Skip to main content
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Créer des approbations de parties de confiance dans AD FS

PDF

Vous devez utiliser les services de fédération Active Directory (AD FS) pour créer une approbation de partie de confiance pour chaque nœud d’administration de votre système. Vous pouvez créer des approbations de parties de confiance à l’aide de commandes PowerShell, en important des métadonnées SAML à partir de StorageGRID ou en saisissant les données manuellement.

Avant de commencer

  • Vous avez configuré l’authentification unique pour StorageGRID et vous avez sélectionné AD FS comme type d’authentification unique.

  • Le mode Sandbox est sélectionné sur la page d'authentification unique dans Grid Manager. Voir "Utiliser le mode sandbox" .

  • Vous connaissez le nom de domaine complet (ou l'adresse IP) et l'identifiant de la partie de confiance pour chaque nœud d'administration de votre système. Vous pouvez trouver ces valeurs dans le tableau détaillé des nœuds d’administration sur la page d’authentification unique StorageGRID .

    Remarque Vous devez créer une approbation de partie de confiance pour chaque nœud d’administration de votre système StorageGRID . Le fait de disposer d'une partie de confiance pour chaque nœud d'administration garantit que les utilisateurs peuvent se connecter et se déconnecter en toute sécurité de n'importe quel nœud d'administration.

  • Vous avez de l’expérience dans la création d’approbations de parties de confiance dans AD FS ou vous avez accès à la documentation Microsoft AD FS.

  • Vous utilisez le composant logiciel enfichable Gestion AD FS et vous appartenez au groupe Administrateurs.

  • Si vous créez manuellement l'approbation de partie de confiance, vous disposez du certificat personnalisé qui a été téléchargé pour l'interface de gestion StorageGRID ou vous savez comment vous connecter à un nœud d'administration à partir de l'interpréteur de commandes.

À propos de cette tâche

Ces instructions s’appliquent à Windows Server 2016 AD FS. Si vous utilisez une version différente d’AD FS, vous remarquerez de légères différences dans la procédure. Consultez la documentation Microsoft AD FS si vous avez des questions.

Créer une approbation de partie de confiance à l'aide de Windows PowerShell

Vous pouvez utiliser Windows PowerShell pour créer rapidement une ou plusieurs approbations de parties de confiance.

Étapes

  1. Dans le menu Démarrer de Windows, sélectionnez avec le bouton droit de la souris l’icône PowerShell et sélectionnez Exécuter en tant qu’administrateur.

  2. À l’invite de commande PowerShell, entrez la commande suivante :

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Pour Admin_Node_Identifier , saisissez l’identifiant de la partie de confiance pour le nœud d’administration, exactement tel qu’il apparaît sur la page d’authentification unique. Par exemple : SG-DC1-ADM1 .

    • Pour Admin_Node_FQDN , entrez le nom de domaine complet pour le même nœud d'administration. (Si nécessaire, vous pouvez utiliser l'adresse IP du nœud à la place. Cependant, si vous saisissez une adresse IP ici, sachez que vous devez mettre à jour ou recréer cette approbation de partie de confiance si cette adresse IP change un jour.)

  3. Dans le Gestionnaire de serveur Windows, sélectionnez Outils > Gestion AD FS.

    L'outil de gestion AD FS apparaît.

  4. Sélectionnez AD FS > Approbations de parties de confiance.

    La liste des fiducies de parties utilisatrices s’affiche.

  5. Ajoutez une politique de contrôle d’accès à la nouvelle approbation de partie de confiance créée :

    1. Localisez la fiducie de partie de confiance que vous venez de créer.

    2. Cliquez avec le bouton droit sur l’approbation et sélectionnez Modifier la politique de contrôle d’accès.

    3. Sélectionnez une politique de contrôle d’accès.

    4. Sélectionnez Appliquer, puis OK

  6. Ajoutez une politique d'émission de réclamation à la fiducie de partie utilisatrice nouvellement créée :

    1. Localisez la fiducie de partie de confiance que vous venez de créer.

    2. Cliquez avec le bouton droit sur la fiducie et sélectionnez Modifier la politique d’émission de réclamation.

    3. Sélectionnez Ajouter une règle.

    4. Sur la page Sélectionner un modèle de règle, sélectionnez Envoyer les attributs LDAP en tant que revendications dans la liste, puis sélectionnez Suivant.

    5. Sur la page Configurer la règle, entrez un nom d’affichage pour cette règle.

      Par exemple, ObjectGUID vers Name ID ou UPN vers Name ID.

    6. Pour le magasin d'attributs, sélectionnez Active Directory.

    7. Dans la colonne Attribut LDAP de la table de mappage, saisissez objectGUID ou sélectionnez User-Principal-Name.

    8. Dans la colonne Type de réclamation sortante de la table de mappage, sélectionnez ID de nom dans la liste déroulante.

    9. Sélectionnez Terminer, puis OK.

  7. Confirmez que les métadonnées ont été importées avec succès.

    1. Cliquez avec le bouton droit sur l’approbation de la partie de confiance pour ouvrir ses propriétés.

    2. Confirmez que les champs des onglets Points de terminaison, Identifiants et Signature sont renseignés.

      Si les métadonnées sont manquantes, confirmez que l'adresse des métadonnées de la Fédération est correcte ou saisissez les valeurs manuellement.

  8. Répétez ces étapes pour configurer une approbation de partie de confiance pour tous les nœuds d’administration de votre système StorageGRID .

  9. Une fois que vous avez terminé, revenez à StorageGRID et testez toutes les approbations des parties de confiance pour confirmer qu'elles sont correctement configurées. Voir"Utiliser le mode Sandbox" pour les instructions.

Créer une approbation de partie de confiance en important des métadonnées de fédération

Vous pouvez importer les valeurs de chaque partie de confiance en accédant aux métadonnées SAML pour chaque nœud d’administration.

Étapes

  1. Dans le Gestionnaire de serveur Windows, sélectionnez Outils, puis Gestion AD FS.

  2. Sous Actions, sélectionnez Ajouter une approbation de partie de confiance.

  3. Sur la page d'accueil, choisissez Réclamations prises en compte, puis sélectionnez Démarrer.

  4. Sélectionnez Importer des données sur la partie utilisatrice publiées en ligne ou sur un réseau local.

  5. Dans Adresse des métadonnées de la fédération (nom d'hôte ou URL), saisissez l'emplacement des métadonnées SAML pour ce nœud d'administration :

    https://Admin_Node_FQDN/api/saml-metadata

    Pour Admin_Node_FQDN , entrez le nom de domaine complet pour le même nœud d'administration. (Si nécessaire, vous pouvez utiliser l'adresse IP du nœud à la place. Cependant, si vous saisissez une adresse IP ici, sachez que vous devez mettre à jour ou recréer cette approbation de partie de confiance si cette adresse IP change un jour.)

  6. Terminez l’assistant d’approbation de partie de confiance, enregistrez l’approbation de partie de confiance et fermez l’assistant.

    Remarque Lors de la saisie du nom d’affichage, utilisez l’identifiant de la partie de confiance pour le nœud d’administration, exactement tel qu’il apparaît sur la page d’authentification unique dans le gestionnaire de grille. Par exemple : SG-DC1-ADM1 .

  7. Ajouter une règle de revendication :

    1. Cliquez avec le bouton droit sur la fiducie et sélectionnez Modifier la politique d’émission de réclamation.

    2. Sélectionnez Ajouter une règle:

    3. Sur la page Sélectionner un modèle de règle, sélectionnez Envoyer les attributs LDAP en tant que revendications dans la liste, puis sélectionnez Suivant.

    4. Sur la page Configurer la règle, entrez un nom d’affichage pour cette règle.

      Par exemple, ObjectGUID vers Name ID ou UPN vers Name ID.

    5. Pour le magasin d'attributs, sélectionnez Active Directory.

    6. Dans la colonne Attribut LDAP de la table de mappage, saisissez objectGUID ou sélectionnez User-Principal-Name.

    7. Dans la colonne Type de réclamation sortante de la table de mappage, sélectionnez ID de nom dans la liste déroulante.

    8. Sélectionnez Terminer, puis OK.

  8. Confirmez que les métadonnées ont été importées avec succès.

    1. Cliquez avec le bouton droit sur l’approbation de la partie de confiance pour ouvrir ses propriétés.

    2. Confirmez que les champs des onglets Points de terminaison, Identifiants et Signature sont renseignés.

      Si les métadonnées sont manquantes, confirmez que l'adresse des métadonnées de la Fédération est correcte ou saisissez les valeurs manuellement.

  9. Répétez ces étapes pour configurer une approbation de partie de confiance pour tous les nœuds d’administration de votre système StorageGRID .

  10. Une fois que vous avez terminé, revenez à StorageGRID et testez toutes les approbations des parties de confiance pour confirmer qu'elles sont correctement configurées. Voir"Utiliser le mode Sandbox" pour les instructions.

Créer manuellement une fiducie de partie utilisatrice

Si vous choisissez de ne pas importer les données des approbations de partie de confiance, vous pouvez saisir les valeurs manuellement.

Étapes

  1. Dans le Gestionnaire de serveur Windows, sélectionnez Outils, puis Gestion AD FS.

  2. Sous Actions, sélectionnez Ajouter une approbation de partie de confiance.

  3. Sur la page d'accueil, choisissez Réclamations prises en compte, puis sélectionnez Démarrer.

  4. Sélectionnez Saisir manuellement les données sur la partie de confiance, puis sélectionnez Suivant.

  5. Complétez l'assistant d'approbation de partie de confiance :

    1. Saisissez un nom d’affichage pour ce nœud d’administration.

      Par souci de cohérence, utilisez l’identifiant de partie de confiance pour le nœud d’administration, exactement tel qu’il apparaît sur la page d’authentification unique dans le gestionnaire de grille. Par exemple : SG-DC1-ADM1 .

    2. Ignorez l’étape pour configurer un certificat de chiffrement de jeton facultatif.

    3. Sur la page Configurer l’URL, cochez la case Activer la prise en charge du protocole SAML 2.0 WebSSO.

    4. Saisissez l’URL du point de terminaison du service SAML pour le nœud d’administration :

      https://Admin_Node_FQDN/api/saml-response

      Pour Admin_Node_FQDN , entrez le nom de domaine complet du nœud d'administration. (Si nécessaire, vous pouvez utiliser l'adresse IP du nœud à la place. Cependant, si vous saisissez une adresse IP ici, sachez que vous devez mettre à jour ou recréer cette approbation de partie de confiance si cette adresse IP change un jour.)

    5. Sur la page Configurer les identifiants, spécifiez l’identifiant de la partie de confiance pour le même nœud d’administration :

      Admin_Node_Identifier

      Pour Admin_Node_Identifier , saisissez l’identifiant de la partie de confiance pour le nœud d’administration, exactement tel qu’il apparaît sur la page d’authentification unique. Par exemple : SG-DC1-ADM1 .

    6. Vérifiez les paramètres, enregistrez l’approbation de la partie de confiance et fermez l’assistant.

      La boîte de dialogue Modifier la politique d’émission de réclamation s’affiche.

    Remarque Si la boîte de dialogue n'apparaît pas, cliquez avec le bouton droit sur la fiducie et sélectionnez Modifier la politique d'émission de réclamation.

  6. Pour démarrer l'assistant de règle de revendication, sélectionnez Ajouter une règle :

    1. Sur la page Sélectionner un modèle de règle, sélectionnez Envoyer les attributs LDAP en tant que revendications dans la liste, puis sélectionnez Suivant.

    2. Sur la page Configurer la règle, entrez un nom d’affichage pour cette règle.

      Par exemple, ObjectGUID vers Name ID ou UPN vers Name ID.

    3. Pour le magasin d'attributs, sélectionnez Active Directory.

    4. Dans la colonne Attribut LDAP de la table de mappage, saisissez objectGUID ou sélectionnez User-Principal-Name.

    5. Dans la colonne Type de réclamation sortante de la table de mappage, sélectionnez ID de nom dans la liste déroulante.

    6. Sélectionnez Terminer, puis OK.

  7. Cliquez avec le bouton droit sur l’approbation de la partie de confiance pour ouvrir ses propriétés.

  8. Dans l'onglet Points de terminaison, configurez le point de terminaison pour la déconnexion unique (SLO) :

    1. Sélectionnez Ajouter SAML.

    2. Sélectionnez Type de point de terminaison > Déconnexion SAML.

    3. Sélectionnez Liaison > Redirection.

    4. Dans le champ URL de confiance, saisissez l'URL utilisée pour la déconnexion unique (SLO) de ce nœud d'administration :

      https://Admin_Node_FQDN/api/saml-logout

    Pour Admin_Node_FQDN , entrez le nom de domaine complet du nœud d'administration. (Si nécessaire, vous pouvez utiliser l'adresse IP du nœud à la place. Cependant, si vous saisissez une adresse IP ici, sachez que vous devez mettre à jour ou recréer cette approbation de partie de confiance si cette adresse IP change un jour.)

    1. Sélectionnez OK.

  9. Dans l'onglet Signature, spécifiez le certificat de signature pour cette approbation de partie de confiance :

    1. Ajoutez le certificat personnalisé :

      • Si vous disposez du certificat de gestion personnalisé que vous avez téléchargé sur StorageGRID, sélectionnez ce certificat.

      • Si vous n'avez pas le certificat personnalisé, connectez-vous au nœud d'administration, accédez à la /var/local/mgmt-api répertoire du nœud Admin et ajoutez le custom-server.crt fichier de certificat.

        Remarque Utilisation du certificat par défaut du nœud d'administration(server.crt ) n'est pas recommandé. Si le nœud d'administration échoue, le certificat par défaut sera régénéré lorsque vous récupérerez le nœud et vous devrez mettre à jour l'approbation de la partie de confiance.

    2. Sélectionnez Appliquer, puis OK.

      Les propriétés de la partie de confiance sont enregistrées et fermées.

  10. Répétez ces étapes pour configurer une approbation de partie de confiance pour tous les nœuds d’administration de votre système StorageGRID .

  11. Une fois que vous avez terminé, revenez à StorageGRID et testez toutes les approbations des parties de confiance pour confirmer qu'elles sont correctement configurées. Voir"Utiliser le mode sandbox" pour les instructions.