Configurer un SSO SAML avec Azure AD

Dans cet article, nous aborderons comment configurer un SSO avec Azure AD (Microsoft Azure Active Directory).

Pour activer le SSO sur votre plateforme 360Learning, contactez votre Solution Architect (SA), qui vous guidera dans la mise en place, et vous fournira l’URL de réponse (Reply URL) nécessaire à la configuration du SSO dans Azure AD.

Ajouter une application non répertoriée

Avant de commencer, vérifiez qu’un sous-domaine a été configuré sur votre plateforme. C’est ce sous-domaine qui est utilisé dans le champ Sign on URL dans les étapes plus bas.

Vous pouvez connecter une application en utilisant un modèle d’intégration d’appliactions :

1. Connectez-vous au portail de gestion Azure avec votre compte d'administrateur Azure Active Directory.
2. Allez dans Azure Active Directory → Enterprise Applications.
3. Sélectionnez New application, puis créez votre propre application.
   
4. De retour sur la page de configuration de l'application, sélectionnez Set up single sign-on. Si vous ne voyez pas ces options, contactez votre administrateur Azure AD.
   
5. Sélectionnez SAML.
   
6. En haut à droite de Configuration SAML de base, cliquez sur Modifier.
   
7. Dans Sign on URL, entrez https://votredomaine.360learning.com. Si votre plateforme est hébergée dans le centre de données américain, entrez https://votredomaine.us.360learning.com.
8. Dans Identifier (Entity ID), entrez https://app.360learning.com. Si votre plateforme est hébergée dans le centre de données américain, entrez https://app.us.360learning.com.
9. Dans Reply URL, entrez l'URL de réponse (URL du service consommateur d'assertion, également appelée URL ACS) dans les métadonnées envoyées par votre Solution Architect (SA).
   
10. Cliquez sur Suivant.
11. Téléchargez le certificat (base64), copiez votre URL de métadonnées de fédération d'application, enregistrez-la sur votre disque.
    
12. Dans Issuer URL, entrez l'entityID dans vos métadonnées de fédération. Azure AD peut avoir pré-rempli ce champ et les deux suivants.
13. Dans Single sign-on service URL, entrez l'URL de localisation du SingleSignOnService dans vos métadonnées de fédération.
14. Dans Single sign-out service URL, entrez l'URL de localisation du SingleLogoutService dans vos métadonnées de fédération.
15. Cliquez sur Suivant.
16. Cliquez sur Complete.

Vous pouvez ensuite assigner des utilisateurs et des groupes à votre application SAML.

Assignez des utilisateurs et des groupes à votre application SAML

Par mesure de sécurité, Azure AD ne fournira pas de jeton de connexion à 360Learning pour les utilisateurs ou groupes, à moins qu’ils n’aient déjà été authentifiés et autorisés par Azure AD. Les utilisateurs peuvent avoir un accès direct, ou via un groupe dont ils font partie.

Pour assigner un utilisateur ou un groupe à 360Learning :

1. Cliquez sur Affecter des utilisateurs et des groupes.
2. Sélectionnez l’utilisateur ou le groupe, et cliquez sur Assign.

Assigner un utilisateur permettra à Azure AD de générer un jeton d’accès pour l’utilisateur, et créera un élément « 360Learning » dans le panneau d’accès de l’utilisateur. Un élément sera également ajouté dans le lanceur d’application Office 365, s’il est utilisé.

Votre application est maintenant prête pour les tests. Envoyez ce qui suit à votre Solution Architect, qui vous recontactera pour les prochaines étapes :

• votre URL de métadonnées ;
• le certificat ;
• l’URL de déconnexion unique (facultatif). Envoyez-la si vous souhaitez que la déconnexion de 360Learning mette également fin à la session Azure AD de l’utilisateur. Il s’agit de l’URL de localisation SingleLogoutService que vous avez saisie à l’étape 14.

• 360Learning - Technical Guide - SSO SAML Azure AD v1.2.pdf2 Mo