Pour permettre à une application unique de s'enregistrer dans les services Omnissa Access afin de permettre à l'utilisateur d'accéder à l'application, créez un client de jeton d'accès de l'utilisateur.
Omnissa Access utilise OAuth 2.0 pour permettre aux applications de s'enregistrer dans Omnissa Access et de créer un accès délégué sécurisé aux applications activées dans le catalogue du Hub. Le client OAuth est autorisé via un jeton d'accès.
Vous pouvez créer et mettre à jour deux types de clients OAuth 2 : client Public et client Confidentiel.
Les clients publics tels que les applications natives à page unique s'exécutent dans des environnements qui ne peuvent pas maintenir la confidentialité d'une clé secrète du client. Lorsque le type de client est Public, vous pouvez sélectionner le type d'accord Mot de passe ou Code d'autorisation.
Lorsque vous sélectionnez Code d'autorisation pour le type de client Public, la prise en charge de PKCE (Proof Key of Code Exchange) est appliquée et ne peut pas être supprimée. Le protocole d'extension PKCE permet d'empêcher les attaques par interception de code d'autorisation. Les options de portée des clients publics sont limitées aux portées basées sur l'utilisateur uniquement. Les options de portée des clients publics ne peuvent pas être configurées avec des portées privilégiées telles que Admin.
Les clients confidentiels sont des applications qui peuvent s'authentifier en toute sécurité auprès du serveur d'autorisation. Leur ID de client et leur secret sont sécurisés. Si vous choisissez le type d'accord Code d'autorisation pour le type de client Confidentiel, l'option PKCE est activée par défaut. Vous pouvez supprimer l'option PKCE pour les clients confidentiels.
Pour les clients OAuth 2.0 qui utilisent le type d'autorisation Octroi de mot de passe, vous pouvez choisir de valider les mots de passe sur un fournisseur d'identité OpenID Connect tiers en sélectionnant la méthode d'authentification associée au fournisseur d'identité dans l'onglet Gestion d'OAuth 2.0 > Validation du mot de passe. Pour plus d'informations, reportez-vous à la section Activation de la validation du mot de passe avec un fournisseur d'identité tiers pour les clients OAuth 2.0 à l'aide du flux d'attribution de mot de passe.
Procédure
-
Dans la console Omnissa Access, sur la page Paramètres > Gestion d'OAuth 2.0, cliquez sur AJOUTER UN CLIENT.
-
Sur la page Ajouter un client configurez les éléments suivants.
Étiquette Description Type d'accès Les options sont de créer un jeton d'accès utilisateur ou un jeton de client de service. Sélectionnez Jeton d'accès de l'utilisateur. Type de client Public ou Confidentiel
Sélectionnez Public lorsque des applications s'exécutent dans des environnements qui ne peuvent pas maintenir la confidentialité d'une clé secrète du client.
Sélectionnez Confidentiel lorsque les applications peuvent s'authentifier en toute sécurité auprès du serveur d'autorisation. Si le type de client est Confidentiel, la page client est actualisée et l'ID de client et le secret partagé masqué s'affichent.ID client En sélectionnant Confidentiel, entrez un identifiant de client unique pour l'application. L'ID de client est utilisé pour s'authentifier auprès d'Omnissa Access. L'ID de client ne doit correspondre à aucun ID de client sur votre locataire. Les caractères suivants sont autorisés : caractères alphanumériques (A–Z, a–z, 0–9), point (.), trait de soulignement (_), trait d'union (-) et arobase (@). L'identifiant du client ne doit dépasser 256 caractères. Type d'autorisation Sélectionnez un ou plusieurs des types d'accords suivants. - L'autorisation d'informations d'identification du client s'affiche lorsque le type de client est Confidentiel.
- Accorder le mot de passe. Vous pouvez sélectionner Accorder le mot de passe pour le type de client Public ou Confidentiel.
- Accorder le code d'autorisation. Vous pouvez sélectionner Accorder le code d'autorisation pour le type de client Public ou Confidentiel. Lorsque vous sélectionnez Autoriser le code d'autorisation, le paramètre URI de redirection s'affiche sous Type d'accord. Lorsque Code d'autorisation est sélectionné, le paramètre de prise en charge de PKCE est activé par défaut.
- Accorder le jeton d'actualisation est activé par défaut lorsque le paramètre Émettre le jeton d'actualisation est activé.
URI de redirection Entrez l'URI de redirection enregistré pour accorder le code d'autorisation. Entrez https://redirecturi.com.
Vous pouvez utiliser une liste séparée par des virgules pour ajouter plusieurs URL de redirection.Accord utilisateur Activez Demander aux utilisateurs d'accepter la portée. Portée La portée définit la partie du compte de l'utilisateur à laquelle le jeton peut accéder. Les portées que vous pouvez sélectionner incluent E-mail, Profil, Utilisateur, NAPPS, OpenID, Groupe et Admin. Sélectionnez une ou plusieurs portées d'identité à inclure dans la demande d'autorisation OAuth 2.0.
Lorsque vous sélectionnez Admin, le paramètre rôles Admin s'affiche.Prise en charge de PKCE Lorsque le type d'accord est Accorder le code d'autorisation, la case Prise en charge de PKCE est activée. Si le type de client est Public, vous ne pouvez pas désactiver la prise en charge de PKCE. Si le type de client est Confidentiel, vous pouvez sélectionner de désactiver la prise en charge de PKCE. Rôles administrateur Pour les types de client Confidentiel, vous pouvez sélectionner le paramètre Admin dans Portée et, dans le menu déroulant, sélectionnez les rôles administrateur accordés à l'administrateur. Émettre le jeton d'actualisation Pour autoriser le retour d'un jeton d'actualisation, laissez cette option activée. TTL du jeton d'actualisation Définissez la durée de vie du jeton d'actualisation. Les nouveaux jetons d'accès peuvent être demandés jusqu'à l'expiration du jeton d'actualisation. Reportez-vous à la section Gestion des clients OAuth 2.0 dans Omnissa Access. TTL du jeton d'accès Le jeton d'accès expire dans le nombre de secondes défini dans TTL du jeton d'accès. Si Émettre le Jeton d'actualisation est activé, lors de l'expiration du jeton d'accès, l'application utilise le jeton d'actualisation pour demander un nouveau jeton d'accès. Durée de vie du jeton inactif Configurez la durée pendant laquelle un jeton d'actualisation peut être inactif avant qu'il ne puisse plus être réutilisé. Type de jeton Pour Omnissa Access, le type de jeton est Porteur. Accord utilisateur L'option Demander aux utilisateurs d'accepter l'étendue est activée. L'utilisateur voit un message répertoriant les étendues envoyées. -
Cliquez sur ENREGISTRER.
Si le type de client est Confidentiel, la page client est actualisée et l'ID de client et le secret partagé masqué s'affichent.
-
Copiez et enregistrez l'ID client et le secret partagé généré. Vous ajoutez ces informations lorsque vous configurez l'application.
Le code secret client doit rester confidentiel. Si une application déployée ne peut pas garder le secret, configurez-la avec le type de client Public.
Remarque : le secret partagé n'est pas enregistré. Si vous perdez le code secret, vous devez générer un nouveau secret et mettre à jour l'application qui utilise le même secret partagé avec le secret régénéré.
Pour régénérer un secret, cliquez sur l'ID client qui nécessite un nouveau secret sur la page Gestion OAuth 2.0, puis cliquez sur RÉGÉNÉRER LE SECRET.
Étape suivante
Dans l'application de ressource, configurez l'ID de client et le secret partagé généré. Consultez la documentation de l'application.
Cette page vous a-t-elle été utile ?