Configurer Okta

Okta est un fournisseur d'identités compatible avec Security Assertion Markup Language SAML. Vous pouvez le configurer comme fournisseur d’identités pour les identifiants de connexion SAML dans ArcGIS Online. Le processus de configuration comporte deux étapes principales : l'enregistrement du fournisseur d'identités SAML auprès de ArcGIS Online et l'enregistrement de ArcGIS Online auprès du fournisseur d'identités SAML.

Remarque :

Pour faire en sorte que vos identifiants de connexion SAML soient configurés en toute sécurité, passez en revue les bonnes pratiques pour la sécurité SAML.

Informations requises

ArcGIS Online requiert la réception de certaines informations attributaires de la part du fournisseur d’identités lorsqu’un utilisateur se connecte à l’aide d’identifiants SAML. L’attribut NameID est obligatoire. Il doit être envoyé par votre fournisseur d’identités dans la réponse SAML afin que la fédération fonctionne avec ArcGIS Online. Puisqu’ArcGIS Online utilise la valeur de NameID pour identifier de manière unique un utilisateur nommé, il est recommandé d’utiliser une valeur constante qui identifie l’utilisateur de manière unique. Lorsqu'un utilisateur IDP se connecte, un nouvel utilisateur appelé NameID_<url_key_for_org> est créé par ArcGIS Online dans son magasin d'utilisateurs. Les caractères autorisés pour la valeur envoyée par l’attribut NameID sont les caractères alphanumériques, le trait de soulignement (_), (le point) et @ (le symbole arobase). Tous les autres caractères seront désactivés pour contenir des traits de soulignement dans le nom d'utilisateur créé par ArcGIS Online.

ArcGIS Online prend en charge le flux entrant de l’adresse électronique d’un utilisateur, les appartenances aux groupes, le nom et le prénom indiqués par le fournisseur d’identités SAML. Il est conseillé de transmettre l’adresse électronique reçue du fournisseur d’identités d’entreprise SAML afin que l’utilisateur puisse recevoir les notifications. Cela peut s'avérer utile si l'utilisateur devient plus tard administrateur. Le fait d'avoir une adresse électronique dans le compte autorise l'utilisateur à recevoir des notifications concernant les activités administratives et à envoyer des invitations à d'autres utilisateurs pour rejoindre l'organisation.

Enregistrez Okta en tant que fournisseur d'identités SAML auprès de ArcGIS Online

  1. Vérifiez que vous êtes connecté en tant qu'administrateur de votre organisation.
  2. En haut du site, cliquez sur Organization (Organisation), puis sur l’onglet Settings (Paramètres).
  3. Cliquez sur Sécurité dans la partie gauche de la page.
  4. Dans la section Logins (Connexions), sous SAML login (Connexion SAML), cliquez sur le bouton Set up SAML login (Configurer une connexion SAML) et sélectionnez l’option One identity provider (Un fournisseur d’identités). Sur la page Specify properties (Spécifier les propriétés), saisissez le nom de votre organisation (par exemple Ville de Redlands). Lorsque les utilisateurs accèdent au site Web de l’organisation, ce texte est intégré dans le nom de l’option de connexion SAML (par exemple, Utilisation de votre compte Ville de Redlands).
    Remarque :

    Sélectionner l’option One identity provider (Un fournisseur d’identités) vous permet d’inscrire un fournisseur d’identités SAML pour votre organisation ArcGIS Online. Pour authentifier des utilisateurs ayant des identifiants de connexion SAML issus de plusieurs fournisseurs d’identités, inscrivez une fédération SAML au lieu d’un fournisseur d’identités unique.

  5. Sélectionnez Automatically (Automatiquement) ou Upon invitation from an administrator (Sur invitation d’un administrateur) pour préciser comment les utilisateurs peuvent rejoindre l’organisation. Si vous choisissez la première option, les utilisateurs peuvent se connecter à l’organisation avec leur identifiant de connexion SAML sans qu’un administrateur n’intervienne. Leur compte est automatiquement enregistré auprès de l’organisation lors de leur première connexion. La seconde option suppose que l'administrateur invite les utilisateurs nécessaires à rejoindre l'organisation. Lorsque l’utilisateur reçoit l’invitation, il peut se connecter à l’organisation.
  6. Indiquez des informations de métadonnées concernant le fournisseur d'identités à l'aide d'une des options ci-dessous :
    • File (Fichier) : téléchargez ou obtenez une copie du fichier de métadonnées de la fédération auprès de Oktaet chargez le fichier dans ArcGIS Online à l’aide de l’option File (Fichier).
    • Parameters specified here (Paramètres spécifiés ici) : sélectionnez cette option si l’URL ou le fichier de métadonnées de la fédération n’est pas accessible. Entrez les valeurs manuellement et fournissez les paramètres demandés : l’URL de connexion et le certificat, chiffrés au format BASE 64. Contactez votre administrauteur Okta pour les obtenir.
  7. Configurez les paramètres avancés comme il convient :
    • Encrypt Assertion (Chiffrer l’assertion) : activez cette option pour chiffrer les réponses d’assertion SAML de Okta.
    • Enable Signed Request (Activer la demande signée) : activez cette option pour que ArcGIS Online signe la demande d’authentification SAML envoyée à Okta.
    • Propagate logout to Identity Provider (Propager la déconnexion au fournisseur d’identités) : activez cette option pour que ArcGIS Online utilise une URL de déconnexion pour déconnecter l’utilisateur du fournisseur d’identités Okta. Indiquez l'URL à utiliser dans le paramètre URL de déconnexion. Si le fournisseur d’identités exige la signature de l’URL de déconnexion, vous devez activer Enable signed request (Activer la demande signée).
    • Update profiles on sign in (Mettre à jour les profils lors de la connexion) : sélectionnez cette option pour synchroniser automatiquement les informations de compte (nom complet et adresse électronique) stockées dans les profils d’utilisateur de ArcGIS Online avec les dernières informations reçues de la part du fournisseur d’identités. L’activation de cette case à cocher permet à votre organisation de vérifier, lorsqu’un utilisateur se connecte avec l’identifiant de connexion SAML, si les informations relatives au fournisseur d’identités ont changé depuis la création du compte et, si tel est le cas, de mettre à jour le profil du compte ArcGIS Online de l’utilisateur en conséquence.
    • Enable SAML based group membership (Activer l’adhésion au groupe SAML) : activez cette option pour autoriser les membres de l’organisation à relier des groupes d’entreprises SAML spécifiés à des groupes ArcGIS Online pendant le processus de création de groupe.
    • URL de déconnexion : l'URL du fournisseur d'identités à utiliser pour déconnecter l'utilisateur actuellement connecté.
    • Entity ID (ID d’entité) : mettez cette valeur à jour pour utiliser un nouvel ID d’entité qui identifie de manière unique votre organisation ArcGIS Onlineauprès de Okta.
  8. Lorsque vous avez terminé, cliquez sur Enregistrer.
  9. Cliquez sur Download service provider metadata (Télécharger les métadonnées du fournisseur de services) pour télécharger le fichier de métadonnées de l’organisation. Les informations de ce fichier seront utilisées pour enregistrer l’organisation en tant que fournisseur de services approuvé auprès d’Okta.

Enregistrez ArcGIS Online en tant que fournisseur de services approuvé auprès de Okta

  1. Connectez-vous à votre organisation Okta en tant que membre doté de privilèges administratifs.
  2. Dans l’onglet Applications, cliquez sur le bouton Add Application (Ajouter une application).
  3. Cliquez sur Create New App (Créer une nouvelle application et sélectionnez l’option SAML 2.0. Cliquez sur Create (Créer).
  4. Dans General Settings (Paramètres généraux), entrez un App Name (Nom d’application) pour votre déploiement de portail et cliquez sur Next (Suivant).
  5. Dans l’onglet Configurer SAML, procédez comme suit :
    1. Saisissez une valeur dans le champ Single sign on URL (URL d'authentification unique), par exemple, https://[org name].maps.arcgis.com/sharing/rest/oauth2/saml/signin. Cette valeur peut être copiée à partir du fichier de métadonnées du fournisseur de services téléchargé depuis votre organisation.
    2. Entrez la valeur pour URI d’audience. La valeur par défaut est définie sur [org name].maps.arcgis.com. Cette valeur peut être copiée à partir du fichier de métadonnées du fournisseur de services téléchargé depuis votre organisation.
    3. Laissez Format de l’ID de nom défini sur Non spécifié.
    4. Sous Paramètres avancés, remplacez l’option Signature d’assertions définie sur Non signé.
    5. Dans la section Instructions d’attributs, ajoutez ces instructions d’attributs :

      givenName définir sur user.firstName

      surname définir sur user.lastName

      email définir sur user.email

  6. Cliquez sur Suivant et sur Terminer.
  7. Vous voyez maintenant la section Single Sign On (Authentification unique) de l'application SAML que vous venez de créer. Pour obtenir les métadonnées du fournisseur d’identités Okta, cliquez sur l’onglet Sign On (Connexion), puis sur le lien Identity Provider metadata (Métadonnées concernant le fournisseur d’identités).
  8. Cliquez avec le bouton droit sur l’onglet People (Personnes) et configurez les utilisateurs authentifiés Okta qui auront accès à votre organisation.