Configurer le SSO sur votre plateforme Talend Cloud après avoir configuré une application côté fournisseur SSO.
Avant de commencer
- Vous devez avoir le rôle Security Administrator dans Talend Management Console.
- Vous devez avoir le fichier des métadonnées récupéré auprès du fournisseur SSO.
Procédure
-
Connectez-vous à Talend Management Console.
-
En haut de la page Users, cliquez sur Authentication.
-
Cliquez sur Configuration.
-
Saisissez le nom de domaine du fournisseur SSO dans le champ Organization URL.
Ce nom de domaine est l'URL Login URL (URL de connexion), copiée depuis votre portail Azure lors de la configuration du SSO Azure AD dans les étapes précédentes.
-
Chargez le fichier des métadonnées précédemment téléchargé lors de la configuration de l'application SSO en cliquant sur l'icône
.
-
Vérifiez les attributs utilisateur·rice (User attributes) par défaut. Si nécessaire, modifiez-les pour les faire correspondre à la configuration de l'application spécifiée côté fournisseur SSO.
Ces attributs sont propagés vers le jeton SAML utilisé pour authentifier les utilisateurs et utilisatrices. La configuration de l'application côté fournisseur SSO doit spécifier ces attributs ainsi que deux autres attributs :
- L'attribut
TalendCloudDomainName indiquant le nom de votre domaine Talend Cloud. Vous pouvez trouver cette information dans le champ Domain (Domaine) de la page Subscription (Souscription) de Talend Management Console.
- l'attribut
NameId Format indiquant le format de l'adresse e-mail.
-
Cliquez sur Test afin de vérifier votre configuration.
Remarque : Le test vérifie que l'URL fournie et le fichier des métadonnées sont valides. Cela ne garantit pas que l'authentification via cette configuration SSO fonctionne.
- Facultatif :
Configurez le provisioning des utilisateur·trices pour créer les utilisateur·trices automatiquement dans Talend Management Console lorsque vous vous connectez à une application Talend Cloud via le fournisseur d'identité.
- Il est recommandé de configurer le provisioning SCIM dans votre fournisseur d'identité et de mapper les rôles entre ce fournisseur et Talend Cloud. Ce mécanisme est le plus robuste. Pour plus d'informations, consultez cet exemple. Azure AD est utilisé comme fournisseur d'identité dans l'exemple fourni, à des fins de démonstration.
Si l'option Just-in-time user provisioning (Provisioning juste-à-temps des utilisateurs) est déjà utilisée lorsque vous configurez le mapping des rôles, pour n'importe quel·le utilisateur·trice, les rôles attribués par ce mapping de rôles écrasent ceux fournis par l'option juste-à-temps.
- Vous pouvez également activer l'option Just-in-time user provisioning (Provisioning juste-à-temps des utilisateurs) dans Talend Management Console. Cette option est l'option classique fournie par Talend Cloud.
Avec l'option
Just-in-time user provisioning (Provisioning juste-à-temps des utilisateurs), sélectionnez les rôles par défaut à attribuer à chaque utilisateur et utilisatrice automatiquement créé·e. Ces utilisateurs et utilisatrices doivent saisir leur identifiant en respectant le format suivant dans le champ
Login name :
<email_with_@_replaced_by_.>@TalendCloudDomainName. Par exemple, si l'adresse e-mail d'un·e utilisateur·trice est
ychen@company.com et que cet·te utilisateur·trice est dans un domaine
Talend Cloud nommé
support_department, l'identifiant de connexion doit être saisi comme suit :
ychen.company.com@support_department.
Remarque : Assurez-vous que l'ensemble des rôles par défaut sélectionné ne comporte pas de risque pour la sécurité de votre plateforme.
- Facultatif :
Personnalisez l'URL de déconnexion. Par exemple, redirigez les utilisateurs et utilisatrices vers une page spécifique. Par défaut, les utilisateurs et utilisatrices sont redirigés vers la page de connexion à Talend Cloud lorsqu'ils se déconnectent.
Pour plus d'informations concernant le format à utiliser pour cette URL, consultez la documentation de votre fournisseur SSO.
-
Cliquez sur Save and Activate.
Résultats
Dans Azure Active Directory, allez à l'adresse https://login.microsoftonline.com pour trouver l'application et attribuer des utilisateur·trices à cette application. Ces utilisateurs et utilisatrices peuvent ensuite se connecter à Talend Cloud en utilisant le SSO.
Remarque : Sauf si l'option Just-in-time user provisioning est activée, vous devez ajouter des utilisateurs et des utilisatrices manuellement du côté du fournisseur de SSO. Si ces utilisateurs et utilisatrices existent déjà ou ont déjà existé dans Talend Cloud, assurez-vous que l'adresse e-mail utilisée est la même.
Une fois l'authentification unique activée, vous devez générer un jeton d'accès dans Talend Cloud et l'utiliser dans le Studio Talend. Pour plus d'informations concernant la génération d'un jeton dans Talend Cloud, consultez Générer un jeton d'accès personnel.
Seuls les utilisateurs et utilisatrices avec le rôle Security Administrator peuvent se connecter à Talend Cloud sans utiliser le fournisseur d'identité.
En tant que Security Administrator, vous pouvez désactiver la configuration SSO active à n'importe quel moment depuis la page Authentication, en désactivant l'option External single sign-on provider. Ainsi, les utilisateurs et utilisatrices ne peuvent se connecter qu'en utilisant leur nom d'utilisateur ou d'utilisatrice et leur mot de passe Talend Cloud. La configuration précédente reste sauvegardée si vous souhaitez la réactiver.
Que faire ensuite
Lorsque le certificat SSO est renouvelé du côté fournisseur de votre SSO, vous devez mettre à jour ce certificat sur votre plateforme Talend Cloud.
Pour ce faire, téléchargez à nouveau le fichier de métadonnées de votre fournisseur de SSO et chargez-le dans Talend Management Console en suivant la procédure décrite ci-dessus.