For AI agents: the complete documentation index is available at https://docs.ovhcloud.com/fr/llms.txt, the full documentation bundle is available at https://docs.ovhcloud.com/fr/llms-full.txt, and this page is available as Markdown at https://docs.ovhcloud.com/fr/guides/public-cloud/data-platform/iam-auth-providers-azure-ad.md.

Configurer l'authentification SSO avec Azure AD

Voir en Markdown

Disposez-vous d'un Azure Active Directory dans votre entreprise ? Si vous souhaitez l'utiliser pour vous connecter à vos applications Data Platform, ce guide est fait pour vous

Objectif

Ce guide explique comment utiliser Azure Active Directory pour vous connecter à vos applications Data Platform.

Ouvrez l'IAM et cliquez sur Auth. Provider.

Auth provider

Si vous ne l'avez pas encore fait, ajoutez un nouveau fournisseur d'authentification Azure AD. Sinon, modifiez-le simplement.

La configuration se fait en deux parties. Vous devez d'abord configurer les droits sur Microsoft Azure, puis configurer le fournisseur d'authentification dans l'Identity Access Manager de Data Platform.

Configuration sur Azure

Vous devez enregistrer Data Platform sur la console Azure. Rendez-vous ici : https://portal.azure.com.

Étape 1. Récupérer le Tenant ID

Info

Notez que l'interface d'Azure Active Directory peut évoluer au fil du temps, et les captures d'écran peuvent être obsolètes. Reportez-vous au portail de documentation Azure AD si vous ne parvenez pas à trouver certaines des fonctionnalités listées ci-dessous.

Le Tenant ID est l'ID de l'environnement Azure de votre entreprise. Pour le trouver, sélectionnez Azure Active Directory dans la liste des services Azure. Ensuite, dans la barre latérale, cliquez sur "Properties".

Tenant
Info

Notez que cet ID sera nécessaire plus tard lors de la configuration de l'IAM.

Étape 2. Enregistrer l'Identity Access Manager

Vous devez ensuite enregistrer une application au sein de Microsoft Azure AD. Cela fonctionne pour n'importe quelle application que vous souhaitez connecter à Azure, mais dans ce cas, vous allez enregistrer directement l'IAM de Data Platform.

Dans la barre latérale, sélectionnez App Registrations. Cliquez ensuite sur New registration.

Enregistrement de l'application

Name

Le nom est purement descriptif : il sera utile pour retrouver votre configuration au sein de votre Azure AD.

Enregistrement de l'application

Supported account types

Ce paramètre précise quels annuaires Azure AD vous pourrez utiliser pour vous authentifier sur l'IAM de Data Platform. Il est recommandé de sélectionner Accounts in this organizational directory only afin que seul votre AD puisse se connecter à votre IAM Data Platform.

Enregistrement de l'application

Redirect URL

Sélectionnez Web.

Enregistrement de l'application

Dans le champ URL, copiez-collez le champ Reply URL du nouveau fournisseur d'authentification que vous avez ajouté sur Data Platform (il est identique pour l'ensemble de l'IAM Data Platform).

Enregistrement de l'application

Une fois cela fait, cliquez sur Register.

Enregistrement de l'application

Étape 3. Récupérer le Client ID

Le Client ID est l'ID utilisateur de votre application nouvellement ajoutée (c'est-à-dire l'IAM de Data Platform). Vous pouvez le trouver sur sa page Overview : recherchez Application (client) ID.

Enregistrement de l'application
Info

Notez que ce Client ID sera nécessaire plus tard lors de la configuration de l'IAM.

Étape 4. Récupérer le Client Secret

Sur la page de votre application IAM, cliquez sur Certificates & secrets dans la barre latérale. Cliquez sur New client secret.

Enregistrement de l'application

Renseignez la description et la date d'expiration de votre choix, puis cliquez sur Add.

Enregistrement de l'application

Une fois le client secret créé, copiez et enregistrez sa Value.

Enregistrement de l'application
Info

Notez que votre Client Secret sera nécessaire plus tard lors de la configuration de votre IAM.

Étape 5. Activer les permissions de base depuis Azure AD

Sur la page de votre application IAM, cliquez sur API permissions dans la barre latérale. Cliquez sur New permission et sélectionnez Microsoft Graph.

Enregistrement de l'application

Sélectionnez Delegated permissions.

Enregistrement de l'application

Deux permissions doivent être ajoutées pour que l'ensemble des fonctionnalités du fournisseur d'authentification Azure AD sur Data Platform fonctionne.

  • profile : cette permission est nécessaire si vous devez récupérer des informations utilisateur depuis Azure AD à l'aide de l'endpoint UserInfo.
  • Group.Read.All : cette permission est nécessaire si vous devez récupérer la liste des groupes de votre Azure AD pour un mapping personnalisé

Trouvez-les dans la liste et ajoutez-les toutes les deux.

Enregistrement de l'application Enregistrement de l'application

Enfin, cliquez sur Grant admin consent for your-app et confirmez.

Enregistrement de l'application

Une fois toutes les permissions correctement ajoutées, votre écran devrait ressembler à ceci.

Enregistrement de l'application

Résumé

Si vous avez correctement suivi toutes les étapes précédentes, vous devriez disposer de cette liste d'informations.

Tenant ID (Step 1): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client ID (Step 3): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client Secret (Step 4): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Info

Si vous souhaitez personnaliser davantage la configuration de votre nouvelle application depuis le portail Azure, nous vous recommandons de consulter la documentation d'Azure AD.

Configuration sur l'Identity Access Manager de Data Platform

Vous devez maintenant configurer votre nouveau fournisseur d'authentification dans l'Identity Access Manager de Data Platform.

Configuration sur l'Identity Access Manager de Data Platform — Azure Identity Access Manager

Renseigner les informations de base

  • Name / Description : il s'agit du nom interne et de la description de votre nouvelle méthode d'authentification
  • Directory : il s'agit d'un tag unifié pour tous les comptes qui seront créés depuis ce directory. Par exemple, vous pouvez saisir Azure
  • Tags : cela offre davantage d'options de tagging. Elles sont entièrement optionnelles
  • Reply URL : il s'agit de l'URL Data Platform vers laquelle votre fournisseur d'authentification redirige
  • Active : cela précise si ce fournisseur d'authentification peut être utilisé pour se connecter ou non
  • Debug Mode : lorsque cette option est activée, elle vous permet de voir les logs d'authentification dans le Control Center.
Renseigner les informations de base — Azure config1

Renseigner la configuration Azure

Repérez maintenant le panneau Azure Configuration.

Renseigner la configuration Azure — Azure config2

Renseignez les informations récupérées sur Azure dans la section précédente, comme suit :

  • Tenant ID : Tenant ID (récupéré à l'étape 1 de la configuration sur Azure)
  • Client ID : Client ID (récupéré à l'étape 3 de la configuration sur Azure)
  • Client Secret : Client Secret Value (récupéré à l'étape 4 de la configuration sur Azure)
  • Scope : cela représente la quantité d'informations que Data Platform pourra récupérer depuis votre Azure AD. Ce champ est optionnel : s'il est laissé vide, la valeur openid email profile sera utilisée
  • Enable user info endpoint on AzureAD : cet endpoint permettra à l'IAM d'effectuer un appel GET https://graph.microsoft.com/v1.0/users/me supplémentaire sur l'API Azure AD Graph, dont le résultat ajoutera un sous-objet "user" en plus du champ OpenID standard dans la réponse. Cela vous permet d'obtenir des informations supplémentaires sur les utilisateurs, comme le poste occupé.

Bindings

Le panneau Bindings vous permet de personnaliser le mapping des champs entre Azure AD et Data Platform.

L'e-mail, le login, le prénom et le nom sont mappés par défaut.

Bindings — Azure bindings

Les bindings peuvent être surchargés si vous avez besoin d'enregistrer des informations supplémentaires depuis Azure AD dans votre Identity Access Manager Data Platform, comme le poste occupé.

La manière la plus simple de configurer les bindings est de récupérer une réponse depuis la connexion d'un utilisateur en suivant ces étapes :

1 - Effectuez une connexion test à n'importe quelle application Data Platform à l'aide de votre fournisseur d'authentification Azure AD nouvellement configuré.
2 - Ouvrez la page Log History du fournisseur d'authentification de l'IAM (ici Azure AD).

Bindings — Azure logs

3 - Ouvrez le dernier log : la réponse originale d'Azure AD ressemblera à ceci :


{
  "aud": "3a0f2280-36e3-457b-a72a-d74fca8a0eae",
  "iss": "https://sts.windows.net/058c4703-07ad-4c14-87e5-e08241c8cb8f/",
  "iat": 1628084238,
  "nbf": 1628084238,
  "exp": 1628088138,
  "amr": [
    "pwd"
  ],
  "email": "test@example.com",
  "family_name": "Smith",
  "given_name": "John",
  "idp": "https://sts.windows.net/82b3359c-9391-4d7c-a0f2-816751a97641/",
  "ipaddr": "62.23.151.245",
  "name": "John Smith",
  "oid": "db6723ba-d536-4c72-bfb4-c089d88fe7d8",
  "rh": "0.ARAAA0eMBa0HFEyH5eCCQcjLj4AiDzrjNntFpyrXT8qKDq4QAOw.",
  "sub": "3H2vG1r81UmzHRIp74IHcYjONOSMZf4gQ12M_ELMorY",
  "tid": "058c4703-07ad-4c14-87e5-e08241c8cb8f",
  "unique_name": "test@example.com",
  "uti": "GO1KbxWFg0ChEVKPUDqhAA",
  "ver": "1.0",
  "memberships": [
    {
      "@odata.type": "#microsoft.graph.group",
      "id": "7d232d98-c942-4405-9380-a644b6db1eb7",
      ...
      "description": "TestGroup",
      "displayName": "My Group",
    },...
  ]
}

4 - En plus de l'e-mail, du login, du prénom et du nom par défaut, toute propriété supplémentaire d'Azure AD peut être enregistrée comme champ configuration.XXX personnalisé sur Data Platform en utilisant le mode « JSON ».

Bindings — Azure bindings2

Par exemple, vous pouvez ajouter une propriété fullname sur Data Platform depuis le champ name d'Azure AD :

{
  "login": "email",
  "email": "email",
  "pronoun": "",
  "firstname": "given_name",
  "lastname": "family_name",
  "configuration.fullname": "name"
}
Info

Testez le résultat de vos bindings en vérifiant les logs de connexions test supplémentaires dans Log History : la section Résultat calculé de chaque connexion affichera les propriétés enregistrées dans Data Platform.

Custom mappings

Le panneau Custom mappings vous permet d'attribuer automatiquement tous les utilisateurs connectés via ce fournisseur d'authentification à un rôle ou un groupe.

Custom mappings — Azure custom mapping

Découvrez comment configurer des mappings personnalisés.

Mettre en service

Vous avez terminé de configurer votre Azure AD ! Si vous ne l'avez pas encore fait, cliquez sur Create - sinon, veillez à Save.

Dans la liste des fournisseurs d'authentification, vous voyez maintenant votre nouvelle méthode. Assurez-vous de la définir comme active.

Mettre en service — Auth active

Assurez-vous que cette nouvelle méthode d'authentification est visible pour les applications de votre choix. Vous devriez maintenant voir une option Azure AD sur la page de connexion de votre application. En cliquant dessus, vous serez redirigé vers l'écran de connexion Azure, ou directement dans l'application si vous êtes déjà connecté à votre compte.

Mettre en service — Azure final

Rendre Azure AD visible sur la page de connexion de vos applications

Aller plus loin

Si vous avez besoin d'une formation ou d'une assistance technique pour la mise en oeuvre de nos solutions, contactez votre commercial ou cliquez sur ce lien pour obtenir un devis et demander une analyse personnalisée de votre projet à nos experts de l’équipe Professional Services.

Posez vos questions, faites-nous part de vos commentaires et interagissez directement avec l’équipe qui développe la Data Platform sur le canal Discord dédié.

Si vous avez besoin d'une assistance concernant vos services OVHcloud, créez une demande depuis notre centre d'aide.

Rejoignez notre communauté d'utilisateurs.

Cette page vous a-t-elle aidé ?