Configuration du SSO de Talend Administration Center avec AD FS 2.0 - 7.0

author
Talend Documentation Team
EnrichVersion
7.0
EnrichProdName
Talend Big Data
Talend Big Data Platform
Talend Cloud
Talend Data Fabric
Talend Data Integration
Talend Data Management Platform
Talend Data Services Platform
Talend ESB
Talend MDM Platform
Talend Real-Time Big Data Platform
task
Administration et monitoring > Gestion des autorisations
EnrichPlatform
Talend Administration Center

Vue d'ensemble de AD FS 2.0

Configurez les services Active Directory Federation Services (AD FS) 2.0 sur Windows Server 2008 R2 pour activer la gestion sécurisée d'identités et l'accès via SSO (Single Sign-On) à Talend Administration Center.

AD FS permet un partage d'identité décentralisé entre des partenaires métier, en implémentant le protocole WS-Federation et des standards tels ques WS-Trust et Security Assertion Markup Language (SAML). AD FS est utilisé pour générer des assertions pour les utilisateurs. Ces assertions sont renvoyées dans Talend Administration Center, où les paramètres et les rôles utilisateurs sont assignés en se basant sur la configuration de AD FS.

Pour plus d'informations concernant les besoins système et pour savoir comment prendre en main AD FS, consultez la documentation AD FS (en anglais).

Installer AD FS 2.0

Les services Active Directory Federation Services (AD FS) 2.0 s'exécutent sous Windows Server 2008 R2.

Avant de commencer

Talend Administration Center doit être configuré avec le protocole HTTPS. Pour plus d'informations, consultez How to configure a bidirectional secure connection between Talend Studio and Talend Administration Center (en anglais).

Procédure

  1. Téléchargez le fichier d'installation sur le site Web de Microsoft (en anglais).
  2. Exécutez AdfsSetup.exe.
  3. Cliquez sur Next.
  4. Cliquez sur I accept the terms in the License Agreement, puis sur Next.
  5. Cliquez sur Federation server, puis sur Next.
  6. Cliquez sur Next.
    L'installation démarre.
  7. Cliquez sur Finish une fois le processus d'installation terminé.

Résultats

ADFS démarre automatiquement si vous laissez cochée la case Start the AD FS 2.0 Management snap-in when this wizard closes.

Configurer AD FS 2.0

Procédure

  1. Cliquez sur AD FS 2.0 Federation Server Configuration Wizard sur la page de vue d'ensemble de AD FS 2.0 Management.
  2. Cliquez sur Next.

    Laissez la case Create a new Federation Service cochée.

  3. Cliquez sur Stand-alone federation server, puis sur Next.
  4. Sélectionnez votre certificat SSL et le nom par défaut du service de fédération, puis cliquez sur Next.
    Il est recommandé d'utiliser un certificat SSL signé par un fournisseur, par exemple, Thawte ou Verisign. Le certificat doit également être public, sinon, des erreurs risquent de survenir ultérieurement.
  5. Cliquez sur Next.
  6. Cliquez sur Close.

Utiliser l'assistant Adding Relying Party Trust

Procédure

  1. Cliquez-droit sur Trust Relationships > Relying Party Trusts et sélectionnez Add Relying Party Trust....
  2. Cliquez sur Start.
  3. Sélectionnez Enter data about the relying party manually, puis cliquez sur Next.
  4. Saisissez un nom à afficher puis cliquez sur Next.
  5. Sélectionnez AD FS 2.0 profile et cliquez sur Next.
  6. Cliquez sur Next.
  7. Dans la page Configure URL, cochez la case Enable support for the SAML 2.0 WebSSO protocol.
  8. Saisissez l'URL du service du SSO dans le champ Relying party SAML 2.0 SSO Service URL.
    Par exemple, https://localhost:8080/org.talend.administrator/ssologin.
  9. Dans la page Configure Identifiers, saisissez la même URL de service que dans l'étape 8, puis cliquez sur Add et sur Next.
  10. Laissez l'option Permit all users to access this relying party sélectionnée et cliquez sur Next.

    Vous pourrez changer les autorisations ultérieurement.

  11. Cliquez sur Next, puis sur Close.

    Laissez cochée la case Open the Edit Claim Rules dialog for this relying party trust when the wizard closes.

Résultats

La fenêtre Edit Claim Rules for... s'ouvre.

Ajouter des règles de revendication

Procédure

  1. Dans la fenêtre Edit Claim Rules for..., cliquez sur Add Rule....
  2. Définissez les attributs à envoyer à Talend Administration Center via une réponse SAML.
  3. Cliquez sur OK.

Que faire ensuite

Une fois la configuration terminée, confirmez que le type d'authentification simple existe dans le fichier \inetpub\adfs\ls\web.config.

Configurer la règle de revendication des rôles personnalisés (exemple)

Procédure

  1. Dans l'assistant Add Transform Claim Rule Wizard, sélectionnez Send Claims Using a Custom Rule dans la liste déroulante, puis cliquez sur Next.
  2. Saisissez un nom pour la règle de revendication, par exemple, EmailAddress.
  3. Saisissez la configuration dans le champ Custom rule.
    c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
    => add(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";mail;{0}", param = c.Value);
  4. Cliquez sur Finish.
  5. Dans la fenêtre Edit Claim Rules for..., cliquez sur Add Rule....
  6. Sélectionnez Send Claims Using a Custom Rule dans la liste déroulante, puis cliquez sur Next.
  7. Saisissez un nom pour la règle de revendication, par exemple NameId.
  8. Saisissez la configuration dans le champ Custom rule.
    c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
    => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", Value = c.Value);
  9. Cliquez sur Finish.
  10. Dans la fenêtre Edit Claim Rules for..., cliquez sur Add Rule....
  11. Sélectionnez Send Claims Using a Custom Rule dans la liste déroulante, puis cliquez sur Next.
  12. Saisissez un nom pour la règle de revendication, par exemple, Attributes.
  13. Saisissez la configuration dans le champ Custom rule.
    c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
    => issue(store = "Active Directory", types = ("firstName", "lastName", "tac.projectType", "tac.role"), query = ";givenName,sn,displayName,department;{0}", param = c.Value);
  14. Cliquez sur Finish.

Exporter des métadonnées

Procédure

  1. Ouvrez AD FS 2.0 Management.
  2. Dans le panneau de gauche, sélectionnez Service > Endpoints et faites défiler la vue au centre vers le bas, jusqu'à la zone Metadata.
  3. Notez le chemin d'accès au fichier FederationMetadata.xml.
  4. Téléchargez le ficher de métadonnées depuis votre hôte AD FS, par exemple, https://<ADFShost>/FederationMetadata/2007-06/FederationMetadata.xml.

Lier Talend Administration Center à un fournisseur d'identité