Attiva le connessioni Active Directory Federation Services (AD FS) SSO con il tuo account OVHcloud

Obiettivo

L'autenticazione SSO (Single Sign-On) è unica per accedere al tuo account OVHcloud. Per attivare queste connessioni, il tuo account e i tuoi servizi AD FS (Active Directory Federation Services) devono essere configurati con l'aiuto delle autenticazioni SAML (Security Assertion Markup Language).

Questa guida ti mostra come associare il tuo account OVHcloud a un Active Directory esterno.

Prerequisiti

• I servizi AD FS (Active Directory Federation Services) devono essere eseguiti sul tuo server
• Disporre di un account OVHcloud attivo

Accesso allo Spazio Cliente OVHcloud

• Link diretto: SAML SSO
• Percorso di navigazione: Identità, sicurezza e operazioni > Users > SSO connection

Procedura

Creare la fiducia nelle AD FS

Il tuo AD FS agisce come provider di identità. Le richieste di autenticazione al tuo account OVHcloud saranno accettate solo se l'hai precedentemente dichiarato come organismo terzo di fiducia.

Nel contesto Active Directory, ciò significa che deve essere aggiunto come Relying Party Trust.

Apri il menu Tools e seleziona AD FS Management.

Clicca su Relying Party Trusts.

Clicca su Add Relying Party Trust.

Seleziona Claims aware e conferma cliccando sul pulsante Start.

Inserisci manualmente le informazioni relative all'organismo terzo di fiducia o le importa da un file di metadati.

Importare i metadati OVHcloud SP

Puoi ottenere il file di metadati appropriato tramite questi link:

• Metadati della regione UE
• Metadati della regione CA

Seleziona Import data about the relying party from a file e seleziona il tuo file di metadati.

Clicca sul pulsante Next.

Inserisci il nome visualizzato per l'organismo terzo di fiducia e clicca sul pulsante Next.

Clicca su Next nella finestra di controllo degli accessi.

Clicca di nuovo su Next per continuare

Clicca sul pulsante Close nell'ultima finestra. L'approvazione di OVHcloud come organismo terzo di fiducia è stata aggiunta al tuo AD FS.

Corrispondenza degli attributi LDAP agli attributi SAML

Clicca sul record OVHcloud nella sezione "Relying Party Trusts".

Clicca su Edit Claim Issuance Policy....

Clicca sul pulsante Add Rule....

Clicca su Next.

Inserisci un nome di regola e definisci la tua tavola di concordanza.

Seleziona Active Directory come Attribute store.

Una volta terminato, clicca sul pulsante Finish.

Clicca sul pulsante Apply e conferma con OK.

Una volta terminata la tabella di corrispondenza, il servizio AD FS si fida di OVHcloud come provider di servizi. Lo step successivo consiste nell'assicurarsi che l'account OVHcloud confidi nel tuo AD FS in qualità di provider d'identità.

Affidare la fiducia all'account OVHcloud e configurare la connessione

L'aggiunta del tuo AD FS come affidabilità provider avviene nello Spazio Cliente OVHcloud, dove è possibile fornire i metadati del provider.

Apri la pagina SAML SSO.

Nella sezione SSO connection, inserisci i metadati XML del tuo servizio AD FS. Il campo Nome del gruppo è facoltativo in questo caso. Clicca su Conferma.

Per conservare gli utenti locali, spunta la casella Conservare gli utenti OVHcloud attivi.

A questo punto è necessario recuperare il tuo AD FS come provider di identità e i gruppi predefiniti.

Per maggiori informazioni, clicca sul link sotto l'URL del servizio SSO.

Il pulsante ... permette di aggiornare o eliminare l'SO e di consultarne i dettagli.

Il tuo AD FS è considerato un provider affidabile. È comunque necessario aggiungere gruppi al tuo account OVHcloud.

Per risolvere il problema, verifica le informazioni corrispondenti all'attributo "Group" restituito dal tuo servizio AD FS.

Prendete ad esempio quello di un utente "John Doe" del vostro Active Directory, come indicato nell'immagine qui sotto.

Verifica la tabella di corrispondenza in AD FS:

In questo esempio, l'attributo "Group" rinviato dall'Active Directory per l'utente "John Doe" è "title". Corrisponde al "job title" che è manager@<my-domain>.com.

Puoi verificarlo anche nella dichiarazione SAML:

<AttributeStatement>
    <Attribute Name="http://schemas.xmlsoap.org/claims/Group">
        <AttributeValue>manager@<my-domain>.com</AttributeValue>
    </Attribute>
    ...
</AttributeStatement>

Questo significa che è necessario aggiungere il gruppo manager@<my-domain>.com al tuo account OVHcloud associandovi un ruolo. In caso contrario, il tuo account OVHcloud non sa cosa l'utente può fare.

Per aggiungere questo gruppo, clicca sulla sezione Identità e poi sulla scheda Gruppi di utenti. Clicca sul pulsante Dichiarare un gruppo, inserisci il nome del gruppo e seleziona il ruolo associato:

Verifica che il gruppo sia aggiunto al tuo account OVHcloud nella sezione Gruppi:

Quando ti connetti con l'utente Active Directory "John Doe", il tuo account OVHcloud riconoscerà che l'utente ha il ruolo "REGULAR", specificato dal suo gruppo.

Attenzione: se concedi il ruolo Nessuno, sarà necessario assegnare i diritti a questo gruppo tramite le politiche IAM.

In seguito, potrai disconnetterti dal tuo account e collegarti con il tuo AD FS come provider di identità.

Connessione via SSO

Nella pagina di identificazione OVHcloud, inserisci il tuo identificativo cliente seguito da /idp senza password e clicca sul pulsante Login.

Verrai reindirizzato alla pagina di connessione AD FS. Inserisci un login/password di un utente della tua Active Directory LDAP e clicca sul pulsante Sign in.

Adesso sei connesso con lo stesso identificativo cliente, ma tramite l'utente Active Directory e il tuo SSO AD FS.

Per saperne di più

Crea un account OVHcloud

Rendere sicuro il tuo account OVHcloud e gestire le tue informazioni personali

Definizione e gestione della password del tuo account

Rendere sicuro il tuo account OVHcloud con la doppia autenticazione

Come utilizzare le politiche IAM dallo Spazio Cliente.

Contatta la nostra Community di utenti.