Charger les métadonnées SAML du fournisseur d'identité dans Unified Access Gateway

Pour configurer SAML ainsi que des méthodes d'authentification SAML et relais dans Horizon, vous devez charger le fichier XML de métadonnées de certificat SAML du fournisseur d'identité dans Unified Access Gateway (UAG). Le téléchargement permet à UAG de faire confiance au fournisseur d'identité en vérifiant la signature d'une assertion à l'aide de la clé publique du fournisseur d'identité.

Conditions préalables

Vous devez avoir téléchargé le fichier XML de métadonnées SAML à partir du fournisseur d'identité et enregistré ce fichier sur un ordinateur auquel vous pouvez accéder.

Procédure

1. Dans la section Configurer manuellement de la console l'administration d'UAG, cliquez sur Sélectionner.

2. Dans la section Paramètres avancés > Paramètres du pontage d'identité, sélectionnez l'icône en forme d'engrenage Charger les métadonnées du fournisseur d'identité.

3. Entrez l'ID d'entité du fournisseur d'identité dans la zone de texte ID d'entité.

   Si vous n'entrez pas de valeur dans la zone de texte ID d'entité, le nom du fournisseur d'identité dans le fichier de métadonnées est analysé et utilisé comme ID d'entité du fournisseur d'identité.

4. Dans la section Métadonnées du fournisseur d'identité, cliquez sur Sélectionner et accédez à l'emplacement d'enregistrement du fichier de métadonnées.

5. Si les métadonnées chargées prennent en charge la liaison d'artefact HTTP, les paramètres supplémentaires URL ARS du fournisseur d'identité, Empreintes numériques de l'URL du fournisseur d'identité et Certificats approuvés s'affichent.

   • L'URL ARS du fournisseur d'identité est renseignée automatiquement à partir des métadonnées chargées et ne peut pas être modifiée directement.
   • Spécifiez une empreinte numérique uniquement si le certificat du serveur SSL du fournisseur d'identité n'est pas émis par une autorité de certification approuvée. Par exemple, un certificat auto-signé ou un certificat émis par une autorité de certification interne. Une empreinte numérique est au format [alg=]xx:xx… où alg peut être sha1, sha256 (valeur par défaut), sha384 et sha512, et les xx sont des chiffres hexadécimaux. L'algorithme de hachage doit répondre aux exigences spécifiées pour la taille de hachage minimale. Par exemple, sha1=C3 89 A2 19 DC 7A 48 2B 85 1C 81 EC 5E 8F 6A 3C 33 F2 95 C3, sha256=ad:5c:f1:48:47:94:7e:80:82:73:13:6c:83:52:b:e:78:ed:ff:50:23:56:a8:42:8a:d9:30:fc:3a:33:d6:c6:db, sha512=2221B24DC78018A8FAFF81B7AD348722390793DE8C0E5E5AA1D622BCC951D4DA5DBB1C76C79A258A7AFBD1727447151C90E1733E7E83A7D1D46ADF1A31C78496
   • L'empreinte numérique du certificat peut être configurée pour la validation du certificat de serveur renvoyé dans la communication entre Unified Access Gateway et le fournisseur d'identité.

6. Sélectionnez PEM comme type de format de certificat dans le menu déroulant Type de certificat de chiffrement.

7. Dans Clé privée, cliquez sur Sélectionner et accédez à l'emplacement dans lequel vous avez enregistré la clé privée pour le certificat au format PEM.

8. Dans Chaîne de certificats, cliquez sur Sélectionner et accédez à l'emplacement dans lequel vous avez enregistré la chaîne de certificats au format PEM.

9. Pour activer l'option Autoriser les assertions SAML non chiffrées, activez la bascule. Si celle-ci est désactivée, les assertions non chiffrées ne sont pas autorisées lors de l'authentification SAML.

10. Pour activer la fonction Toujours forcer l'authentification SAML, activez l'option. Lorsque la bascule est activée, elle force toujours la présentation de la page d'authentification SAML à l'utilisateur lorsque ce fournisseur d'identité est utilisé, à condition que celui-ci soit également configuré pour forcer l'authentification SAML.

**Remarque :** lorsque vous activez la fonction **Toujours forcer l'authentification SAML**, `SAML ForceAuthn="true"` est défini comme attribut de la requête AuthnRequest sur le fournisseur d'identité. Celui-ci est averti pour ignorer tout contexte de sécurité précédent lors de l'authentification de l'utilisateur.

11. Cliquez sur Enregistrer.

    Le message suivant s'affiche : Configuration is saved successfully.

    UAG affiche les détails du certificat de métadonnées chargées du fournisseur d'identité.

    Vous pouvez supprimer toutes les métadonnées inutilisées du fournisseur d'identité.

Étapes suivantes

Configurez les paramètres d'Horizon sur UAG pour sélectionner la méthode d'authentification et choisir le fournisseur d'identité requis.