est la première fois que vous enregistrez un fournisseur de services auprès de Okta, vous devez obtenir le fichier de métadonnées après l’inscription de Portal for ArcGIS auprès de Okta.
   • Parameters specified here (Paramètres spécifiés ici) : sélectionnez cette option si l’URL ou le fichier de métadonnées de la fédération n’est pas accessible. Entrez les valeurs manuellement et fournissez les paramètres demandés : l’URL de connexion et le certificat, chiffrés au format BASE 64. Contactez votre administrateur Okta pour les obtenir.
7. Configurez les paramètres avancés comme il convient :
   • Encrypt Assertion (Chiffrer l’assertion) : activez cette option pour chiffrer les réponses d’assertion SAML de Okta.
   • Enable Signed Request (Activer la demande signée) : activez cette option pour que Portal for ArcGIS signe la demande d’authentification SAML envoyée à Okta.
   • Propagate logout to Identity Provider (Propager la déconnexion au fournisseur d’identités) : activez cette option pour que Portal for ArcGIS utilise une URL de déconnexion pour déconnecter l’utilisateur du fournisseur d’identités Okta. Indiquez l'URL à utiliser dans le paramètre URL de déconnexion. Si le fournisseur d’identités exige la signature de l’URL de déconnexion, vous devez activer Enable signed request (Activer la demande signée).
   • Update profiles on sign in (Mettre à jour les profils lors de la connexion) : activez cette option pour qu’ArcGIS Enterprise mette à jour les attributs givenName et email address des utilisateurs s’ils ont changé depuis leur dernière connexion.
   • Enable SAML based group membership (Activer l’appartenance à un groupe de type SAML) : sélectionnez cette option pour autoriser les membres de l’organisation à relier des groupes d’entreprise SAML spécifiés à des groupes ArcGIS Enterprise pendant le processus de création de groupe.
   • URL de déconnexion : l'URL du fournisseur d'identités à utiliser pour déconnecter l'utilisateur actuellement connecté.
   • Entity ID (ID d’entité) : mettez cette valeur à jour pour utiliser un nouvel ID d’entité qui identifie de manière unique votre portail auprès de Okta.

   Les paramètres Encrypt Assertion (Chiffrer l’assertion) et Enable signed request (Activer la demande signée) utilisent le certificat samlcert dans le KeyStore du portail. Pour utiliser un nouveau certificat, supprimez le certificat samlcert, créez un certificat avec le même alias (samlcert) en suivant la procédure indiquée dans la rubrique Importer un certificat dans le portail, puis redémarrez le portail.

8. Lorsque vous avez terminé, cliquez sur Enregistrer.
9. Cliquez sur Download service provider metadata (Télécharger les métadonnées du fournisseur de services) pour télécharger le fichier de métadonnées du portail. Les informations de ce fichier seront utilisées pour enregistrer le portail comme fournisseur de services approuvé auprès d’Okta.

Inscrire Portal for ArcGIS en tant que fournisseur de services approuvé auprès de Okta

1. Connectez-vous à votre organisation Okta en tant que membre doté de privilèges administratifs.
2. Dans l’onglet Applications, cliquez sur le bouton Ajouter une application.
3. Cliquez sur Créer une nouvelle application et sélectionnez l’option SAML 2.0. Cliquez sur Create (Créer).
4. Dans Paramètres généraux, entrez un Nom d’application pour votre déploiement de portail et cliquez sur Suivant.
5. Dans l’onglet Configurer SAML, procédez comme suit :
   1. Saisissez la valeur pour Single sign on URL (URL d’authentification unique), par exemple https://portalhostname.domain.com/portalcontext/sharing/rest/oauth2/saml/signin. Cette valeur peut être copiée à partir du fichier de métadonnées du fournisseur de services téléchargé depuis votre portail.
   2. Entrez la valeur pour URI d’audience. La valeur par défaut est définie sur portalhostname.domain.com.portalcontext. Cette valeur peut être copiée à partir du fichier de métadonnées du fournisseur de services téléchargé depuis votre portail.
   3. Laissez Format de l’ID de nom défini sur Non spécifié.
   4. Sous Paramètres avancés, remplacez l’option Signature d’assertions définie sur Non signé.
   5. Dans la section Instructions d’attributs, ajoutez ces instructions d’attributs :

      givenName défini sur user.firstName

      surname défini sur user.lastName

      email défini sur user.email

6. Cliquez sur Next (Suivant) et sur Finish (Terminer).
7. Vous voyez maintenant la section Single Sign On (Authentification unique) de l'application SAML que vous venez de créer. Pour obtenir les métadonnées du fournisseur d’identités Okta, cliquez sur l’onglet Sign On (Connexion), puis sur le lien Identity Provider metadata (Métadonnées concernant le fournisseur d’identités).
8. Cliquez avec le bouton droit sur l’onglet People (Personnes) et configurez les utilisateurs authentifiés Okta qui auront accès à votre portail.