Si Elastic Desktop Service est déjà connecté à un annuaire Active Directory (AD) d'entreprise, suivez cette procédure pour configurer l'authentification unique (SSO) entre AD FS et Elastic Desktop Service. Une fois le SSO configuré, lorsqu'un utilisateur final tente de se connecter à Elastic Desktop Service avec ses identifiants AD, il doit s'authentifier via la page AD FS pour accéder au service.
Prérequis
Vous avez intégré votre annuaire AD d'entreprise à Elastic Desktop Service et créé un réseau d'entreprise basé sur AD. Pour plus d'informations, reportez-vous à la rubrique Créer et gérer un réseau d'entreprise basé sur AD.
Procédure
Cette rubrique utilise Active Directory Federation Services (AD FS) sur Windows Server 2012 R2 comme exemple pour illustrer la configuration du SSO.
Étape 1 : Configurer AD FS en tant que fournisseur d'identité (IdP) de confiance dans Elastic Desktop Service
-
Récupérez le fichier de métadonnées de l'IdP.
-
Dans un navigateur, saisissez l'URL suivante pour obtenir le fichier de métadonnées de l'IdP.
L'URL du fichier de métadonnées de l'IdP est : https://<AD server>/FederationMetadata/2007-06/FederationMetadata.xml. Remplacez <AD server> par le nom de domaine ou l'adresse IP de votre serveur AD FS.
Téléchargez le fichier de métadonnées sur votre ordinateur local.
-
-
Importez le fichier de métadonnées de l'IdP dans la console Elastic Desktop Service.
Connectez-vous à la console Elastic Desktop Service.
Dans le volet de navigation de gauche, sélectionnez Networks & Storage > Office Network.
Sur la page Office Network, repérez le réseau d'entreprise AD pour lequel vous souhaitez activer le SSO et cliquez sur son ID de réseau d'entreprise.
Sur la page des détails du réseau d'entreprise, dans le volet de navigation de gauche, sélectionnez More Information.
-
Dans la section More Information, activez le SSO et importez le fichier de métadonnées de l'IdP.
-
SSO : Activez l'interrupteur pour permettre le SSO.
Les paramètres SSO ne prennent effet qu'après l'activation de cette option.
-
IdP Metadata : Cliquez sur Upload pour importer le fichier de métadonnées fourni par votre IdP d'entreprise.
Un statut « Completed » pour IdP Metadata indique que votre IdP d'entreprise est configuré en tant que fournisseur d'identité SAML de confiance.
-
Étape 2 : Configurer Elastic Desktop Service en tant que fournisseur de services (SP) de confiance dans AD FS
-
Téléchargez le fichier de métadonnées depuis Elastic Desktop Service.
Connectez-vous à la console Elastic Desktop Service.
Dans le volet de navigation de gauche, sélectionnez Networks & Storage > Office Network.
Sur la page Office Network, repérez le réseau d'entreprise AD pour lequel vous souhaitez activer le SSO et cliquez sur son ID de réseau d'entreprise.
Sur la page des détails du réseau d'entreprise, dans le volet de navigation de gauche, sélectionnez More Information.
Dans la section More Information, à côté de Application Metadata, cliquez sur Download Application Metadata File.
-
Importez le fichier de métadonnées dans AD FS.
Connectez-vous au serveur sur lequel AD FS est déployé et ouvrez le Gestionnaire de serveur.
Dans le coin supérieur droit, sélectionnez Tools > AD FS Management.
Dans le volet de navigation de gauche de la fenêtre AD FS, sélectionnez Trust Relationships > Relying Party Trusts.
-
Ajoutez une approbation de partie de confiance.
Dans le volet Actions à droite, cliquez sur Add Relying Party Trust.
-
Suivez l'assistant pour ajouter l'approbation de partie de confiance.
Lorsque vous sélectionnez une source de données, choisissez Import data about the relying party from a file et importez le fichier de métadonnées du SP que vous avez téléchargé.
-
Modifiez la règle de revendication.
Dans la liste des approbations de parties de confiance, faites un clic droit sur l'approbation nouvellement ajoutée et sélectionnez Edit Claim Issuance Policy.
Dans la boîte de dialogue qui s'affiche, cliquez sur Add Rule.
-
Suivez l'assistant pour configurer la règle.
Configurez la règle comme suit :
Dans la liste déroulante « Claim rule template », sélectionnez Send LDAP Attributes as Claims.
Sélectionnez Active Directory comme « Attribute store ». Ensuite, mappez l'attribut LDAP SAM-Account-Name ou UPN au type de revendication sortante Name ID.
Étapes suivantes
Avant d'utiliser le SSO pour vous connecter au client, assurez-vous que votre ordinateur local peut accéder au nom de domaine de votre serveur AD FS.
Une fois le SSO configuré, les utilisateurs finaux se connectent au client Alibaba Cloud Workspace en saisissant un ID de réseau d'entreprise . Ils sont ensuite automatiquement redirigés vers la page AD FS, où ils doivent entrer leur nom d'utilisateur et leur mot de passe AD d'entreprise pour vérification. Après une vérification réussie, la connexion est établie.
FAQ
Si un utilisateur final ne parvient pas à se connecter après avoir saisi son nom d'utilisateur et son mot de passe AD, la cause est probablement un échec d'authentification AD FS. Les causes possibles et les solutions sont les suivantes :
-
Le nom d'utilisateur ou le mot de passe AD est incorrect.
Connectez-vous au serveur de domaine AD pour vérifier le nom d'utilisateur AD ou réinitialiser le mot de passe.
La configuration AD FS est incorrecte. Connectez-vous au serveur AD FS pour vérifier les configurations de l'approbation de partie de confiance et des règles de revendication.
Lors de la réinitialisation d'un mot de passe, nous vous recommandons de ne pas exiger que le mot de passe soit modifié lors de la prochaine connexion. Si vous créez un nouvel utilisateur ou réinitialisez le mot de passe d'un utilisateur en exigeant sa modification lors de la prochaine connexion, l'utilisateur doit se connecter au client Alibaba Cloud Workspace avec son nom d'utilisateur et son mot de passe AD, modifier le mot de passe comme invité, puis utiliser le SSO.