Elastic Desktop Service:Exemple : Configurer le SSO entre Azure AD et Elastic Desktop Service

L'authentification unique (SSO) est une technologie de communication sécurisée qui vous permet d'accéder efficacement à plusieurs systèmes d'applications approuvés via une seule connexion. Le SSO met en œuvre la connexion sur la base de la fédération d'identités.

Les termes suivants sont fréquemment utilisés dans les scénarios SSO :

• Fournisseur d'identité (IdP) : entité contenant les métadonnées d'un fournisseur d'identité externe. Un IdP fournit des services de gestion des identités, collecte et stocke les informations d'identité des utilisateurs (noms d'utilisateur, mots de passe, etc.) et vérifie les identités des utilisateurs lors de leur connexion.

  IdP courants :

  • IdP locaux : utilisent une architecture locale, tels que Microsoft Active Directory Federation Service (AD FS) et Shibboleth.

  • IdP cloud : Azure AD, Google Workspace, Okta et OneLogin.

• Fournisseur de services (SP) : application qui utilise la fonctionnalité de gestion des identités d'un IdP pour fournir des services spécifiques aux utilisateurs, sur la base de relations de confiance avec les IdP. Dans certains systèmes d'identité non conformes au protocole SAML (Security Assertion Markup Language), tels qu'OpenID Connect (OIDC), le SP correspond à la partie de confiance d'un IdP.

• SAML 2.0 : protocole standard d'authentification des identités utilisateur pour les entreprises. Il constitue l'une des implémentations techniques permettant la communication entre les SP et les IdP. SAML est la norme de facto utilisée par les entreprises pour mettre en œuvre le SSO.

Étape 1 : Créer des comptes dans Elastic Desktop Service

Avant d'ajouter des utilisateurs dans l'onglet Batch Entry, préparez un fichier CSV respectant le format requis pour les comptes de commodité.

1. Téléchargez un fichier CSV contenant les informations utilisateur depuis Azure AD.

   1. Connectez-vous à la console Azure AD.

   2. Dans le volet de navigation de gauche, cliquez sur Users.

   3. Sur la page All users (Preview), vérifiez que les informations utilisateur répondent aux exigences.

      Les noms d'utilisateur Azure AD doivent respecter le format requis pour les comptes de commodité Elastic Desktop Service. Vous devez modifier tous les noms d'utilisateur non conformes. Dans le cas contraire, vous ne pourrez pas créer les comptes de commodité correspondants.

      Le format du nom d'utilisateur pour un compte de commodité doit respecter les conditions suivantes :

      • Longueur comprise entre 3 et 25 caractères.

      • Peut contenir des lettres minuscules, des chiffres, des traits d'union (-) et des traits de soulignement (_). Les points (.) ne sont pas pris en charge.

      • Doit commencer par une lettre minuscule ou un chiffre.

   4. En haut de la page, cliquez sur Bulk operations et sélectionnez Download users.

   5. Suivez les instructions à l'écran pour terminer le téléchargement.

2. Ouvrez le fichier CSV téléchargé à l'aide d'une application de feuille de calcul. Ajustez les informations utilisateur afin qu'elles correspondent au format requis pour l'importation des comptes de commodité, puis enregistrez le fichier au format CSV.

   Remarque

   Lors de l'ajustement des informations utilisateur, tenez compte des points suivants :

   • Le format requis pour le fichier d'importation est le suivant :

     • Pour les comptes de commodité activés par l'utilisateur : la première colonne contient le nom d'utilisateur (obligatoire), la deuxième l'adresse e-mail (obligatoire) et la troisième le numéro de téléphone (facultatif).

     • Pour les comptes de commodité activés par l'administrateur : la première colonne contient le nom d'utilisateur (obligatoire), la deuxième l'adresse e-mail (facultative), la troisième le numéro de téléphone (facultatif) et la quatrième le mot de passe (obligatoire).

   • Dans le fichier CSV téléchargé depuis Azure AD, la colonne userPrincipalName utilise le format username@domain. Vous pouvez extraire le préfixe comme nom d'utilisateur pour le compte de commodité. Si userPrincipalName correspond également à l'adresse e-mail réelle de l'utilisateur, vous pouvez utiliser cette colonne pour l'e-mail du compte de commodité. Si l'adresse e-mail réelle est différente, vous devez la saisir manuellement.

Une fois le fichier CSV préparé, créez les comptes de commodité dans l'onglet Batch Entry de la console Elastic Desktop Service. Pour plus d'informations, consultez la rubrique Créer un compte de commodité.

Étape 2 : Créer une application et attribuer des utilisateurs

Dans Azure AD, créez une application pour Elastic Desktop Service et attribuez-lui les utilisateurs Azure AD qui utiliseront Elastic Desktop Service. Procédez comme suit :

1. Dans le volet de navigation de gauche de la console Azure AD, cliquez sur Enterprise applications.

2. Sur la page All applications, cliquez sur New application.

3. Dans la barre de menu supérieure, cliquez sur Create your own application.

4. Dans le panneau qui s'affiche, saisissez un nom pour l'application, sélectionnez Integrate any other application you don't find in the gallery (Non-gallery), puis cliquez sur Create.

5. Actualisez la page et cliquez sur le nom de l'application nouvellement créée.

6. Dans le volet de navigation de gauche de la page des détails de l'application, cliquez sur Users and groups, puis sur Add user/group.

7. Sur la page Add Assignment qui s'affiche, sélectionnez les utilisateurs, puis cliquez sur Assign.

Étape 3 : Configurer Elastic Desktop Service en tant que SP de confiance

Téléchargez le fichier de métadonnées fourni par Elastic Desktop Service dans Azure AD afin de configurer Elastic Desktop Service en tant que fournisseur de services SAML (SP) de confiance. Procédez comme suit :

1. Récupérez le fichier de métadonnées du SP depuis la console Elastic Desktop Service.

   1. Connectez-vous à la console EDS Enterprise.

   2. Dans le volet de navigation de gauche, accédez à Networks & Storage > Office Network.

   3. Dans la barre de navigation supérieure, sélectionnez une région.

   4. Sur la page réseau de bureau, recherchez le réseau de bureau pour lequel vous souhaitez activer le SSO et cliquez sur l'ID de réseau de bureau.

   5. Dans la section More Information en bas de la page, repérez Application Metadata et cliquez sur Download Application Metadata File.

      Le fichier de métadonnées est automatiquement téléchargé sur votre ordinateur.

2. Configurez l'authentification unique pour l'application Elastic Desktop Service dans Azure AD.

   1. Dans la console Azure AD, ouvrez l'application créée à l'étape 2.

   2. Dans le volet de navigation de gauche de la page des détails de l'application, cliquez sur Single sign-on et sélectionnez SAML.

   3. Cliquez sur Upload metadata file.

   4. Sélectionnez le fichier de métadonnées du SP que vous avez téléchargé depuis la console Elastic Desktop Service et cliquez sur Add.

   5. Dans le panneau Basic SAML Configuration, vérifiez que l'identifiant et l'URL de réponse sont corrects, puis cliquez sur Save.

      Remarque

      Ouvrez le fichier de métadonnées du SP enregistré localement pour confirmer l'identifiant et l'URL de réponse :

      • Identifier (Entity ID) : correspond à la valeur entityID dans la balise md:EntityDescriptor.

      • Reply URL (Assertion Consumer Service URL) : correspond à la valeur Location dans la balise md:AssertionConsumerService.

      Important

      Si l'identifiant et l'URL de réponse ne sont pas renseignés automatiquement après le téléchargement du fichier de métadonnées du SP, saisissez-les manuellement.

Étape 4 : Configurer un IdP de confiance dans Elastic Desktop Service

Téléchargez le fichier de métadonnées d'Azure AD dans la console Elastic Desktop Service afin de configurer Azure AD en tant qu'IdP SAML de confiance dans la console Elastic Desktop Service. Procédez comme suit :

1. Récupérez le fichier de métadonnées de l'IdP depuis Azure AD.

   1. Dans la console Azure AD, ouvrez l'application créée à l'étape 2.

   2. Dans le volet de navigation de gauche de la page des détails de l'application, cliquez sur Single sign-on.

   3. Dans la section SAML Signing Certificate, cliquez sur Download en regard de Federation Metadata XML.

2. Téléchargez le fichier de métadonnées de l'IdP d'Azure AD dans la console Elastic Desktop Service.

   1. Connectez-vous à la console EDS Enterprise.

   2. Dans le volet de navigation de gauche, accédez à Networks & Storage > Office Network.

   3. Dans la barre de navigation supérieure, sélectionnez une région.

   4. Sur la page réseau de bureau, recherchez le réseau de bureau pour lequel vous souhaitez activer le SSO et cliquez sur l'ID de réseau de bureau.

   5. Dans la section More Information en bas de la page, activez le SSO et téléchargez le fichier de métadonnées de l'IdP.

      • SSO : activez ce commutateur pour activer le SSO.

        Cette fonctionnalité est désactivée par défaut. La configuration SSO reste inactive tant que ce commutateur est désactivé.

      • IdP Metadata : cliquez sur Upload pour télécharger le fichier de métadonnées de l'IdP.

        Un statut « Completed » pour IdP Metadata indique que l'IdP d'entreprise est configuré en tant qu'IdP SAML de confiance.