Configurer la connexion SAML initiée par IdP aux applications OIDC

Auth0 fournit une méthode pour traduire une réponse SAML initiée par le fournisseur d’identité (IdP) en une réponse OpenID Connect (OIDC) pour une application.

Le protocole OIDC ne prend pas en charge les flux d’authentification initiés par un fournisseur d’identité, mais cette méthode vous permet de simuler un flux d’authentification initié par le fournisseur d’identité à l’aide de Flux implicite avec Form Post.

Si vous souhaitez implémenter cette méthode, vous devez :

• ajouter un gestionnaire de route de connexion personnalisé à votre application.

• Mettez à jour votre connexion SAML vers :

  1. Accepter les assertions SAML entrantes initiées par le fournisseur d’identité.

  2. Redirection vers une application par défaut qui envoie une demande d’authentification initiée par le fournisseur de services.

1. L’utilisateur accède au point de terminaison de connexion du fournisseur d’identité SAML.

2. Le fournisseur d’identité SAML renvoie la page de connexion.

3. L’utilisateur soumet ses identifiants au fournisseur d’identité SAML.

4. Le fournisseur d’identité SAML crée une session pour l’utilisateur, puis renvoie une page HTML avec Form Post (publication du formulaire) et la réponse SAML.

5. La page envoie automatiquement la réponse SAML au locataire Auth0 par le biais d’un appel HTTP POST.

6. Le locataire Auth0 redirige le navigateur de l’utilisateur vers le gestionnaire de route de connexion personnalisé de l’application OIDC avec le jeton d’ID sous forme de fragment d’URL.

7. Le navigateur appelle le gestionnaire de route de connexion personnalisé de l’application OIDC avec le paramètre de connection et le jeton d’ID.

8. L’application OIDC ignore le jeton d’ID, analyse le paramètre de connection, crée un paramètre state pour la session, puis redirige le navigateur de l’utilisateur vers le point de terminaison /authorize du locataire Auth0.

9. Le navigateur appelle le point de terminaison /authorize du locataire Auth0 avec les paramètres connection et state fournis.

10. Le locataire Auth0 génère une demande de connexion SAML, puis redirige le navigateur de l’utilisateur vers le point de terminaison de connexion du fournisseur d’identité SAML.

11. Le navigateur envoie la demande de connexion SAML au point de terminaison de connexion du fournisseur d’identité SAML.

12. Le fournisseur d’identité SAML trouve la session de l’utilisateur, puis renvoie une page HTML avec publication de formulaire et la réponse SAML.

13. La page envoie automatiquement la réponse SAML au locataire Auth0 par le biais d’un appel HTTP POST.

14. Le locataire Auth0 redirige le navigateur de l’utilisateur vers le gestionnaire de route de connexion de l’application.

15. Le navigateur appelle le gestionnaire de route de connexion de l’application avec le paramètre state et le jeton d’ID fournis.

16. L’application OIDC vérifie le paramètre state, analyse le jeton d’ID et crée une session d’application pour l’utilisateur.

Le gestionnaire de route de connexion personnalisé appelle la méthode de connexion de votre application. Le gestionnaire doit accepter le paramètre connection et l’inclure dans la demande d’authentification envoyée à votre locataire Auth0.

Nous vous recommandons d’associer le gestionnaire de route de connexion personnalisé à un point de terminaison différent de celui associé à votre gestionnaire de route de connexion standard. Par exemple, si votre gestionnaire de route de connexion standard est associé au point de terminaison /login, vous pouvez associer le gestionnaire de route de connexion personnalisé au point de terminaison /startlogin.

Si vous utilisez la trousse SDK pour applications à page unique d’Auth0, vous pouvez ajouter un gestionnaire de route de connexion personnalisé et mettre à jour la méthode de connexion pour prendre en charge le paramètre de connexion comme ceci :

const router = {
  "/": () => showContent("content-home"),
  "/profile": () =>
    requireAuth(() => showContent("content-profile"), "/profile"),
  "/login": () => login(),
  "/startlogin": () => startlogin()
};

//new method to start login from idp-initiated callback
const startlogin = async () => {
  console.log(window.location.href)
  let myURL = new URL(window.location.href);
  let conn = myURL.searchParams.get("connection");
  return  login(null, conn);
}

/**
 * Starts the authentication flow
 */
const login = async (targetUrl, connection) => {
  try {
    console.log("Logging in", targetUrl);

    const options = {
      redirect_uri: window.location.origin,
    };

    if (connection) {
      options.connection = connection;
    }

    if (targetUrl) {
      options.appState = { targetUrl };
    }

    await auth0.loginWithRedirect(options);
  } catch (err) {
    console.log("Log in failed", err);
  }
};

La chaîne de requête contient le paramètre redirect_uri. La valeur du paramètre doit être codée en URL et est composée du :

1. point de terminaison de l’application associé au gestionnaire de route de connexion personnalisé.

2. Le paramètre connection avec la valeur de votre nom de connexion SAML.

Si le point de terminaison de votre application est https://exampleco.com/startlogin et que le nom de votre connexion SAML est my-saml-connection, la chaîne de requête serait redirect_uri=https%3A%2F%2Fexampleco.com%2Fstartlogin%3Fconnection%3Dmy-saml-connection.

1. Rendez-vous dans Auth0 Dashboard> Applications > Applications.

2. Créez une nouvelle Application pour représenter l’application OIDC dans Auth0.

3. Mettez à jour les URL de rappel autorisées pour inclure le point de terminaison d’application associé à votre gestionnaire de route de connexion personnalisé.

1. Allez à Auth0 Dashboard> Authentification > Entreprise > SAML.

2. Créer une nouvelle connexion SAML.

3. Passez à l’affichage authentification unique initiée par IdP.

4. Sélectionnez Accepter les requêtes.

5. Pour Application par défaut, sélectionnez l’application créée précédemment.

6. Pour Protocole de réponse, sélectionnez OpenID Connect.

7. Pour Chaîne de requête, entrez la chaîne de requête créée précédemment.

• Connectez votre application aux fournisseurs d’identité SAML
• Configurer l’authentification unique initiée par le fournisseur d’identité SAML
• Déconnecter des utilisateurs des fournisseurs d’identité SAML
• Dépanner des configurations SAML