Intégrer Omnissa Identity Service à un fournisseur d'identité générique

Après avoir activé Omnissa Identity Service dans Omnissa Connect, configurez l'intégration à votre fournisseur d'identité basé sur SCIM 2.0.

1. Dans l'assistant Prise en main d'Omnissa Identity Service, cliquez sur Démarrer à l'étape 2, Intégrer un fournisseur d'identité basé sur SCIM 2.0.

2. Cliquez sur Configurer sur la carte Fournisseur d'identité SCIM 2.0.

   

3. Utilisez l'assistant pour configurer l'intégration à votre fournisseur d'identité.

Étape 1 : créer un annuaire

La première étape de configuration du provisionnement des utilisateurs et de la fédération des identités avec Omnissa Identity Service consiste à créer un annuaire dans la console Omnissa Connect pour les utilisateurs et les groupes provisionnés à partir de votre fournisseur d'identité.

Attention : une fois l'annuaire créé, vous ne pouvez pas modifier la sélection de votre fournisseur d'identité. Assurez-vous de sélectionner le fournisseur d'identité approprié avant de continuer.

Procédure

1. À l'étape 1, Informations générales de l'assistant, entrez le nom que vous souhaitez utiliser pour l'annuaire provisionné dans Omnissa Identity Service.

   Le nom ne doit pas dépasser 128 caractères. Seuls les caractères suivants sont autorisés : lettres (a-z ou équivalent dans d'autres langues), chiffres (0-9), espace, trait d'union (-) et trait de soulignement (_).

   Important : vous ne pouvez pas modifier le nom de l'annuaire après sa création.

2. Dans Nom de domaine, entrez le nom de domaine principal de votre annuaire source, y compris l'extension telle que .com ou .net.

   Omnissa Identity Service ne prend actuellement en charge qu'un seul domaine. Les utilisateurs et les groupes provisionnés sont associés à ce domaine dans les services Omnissa.

   Le nom de domaine ne doit pas dépasser 100 caractères. Seuls les caractères suivants sont autorisés : lettres (a-z ou équivalent dans d'autres langues), chiffres (0-9), espace, trait d'union (-), trait de soulignement (_) et point (.).

   Par exemple :

   

3. Cliquez sur Enregistrer et confirmez votre sélection.

Étape suivante

Configurez le provisionnement d'utilisateurs et de groupes.

Étape 2 : configurer le provisionnement d'utilisateurs et de groupes

Après avoir créé un annuaire dans Omnissa Identity Service, configurez le provisionnement des utilisateurs et des groupes. Démarrez le processus dans Omnissa Identity Service en générant les informations d'identification de l'administrateur requises pour le provisionnement, puis configurez celui-ci dans le fournisseur d'identité à l'aide de ces informations d'identification.

Remarque : ces informations s'appliquent aux fournisseurs d'identité basés sur SCIM 2.0 autres que Microsoft Entra ID et Okta. Pour effectuer l'intégration d'Omnissa Identity Service à Microsoft Entra ID, reportez-vous à la section Intégration d'Omnissa Identity Service à Microsoft Entra ID. Pour intégrer Omnissa Identity Service à Okta, reportez-vous à la section Intégration d'Omnissa Identity Service à Okta.

Remarque : cette rubrique fournit des informations générales sur la configuration d'un fournisseur d'identité tiers. Les étapes et les emplacements exacts des tâches varient en fonction de votre fournisseur d'identité. Pour obtenir des informations spécifiques, reportez-vous à la documentation de votre fournisseur d'identité.

Conditions préalables

Vous disposez d'un compte d'administrateur dans le fournisseur d'identité avec les privilèges requis pour configurer le provisionnement d'utilisateurs.

Procédure

1. Dans la console Omnissa Connect, à l'étape 2, Configurer le fournisseur d'identité, de l'assistant Omnissa Identity Service, sélectionnez le type d'informations d'identification requis pour configurer le provisionnement des utilisateurs dans votre fournisseur d'identité.

   Vous avez le choix entre les éléments suivants :

   • ID client et clé secrète
   • URL et jeton du locataire Étant donné que les jetons expirent et doivent être mis à jour manuellement, l'option ID client et clé secrète est préférée. En matière de sécurité, la meilleure pratique consiste à effectuer une rotation de l'ID client et de la clé secrète du client tous les six mois.

   Lorsque vous cliquez sur Suivant, Omnissa Identity Service génère les informations d'identification.

2. Si vous avez sélectionné ID client et clé secrète, copiez les valeurs ID client et Clé secrète du client.

   Important : veillez à copier la clé secrète avant de cliquer sur Suivant. Une fois que vous avez cliqué sur Suivant, la clé secrète ne s'affiche plus et vous devrez en générer une autre. Sachez que chaque fois que vous régénérez la clé secrète, la précédente n'est plus valide et le provisionnement échoue. Veillez à copier et à coller la nouvelle clé sécrete dans l'application du fournisseur d'identité.

   Par exemple :

   

3. Si vous avez sélectionné URL et jeton du locataire, vérifiez et copiez les valeurs générées.

   • URL du locataire : point de terminaison SCIM 2.0 de votre locataire Omnissa Identity Service. Copiez la valeur.

   • Durée de vie du jeton : période pendant laquelle le jeton secret est valide

     Par défaut, Omnissa Identity Service génère le jeton avec une durée de vie par défaut de 6 mois. Pour modifier la durée de vie du jeton, cliquez sur la flèche vers le bas, sélectionnez une autre option, puis cliquez sur Régénérer pour régénérer le jeton avec la nouvelle valeur.

     Important : lorsque vous mettez à jour la durée de vie du jeton, le précédent n'est plus valide et le provisionnement des utilisateurs et des groupes à partir du fournisseur d'identité échoue. Vous devez régénérer un nouveau jeton, puis copier et coller le nouveau jeton dans le fournisseur d'identité.

   • Jeton secret : jeton requis par le fournisseur d'identité pour provisionner les utilisateurs dans Omnissa Identity Service. Copiez la valeur.

     Important : veillez à copier le jeton avant de cliquer sur Suivant. Une fois que vous avez cliqué sur Suivant, le jeton ne s'affiche plus et vous devrez en générer un autre. Veuillez noter que chaque fois que vous régénérez le jeton, le jeton précédent n'est plus valide, ce qui entraîne l'échec du provisionnement. Veillez à copier et à coller le nouveau jeton dans le fournisseur d'identité.

   Par exemple :

   

   Lorsque le jeton est sur le point d'expirer, une notification de barrière s'affiche dans Omnissa Identity Service. Si vous souhaitez également recevoir des notifications par e-mail, assurez-vous d'avoir accepté de recevoir des e-mails. Reportez-vous à la section Activation des notifications par e-mail.

4. Dans votre fournisseur d'identité, configurez le provisionnement des utilisateurs et des groupes sur Omnissa Identity Service.

   1. Connectez-vous à la console de votre fournisseur d'identité en tant qu'administrateur.

   2. Configurez le provisionnement SCIM 2.0.

      Lorsque vous y êtes invité, entrez les informations d'identification générées dans la console Omnissa Connect.

   3. Activez le provisionnement.

Étape suivante

Revenez à la console Omnissa Connect pour continuer avec l'assistant Omnissa Identity Service.

Étape 3 : mapper les attributs utilisateur SCIM

Mappez les attributs utilisateur à synchroniser entre votre fournisseur d'identité et les services Omnissa. Dans la console de votre fournisseur d'identité, ajoutez les attributs utilisateur SCIM requis et mappez-les aux attributs correspondants de votre fournisseur d'identité. Synchronisez au minimum les attributs requis par Omnissa Identity Service et les services Omnissa qui lui sont intégrés.

Omnissa Identity Service et les services Omnissa nécessitent les attributs utilisateur SCIM suivants :

• userName
• emails[type eq "work"].value
• name.givenName
• name.familyName
• externalId
• active

Pour plus d'informations sur ces attributs et leur mappage aux attributs Omnissa, reportez-vous à la section Mappage d'attributs utilisateur pour Omnissa Identity Service.

Outre les attributs requis, vous pouvez synchroniser les attributs facultatifs et les attributs personnalisés. Pour obtenir la liste des attributs facultatifs et personnalisés pris en charge, reportez-vous à la section Mappage d'attributs utilisateur pour Omnissa Identity Service.

Procédure

1. Dans la console Omnissa Connect, à l'étape 3, Mapper les attributs utilisateur SCIM, de l'assistant Omnissa Identity Service, vérifiez la liste des attributs pris en charge par Omnissa Identity Service.

2. Dans la console d'administration de votre fournisseur d'identité, accédez à la configuration du provisionnement d'Omnissa Identity Service.

3. Accédez à la page de mappage d'attributs.

4. Mappez les attributs utilisateur SCIM requis aux attributs correspondants de votre fournisseur d'identité.

5. Ajoutez et mappez les attributs utilisateur SCIM facultatifs et personnalisés, si nécessaire.

Étape suivante

Revenez à la console Omnissa Connect pour continuer avec l'assistant Omnissa Identity Service.

Étape 4 : sélectionner le protocole d'authentification

Sélectionnez le protocole à utiliser pour l'authentification fédérée. Omnissa Identity Service prend en charge les protocoles OpenID Connect et SAML.

Attention : faites votre choix avec soin. Après avoir sélectionné le protocole et configuré l'authentification, vous ne pouvez pas changer le type de protocole sans supprimer l'annuaire.

Conditions requises pour certains flux basés sur le nom d'utilisateur et le mot de passe dans Workspace ONE UEM (flux d'octroi du mot de passe)

Si vous prévoyez d'utiliser certains flux basés sur le nom d'utilisateur et le mot de passe Workspace ONE UEM et reposant sur le protocole d'octroi du mot de passe, vous devez sélectionner OpenID Connect comme protocole d'authentification dans Omnissa Identity Service.

Vous devez également activer le paramètre Octroi du mot de passe sur la page Services d'annuaire Workspace ONE UEM pour accorder l'autorisation d'utiliser le protocole d'octroi du mot de passe hérité. Reportez-vous à la section Configurer les paramètres de Workspace ONE UEM pour Omnissa Identity Service.

Pour la liste des flux auxquels s'appliquent ces exigences, reportez-vous à la section Prise en charge de certains flux basés sur le nom d'utilisateur et le mot de passe Workspace ONE UEM.

Procédure

1. À l'étape 4, Sélectionner le protocole d'authentification de l'assistant, sélectionnez OpenID Connect ou SAML.

2. Si vous prévoyez de créer des utilisateurs de base dans Workspace ONE UEM, développez Configurer l'authentification utilisateur de base d'UEM et activez l'option Authentification utilisateur de base pour UEM.

   Pour plus d'informations, reportez-vous à la section Configuration de l'authentification des utilisateurs de base de Workspace ONE UEM.

3. Cliquez sur Suivant.

   L'étape suivante de l'assistant s'affiche avec les valeurs requises pour configurer le protocole que vous avez sélectionné.

Étape suivante

Configurez Omnissa Identity Service et le fournisseur d'identité pour l'authentification fédérée.

Étape 5 : configurer l'authentification (fournisseur d'identité SCIM générique)

Pour configurer l'authentification fédérée avec votre fournisseur d'identité, configurez une application OpenID Connect ou SAML dans le fournisseur d'identité à l'aide des métadonnées du fournisseur de services d'Omnissa Identity Service et configurez Omnissa Identity Service avec les valeurs de l'application.

Remarque : cette rubrique fournit des informations générales sur la configuration d'un fournisseur d'identité tiers. Les étapes exactes des tâches varient en fonction de votre fournisseur d'identité. Pour obtenir des informations spécifiques, reportez-vous à la documentation de votre fournisseur d'identité.

OpenID Connect

Si vous avez sélectionné OpenID Connect comme protocole d'authentification, procédez comme suit.

1. À l'étape 5, Configurer OpenID Connect, de l'assistant Omnissa Identity Service, copiez la valeur URI de redirection.

   Cette valeur est requise pour l'étape suivante, lorsque vous créez une application OpenID Connect dans votre fournisseur d'identité.

   

2. Dans la console d'administration du fournisseur d'identité, créez une application OpenID Connect.

3. Recherchez la section URI de redirection dans l'application, puis copiez et collez la valeur URI de redirection copiée à partir de l'assistant Omnissa Identity Service.

4. Créez une clé secrète client pour l'application et copiez-la.

   Entrez la clé secrète dans l'assistant Omnissa Identity Service à l'étape suivante.

5. Revenez à l'assistant Omnissa Identity Service dans la console Omnissa Connect, puis terminez la configuration dans la section Configurer OpenID Connect.

   ID client	Copiez et collez la valeur de l'ID client à partir de l'application du fournisseur d'identité.
   Clé secrète du client	Copiez et collez la clé secrète du client à partir de l'application du fournisseur d'identité.
   URL de configuration	Copiez et collez l'URL de configuration connue d'OpenID Connect de l'application du fournisseur d'identité. Par exemple : https://example.com/.well-known/openid-configuration
   Attribut d'identifiant d'utilisateur OIDC	Spécifiez l'attribut OpenID Connect à mapper à l'attribut Workspace ONE pour les recherches d'utilisateurs.
   Attribut d'identifiant d'utilisateur Workspace ONE	Spécifiez l'attribut Workspace ONE à mapper à l'attribut OpenID Connect pour les recherches d'utilisateurs.

6. Dans l'assistant Omnissa Identity Service, cliquez sur Terminer pour terminer la configuration de l'intégration entre Omnissa Identity Service et votre fournisseur d'identité.

SAML

Si vous avez sélectionné SAML comme protocole d'authentification, procédez comme suit.

1. Obtenez les métadonnées du fournisseur de services à partir de la console Omnissa Connect.

   À l'étape 5, Configurer Single Sign-On SAML, de l'assistant Omnissa Identity Service, copiez ou téléchargez les métadonnées du fournisseur de services SAML.

   

2. Dans la console d'administration du fournisseur d'identité, accédez à la page de configuration de Single Sign-On.

3. Configurez Single Sign-On à l'aide des valeurs de l'assistant Omnissa Identity Service.

   Les étapes de configuration typiques incluent l'une des suivantes en fonction des éléments pris en charge par le fournisseur d'identité :

   • Recherchez l'option Métadonnées du fournisseur de services, puis chargez ou copiez/collez les métadonnées du fournisseur de services SAML à partir de l'assistant Omnissa Identity Service.

   • Si le fournisseur d'identité ne propose pas d'option pour charger le fichier de métadonnées ou si vous préférez configurer les paramètres individuellement, copiez et collez les valeurs suivantes de l'étape 5 de l'assistant Omnissa Identity Service dans les champs correspondants de la console du fournisseur d'identité :

     Valeur ID d'entité : Par exemple, https://yourIdentityServiceFQDN/SAAS/API/1.0/GET/metadata/sp.xml.

     Valeur URL Single Sign-On : Par exemple, https://yourIdentityServiceFQDN/SAAS/auth/saml/response.

     Certificat de signature

     Certificat de chiffrement (sous Options avancées) : requis si vous prévoyez d'activer le chiffrement SAML dans le fournisseur d'identité.

4. Recherchez et copiez les métadonnées SAML du fournisseur d'identité à partir de la console du fournisseur d'identité.

5. Dans la console Omnissa Connect, à l'étape 5, Configurer Single Sign-On SAML, de l'assistant Omnissa Identity Service, collez les métadonnées du fournisseur d'identité dans la zone de texte Métadonnées du fournisseur d'identité.

   

6. Configurez les autres options de la section Configurer Single Sign-On SAML selon les besoins.

   • Protocole de liaison : sélectionnez le protocole de liaison SAML, HTTP POST ou Redirection HTTP.

   • Format de l'ID du nom : utilisez les paramètres Format de l'ID du nom et Valeur de l'ID du nom pour mapper les utilisateurs entre votre fournisseur d'identité et Omnissa Identity Service. Pour Format de l'ID du nom, spécifiez le format de l'ID du nom utilisé dans la réponse SAML.

   • Valeur de l'ID du nom : sélectionnez l'attribut utilisateur Omnissa Identity Service auquel mapper la valeur de l'ID du nom reçue dans la réponse SAML.

   • Contexte SAML : sélectionnez le contexte d'authentification SAML. Vous pouvez sélectionner l'une des valeurs affichées dans le menu déroulant ou taper une valeur personnalisée. La valeur par défaut est urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified.

     Le contexte d'authentification indique comment les utilisateurs sont authentifiés auprès d'un fournisseur d'identité. Le fournisseur d'identité comprend le contexte d'authentification dans une assertion à la demande d'un fournisseur de services ou en fonction de la configuration au niveau du fournisseur d'identité.

   • Envoyer le sujet dans la demande SAML (si disponible) : sélectionnez cette option pour envoyer le sujet au fournisseur d'identité comme indication de connexion afin d'améliorer l'expérience de connexion de l'utilisateur, si le sujet est disponible.

   • Utiliser la déconnexion unique SAML : sélectionnez cette option si vous souhaitez déconnecter les utilisateurs de leur session auprès du fournisseur d'identité à la suite de leur déconnexion des services Omnissa.

   • URL de déconnexion unique du fournisseur d'identité : si votre fournisseur d'identité ne prend pas en charge la déconnexion unique SAML, vous pouvez utiliser cette option pour spécifier l'URL vers laquelle rediriger les utilisateurs après leur déconnexion des services Omnissa. Si vous utilisez cette option, cochez également la case Utiliser la déconnexion unique SAML.

     Si vous laissez cette option vide, les utilisateurs sont redirigés vers le fournisseur d'identité à l'aide de la déconnexion unique SAML.

7. Dans l'assistant, cliquez sur Terminer pour terminer la configuration de l'intégration entre Omnissa Identity Service et votre fournisseur d'identité.

Résultats

L'intégration entre Omnissa Identity Service et votre fournisseur d'identité est terminée.

L'annuaire est créé dans Omnissa Identity Service et sera renseigné lorsque vous transférez des utilisateurs et des groupes à partir de l'application de provisionnement dans le fournisseur d'identité. Les utilisateurs et les groupes provisionnés s'afficheront automatiquement dans les services Omnissa que vous choisissez d'intégrer au fournisseur d'identité, tels que Omnissa Access et Workspace ONE UEM.

Vous ne pouvez pas modifier l'annuaire dans les consoles Omnissa Access, Workspace ONE UEM ou Horizon Cloud. Les pages suivantes sont en lecture seule : annuaire, utilisateurs, groupes d'utilisateurs, attributs utilisateur et fournisseur d'identité.

Étape suivante

Ensuite, sélectionnez les services Omnissa dans lesquels vous souhaitez provisionner des utilisateurs et des groupes.

Si Workspace ONE UEM est l'un des services que vous sélectionnez, configurez des paramètres supplémentaires dans Workspace ONE UEM Console.

Ensuite, transférez les utilisateurs et les groupes à partir de votre fournisseur d'identité. Reportez-vous à Provisionnement d'utilisateurs dans Workspace ONE.