Alors que l’informatique continue de se tourner vers le cloud et les applications SaaS (Software-as-a-Service), SAML est un sujet important lorsqu’on envisage des options d’authentification. SAML fournit 茅galement une autorisation unique qui peut 锚tre utilis茅e pour faire respecter les permissions des utilisateurs sur les services. Explorons SAML, son fonctionnement, son histoire et ses avantages, comment vous pouvez l’utiliser et comment il se compare 脿 ses alternatives.
Qu’est-ce que SAML SSO ?
Le protocole SAML (Security Assertion Markup Language) est la r茅f茅rence pour de nombreux fournisseurs d’authentification unique (SSO) d’applications Web et est utilis茅 pour connecter en toute s茅curit茅 les utilisateurs aux applications Web avec un seul ensemble d’informations d’identification. SAML utilise des certificats XML (Extensible Markup Language) pour confirmer l’authentification des utilisateurs entre un fournisseur d’identit茅 (IdP) et un fournisseur de services (SP) ou une application web.
Les utilisateurs peuvent cr茅er un mot de passe unique et fort pour s茅curiser leurs identifiants IdP sans avoir 脿 se soucier de conserver les mots de passe de leurs applications Web 茅crits dans un document ou sur une note autocollante attach茅e 脿 leur 茅cran, ou 脿 devoir utiliser des gestionnaires de mots de passe pour stocker les identifiants. (Notez que vous pouvez toujours b茅n茅ficier d’un gestionnaire de mots de passe SSO, cependant).
En bref, il s’agit d’une authentification unique (SSO) bas茅e sur le Web. Cela fait beaucoup d’acronymes, mais ils prendront tout leur sens lorsque nous nous pencherons sur le fonctionnement de SAML.
Qu’est-ce que SAML 2.0 ?
SAML 2.0 est la version actuelle de la norme SAML. Il s’agit d’une mise 脿 jour substantielle qui n’est pas r茅trocompatible avec son pr茅d茅cesseur et qui ajoute des fonctionnalit茅s qui avaient 茅t茅 incluses dans le cadre de la f茅d茅ration d’identit茅 Liberty Alliance, ce qui la rend beaucoup plus robuste et mature. La d茅connexion unique (pour tous les services) est l’une des am茅liorations les plus importantes.
Les avantages de SAML
L’utilisation de SAML pr茅sente de nombreux avantages. La s茅curit茅 et la facilit茅 relative de gestion des informations d’identification sont des avantages 茅vidents : les utilisateurs finaux n’ont pas besoin de se souvenir de tous les mots de passe n茅cessaires pour acc茅der 脿 leurs diverses applications Web. Le processus d’assertion utilise une communication XML s茅curis茅e via SAML directement entre le SP et l’IdP, et les mots de passe ne sont pas stock茅s sur des serveurs distants ou envoy茅s par c芒ble. Globalement, les administrateurs informatiques b茅n茅ficient d’une gestion centralis茅e du cycle de vie des utilisateurs, avec un contr么le tr猫s pr茅cis des ressources auxquelles les utilisateurs peuvent acc茅der. Cette caract茅ristique est id茅ale pour les secteurs r茅glement茅s qui doivent prendre des mesures strictes pour garantir la confidentialit茅 des donn茅es et le respect de la vie priv茅e.
Les administrateurs informatiques constatent g茅n茅ralement une r茅duction des tickets Helpdesk li茅s aux mots de passe, en plus d’une s茅curit茅 accrue gr芒ce 脿 SAML, et de la possibilit茅 d’ajouter une authentification multifactorielle (MFA) forte et conviviale, telle que Push MFA, et des protections contre le phishing.
Le SSO r茅duit 茅galement les risques de Shadow IT, c’est-脿-dire lorsque les utilisateurs g猫rent leur propre acc猫s aux applications sous le radar de l’茅quipe informatique. Les utilisateurs finaux, qui n’ont 脿 se soucier que d’un seul mot de passe, se lassent moins des mots de passe gr芒ce au SSO. De nombreux fournisseurs de SSO ont cr茅茅 des portails Web o霉 les utilisateurs finaux peuvent se connecter une fois, puis cliquer sur une tuile avec l’application 脿 laquelle ils doivent acc茅der, ce qui constitue une autre incitation 脿 adopter SAML.
Exemples de SAML en action
Le portail SSO susmentionn茅 est un bon exemple de la mani猫re dont SAML peut favoriser les synergies informatiques au sein des petites et moyennes entreprises (PME). Ce processus est souvent appel茅 芦 flux SAML 禄, lorsque les utilisateurs cliquent sur l’ic么ne d’une application et que l’authentification se produit en coulisse.
Un autre cas d’utilisation exploite les attributs de l’utilisateur pour d茅terminer 脿 quelle partie d’une application il doit avoir acc猫s. Par exemple, un employ茅 de la comptabilit茅 ne devrait pas avoir le m锚me niveau d’acc猫s qu’un directeur financier. Cela renforce le concept de s茅curit茅 de la s茅paration des t芒ches et contribue 脿 garantir le respect du principe du moindre privil猫ge, essentiel au mod猫le de s茅curit茅 robuste de la Confiance z茅ro.
黑料海角91入口 exploite de mani猫re unique le contr么le d’acc猫s bas茅 sur les attributs (ABAC) pour fournir une v茅rification crois茅e instantan茅e des utilisateurs d’un groupe aux applications et ressources dont ils ont besoin, et inclut des suggestions pour modifier les appartenances de groupe. Cette m茅thode diff猫re des m茅thodes traditionnelles de contr么le d’acc猫s bas茅es sur les r么les et imbriqu茅es qui n’ont pas 茅t茅 con莽ues 脿 l’origine pour les infrastructures informatiques bas茅es sur le SaaS.
Les d茅veloppeurs peuvent 茅galement utiliser SAML comme solution pour s茅curiser les services Web dorsaux 脿 l’aide d’une fonctionnalit茅 appel茅e protection des messages SAML. SAML est extr锚mement flexible et personnalisable.
Comment fonctionne SAML ?
Le processus de SAML est, par essence, une s茅rie d’茅changes entre l’utilisateur, un fournisseur de services (qui h茅berge l’application Web 脿 laquelle l’utilisateur veut acc茅der) et un fournisseur d’identit茅 (qui est le moyen par lequel l’utilisateur peut s’authentifier). Lorsqu’un utilisateur souhaite acc茅der 脿 une application Web, il visite d’abord le service via un 芦 agent 禄, qui est presque toujours un navigateur web standard comme Chrome, Firefox, Safari ou Edge. L’agent tente ensuite de demander l’acc猫s au SP en se connectant 脿 l’application Web.
Composants de SAML
L’茅change d’informations d’identit茅 sur l’authentification et l’autorisation est rendu possible par les composants principaux de SAML qui fonctionnent comme un syst猫me. Cette section pr茅sente chaque composant et son r么le dans la mise en place du cadre message/r茅ponse de SAML, qui permet de f茅d茅rer les identit茅s et les informations sur les utilisateurs dans plusieurs domaines. Tout d’abord, examinons une visualisation des 茅tapes de base d’une transaction via le protocole SAML. Cet exemple illustre ce qui se passe lorsqu’un utilisateur saisit les informations d’identification de son entreprise dans un service que votre organisation utilise.
Liaisons
Les liaisons sont l’infrastructure qui permet de transf茅rer les messages SAML sur les protocoles de r茅seau courants. Par exemple, une liaison HTTPS POST d茅finit comment transporter les r茅ponses d’un SP aux demandes d’un agent utilisateur (navigateur Web).
Protocoles
Comment la plupart des utilisateurs 茅tablissent-ils des connexions s茅curis茅es avec les services Web ? HTTPS est un exemple de protocole, avec SOAP, sp茅cifi茅 dans la norme SAML. Des certificats num茅riques (certificats X.509) sont utilis茅s du c么t茅 de l’IdP et du SP pour s茅curiser les communications.
Profils
Les profils sont ce qui regroupe les protocoles, les liaisons et les assertions de SAML pour chaque cas d’utilisation. 黑料海角91入口 simplifie ce concept en mettant 脿 la disposition des utilisateurs une biblioth猫que de centaines de 芦 connecteurs 禄, afin de leur 茅pargner les t芒ches les plus lourdes.
La section suivante d茅taille le fonctionnement des assertions, qui sont des paquets XML contenant des informations organisationnelles sur l’utilisateur, la m茅thode d’authentification, ainsi que des politiques sp茅cifiant l’acc猫s aux ressources et aux journaux de transactions.
Qu’est-ce que l’assertion SAML ?
Le SP a 茅t茅 administrativement configur茅 pour diff茅rer son authentification 脿 une source d’authentification sp茅cifique 鈥� le IdP ou la base de donn茅es d’utilisateurs, si vous voulez. La connexion est alors redirig茅e de mani猫re s茅curis茅e via l’Internet (et le navigateur) pour demander une authentification au fournisseur d’identit茅 afin de v茅rifier l’identit茅 de l’utilisateur.
Du point de vue de l’utilisateur, il s’agit d’une redirection vers un autre site Web qui contient une interface utilisateur simple avec un champ pour le nom d’utilisateur et le mot de passe. L’utilisateur saisit alors ses informations d’identification, qui sont ensuite v茅rifi茅es par rapport 脿 ses propres enregistrements.
Lorsque la v茅rification est r茅ussie, l’IdP g茅n猫re un certificat bas茅 sur XML, appel茅 assertion. Cela signifie que l’IdP g茅n猫re un 芦 laissez-passer 禄 figuratif, affirmant qu’il conna卯t l’utilisateur et qu’il peut acc茅der 脿 l’application demand茅e. Ce certificat est retransmis au navigateur de l’utilisateur, puis au fournisseur de services, qui redirige la page vers le service afin qu’il puisse ing茅rer le 芦 laissez-passer 禄 et permettre 脿 l’utilisateur d’acc茅der 脿 l’application. Il est 脿 noter que dans certains flux plus sophistiqu茅s, davantage de donn茅es sont renvoy茅es par l’IdP, notamment des attributs, l’appartenance 脿 un groupe, etc., afin d’aider le fournisseur de services 脿 attribuer avec pr茅cision les droits d’autorisation et 脿 fournir des donn茅es suppl茅mentaires dont le SP peut avoir besoin pour mieux servir l’utilisateur.
IdP et SP avec SAML
L’茅change d’informations a lieu entre le IdP et le SP. Comme d茅montr茅 ci-dessus, les fournisseurs utilisent SAML pour relayer les informations d’identification entre un fournisseur d’identit茅, qui contient les informations d’identification pour v茅rifier un utilisateur, et un fournisseur de services, qui est la ressource qui n茅cessite l’authentification. Le processus peut 锚tre initi茅 par l’une ou l’autre partie, mais c’est le IdP qui est responsable de la s茅curisation et de la gestion des identit茅s des utilisateurs et des groupes de l’annuaire. Les comptes stock茅s dans un IdP deviennent finalement des utilisateurs v茅rifi茅s sur un service par le biais de la f茅d茅ration d’identit茅 SAML.
SAML peut 锚tre utilis茅 en combinaison avec d’autres normes d’authentification en fonction du cas d’utilisation. Par exemple, une PME du secteur de la sant茅 utilisera SAML pour s茅curiser l’acc猫s au portail d’applications, tandis qu’une application mobile b茅n茅ficiera de l’efficacit茅 de l’OIDC. La section suivante donne un bref aper莽u de la m茅thode de SSO la plus optimale pour chaque cas.
Autres options d’authentification
SAML vs OAuth
OAuth tend 脿 锚tre plus centr茅 sur l’application que SAML, qui est principalement utilis茅 pour le SSO sur le web. OAuth serait le meilleur choix dans un cas o霉 une application doit permettre l’acc猫s aux fonctions mat茅rielles d’un appareil, comme une webcam ou un appareil photo.
SAML vs OpenID Connect (OIDC)
L’OIDC est de plus en plus populaire, en particulier parmi les d茅veloppeurs mobiles. Il fournit des communications 茅volutives et efficaces, mais n’a pas la m锚me capacit茅 脿 autoriser les utilisateurs avec des services que SAML. OAuth sert de base, avec une couche d’identit茅 suppl茅mentaire destin茅e 脿 l’identit茅 d茅centralis茅e. Il s’agit d’une position philosophique autant que technologique.
Cliquez ici pour une comparaison d茅taill茅e entre SAML et OpenID.
SAML vs LDAP
Ces deux normes vont de pair, un annuaire LDAP jouant le r么le de gestionnaire d’utilisateurs pour un IdP. La combinaison de ces protocoles d’authentification permet de se connecter 脿 un 茅ventail encore plus large de services, en toute s茅curit茅, afin d’atteindre les objectifs de l’entreprise.
Cliquez ici pour une comparaison d茅taill茅e entre SAML et LDAP.
La plateforme d’annuaire 黑料海角91入口 permet aux administrateurs informatiques de g茅rer leurs utilisateurs et leur acc猫s aux syst猫mes, applications, r茅seaux, infrastructures, serveurs de fichiers, etc. avec un seul jeu d’identifiants. En tant qu’IdP en cloud, 黑料海角91入口 a r茅imagin茅 le partenariat qui existe entre Active Directory et SSO pour l’猫re moderne, en fournissant pratiquement toutes les m锚mes capacit茅s et bien d’autres, le tout 脿 partir d’une seule console d’administration en cloud.
黑料海角91入口 exploite SAML, ainsi que LDAP, RADIUS et bien d’autres, pour offrir une v茅ritable exp茅rience SSO, ce qui signifie que les organisations informatiques peuvent utiliser une solution compl猫te au lieu d’une multitude d’outils diff茅rents. En outre, les administrateurs informatiques peuvent 茅galement utiliser 黑料海角91入口 pour mettre en 艙uvre des politiques de s茅curit茅 bas茅es sur la Confiance z茅ro, telles que l’authentification multifactorielle (MFA), l’acc猫s conditionnel, la complexit茅 des mots de passe, etc. 脿 l’茅chelle de leur organisation.
Utilisation de SAML avec 黑料海角91入口
True Single Sign-On鈩� s’茅tend au-del脿 du simple SAML, en utilisant un ensemble d’autres protocoles et m茅thodes d’authentification pour 茅tendre un ensemble d’informations d’identification de l’utilisateur 脿 pratiquement toutes les ressources. Heureusement, le service d’annuaire cloud de nouvelle g茅n茅ration de 黑料海角91入口 offre une exp茅rience True SSO aux organisations informatiques modernes.
Cet article explique en utilisant 黑料海角91入口. La m茅thode la plus simple consiste 脿 rechercher dans notre biblioth猫que croissante de connecteurs, mais il est 茅galement possible d’茅crire le v么tre.
Comment configurer SAML
Pour connecter une application 脿 黑料海角91入口 :
- Connectez-vous au portail d’administration 黑料海角91入口 脿 l’adresse suivante https://console.jumpcloud.com/login.
- Allez dans Authentification de l’utilisateur > SSO, puis cliquez sur ( + ). Le panneau Configurer une nouvelle application s’affiche.
- Recherchez une application par son nom 脿 l’aide de la barre de recherche situ茅e en haut du tableau de bord.
- Lorsque vous trouvez l’application 脿 laquelle vous souhaitez vous connecter, cliquez sur configurer.
黑料海角91入口, vous pouvez utiliser le pour connecter cette application 脿 黑料海角91入口.
黑料海角91入口 utilise le protocole SAML 2.0 comme m茅thode pour affirmer les identit茅s avec les fournisseurs de services d’application. 黑料海角91入口 est consid茅r茅 comme le fournisseur d’identit茅 et l’application comme le fournisseur de service.
Comment g茅rer l’authentification SAML
Le fournisseur de services fournit g茅n茅ralement des param猫tres de configuration SAML pour configurer le SSO 脿 partir d’un IdP compatible comme 黑料海角91入口.
L’image suivante pr茅sente les pour configurer Marketing Cloud pour le SSO SAML.
Comment g茅rer les assertions SAML
Pour se connecter 脿 une application Web en utilisant l’authentification SAML initi茅e par l’IdP :
- Un utilisateur entre ses donn茅es d’identification dans l’IdP.
- L’IdP authentifie et autorise l’utilisateur.
- Apr猫s s’锚tre connect茅, l’utilisateur navigue vers une liste d’applications Web auxquelles il peut acc茅der et s茅lectionne celle qu’il souhaite utiliser.
- Lorsque l’utilisateur clique sur l’application Web, l’IdP envoie une assertion SAML au SP.
- Le prestataire de services re莽oit l’assertion SAML et effectue quelques op茅rations :
- Le prestataire de services v茅rifie que l’assertion est valide et authentique.
- Le prestataire de services d茅termine qui est l’utilisateur et comment il doit 锚tre connect茅.
- La SP permet 脿 l’utilisateur d’acc茅der 脿 l’application sans qu’il ait 脿 se connecter 脿 nouveau.
Pour se connecter 脿 une application Web 脿 l’aide d’une authentification SAML initi茅e par le fournisseur de services :
- Un utilisateur se rend sur la page de connexion d’une application Web et saisit son nom d’utilisateur.
- Le comportement des SP varie, mais beaucoup d’entre eux d茅tectent que SAML SSO est impliqu茅 et redirigent l’utilisateur vers une page de connexion de l’IdP.
- L’utilisateur saisit ses informations d’identification sur la page de connexion de l’IdP.
- L’IdP authentifie et autorise l’utilisateur, puis renvoie une assertion SAML au SP avec les informations dont il a besoin.
- L’utilisateur est redirig茅 vers le SP avec acc猫s 脿 l’application.
Lire les notes de 黑料海角91入口 sur .
Essayez 黑料海角91入口 gratuitement
Vous pouvez d茅couvrir True SSO avec SAML, LDAP, RADIUS et bien plus encore en vous inscrivant simplement pour un essai .
Vous souhaitez vous familiariser avec la plateforme avant de vous lancer ? Nous proposons 茅galement des d茅monstrations gratuites et personnalis茅es de la plateforme pour vous montrer les ficelles du m茅tier avant que vous n’essayiez 黑料海角91入口 par vous-m锚me. Veuillez nous contacter si vous souhaitez en savoir plus.
