Skip to main content
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Créez des connexions de fournisseur de services dans PingFederate pour OIDC dans StorageGRID

Contributeurs netapp-pcarriga
PDF

Utilisez PingFederate pour créer une connexion de fournisseur de services (SP) pour chaque nœud d'administration pour OpenID Connect (OIDC) dans votre système.

Avant de commencer
Description de la tâche

Ces instructions résument comment configurer le serveur PingFederate version 12.1.10 en tant que fournisseur SSO pour StorageGRID. Si vous utilisez une autre version de PingFederate, vous devrez peut-être adapter ces instructions. Consultez la documentation du serveur PingFederate pour obtenir des instructions détaillées concernant votre version.

Utilisez les paramètres par défaut, sauf indication contraire. Dans certains cas, vous pouvez utiliser les paramètres requis par votre organisation, tels que les paramètres de méthode d'authentification.

Étape 1 : Créez un magasin de données

Si vous ne l'avez pas déjà fait, créez un magasin de données pour connecter PingFederate au serveur LDAP AD FS.

Étapes

  1. Accédez à Système > Magasins de données et d'identifiants.

  2. Sélectionnez New Data Store.

  3. Pour le type, sélectionnez Directory (LDAP).

  4. Sélectionnez Suivant.

  5. Sous Configuration LDAP :

Étape 2 : Créer un validateur d’identifiant de mot de passe

Si ce n'est pas déjà fait, créez un validateur pour les informations d'identification du mot de passe.

Étapes

  1. Sélectionnez Password Credential Validators > Create New instance.

  2. Dans l'onglet Type, saisissez les informations suivantes :

    1. NOM DE L'INSTANCE et ID DE L'INSTANCE : Vous pouvez utiliser la même valeur pour les deux.

    2. Type : sélectionnez LDAP Username Password Credential Validator.

  3. Sélectionnez Suivant.

  4. Dans l'onglet Configuration de l'instance, saisissez les informations suivantes :

    • LDAP DATASTORE : Sélectionnez le magasin de données que vous avez créé.

    • BASE DE RECHERCHE : Saisissez les informations pour le Configuration LDAP.

    • FILTRE DE RECHERCHE : Saisissez sAMAccountName=${username}.

    • ÉTENDUE DE LA RECHERCHE : sélectionnez Sous-arbre.

  5. Sélectionnez Suivant.

  6. Dans l'onglet Contrat étendu, ajoutez les attributs suivants : memberOf, objectGUID, sAMAccountName, sn, et userPrincipalName

  7. Sélectionnez Suivant > Enregistrer.

Étape 3 : Créez une instance d’adaptateur IdP

Si vous ne l'avez pas déjà fait, créez une instance d'adaptateur IdP (identity provider).

Remarque Chaque nœud d'administration de votre StorageGRID doit avoir une connexion IdP. Cela garantit que les utilisateurs peuvent se connecter et se déconnecter en toute sécurité de n'importe quel nœud d'administration. Vous pouvez créer une seule connexion IdP pour tous les nœuds d'administration (recommandé) ou une connexion IdP différente pour chaque nœud d'administration.
Étapes

  1. Accédez à Authentication > Integration > IDP Adapters.

  2. Sélectionnez Créer une nouvelle instance.

  3. Dans l'onglet Type, saisissez les informations suivantes :

    • NOM DE L'INSTANCE et ID DE L'INSTANCE : Vous pouvez utiliser la même valeur pour les deux.

    • TYPE : Sélectionnez HTML Form IdP Adapter.

  4. Sélectionnez Suivant.

  5. Dans l'onglet Adaptateur IdP, sélectionnez Ajouter une nouvelle ligne à 'Credential Validators'.

  6. Sélectionnez validateur des informations d'identification du mot de passe que vous avez créé.

  7. Sélectionnez Suivant.

  8. Dans l'onglet Contrat étendu, ajoutez les attributs que vous avez mappés pour le validateur des informations d'identification du mot de passe.

  9. Sélectionnez Suivant.

  10. Dans l'onglet Attributs de l'adaptateur, sélectionnez l'attribut username pour Pseudonym.

  11. Sélectionnez Suivant > Suivant.

  12. Vérifiez le résumé et sélectionnez Enregistrer.

Étape 4 : Configurer les paramètres du serveur OAuth et du serveur d’autorisation

Configurez le serveur d'autorisation pour prendre en charge les types d'autorisation acceptés par StorageGRID.

Étapes

  1. Accédez à Système > Paramètres du serveur d'autorisation.

  2. Vérifiez que les options suivantes sont sélectionnées pour REUSE EXISTING PERSISTENT ACCESS GRANTS FOR GRANT TYPES :

    • IMPLICITE

    • CODE D'AUTORISATION

    • IDENTIFIANT DE MOT DE PASSE DU PROPRIÉTAIRE DE LA RESSOURCE

      Remarque Si votre entreprise restreint l'utilisation des IDENTIFIANTS DE MOT DE PASSE DU PROPRIÉTAIRE DE LA RESSOURCE, vous ne pouvez utiliser que le CODE D'AUTORISATION.

  3. Pour les paramètres des services Web administratifs OAuth, sélectionnez validateur des informations d'identification du mot de passe que vous avez créé.

Étape 5 : Définir les portées

Définissez les portées dans PingFederate.

Étapes

  1. Accédez à Système > Paramètres OAuth > Gestion de l’étendue.

  2. Dans l'onglet Common Scopes, ajoutez les valeurs pour openid, email et profile, si elles n'existent pas déjà.

Étape 6 : Configurer le mappage de l’adaptateur IdP

Configurez le mappage de l'adaptateur IdP pour associer les attributs de l'IdP aux autorisations persistantes délivrées aux clients, telles que les jetons d'accès ou les jetons d'actualisation.

Étapes

  1. Accédez à Authentification > Mappage des contrats de stratégie d'autorisation.

  2. Sélectionnez Mappage des autorisations de l'adaptateur IdP.

  3. Dans la liste déroulante INSTANCE D'ADAPTATEUR SOURCE, sélectionnez Adaptateur de formulaire HTML celle que vous avez créée.

  4. Sélectionnez Ajouter un mappage > Contract Fulfillment.

  5. Sous Source, sélectionnez Adapter pour USER_KEY et USER_NAME.

  6. Sous Valeur, sélectionnez sAMAccountName pour USER_KEY et username pour USER_NAME.

  7. Sélectionnez Suivant > Suivant pour accéder à la page récapitulative.

  8. Sélectionnez Enregistrer.

Étape 7 : Configurer le mappage des identifiants du propriétaire de la ressource

Configurez le mappage des identifiants du propriétaire de la ressource pour garantir que les identifiants de l'utilisateur sont correctement validés lors de l'authentification.

Étapes

  1. Accédez à Authentification > Mappage des contrats de stratégie d'autorisation.

  2. Sélectionnez Mappage des identifiants du propriétaire de la ressource.

  3. Dans la liste déroulante SOURCE PASSWORD VALIDATOR INSTANCE, sélectionnez validateur des informations d'identification du mot de passe que vous avez créée.

  4. Sélectionnez Ajouter un mappage > Contract Fulfillment.

  5. Ajoutez le mappage pour USER_KEY :

    • Sous Source, sélectionnez Password Credential Validator.

    • Sous Valeur, sélectionnez sAMAccountName.

  6. Sélectionnez Suivant > Suivant pour accéder à la page récapitulative.

  7. Sélectionnez Enregistrer.

Étape 8 : Créer ou importer un certificat de signature

Si ce n'est déjà fait, créez ou importez le certificat de signature.

Étapes

  1. Accédez à sécurité > clés de signature et de déchiffrement.

  2. Sélectionnez Créer nouveau, puis saisissez les informations suivantes :

    • Nom commun (CN) : Il doit s'agir du domaine complet (FQDN) du serveur.

    • Organisation (Org) : Saisissez le nom de votre organisation.

    • Pays : Indiquez le code pays à deux lettres, par exemple US pour les États-Unis.

    • Algorithme de clé : sélectionnez l’algorithme de clé approprié, tel que RSA.

    • Taille de la clé : définie sur 2048 bits.

    • Algorithme de signature : Sélectionnez RSA avec SHA256 comme algorithme de signature pour garantir des opérations cryptographiques sécurisées.

Étape 9 : Configurer la gestion des jetons d’accès

StorageGRID utilise des jetons d'accès pour authentifier et autoriser les requêtes API dans PingFederate.

Étapes

  1. Accédez à Applications > Gestion des jetons d'accès.

  2. Sélectionnez Créer une nouvelle instance.

  3. Dans l'onglet Type, saisissez les informations suivantes :

    • NOM DE L'INSTANCE et ID DE L'INSTANCE : Vous pouvez utiliser la même valeur pour les deux.

    • Type : Vérifiez que la valeur est JSON Web Tokens.

  4. Sélectionnez Suivant.

  5. Dans l'onglet Configuration de l'instance, saisissez les informations suivantes pour les certificats :

    • ID DE CLÉ : Saisissez un identifiant unique pour la clé.

    • Certificat : Ajoutez le certificat que vous avez créé.

    • ALGORITHME JWS : sélectionnez RSA using SHA256.

    • ID DE CLÉ DU CERTIFICAT DE SIGNATURE ACTIF : Sélectionnez l’ID DE CLÉ que vous avez créé à cette étape.

  6. Sélectionnez Suivant > Suivant.

  7. Dans l'onglet Contrat d'attribut de jeton d'accès, sélectionnez USER_KEY pour Nom de l'attribut du sujet et username pour Étendre le contrat.

  8. Sélectionnez Ajouter.

  9. Sélectionnez Suivant > Suivant > Suivant pour accéder à la page récapitulative.

  10. Sélectionnez Enregistrer.

Étape 10 : Configurer le mappage des jetons d’accès

Configurez le mappage des jetons d'accès pour utiliser le jeton d'accès que vous avez créé.

Étapes

  1. Accédez à Applications > Mappages de jetons d'accès.

  2. Sélectionnez Mappages de jetons d'accès.

  3. Sélectionnez Ajouter un mappage.

  4. Pour le contexte, sélectionnez Default.

  5. Pour le Gestionnaire de jetons d'accès, sélectionnez le jeton d'accès que vous avez créé.

  6. Sélectionnez Suivant > Exécution du contrat :

  7. Sous Source, sélectionnez Persistent Grant pour le nom d'utilisateur.

  8. Sous Valeur, sélectionnez USER_KEY pour le nom d'utilisateur.

  9. Sélectionnez Suivant > Enregistrer.

Étape 11 : Configurer la politique OpenID Connect

Définissez les politiques OpenID Connect pour l'accès client aux attributs qui sont mappés conformément aux spécifications OpenID.

Étapes

  1. Accédez à Applications > Clients OAuth.

  2. Sélectionnez OpenId Connect Policy Management > Add Policy.

  3. Dans l'onglet Gérer la stratégie, saisissez les informations suivantes :

    • ID DE LA POLITIQUE : Un identifiant unique pour la politique.

    • NOM DE LA STRATÉGIE : Un nom descriptif pour la stratégie.

    • GESTIONNAIRE DE JETONS D'ACCÈS : Sélectionnez le jeton d'accès que vous avez créé.

    • DURÉE DE VIE DU JETON D'IDENTIFICATION : Définissez la durée de vie souhaitée pour le jeton d'identification, par exemple 60 minutes ou une heure.

    • INCLURE LES INFORMATIONS UTILISATEUR DANS LE JETON D'IDENTIFICATION : Cochez la case pour inclure les informations de l'utilisateur dans le jeton d'identification.

  4. Sélectionnez Suivant.

  5. Dans l'onglet Contrat d'attributs, supprimez tous les attributs existants qui ne sont pas nécessaires pour le magasin de données que vous avez créé. Ne conservez que les attributs que vous souhaitez transmettre de Ping Authentication à StorageGRID.

    Remarque Il s'agit d'une étape cruciale. Elle détermine les valeurs d'attribut incluses dans le jeton d'identification. StorageGRID hérite de ces valeurs lors du processus d'authentification.

  6. Sélectionnez Suivant > Suivant.

  7. Dans l'onglet Source d'attributs et recherche d'utilisateurs, sélectionnez Ajouter une source d'attributs. Saisissez ensuite les informations suivantes :

    • ID DE LA SOURCE D'ATTRIBUT et DESCRIPTION DE LA SOURCE D'ATTRIBUT : Vous pouvez utiliser la même valeur pour les deux.

    • MAGASIN DE DONNÉES ACTIF : Sélectionnez le magasin de données que vous avez créé.

  8. Sélectionnez Suivant.

  9. Dans l'onglet LDAP Directory Search :

    1. Saisissez le DN de base, qui doit correspondre exactement à la valeur que vous avez saisie dans StorageGRID pour le serveur LDAP.

    2. Dans la liste déroulante ROOT OBJECT CLASS, sélectionnez objectClass.

    3. Dans la liste déroulante ATTRIBUTE, ajoutez un attribut pour chaque classe d'objet que vous souhaitez mapper. Par exemple :

      • InetOrgPerson : Ajoutez displayName, givenName ou HomePhone.

      • utilisateur : Ajoutez LocalID ou userPrincipalName (upn).

      • En haut : Ajoutez memberOf ou nom.

      • person : Ajouter sn.

  10. Sélectionnez Suivant.

  11. Dans l'onglet filtre LDAP, entrez sAMAccountName=${username}.

    Vous devez personnaliser le filtre LDAP pour que StorageGRID récupère les attributs utilisateur en fonction de la structure Active Directory ou LDAP spécifique à votre organisation. Consultez votre administrateur LDAP/AD pour obtenir l'expression de filtre appropriée à votre configuration.

  12. Sélectionnez Enregistrer et consultez le résumé.

  13. Dans l'onglet Exécution du contrat, saisissez les informations suivantes :

    • Source : Sélectionnez le base de données LDAP que vous avez créé.

    • Valeur : Associez chaque contrat d’attribut à la valeur correspondante.

  14. Sélectionnez Suivant > Suivant.

  15. Vérifiez le résumé et sélectionnez Enregistrer.

  16. Accédez à Applications > Clients OAuth > Gestion des politiques OpenID Connect.

  17. Vérifiez que la stratégie que vous avez créée est définie comme stratégie par défaut.

Étape 12 : Créer un client OAuth pour le serveur OAuth

Créez un nouveau client OAuth pour configurer les informations d'identification client nécessaires et autoriser les connexions entre PingFederate et StorageGRID.

Étapes

  1. Accédez à Applications > Clients OAuth.

  2. Sélectionnez Add Client, puis saisissez les informations suivantes :

    • ID CLIENT : Saisissez une valeur unique.

    • AUTHENTIFICATION DU CLIENT : sélectionnez Client Secret.

    • SECRET CLIENT : Sélectionnez MODIFIER LE SECRET > Générer le secret.

      Cela génère la clé secrète du client. Conservez cette clé pour une utilisation ultérieure.

    • URI DE REDIRECTION : Indiquez les URL de retour StorageGRID dans la section URI de redirection. Ces URL doivent correspondre aux URL configurées dans StorageGRID pour OAuth : par exemple :

    • https://<Admin IP or Hostname>/api/v4/oidc-callback

    • https://<Admin IP or Hostname>/api/v4/oidc-logged-out

    • TYPES DE SUBVENTIONS AUTORISÉES : Sélectionnez les options suivantes :

      • Code d'autorisation : Ceci lance le flux OAuth.

      • Jeton d'actualisation : Obtenez un nouveau jeton lorsqu'un jeton d'accès expire.

      • Identifiants du propriétaire de la ressource : Si vous avez besoin d’un accès direct aux identifiants de l’utilisateur pour l’authentification.

    • OPENID CONNECT : Sélectionnez RSA using SHA-256 pour l’algorithme de signature du jeton d’identification.

    • Mode de déconnexion : sélectionnez OIDC Back-Channel.

    • URI de déconnexion du canal frontal, URI de déconnexion du canal dorsal et URI de redirection post-déconnexion : ajoutez l’URI de déconnexion StorageGRID : https://<Admin IP or Hostname>/api/v4/oidc-logged-out

  3. Sélectionnez Enregistrer.

Et ensuite

Après avoir créé les connexions SP,"Configurer l'authentification unique (SSO) à l'aide d'OIDC".