Configurer les propriétés des fournisseurs de services

Vous pouvez utiliser la page Propriétés du fournisseur de services (SAML uniquement) pour remplir et configurer les champs d'attributs dans le fichier de métadonnées du fournisseur de services SAML (Metadata.xml). Vous pouvez trouver le lien Propriétés du fournisseur de services (SAML uniquement) sur la page PARAMÈTRES > Stratégies de sécurité > Authentification de l'utilisateur > Authentification unique.

Figure 1. Page de configuration des propriétés des fournisseurs de services SAML (lien à ouvrir en surbrillance)

Cette section traite de la manière dont vous pouvez remplir SAML/Metadata.xml en utilisant la page Propriétés des fournisseurs de services dans l'interface Web, y compris :

  • Créer un certificat de signature
  • Créer un certificat de cryptage
  • Définissez les Interfaces consommateur d'assertion appropriées
  • Définissez une ou plusieurs interfaces de déconnexion unique appropriées.
Figure 2. Page des propriétés du fournisseur de services (uniquement SAML)

Créer un certificat de signature

Le serveur MOVEit (fournisseur de services) adresse une requête au fournisseur d'identité. La partie privée du certificat de signature permet de s'assurer que la requête émane du serveur MOVEit. Le fournisseur d'identité utilise la partie publique pour vérifier la signature.

Cliquez sur Create Certificate (Créer un certificat) pour ouvrir la page Signing Certificate (Certificat de signature). Saisissez les valeurs appropriées, puis cliquez sur Create Certificate (Créer un certificat). Seul le Nom courant est obligatoire.

Le nouveau certificat est affiché dans la liste.

Vous pouvez toujours remplacer ou supprimer un certificat existant.

Remarque : Alors que la plupart des serveurs exigent d'un fournisseur de services qu'il possède un certificat de signature pour signer les requêtes, le certificat de cryptage est facultatif, bien que fortement recommandé pour des raisons de sécurité.

Créer un certificat de cryptage

Le fournisseur d'identité envoie une « assertion d'authentification » ou une autre réponse au serveur MOVEit. La partie publique du certificat de cryptage est utilisée pour chiffrer l'assertion. MOVEit utilise la partie privée pour déchiffrer l'assertion.

Cliquez sur Create Certificate (Créer un certificat) pour ouvrir la page Encryption Certificate (Certificat de cryptage). Saisissez les valeurs appropriées, puis cliquez sur Create Certificate (Créer un certificat). Seul le Nom courant est obligatoire.

Le nouveau certificat est affiché dans la liste.

Vous pouvez toujours remplacer ou supprimer un certificat existant.

Définissez les Interfaces consommateur d'assertion appropriées

Cette interface détermine la manière dont MOVEit recevra la réponse (l'authentification d'utilisateur) du fournisseur d'identité. Vous pouvez activer plusieurs interfaces, auquel cas, le fournisseur d'identité utilisera la première interface répertoriée qui convient.

  • HTTP-Post : La liaison HTTP-Post signifie que MOVEit reçoit l'assertion de sécurité de la part du fournisseur d'identité via le navigateur du client, au moyen d'une requête HTTP POST. Il s'agit de la liaison la plus fréquemment utilisée et prise en charge pour les interfaces consommateur d'assertion. Cette fonction est activée par défaut.
  • HTTP-Artifact : La liaison HTTP-Artifact signifie que MOVEit reçoit une référence liée à l'assertion de sécurité (cette référence est appelée un « artefact ») de la part du fournisseur d'identité via le navigateur du client, au moyen d'une requête HTTP GET, plutôt que l'assertion elle-même. MOVEit contacte ensuite le fournisseur d'identité directement via SOAP afin de demander l'assertion réelle, en utilisant l'artefact fourni.

    Le protocole HTTP-Post est largement pris en charge, et s'avère adapté à la plupart des situations. Il est cependant moins sûr que le protocole HTTP-Artifact car les données d'assertion transitent par le navigateur du client, donnant au navigateur la possibilité d'accéder à des données que le client n'est pas supposé voir. Cela peut être compensé par l'utilisation d'un certificat de cryptage, uniquement si le fournisseur d'identité prend en charge les messages de réponse de chiffrement.

    Le protocole HTTP-Artifact est plus sûr, puisque les données d'assertion ne transitent jamais par le navigateur du client, qui véhicule uniquement la référence « artefact ». Cependant, il est moins largement pris en charge, et nécessite également une connexion directe entre MOVEit et le fournisseur d'identité, ce qui n'est pas accepté par certaines règles de pare-feu du segment de réseau DMZ.

Définissez une ou plusieurs interfaces de déconnexion unique appropriées.

Cette interface détermine la manière dont le fournisseur d'identité envoie une réponse de déconnexion ou une requête à MOVEit. Vous pouvez activer plusieurs interfaces, auquel cas, le fournisseur d'identité utilisera la première interface répertoriée qui convient.

Remarque : La prise en charge de Shibboleth n'est pas suffisamment étendue pour la déconnexion unique. En outre, la déconnexion unique avec Shibboleth n'est pas recommandée. La fonction est activée par défaut chez le fournisseur d'identité Shibboleth ; MOVEit n'affiche donc pas la fonction de déconnexion dans l'interface administrateur. Si la fonction est activée chez le fournisseur d'identité, nous vous recommandons de la désactiver en décochant l'option Enabled (Activé) pour toutes les interfaces de déconnexion unique.
  • HTTP-Post : La liaison HTTP-Post signifie que MOVEit recevra la requête ou la réponse de déconnexion de la part du fournisseur d'identité via le navigateur du client, au moyen d'une requête HTTP POST. Cette fonction est activée par défaut.
  • HTTP-Redirect : La liaison HTTP-Redirect signifie que MOVEit recevra la requête ou la réponse de déconnexion de la part du fournisseur d'identité via le navigateur du client, au moyen d'une requête HTTP GET.

Fournissez au fournisseur d'identité le fichier de métadonnées du fournisseur de services.

Le fichier de métadonnées du fournisseur de services établit votre organisation de serveur MOVEit en tant que fournisseur de services. Les fournisseurs d'identité peuvent accéder à ce fichier grâce à l'URL de métadonnées du fournisseur de services.

Lors de la configuration du fournisseur d'identité, vous pouvez directement fournir cette URL au fournisseur d'identité dans les paramètres de configuration. Cela nécessite que le fournisseur d'identité dispose d'un accès Internet direct au serveur MOVEit. Si ce n'est pas le cas, vous pouvez télécharger le fichier, puis le charger vers le fournisseur d'identité.

Remarque : Ce fichier de métadonnées est mis à jour lorsque vous modifiez les paramètres d'un certificat, d'une interface consommateur d'assertion ou d'une interface de déconnexion unique. Assurez-vous que votre fournisseur d'identité est mis à jour dans le nouveau fichier.