Pour lancer des applications et des postes de travail à distance à partir d'Omnissa Workspace ONE Access ou vous connecter à des applications et des postes de travail à distance via une passerelle ou un équilibreur de charge tiers, vous devez créer un authentificateur SAML dans Horizon Console. Un authentificateur SAML contient l'approbation et l'échange de métadonnées entre Horizon 8 et le périphérique auquel se connectent les clients.
Vous associez un authentificateur SAML à une instance du Serveur de connexion. Si votre déploiement inclut plusieurs instances du Serveur de connexion, vous devez associer l'authentificateur SAML à chaque instance.
Vous pouvez autoriser la mise en service d'un authentificateur statique et de plusieurs authentificateurs dynamiques à la fois. Vous pouvez configurer des authentificateurs vIDM (Dynamique) et Unified Access Gateway (Statique) et les maintenir actifs. Vous pouvez établir des connexions via l'un de ces authentificateurs.
Vous pouvez configurer plusieurs authentificateurs SAML sur un Serveur de connexion, et tous les authentificateurs peuvent être actifs simultanément. Toutefois, l'ID d'entité de chacun de ces authentificateurs SAML configurés sur le Serveur de connexion doit être différent.
L'état de l'authentificateur SAML dans le tableau de bord est toujours vert, car il s'agit de métadonnées prédéfinies qui sont statiques par nature. Le basculement entre le rouge et le vert ne s'applique que pour les authentificateurs dynamiques.
Pour plus d'informations sur la configuration d'un authentificateur SAML pour les dispositifs Omnissa Unified Access Gateway, reportez-vous à la section Méthodes d'authentification pour Unified Access Gateway et l'intégration de fournisseurs d'identité tiers.
Conditions préalables
-
Vérifiez que Workspace ONE, Omnissa Workspace ONE Access ou une passerelle ou un équilibreur de charge tiers est installé et configuré. Consultez la documentation d'installation de ce produit.
-
Vérifiez que le certificat racine de l'autorité de certification de signature du certificat du serveur SAML est installé sur l'hôte du Serveur de connexion. Omnissa recommande de ne pas configurer d'authentificateurs SAML pour utiliser des certificats auto-signés. Pour plus d'informations sur l'authentification des certificats, reportez-vous au document Installation et mise à niveau d'Horizon 8.
-
Notez le nom de domaine complet ou l'adresse IP du serveur Workspace ONE, du serveur Omnissa Workspace ONE Access ou de l'équilibrage de charge externe.
-
Si vous utilisez Workspace ONE ou Omnissa Workspace ONE Access, notez l'URL de l'interface Web du connecteur.
-
Si vous créez un authentificateur pour un dispositif Unified Access Gateway ou un dispositif tiers qui exige que vous génériez des métadonnées SAML et que vous créiez un authentificateur statique, exécutez la procédure sur le périphérique pour générer les métadonnées SAML, puis copiez les métadonnées.
Procédure
-
Dans Horizon Console, accédez à Paramètres > Serveurs.
-
Dans l'onglet Serveurs de connexion, sélectionnez une instance du serveur à associer à l'authentificateur SAML et cliquez sur Modifier.
-
Dans l'onglet Authentification, sélectionnez un paramètre dans le menu déroulant Délégation de l'authentification à Omnissa Horizon (authentificateur SAML 2.0) pour activer ou désactiver l'authentificateur SAML.
Option Description Désactivé L'authentification SAML est désactivée. Vous ne pouvez lancer des applications et des postes de travail distants qu'à partir d'Horizon Client. Activé L'authentification SAML est activée. Vous pouvez lancer des applications et des postes de travail distants à partir d'Horizon Client et d'Omnissa Workspace ONE Access ou du périphérique tiers. Obligatoire L'authentification SAML est activée. Vous ne pouvez lancer des applications et des postes de travail distants qu'à partir d'Omnissa Workspace ONE Access ou du périphérique tiers. Vous ne pouvez pas lancer manuellement des postes de travail ou des applications à partir d'Horizon Client. Vous pouvez configurer chaque instance du Serveur de connexion dans votre déploiement pour disposer de paramètres d'authentification SAML différents, adaptés à vos besoins.
-
Cliquez sur Gérer des authentificateurs SAML, puis sur Ajouter.
-
Configurez l'authentificateur SAML dans la boîte de dialogue Ajouter un authentificateur SAML 2.0.
Option Description Type Pour un dispositif Unified Access Gateway ou un périphérique tiers, sélectionnez Statique. Pour Omnissa Workspace ONE Access sélectionnez Dynamique. Pour les authentificateurs dynamiques, vous pouvez spécifiez une URL de métadonnées et une URL d'administration. Pour les authentificateurs statiques, vous devez d'abord générer les métadonnées sur un dispositif Unified Access Gateway ou sur un périphérique tiers, copier les métadonnées, puis les coller dans la zone de texte Métadonnées SAML. Étiquette Nom unique qui identifie l'authentificateur SAML. Description Brève description de l'authentificateur SAML. Cette valeur est facultative. URL de métadonnées (Pour les authentificateurs dynamiques) URL pour récupérer toutes les informations requises pour échanger des informations SAML entre le fournisseur d'identité SAML et l'instance du Serveur de connexion. Dans l'URL https://<YOUR HORIZON SERVER NAME>/SAAS/API/1.0/GET/metadata/idp.xml, cliquez sur <NOM DE VOTRE INSTANCE D'HORIZON SERVER> et remplacez-le par le nom de domaine complet ou l'adresse IP du serveur Omnissa Workspace ONE Access ou de l'équilibreur de charge externe (périphérique tiers).URL d'administration (Pour les authentificateurs dynamiques) URL pour accéder à la console d'administration du fournisseur d'identité SAML. Pour Omnisssa Workspace ONE Access, cette URL doit pointer vers l'interface Web d'Omnissa Workspace ONE Access Connector. Cette valeur est facultative. Mode de déclenchement de True SSO (Pour les authentificateurs dynamiques) Activez ou désactivez TrueSSO pour les authentificateurs SAML. Métadonnées SAML (Pour les authentificateurs statiques) Texte des métadonnées que vous avez générées et copiées à partir d'un dispositif Unified Access Gateway ou un périphérique tiers. Activé pour le Serveur de connexion Cochez cette case pour activer l'authentificateur. Vous pouvez activer plusieurs authentificateurs. Seuls les authentificateurs activés sont affichés dans la liste. Exiger l'assertion chiffrée (Horizon 2412 et versions ultérieures) Cochez cette case si vous avez besoin de la prise en charge de l'assertion chiffrée. Si le fournisseur d'identité n'est pas en mesure d'envoyer l'assertion chiffrée, laissez cet indicateur non coché (par défaut) et le Serveur de connexion par défaut autorisera une assertion SAML non chiffrée à partir du fournisseur d'identité. Lorsque le fournisseur d'identité envoie l'assertion chiffrée, le Serveur de connexion autorise l'assertion chiffrée même si l'option Exiger l'assertion chiffrée n'est pas cochée. Remarque : cette option est sélectionnée par défaut pour les fonctions Ajouter/Modifier l'authentificateur SAML.
Mode Workspace ONE Si cette option est activée, marque cet authentificateur SAML en tant qu'authentificateur Workspace ONE. Par défaut, le Serveur de connexion ne le considère pas comme un authentificateur Workspace ONE. Le fournisseur d'identité doit authentifier l'utilisateur à chaque fois Si cette option est activée, le fournisseur d'identité (IDP) doit s'authentifier à nouveau, même si une session SAML est actuellement active pour un utilisateur particulier. Par défaut, le fournisseur d'identité n'exige pas que les utilisateurs s'authentifient de nouveau lorsqu'une session utilisateur est déjà active.
6. Cliquez sur **OK** pour enregistrer la configuration de l'authentificateur SAML.Si vous avez fourni des informations valides, vous devez accepter le certificat auto-signé (non recommandé) ou utiliser un certificat approuvé pour Horizon 8 et Omnissa Workspace ONE Access ou le périphérique tiers. La boîte de dialogue Gérer des authentificateurs SAML affiche l'authentificateur récemment créé.
Étape suivante
Allongez la période d'expiration des métadonnées du Serveur de connexion pour que les sessions à distance ne se terminent pas après seulement 24 heures. Reportez-vous à la section Modifier la période d'expiration des métadonnées du fournisseur de services sur le Serveur de connexion.
Cette page vous a-t-elle été utile ?