‣

Table of contents

‣

history changes

1. Preamble

SAML enables users to uniquely identify themselves to the various web applications they use.

Dans le modèle SAML Project Monitor est un fournisseur de service (Service Provider).

You need an Identity Provider. In the following document, IDP refers to your Identity Provider (e.g. Okta / Shibboleth / Keycloak or ADFS - Microsoft Active Directory Federation Services).

Remarks

Données attendues par Virage Group :

• Customer metadata file
• attribute customer authentication

Donnée fournie par Virage Group :

• Metadata file to be integrated into the customer's Identity Provider

2. Activer l’authentification SAML en 4 étapes

2.0 Prérequis technique : Uniquement pour les plateformes installées (hors SAAS)

1. In the monitormaker.properties file: configure the authentication strategy: Saml2Authenticator
Copy

com.vc.mm.authenticator= com.vc.mm.modules.user.Saml2Authenticator

💡
Voir le Dossier d’exploitation pour plus d’informations sur les stratégies d’authentification disponibles
🚩
Spécifique pour l’ADFS :
• Décompresser le fichier Java Cryptography Extension jce_policy-8.zip se trouvant dans le répertoire %PM_HOME%\install\JDK ou dans votre espace client http://file.viragegroup.com (public/livraison/install).
• Copier les fichiers local_policy.jar and US_export_policy.jar et les coller en remplacement de ceux existants dans le répertoire %PM_HOME%\jre\lib\security.
2. Restart the Wildfly service to take account of the change.

2.1. Obtenir la configuration de votre IDP : fichier METADATA XML

1. Obtenir auprès de votre IDP un fichier au format xml de metadata. Ce fichier permettra à Project Monitor de connaître votre IDP et communiquer avec lui.
🚩
Specific to Keycloak:
• Le fichier metadata à récupérer est celui du Realm (disponible depuis l’onglet de configuration General)
2. Get or set the code of the user login field in your IDP

3. Lors de l'authentification, Project Monitor et l'IDP échangent des informations. Ce code est nécessaire à Project Monitor pour retrouver, parmi ces informations, laquelle contient le login utilisateur. Par exemple dans Shibboleth urn:oid:0.9.2342.19200300.100.1.1 ou bien selon l’IDP, login ou autre "

2.2 Déclarer votre IDP dans Project Monitor

1. Aller sur la page Administration > Paramétrages avancés >Configuration technique > SAML2 authentication
2. Dans le premier champ de la page, coller le contenu XML du fichier metadata obtenu à l’étape Mémo Authentification SAML2 - 2.1. Obtenir la configuration de votre IDP : fichier METADATA XML .
3. Renseigner le code du champ contenant le login. Ce code a été obtenu à l’étape Mémo Authentification SAML2 - 2.1. Obtenir la configuration de votre IDP : fichier METADATA XML.
🚩
Specific to ADFS :
• Fixer le temps maximal d'authentification à 8h.
4. Save

2.3 Générer la configuration de Project Monitor : Fichier METADATA XML

1. Toujours sur la page Administration > Paramétrages avancés >Configuration technique > SAML2 authentication, dans la seconde partie de la page
2. Click on Generate pour afficher l'ensemble des informations de Project Monitor qui seront nécessaires à l'IDP, à savoir :
• metadata in XML format
• Assertion consumer service
• Service provider entity ID location
• Service provider entity ID binding
🚩

Ces informations permettront à votre IDP de connaître Project Monitor en tant que Service Provider et de communiquer avec lui.

Nota bene : en fonction du paramétrage de l'IDP, l'ensemble des informations ne sera pas forcément nécessaire

3. Copier le contenu des metadata (xml). Ces metadata permettront à votre IDP de connaître Project Monitor en tant que Service Provider et de communiquer avec lui.

2.4. Déclarer Project Monitor dans votre IDP

1. Create Project Monitor en tant qu’application dans votre IDP.
2. Fournir les metadata obtenues à l’étape Mémo Authentification SAML2 - 2.3 Générer la configuration de ‣ : Fichier METADATA XML à votre IDP. 2 alternatives :

3. Test configuration

1. Create your users in Project Monitor si ce n’est pas déjà fait.
2. Créer vos utilisateurs dans votre IDP si ce n’est pas déjà fait.
3. Se connecter à l’application pour valider la configuration.

4. SAML avec AzureAD

4.1 Dans AzureAD

1. Accéder au centre d’administration AzureAD.
2. Activer l’authentification SAML.
🚩
Le groupe AD doit contenir directement les utilisateurs. L’imbrication de groupes ne fonctionne pas dans Azure AD.
3. Utiliser l’application d’entreprise Demonstrateur-interne (up : adazure) présente dans Azure Active Directory.

4. Configurer l’authentification unique dans l’application.

🚩
Les détails de SAML sont affichés sur la page d’authentification unique. On retrouve également le mapping de login entre Project Monitor et Azure.
5. Télécharger le fichier XML.
6. Vérifier la liste des utilisateurs.

🚩
Les utilisateurs qui doivent se connecter à Project Monitor avec le même identifiant de connexion doivent être présents dans l’application d’entreprise, dans la section Utilisateurs et Groupes.

4.2 Dans Project Monitor

1. Click on Administration > Paramétrages avancés >Configuration technique > SAML2 authentication
2. Coller la configuration XML téléchargée auparavant.
3. Ajouter le Login attribute de votre Id Provider.

4. Click on Save.

5. Click on Administration > Paramétrages utilisateur > Gestion des utiisateurs > Users.
6. Ajouter les utilisateurs.

7. Vérifier qu’ils soient aussi ajoutés sur Azure AD.

5. Se connecter sans SAML

Some users of Project Monitor are unknown to the IDP (external service provider, consultant). For these users, it is possible to connect to Project Monitor par login et mot de passe avec l’url : http://maplateforme/nex/login?local=true

6. Établir un mode exclusif de connexion

Par défaut les utilisateurs peuvent s’identifier à la fois avec le mode d’authentification SAML ainsi qu’avec le mode d’authentification local (url /neo/auth/auth.html?local=true or nex/login?local=true)

It is possible to disable this local authentication mode for all or some users, to allow them to use only the SAML authentication mode.

Pour désactiver le mode d’authentification local, dans l’interface de paramétrage de l’authentification SAMLv2, cocher la case Accès par SSO exclusivement :

This default setting can be overridden when :

• Some application users are not listed in the organization's directory (external users)
• Some technical users (interfaces) are used.

To authorize a specific user to use local authentication by override :

• Dans l’écran de détail d’un utilisateur, dans l’onglet Paramètres, cocher la case Local authentication possible