Authentification unique en libre-service

L’authentification unique (SSO) en libre-service fournit aux clients interentreprises les outils nécessaires pour déléguer la configuration de la SSO à leurs clients Enterprise. En déléguant cette tâche, vous pouvez simplifier votre processus d’intégration et donner aux clients plus d’autonomie sur leur expérience de connexion. Vous pouvez également réduire le temps et les coûts associés à la gestion de la SSO pour l’ensemble de votre clientèle.

La SSO en libre-service nécessite une configuration minimale dans votre locataire Auth0 et fournit à vos clients un assistant d’installation qui les guide tout au long du processus d’activation. Une fois que le client a terminé sa configuration, l’intégration SSO est automatiquement ajoutée à votre locataire en tant que Connexion d’entreprise.

Fournisseurs pris en charge

La SSO en libre-service prend en charge les fournisseurs d’identité suivants :

• Okta Workforce Identity Cloud (à l’aide d’OIDC)

• Entra ID

• Google Workspace (à l’aide d’OIDC)

• Keycloak

• Services de fédération de Microsoft Active Directory (ADFS)

• PingFederate

• OIDC générique

• SAML générique

LA SSO en libre-service utilise les composants suivants pour déléguer la configuration à vos clients :

• Profil de libre-service : Définit les éléments clés des implémentations SSO des clients, tels que les fournisseurs d’identité qu’ils peuvent utiliser pour la SSO et les attributs de l’utilisateur qu’ils doivent capturer, tels que le courriel.

• Ticket d’accès au libre-service : Permet aux administrateurs clients d’accéder à l’assistant de configuration de la SSO et de définir les détails particuliers de l’intégration SSO qui en résulte. Les administrateurs client peuvent créer une nouvelle connexion ou modifier une connexion existante.

• Assistant de configuration de la SSO : Guide les administrateurs clients tout au long du processus de configuration de la SSO.

À un niveau élevé, le flux de production de la SSO en libre-service comprend les tâches suivantes :

1. Vous (le client Auth0) créez un profil en libre-service dans votre locataire en utilisant Auth0 Dashboard ou Management API.

2. En utilisant Management API, vous créez ensuite un ticket d’accès en libre-service qui permet aux administrateurs du client de configurer la SSO. Ce ticket vous permet d’autoriser les administrateurs clients à créer une nouvelle connexion ou à modifier une connexion existante.

3. Récupérez l’URL du ticket de la ressource créée à la deuxième étape et envoyez ce lien à l’administrateur client.

4. Votre administrateur client lance l’assistant de configuration de la SSO et suit les étapes indiquées pour configurer une nouvelle connexion ou une connexion existante.

5. Une nouvelle connexion Entreprise pointant vers l’application du client est ajoutée à votre locataire Auth0.

Cliquez sur le diagramme pour l’agrandir.

Les sections ci-dessous présentent les étapes détaillées de la configuration d’un profil en libre-service et de la génération de tickets d’accès en libre-service à partager avec les administrateurs de la clientèle.

Vous pouvez créer des profils en libre-service à l’aide d’Auth0 Dashboard ou de Management API. Les profils en libre-service sont utilisés pour déterminer les éléments clés des implémentations des clients, notamment :

• Les fournisseurs d’identité que les administrateurs clients peuvent utiliser pour la SSO.

• Les attributs d’utilisateur qu’ils doivent capturer au moyen de la SSO, tels que le courriel ou le nom de famille.

• Les options de marque qui personnalisent l’aspect et la convivialité de l’assistant de configuration de la SSO.

Vous pouvez créer jusqu’à 20 profils selon vos besoins pour différents clients ou segments.

{
  "name": "Example Profile",
  "description": "An example profile for all customers",
  "allowed_strategies": ["okta","adfs","google-apps"],
  "user_attributes": [
    {
      "name": "email",
      "description": "User's email",
      "is_optional": false,
    }
  ],
  "branding": {
     "logo_url": "https://example.com/logo.png",
     "colors": {
       "primary": "#334455"
     }
  }
}

PUT /api/v2/self-service-profiles/ssp_1234567890/custom-text/en/get-started

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

Après avoir créé au moins un profil en libre-service, vous pouvez générer des tickets d’accès en libre-service à l’aide de Management API. Les tickets d’accès en libre-service ont deux objectifs principaux :

• Permettre aux administrateurs clients d’accéder à l’assistant de configuration la SSO, grâce auquel ils peuvent configurer une nouvelle connexion SSO ou modifier une connexion existante.

• Prédéfinir les détails clés et les comportements des nouvelles connexions SSO que vos administrateurs clients configureront, tels que les applications ou les organisations qui seront activées pour la nouvelle connexion.

Pour générer un ticket d’accès en libre-service :

1. Récupérez l’ID du profil de libre-service que vous souhaitez associer au ticket d’accès à partir du point de terminaison Récupérer les profils de libre-service.

2. Appelez le point de terminaison Ticket d’accès SSO en utilisant l’identifiant du profil libre-service approprié :

POST  /api/v2/self-service-profiles/{id}/sso-ticket

Dans le corps de la requête, précisez les paramètres décrits dans le tableau ci-dessous.

Exemple de corps de requête

{
   "connection_config":{
      "name":"string",
      "display_name":"string",
      "is_domain_connection":true,
      "show_as_button":true,
      "metadata":{
         "key1":"value1",
         "key2":"value2"
      },
      "options":{
         "icon_url":"string",
         "domain_aliases":[
            "acme.corp",
            "okta.com"
         ],
         "idpinitiated": { 
            "enabled": true, 
            "client_id": "string", 
            "client_protocol": "string", 
            "client_authorizequery": "string" 
        }
      }
   },
   "enabled_clients":[
      "string"
   ],
   "enabled_organizations":[
      {
         "organization_id":"string",
         "assign_membership_on_login":true,
         "show_as_button":true
      }
   ],
   "ttl_sec":0,
   "domain_aliases_config": {
       "domain_verification": "string"
    }
}

En réponse, vous recevez une URL pour le ticket d’accès en libre-service :

{
  "ticket": "https://{domain}/self-service/connections-flow?ticket={id}"
}

Après avoir reçu l’URL du ticket, partagez le lien avec l’administrateur de votre client pour lui donner accès à l’assistant de configuration de la SSO. L’assistant de configuration le guidera alors dans la configuration de la connexion SSO.

Vous pouvez regrouper la génération de tickets d’accès dans votre propre portail en libre-service ou envoyer les URL des tickets directement aux administrateurs clients par courriel, clavardage ou d’autres canaux de communication.

Par défaut, l’URL d’un ticket d’accès reste valide pendant cinq jours. Après avoir accédé à l’URL, un administrateur client dispose de cinq heures pour terminer la configuration. Si nécessaire, vous pouvez révoquer un ticket d’accès avant son expiration. Par exemple, si un ticket d’accès est partagé par erreur avec une audience inappropriée, vous pouvez révoquer le ticket pour empêcher l’accès non autorisé à l’assistant de configuration de la SSO.

Lorsqu’un ticket d’accès est révoqué, son URL devient immédiatement invalide et toutes les sessions associées sont terminées. Les administrateurs clients possédant l’URL ne pourront plus accéder à l’assistant de configuration de la SSO. Un nouveau ticket d’accès peut alors être généré et partagé si nécessaire.

Pour révoquer un ticket d’accès :

1. Récupérez l’identifiant du profil de libre-service associé au ticket d’accès en utilisant le point de terminaison Récupérer les profils de libre-service.

2. Localisez l’identifiant du ticket d’accès que vous souhaitez révoquer. Les identifiants se trouvent à la fin de l’URL des tickets d’accès.

3. Appelez le point de terminaison Révoquer le billet d’accès SSO en utilisant les identifiants appropriés :

POST  /api/v2/self-service-profiles/{id}/sso-ticket/{id}/revoke

En réponse, un 202 Accepted est renvoyé.

Pour gérer la SSO en libre-service, les points de terminaison suivants de Management API sont proposés :

• Accéder aux profils en libre-service

• Créer un profil en libre-service

• Accéder à un profil en libre-service par ID

• Supprimer un profil en libre-service par ID

• Mettre à jour un profil libre-service

• Obtenir un texte personnalisé pour un profil de libre-service

• Définir un texte personnalisé pour un profil de libre-service

• Créer un ticket d’accès SSO pour initier le flux de la SSO en libre-service

• Révoquer un ticket d’accès SSO

Lors de l’utilisation de la SSO en libre-service, les limites anti-attaques suivantes s’appliquent :