|
| 1 | +--- |
| 2 | +title: Activer les connexions Azure SSO avec votre compte OVHcloud |
| 3 | +slug: connect-saml-sso-azure-ad |
| 4 | +excerpt: "Découvrez comment associer votre Azure Active Directory à votre compte OVHcloud en utilisant SAML 2.0" |
| 5 | +section: Utilisation avancée |
| 6 | +order: 02 |
| 7 | +updated: 2023-04-05 |
| 8 | +--- |
| 9 | + |
| 10 | +**Dernière mise à jour le 05/04/2023** |
| 11 | + |
| 12 | +## Objectif |
| 13 | + |
| 14 | +Vous pouvez utiliser l'authentification **SSO** (*Single Sign-On*) pour vous connecter à votre compte OVHcloud. Pour activer ces connexions, votre compte et votre Azure AD (Active Directory) doivent être configurés à l'aide de SAML (*Security Assertion Markup Language*). |
| 15 | + |
| 16 | +**Découvrez comment associer votre compte OVHcloud à un Azure AD externe.** |
| 17 | + |
| 18 | +## Prérequis |
| 19 | + |
| 20 | +- Avoir accès aux rôles **Administrateur d'applications** et **Administrateur d'utilisateurs** d'un service Azure AD |
| 21 | +- Disposer d'un [compte OVHcloud](https://docs.ovh.com/fr/customer/creer-compte-ovhcloud/) |
| 22 | +- Être connecté à votre [espace client OVHcloud](https://www.ovh.com/auth/?action=gotomanager&from=https://www.ovh.com/fr/&ovhSubsidiary=fr) |
| 23 | + |
| 24 | +## En pratique |
| 25 | + |
| 26 | +> [!primary] |
| 27 | +> |
| 28 | +> Afin qu’un fournisseur de services (par exemple, votre compte OVHcloud) établisse une connexion SSO avec un fournisseur d’identité (par exemple, votre Azure AD), vous devez établir une relation de confiance mutuelle en enregistrant la connexion SSO dans les deux services. |
| 29 | +> |
| 30 | +
|
| 31 | +### Utilisateurs et groupes Azure AD |
| 32 | + |
| 33 | +Votre Azure AD agit en tant que fournisseur d'identité. Les demandes d'authentification de votre compte OVHcloud ne seront acceptées que si vous l'avez d'abord déclaré comme tiers de confiance. |
| 34 | + |
| 35 | +Concentrons-nous un instant sur les identités du côté du fournisseur d'identité. |
| 36 | + |
| 37 | +#### Utilisateurs Azure AD |
| 38 | + |
| 39 | +Pour commencer, accédez à votre tableau de bord Azure AD. |
| 40 | + |
| 41 | +{.thumbnail} |
| 42 | + |
| 43 | +Cliquez ensuite sur `Users`{.action} dans le menu de gauche. |
| 44 | + |
| 45 | +{.thumbnail} |
| 46 | + |
| 47 | +Créez autant d'utilisateurs que vous le souhaitez et/ou vérifiez vos utilisateurs en cliquant dessus. |
| 48 | + |
| 49 | +Pour cet exemple, l'utilisateur **John Smith** sera utilisé. |
| 50 | + |
| 51 | +{.thumbnail} |
| 52 | + |
| 53 | +Lorsqu'une authentification SSO est effectuée, l'identité de **John Smith** est fournie par Azure AD au compte OVHcloud. Cependant, il est nécessaire que cette identité contienne au moins un groupe. Si aucun groupe n'existe, retrouvez ci-dessous comment en créer un pour y ajouter **John Smith**. |
| 54 | + |
| 55 | +#### Groupes Azure AD |
| 56 | + |
| 57 | +Cliquez sur `Groups`{.action} dans le menu de gauche. |
| 58 | + |
| 59 | +{.thumbnail} |
| 60 | + |
| 61 | +Cliquez sur `New group`{.action} dans le menu du haut et complétez toutes les informations nécessaires. |
| 62 | + |
| 63 | +Pour cet exemple, le groupe **manager@ovhcloudsaml** sera utilisé. |
| 64 | + |
| 65 | +{.thumbnail} |
| 66 | + |
| 67 | +Cliquez sur le bouton `Create`{.action} pour afficher toutes les informations sur ce groupe. |
| 68 | + |
| 69 | +{.thumbnail} |
| 70 | + |
| 71 | +Maintenant, les utilisateurs qui seront utilisés pour l'authentification SSO doivent être ajoutés à un groupe. |
| 72 | + |
| 73 | +Dans cet exemple, associons l'utilisateur **John Smith** au groupe **manager@ovhcloudsaml**. |
| 74 | + |
| 75 | +Dans l’interface du groupe sélectionné, cliquez sur `Members`{.action} dans le menu de gauche, puis cliquez sur `Add members`{.action} dans le menu du haut. |
| 76 | + |
| 77 | +{.thumbnail} |
| 78 | + |
| 79 | +Sélectionnez l'utilisateur à ajouter dans ce groupe, puis cliquez sur le bouton `Select`{.action}. |
| 80 | + |
| 81 | +{.thumbnail} |
| 82 | + |
| 83 | +Maintenant, l'utilisateur est assigné au groupe. |
| 84 | + |
| 85 | +Pour effectuer des authentifications SSO, une application Azure AD doit être créée. |
| 86 | + |
| 87 | +L'authentification unique doit être configurée sur cette application. |
| 88 | + |
| 89 | +### Applications Azure AD |
| 90 | + |
| 91 | +Tout d’abord, créez une application si elle n’existe pas encore. |
| 92 | + |
| 93 | +#### Créer une application Azure AD |
| 94 | + |
| 95 | +Cliquez sur `Enterprise applications`{.action} dans le menu de gauche. |
| 96 | + |
| 97 | +{.thumbnail} |
| 98 | + |
| 99 | +Cliquez sur `New application`{.action} dans le menu du haut. |
| 100 | + |
| 101 | +{.thumbnail} |
| 102 | + |
| 103 | +Cliquez sur `Create your own application`{.action} dans le menu du haut. |
| 104 | + |
| 105 | +{.thumbnail} |
| 106 | + |
| 107 | +Sélectionnez `Non-gallery`{.action} dans le menu de gauche et cliquez sur le bouton `Create`{.action}. |
| 108 | + |
| 109 | +{.thumbnail} |
| 110 | + |
| 111 | +Les détails de l'application seront alors affichés. |
| 112 | + |
| 113 | +{.thumbnail} |
| 114 | + |
| 115 | +L'application Azure AD est maintenant créée. Les utilisateurs souhaitant effectuer des authentifications SSO via cette application doivent à présent y être ajoutés. |
| 116 | + |
| 117 | +#### Application Azure AD - Affectation d'utilisateurs |
| 118 | + |
| 119 | +> [!primary] |
| 120 | +> |
| 121 | +> Pour qu'un utilisateur effectue une authentification SSO à partir d'une application Azure AD, il doit être ajouté à cette application. Retrouvez ci-dessous comment ajouter un utilisateur à une application Azure AD. |
| 122 | +> |
| 123 | +> Cependant, il est préférable d'ajouter un groupe d'utilisateurs plutôt que des utilisateurs si vous disposez d'**Azure AD Premium**. |
| 124 | +> |
| 125 | +
|
| 126 | +Cliquez sur `Users and groups`{.action} dans le menu de gauche, puis cliquez sur `Add user/group`{.action} dans le menu du haut. |
| 127 | + |
| 128 | +Cliquez ensuite sur la section `Users`{.action}, sélectionnez l'utilisateur à ajouter à l'application puis cliquez sur le bouton `Select`{.action}. |
| 129 | + |
| 130 | +{.thumbnail} |
| 131 | + |
| 132 | +{.thumbnail} |
| 133 | + |
| 134 | +L’application est créée, l'utilisateur est assigné, il ne vous reste plus qu’à mettre en place le SSO via SAML. |
| 135 | + |
| 136 | +#### Azure AD application SSO |
| 137 | + |
| 138 | +Revenez à la vue d'ensemble via le bouton `Overview`{.action} dans le menu de gauche, puis cliquez sur la section `Set up single sign on`{.action}. |
| 139 | + |
| 140 | +{.thumbnail} |
| 141 | + |
| 142 | +Cliquez sur la section `SAML`{.action} . |
| 143 | + |
| 144 | +{.thumbnail} |
| 145 | + |
| 146 | +Cliquez sur `Upload metadata file`{.action} dans le menu du haut. |
| 147 | + |
| 148 | +{.thumbnail} |
| 149 | + |
| 150 | +Cliquez sur l'icône du bouton `Select a file`{.action} , sélectionnez le fichier de métadonnées OVH Service Provider et cliquez sur le bouton `Add`{.action} . |
| 151 | + |
| 152 | +Vous pouvez obtenir le fichier de métadonnées approprié via les liens suivants : |
| 153 | + |
| 154 | +- [Métadonnées de région UE](https://www.ovh.com/auth/sso/saml/sp/metadata.xml) |
| 155 | +- [Métadonnées de région CA](https://ca.ovh.com/auth/sso/saml/sp/metadata.xml) |
| 156 | + |
| 157 | +Téléchargez le fichier de métadonnées, vous en aurez besoin plus tard. |
| 158 | + |
| 159 | +{.thumbnail} |
| 160 | + |
| 161 | +La configuration SAML s'affiche. |
| 162 | + |
| 163 | +{.thumbnail} |
| 164 | + |
| 165 | +Dans la section `Attributes & Claims`{.action}, cliquez sur le bouton `Modifier`{.action}. |
| 166 | + |
| 167 | +{.thumbnail} |
| 168 | + |
| 169 | +Cliquez sur `Add a group claim`{.action} dans le menu du haut. |
| 170 | + |
| 171 | +{.thumbnail} |
| 172 | + |
| 173 | +Sélectionnez `Security groups`{.action} et **Group ID** dans `Source attribute`{.action} puis cliquez sur le bouton `Save`{.action}. |
| 174 | + |
| 175 | +{.thumbnail} |
| 176 | + |
| 177 | +La revendication de **groups** doit maintenant apparaître dans la liste. |
| 178 | + |
| 179 | +Copiez et enregistrez la valeur du **Claim name** quelque part (un bloc-notes par exemple), vous en aurez besoin ultérieurement. |
| 180 | + |
| 181 | +{.thumbnail} |
| 182 | + |
| 183 | +Dans la section `SAML certificates`{.action}, copiez la valeur du champ `App Federation Metadata Url`{.action}. |
| 184 | + |
| 185 | +Utilisez ce lien pour télécharger le fichier de métadonnées de l'application Azure AD afin de l'utiliser ultérieurement dans le compte OVHcloud. |
| 186 | + |
| 187 | +{.thumbnail} |
| 188 | + |
| 189 | +### Établir la confiance d'un compte OVHcloud et configurer la connexion |
| 190 | + |
| 191 | +L'ajout de votre application Azure AD en tant que fournisseur d'identité approuvé s'effectue dans [l'espace client OVHcloud](https://www.ovh.com/auth/?action=gotomanager&from=https://www.ovh.com/fr/&ovhSubsidiary=fr) où vous pouvez fournir les métadonnées du fournisseur d'identité. |
| 192 | + |
| 193 | +#### Établir la confiance OVHcloud |
| 194 | + |
| 195 | +[Connectez-vous sur votre espace client](https://www.ovh.com/auth/?action=gotomanager&from=https://www.ovh.com/fr/&ovhSubsidiary=fr) et cliquez sur votre profil en haut à droite. |
| 196 | + |
| 197 | +{.thumbnail} |
| 198 | + |
| 199 | +Cliquez sur votre nom pour accéder à la page de gestion de votre profil. |
| 200 | + |
| 201 | +{.thumbnail} |
| 202 | + |
| 203 | +Ouvrez l'onglet `Gestion des utilisateurs`{.action}. |
| 204 | + |
| 205 | +{.thumbnail} |
| 206 | + |
| 207 | +Cliquez alors sur le bouton `Connexion SSO`{.action}. |
| 208 | + |
| 209 | +{.thumbnail} |
| 210 | + |
| 211 | +Complétez le champ **Group Attribute Name** avec la valeur de **Claim name** des groupes d'applications Azure AD enregistrée précédemment. |
| 212 | + |
| 213 | +Remplissez les métadonnées XML de votre application Azure AD à partir du fichier enregistré précédemment. |
| 214 | + |
| 215 | +Cliquez sur le bouton `Valider`{.action}. |
| 216 | + |
| 217 | +{.thumbnail} |
| 218 | + |
| 219 | +L'ajout de votre application Azure AD en tant que fournisseur d'identité est donc établie mais vous devez quand même ajouter des groupes à votre compte OVHcloud. |
| 220 | + |
| 221 | +> [!warning] |
| 222 | +> Si vous essayez à ce stade de vous connecter via SSO, un message d'erreur «`Not in valid groups`» s'affichera probablement. |
| 223 | +> |
| 224 | +> En effet, votre compte OVHcloud vérifie si l'utilisateur authentifié appartient à un groupe existant sur le compte. |
| 225 | +> |
| 226 | +
|
| 227 | +Pour résoudre cette situation, vérifiez l'attribut «Group» retourné par votre application Azure AD : le champ **Object Id**. |
| 228 | + |
| 229 | +#### Déclaration des groupes OVHcloud |
| 230 | + |
| 231 | +{.thumbnail} |
| 232 | + |
| 233 | +Ajoutez-le en cliquant sur le bouton `Declarer un groupe`{.action}. |
| 234 | + |
| 235 | +{.thumbnail} |
| 236 | + |
| 237 | +Complétez les champs, puis cliquez sur le bouton `Valider`{.action}. |
| 238 | + |
| 239 | +{.thumbnail} |
| 240 | + |
| 241 | +Le groupe créé doit apparaître sur la liste. |
| 242 | + |
| 243 | +{.thumbnail} |
| 244 | + |
| 245 | +### Connexion via SSO |
| 246 | + |
| 247 | +Sur [la page de connexion OVHcloud](https://www.ovh.com/auth/?action=gotomanager&from=https://www.ovh.com/fr/&ovhSubsidiary=fr), renseignez votre [identifiant](https://docs.ovh.com/fr/customer/creer-compte-ovhcloud/#quel-est-mon-identifiant-client) client suivi de **/idp** sans mot de passe puis cliquez sur le bouton `Login`{.action} . |
| 248 | + |
| 249 | +{.thumbnail} |
| 250 | + |
| 251 | +Vous êtes ensuite redirigé vers la page de connexion à votre application Azure AD. Sélectionnez `Use another account`{.action}. |
| 252 | + |
| 253 | +{.thumbnail} |
| 254 | + |
| 255 | +Entrez l'e-mail de l'utilisateur de l'application Azure AD puis cliquez sur le bouton `Next`{.action}. |
| 256 | + |
| 257 | +{.thumbnail} |
| 258 | + |
| 259 | +Entrez le mot de passe de l'utilisateur de l'application Azure AD puis cliquez sur le bouton `Sign In`{.action}. |
| 260 | + |
| 261 | +{.thumbnail} |
| 262 | + |
| 263 | +Vous êtes maintenant connecté avec le même [nichandle](https://docs.ovh.com/fr/customer/creer-compte-ovhcloud/#quel-est-mon-identifiant-client), mais via votre utilisateur Active Directory et en utilisant votre SSO d'application Azure AD. |
| 264 | + |
| 265 | +{.thumbnail} |
| 266 | + |
| 267 | +## Aller plus loin |
| 268 | + |
| 269 | +Échangez avec notre communauté d'utilisateurs sur <https://community.ovh.com/>. |
0 commit comments