Authentification unique SAML dans Joomla à l'aide d'Azure AD B2C
Marché
Le plugin miniOrange Joomla SAML SP SSO vous aide à intégrer votre site Joomla à Azure AD B2C à l'aide du protocole SAML 2.0. Le plugin miniOrange Joomla SAML SP Single Sign-on (SSO) est simple à configurer pour Azure AD B2C SSO dans Joomla et permet une connexion sécurisée à Joomla. Par conséquent, les utilisateurs peuvent accéder à plusieurs applications Joomla avec une seule connexion après s'être authentifiés avec leurs informations d'identification Azure AD B2C IDP.
Notre plugin est compatible avec Joomla 3 ainsi que Joomla 4 avec tous les fournisseurs d'identité compatibles SAML 2.0. Nous allons ici passer en revue un guide étape par étape pour configurer la connexion SAML SSO entre le site Joomla et Azure AD B2C en considérant Azure AD B2C comme IDP (Identity Provider) et Joomla comme SP (Service Provider).
Étapes de configuration
Dans cette configuration, Azure AD B2C sert de référentiel pour stocker les utilisateurs, c'est-à-dire qu'il agira comme IDP pendant Joomla c'est là que les utilisateurs se connecteront à l'aide de leurs informations d'identification Azure AD B2C où Plugin SSO Joomla SAML SP sera installé.
Étape 1 : Installer le plugin Joomla SAML SP
- Connectez-vous à votre site Joomla Administratrice console.
- Dans le menu bascule de gauche, cliquez sur Système, puis sous la section Installer, cliquez sur Extensions.
- Maintenant, cliquez sur Ou Rechercher un fichier pour localiser et installer le fichier du plugin téléchargé précédemment.
- L'installation du plugin est réussie. Cliquez maintenant sur Commencer ici!
- Rendez-vous dans la section Métadonnées du fournisseur de services onglet, ici vous pouvez trouver le URL de métadonnées, téléchargez le fichier XML de métadonnées, ou vous pouvez copier le ID d'entité et URL de l'ACS .
Étape 2 : Configurer Azure AD B2C en tant que fournisseur d'identité (IDP)
- Se connecter à votre Azure AD B2C tableau de bord administrateur.
- Dans le locataire Azure AD B2C, sélectionnez Inscriptions d'applications, Puis sélectionnez Nouvelle inscription.
- Pour Nom, Entrer Cadre d'expérience d'identité.
- Sous Types de compte pris en charge, sélectionnez Comptes dans ce répertoire organisationnel uniquement.
- Sous URI de redirection, sélectionnez Web, puis entrez https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com, où your-tenant-name est le nom de domaine de votre locataire Azure AD B2C.
NOTE: À l'étape suivante, si le 'Autorisations' Si la section n'est pas visible, cela peut être la raison pour laquelle vous n'avez pas d'abonnement AzureAD B2C actif pour ce locataire. Vous pouvez trouver les détails concernant l'abonnement AzureAD B2C et vous pouvez créer un nouveau locataire en suivant les étapes ici.
- Sous Permissions, cochez la case Accorder le consentement de l'administrateur aux autorisations openid et offline_access.
- Sélectionner S'enregistrer.
- Enregistrez le ID de l'application (client) pour une utilisation ultérieure.
Enregistrez l'application Identity Experience Framework :
- Sous Gérer, sélectionnez Exposer une API.
- Sélectionner Ajouter une portée, puis sélectionnez Enregistrer et continuez à accepter l'URI de l'ID d'application par défaut.
- Entrez les valeurs suivantes pour créer une étendue qui permet l’exécution de stratégies personnalisées dans votre locataire Azure AD B2C :
- Nom de la portée : user_usurpation d'identité
- Nom d'affichage du consentement de l'administrateur : Accéder à IdentityExperienceFramework
- Description du consentement de l'administrateur : Autoriser l'application à accéder à IdentityExperienceFramework au nom de l'utilisateur connecté.
- Sélectionner Ajouter une portée.
Enregistrez l'application ProxyIdentityExperienceFramework :
- Sélectionner Inscriptions d'applications, Puis sélectionnez Nouvelle inscription.
- Pour Nom, Entrer ProxyIdentityExperienceFramework.
- Sous Types de compte pris en charge, sélectionnez Comptes dans ce répertoire organisationnel uniquement.
- Sous URI de redirection, utilisez le menu déroulant pour sélectionner Client public/natif (mobile et ordinateur).
- Pour URI de redirection, saisissez myapp://auth.
- Sous Permissions, cochez la case Accorder le consentement de l'administrateur aux autorisations openid et offline_access.
- Sélectionner S'enregistrer.
- Enregistrez le ID de l'application (client) pour une utilisation ultérieure.
Ensuite, spécifiez que l’application doit être traitée comme un client public :
- Sous Gérer, sélectionnez Authentification.
- Sous paramètres avancés, activer Autoriser les flux clients publics (sélectionnez Oui).
- Sélectionner Enregistrer.
Maintenant, accordez des autorisations à la portée de l’API que vous avez exposée précédemment dans l’enregistrement IdentityExperienceFramework :
- Sous Gérer, sélectionnez Autorisations API.
- Sous Autorisations configurées, sélectionnez Ajouter une autorisation.
- Sélectionnez le Mes API onglet, puis sélectionnez Cadre d'expérience d'identité .
- Sous Autorisation, Sélectionnez l' user_usurpation d'identité portée que vous avez définie précédemment.
- Sélectionner Ajouter des autorisations. Comme indiqué, attendez quelques minutes avant de passer à l'étape suivante.
- Sélectionner Accordez le consentement de l'administrateur pour (nom de votre locataire).
- Sélectionnez votre compte administrateur actuellement connecté ou connectez-vous avec un compte dans votre locataire Azure AD B2C auquel est attribué au moins le rôle d’administrateur d’applications cloud.
- Sélectionner Oui.
- Sélectionner Refresh, puis vérifiez que « Accordé pour... » apparaît sous Statut pour les portées - offline_access, openid et user_impersonation. La propagation des autorisations peut prendre quelques minutes.
Enregistrer l'application Joomla :
- Sélectionner Inscriptions d'applications, Puis sélectionnez Nouvelle inscription.
- Entrez un nom pour l'application tel que : Joomla.
- Sous Types de compte pris en charge, sélectionnez Comptes dans n'importe quel répertoire d'organisation ou n'importe quel fournisseur d'identité, pour authentifier les utilisateurs avec Azure AD B2C.
- Sous URI de redirection, sélectionnez Web, puis entrez l'URL ACS à partir du Onglet Métadonnées du fournisseur de services du plugin miniOrange SAML.
- Sélectionner S'enregistrer.
- Sous Gérer, cliquer sur Exposer une API.
- Cliquez sur complet » pour l'URI de l'ID d'application, puis cliquez sur Enregistrer, en acceptant la valeur par défaut.
- Une fois enregistré, copiez l'URI de l'ID d'application et accédez au Onglet Métadonnées du fournisseur de services du plugin.
- Collez la valeur copiée sous le ID d'entité SP/émetteur champ prévu dans cet onglet.
- Cliquez sur Enregistrer.
Générer des politiques SSO :
- Depuis notre portail Azure B2C, accédez à la section Présentation de votre locataire B2C et enregistrez le nom de votre locataire. NOTE: Si votre domaine B2C est b2ctest.onmicrosoft.com, le nom de votre locataire est b2ctest.
- Saisissez votre Nom du locataire Azure B2C ici, ainsi que l'ID d'application pour les applications IdentityExperienceFramework et ProxyIdentityExperienceFramework tel qu'enregistré dans les étapes ci-dessus.
- Ensuite, cliquez sur le Générer des stratégies Azure B2C bouton pour télécharger les politiques SSO.
- Extrayez le fichier zip téléchargé. Il contient les fichiers de politique et le certificat (.pfx), dont vous aurez besoin dans les étapes suivantes.
Certificats de configuration :
NOTE: Dans l'étape suivante, si le « Identity Experience Framework » n'est pas cliquable, cela peut être la raison pour laquelle vous n'avez pas d'abonnement Azure AD B2C actif pour ce locataire. Vous pouvez trouver les détails concernant l'abonnement Azure AD B2C ici et vous pouvez créer un nouveau locataire en suivant les étapes ici.
- Connectez-vous à la Portail Azure et accédez à votre Locataire Azure AD B2C.
- Sous Politiques, sélectionnez Cadre d'expérience d'identité et alors Clés de la politique.
- Sélectionner Ajouter, Puis sélectionnez Options > Télécharger.
- Entrez le nom comme SamlIdpCert. Le préfixe B2C_1A_ est automatiquement ajouté au nom de votre clé.
- À l’aide du contrôle de téléchargement de fichiers, téléchargez votre certificat qui a été généré dans les étapes ci-dessus avec les politiques SSO (tenantname-cert.pfx).
- Saisissez le mot de passe du certificat comme nom de votre locataire et cliquez sur Créer. Par exemple, si votre nom de locataire est xyzb2c.onmicrosoft.com, saisissez le mot de passe xyzb2c.
- Vous devriez pouvoir voir une nouvelle clé de stratégie portant le nom B2C_1A_SamlIdpCert.
- Sur la page de présentation de votre locataire Azure AD B2C, sous Stratégies, sélectionnez Identity Experience Framework.
- Sélectionner Clés de politique puis sélectionnez Ajouter.
- Pour Options, choisissez Générer.
- In Nom, saisissez TokenSigningKeyContainer.
- Pour Type de clé, sélectionnez RSA.
- Pour Utilisation des clés, sélectionnez Signature.
- Sélectionner Créer.
- Sur la page de présentation de votre locataire Azure AD B2C, sous Politiques, sélectionnez Cadre d'expérience d'identité.
- Pour Options, choisissez Générer.
- In Nom, saisissez TokenEncryptionKeyContainer.
- Pour Type de clé, sélectionnez RSA.
- Pour Utilisation des clés, sélectionnez Chiffrement.
- Sélectionner Créer.
Télécharger les politiques :
- Sélectionnez le Cadre d'expérience d'identité élément de menu dans votre locataire B2C dans le portail Azure.
- Sélectionner Télécharger une stratégie personnalisée.
- Conformément à l'ordre suivant, téléchargez les fichiers de stratégie téléchargés lors des étapes ci-dessus :
- TrustFrameworkBase.xml
- TrustFrameworkExtensions.xml
- InscriptionOuSignin.xml
- ProfilEdit.xml
- Mot de passeRéinitialiser.xml
- InscriptionOuConnexionSAML.xml
- Au fur et à mesure que vous téléchargez les fichiers, Azure ajoute le préfixe B2C_1A_ à chacun.
Étape 3 : Configurer Joomla comme SP (fournisseur de services)
Dans le plugin Joomla SAML, accédez à l'onglet Configuration du fournisseur de services, puis cliquez sur Ajouter un nouveau fournisseur d'identitéIl existe 3 façons de configurer l'IdP :
A. En téléchargeant les métadonnées IDP :
- Dans le plugin Joomla SAML, accédez à Configuration du fournisseur de services onglet, cliquez ici sur le Choisir un fichier bouton pour sélectionner le fichier de métadonnées, puis cliquez sur le Télécharger une présentation .
B. Par URL de métadonnées :
- Entrer URL de métadonnées (Copier depuis l'application IDP) et cliquez sur Récupérer les métadonnées .
C. Configuration manuelle :
- Copier ID d'entité SAML, URL de point de terminaison d'authentification unique SAML et certificat X.509 à partir du document de métadonnées de la Fédération et collez-le dans ID d'entité du fournisseur d'identité, URL d'authentification unique, certificat X.509 champs respectivement dans le plugin.
| ID d'entité IdP | ID d'entité SAML dans le document de métadonnées de fédération |
| URL d'authentification unique | URL du point de terminaison SAML Single-Sign-On dans le document de métadonnées de fédération |
| Valeur du certificat X.509 | Certificat X.509 dans le document de métadonnées de la fédération |
Étape 4 : tester la configuration
- Cliquez à nouveau Enregistrer pour enregistrer votre configuration. Une fois enregistrée, l'IdP configuré apparaîtra dans le Liste des personnes déplacées à l'intérieur du pays, où vous pouvez copier le URL SSO ou gérez la configuration en modifiant l'IdP configuré, ou en le supprimant selon les besoins.
- Enfin, testez la configuration en cliquant sur Test Cliquez sur le bouton. Dans la fenêtre de test réussie, vous verrez les attributs reçus de votre fournisseur d'identité, ce qui vous permettra de vérifier que la configuration fonctionne correctement.
Étape 5 : Mappage des attributs – Fonctionnalité Premium
- Les attributs sont des détails utilisateur stockés dans votre fournisseur d'identité.
- Le mappage d'attributs vous aide à obtenir les attributs utilisateur de votre fournisseur d'identité (IDP) et à les mapper aux attributs utilisateur Joomla tels que le prénom, le nom, l'adresse, le téléphone, etc.
- Lors de l'enregistrement automatique des utilisateurs sur votre site Joomla, ces attributs seront automatiquement mappés aux détails de votre utilisateur Joomla.
- Accédez à l'onglet Cartographie et remplissez tous les champs. Cartographie d'attributs .
| Pseudo | Nom de l'attribut de nom d'utilisateur de l'IdP (Conserver NameID par défaut) |
| Courriel : | Nom de l'attribut email de l'IdP (Conserver NameID par défaut) |
| Nom : | Nom de l'attribut name de l'IdP |
- Vous pouvez consulter les résultats de la configuration du test sous l’onglet Configuration du fournisseur de services pour avoir une meilleure idée des valeurs à mapper ici.
Remarque : vous pouvez voir comment fonctionne le mappage d'attributs ici.
Étape 6 : Mappage de groupe – Fonctionnalité Premium
- Le mappage groupe/rôle vous aide à attribuer des rôles spécifiques aux utilisateurs d'un certain groupe dans votre fournisseur d'identité (IdP).
- Lors de l'inscription automatique, les utilisateurs se voient attribuer des rôles en fonction du groupe auquel ils sont mappés.
Remarque : vous pouvez voir comment fonctionne le mappage de groupe/rôle ici.
Étape 7 : Redirection et liens SSO
- Accédez à l'onglet Paramètres de connexion. Vous pouvez ajouter une URL de connexion pour effectuer l'authentification unique SAML sur votre site Joomla en suivant les étapes ci-dessous.
- Plusieurs fonctionnalités sont disponibles dans cet onglet, comme la redirection automatique de l'utilisateur vers le fournisseur d'identité et l'activation de la connexion au backend pour les super utilisateurs. Pour utiliser ces fonctionnalités, cliquez sur les cases à cocher correspondantes.
- Cliquez sur l'onglet Mise à niveau pour consulter notre liste complète de fonctionnalités et nos différents plans de licence. OU vous pouvez cliquer ici pour consulter les fonctionnalités et les plans de licence.
- Si vous rencontrez un problème ou avez des questions en tête, vous pouvez nous contacter en nous envoyant votre requête via le bouton Support du plugin ou en nous envoyant un e-mail à joomlasupport@xecurify.com.
FAQ
Plus de FAQ ➔Ma configuration de test a réussi, mais lorsque j'essaie de me connecter, je suis bloqué dans une boucle de redirection. 
Cela peut se produire pour plusieurs raisons :
1. La mise en cache est activée sur le site Web.
Lorsque la redirection automatique est activée, l'utilisateur est redirigé vers la page de connexion IDP et après s'être connecté au site principal, mais comme la mise en cache est activée, il redirige vers la page de connexion IDP, d'où une boucle.
2. Différence HTTP/HTTPS :
Cela se produit lorsque HTTPS n'est pas appliqué sur le site mais est configuré côté IDP avec une URL HTTPS. Cela peut être résolu en appliquant HTTPS sur le site en définissant une règle de redirection dans le fichier .htaccess ou au niveau d'Apache.
3. Falsification des cookies :
Le cookie créé par le plugin après la connexion de l'utilisateur est modifié par un autre plugin qui empêche l'utilisateur de se connecter au site Joomla mais la session est créée sur IDP.
Pourquoi suis-je redirigé vers le site Joomla au lieu de l'IDP lorsque je clique sur Tester la configuration ?
Dans le plugin Joomla SAML, lorsqu'une extension n'est pas activée après l'installation du plugin, après avoir cliqué sur « Tester la configuration », vous êtes redirigé vers votre propre site au lieu de vous rediriger vers IDP. Pour résoudre ce problème, vous devez activer toutes les extensions du plugin après l'avoir installé.
Veuillez suivre les étapes ci-dessous pour résoudre ce problème :
1. Dans l'interface d'administration Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange ».
3. Activez toutes les extensions des plugins.
Je me suis connecté à mon fournisseur d'identité et il m'a redirigé vers le site Joomla, mais je ne suis pas connecté ?
Voici quelques erreurs fréquentes qui peuvent survenir :
INVALID_ISSUER : cela signifie que vous n'avez PAS saisi la valeur d'ID d'émetteur ou d'entité correcte fournie par votre fournisseur d'identité. Vous verrez dans le message d'erreur quelle était la valeur attendue (que vous avez configurée) et ce qui a réellement été trouvé dans la réponse SAML.
INVALID_AUDIENCE : cela signifie que vous n'avez PAS configuré correctement l'URL d'audience dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/ dans votre fournisseur d'identité.
DESTINATION_INVALIDE : cela signifie que vous n'avez PAS configuré correctement l'URL de destination dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php dans votre fournisseur d'identité.
SIGNATURE VALIDE : cela signifie que le certificat que vous avez fourni ne correspond pas au certificat trouvé dans la réponse SAML. Assurez-vous de fournir le même certificat que celui que vous avez téléchargé auprès de votre fournisseur d'identité. Si vous disposez du fichier XML de métadonnées de votre fournisseur d'identité, assurez-vous de fournir un certificat inclus dans la balise de certificat X509 qui possède un attribut use='signature'.
INVALID_CERTIFICATE : cela signifie que le certificat que vous avez fourni n'est pas au bon format. Assurez-vous d'avoir copié l'intégralité du certificat fourni par votre fournisseur d'identité. S'il a été copié à partir du fichier XML de métadonnées du fournisseur d'identité, assurez-vous d'avoir copié la valeur entière.
Impossible de trouver un certificat correspondant à l'empreinte digitale configurée.
Cela n'est possible que lorsqu'un certificat provenant de la réponse SAML ne correspond pas au certificat configuré dans le plug-in. Copiez la valeur du certificat affichée dans la fenêtre Configuration de test et collez-la dans le champ Certificat X.509 de l'onglet Fournisseur de services du plug-in.
Comment exporter la configuration dans Joomla SAML ?
Veuillez suivre les étapes pour exporter la configuration :
1) Accédez au plugin miniOrange SAML SP et accédez à l’onglet Configuration du fournisseur de services.
2) Cliquez ensuite sur le bouton Importer/Exporter en bas de la page puis cliquez sur le bouton Exporter la configuration.
3) Accédez à Système >> Gérer et recherchez miniOrange dans la barre de recherche. Désinstallez ensuite toutes les extensions miniOrange.
Veuillez suivre les étapes pour importer la configuration :
1) Installez le dernier plugin et connectez-vous avec vos identifiants miniOrange dans le plugin.
2) Accédez à l’onglet Configuration du fournisseur de services et cliquez sur le bouton Importer/Exporter.
3) Téléchargez le fichier de configuration téléchargé, puis cliquez sur le bouton Importer la configuration.
Pourquoi est-ce que j'obtiens une erreur de table manquante lors de la mise à jour du plugin Joomla SAML ?
Lors de la mise à jour du plugin Joomla SAML, si une table ou une colonne n'est pas ajoutée à la base de données, vous obtiendrez une erreur de table manquante. Ce problème survient généralement lorsqu'une table ou une colonne n'est pas ajoutée à la base de données lors de la mise à jour du plugin.
Vous pouvez réinstaller le plugin pour résoudre ce problème, veuillez suivre les étapes ci-dessous :
Désinstaller le plugin existant (Faites la sauvegarde du plugin existant avant de désinstaller le plugin)
– Allez dans Extensions -> Gérer -> Gérer
– Recherche de miniOrange
– Sélectionnez toutes les extensions et cliquez sur « Désinstaller ».
Maintenant, installez à nouveau le plugin et configurez-le.
Comment résoudre l'erreur fatale : Impossible de déclarer la classe, car le nom est déjà utilisé ?
Un site Joomla peut être utilisé comme fournisseur de services ou comme fournisseur d'identité à l'aide du plug-in SP ou IDP approprié. Vous rencontrez probablement cette erreur parce que vous avez installé les deux plug-ins sur le même site.
Afin de résoudre ce problème, veuillez suivre les étapes ci-dessous : Supprimez les dossiers suivants de votre répertoire Joomla :
1. /bibliothèques/miniorangejoomlaidpplugin
2. /bibliothèques/miniorangesamlplugin
3. /plugins/system/samlredirect
Vous devriez maintenant pouvoir vous connecter à votre site Joomla.
Supprimez les extensions restantes :
1. Dans la console d’administration de votre site Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange »
3. Sélectionnez toutes les extensions et cliquez sur Désinstaller
L'authentification unique ne fonctionne pas ? Utilisez-vous les outils d'administration avec le plug-in SAML SP ?
Le problème de redirection se produit lors de l'utilisation du plugin Outils d'administration pour Joomla SAML SSO, où le plugin Outils d'administration apporte des modifications au fichier .htaccess et ajoute certaines règles qui empêchent la redirection depuis le site.
Vous pouvez résoudre le problème ci-dessus en suivant les étapes ci-dessous :
1. Accédez à Outils d’administration >> Panneau de configuration, puis cliquez sur l’option .htaccess maker.
2. Désactivez ensuite l'option « Protéger contre les attaques par injection de fichiers courantes ».
Ensuite, videz le cache de votre site et testez l’authentification unique.
Comment vérifier ou télécharger une requête/réponse SAML à l'aide des journaux SAML Tracer ?
Journaux du traceur SAML :
1. Téléchargez le module complémentaire SAML tracer : Firefox : [ Lien
] | Chrome:[ Lien ] 2. Ouvrez le traceur SAML depuis la barre d’outils du navigateur.
3. Gardez la fenêtre du traceur SAML ouverte.
4. Effectuez la configuration SSO/Test et reproduisez le problème.
5. Accédez à la fenêtre du traceur SAML.
6. Vous aurez la possibilité d'exporter le journal SAML Tracer dans un fichier (dans la barre de menu supérieure). Enregistrez les journaux dans un fichier, choisissez « Aucun » lorsque vous y êtes invité et envoyez-nous ce fichier.
Je vois l'erreur « nous n'avons pas pu vous connecter, veuillez contacter votre administrateur » lors de la connexion.
Il semble que votre fournisseur d'identité envoie une erreur dans la réponse SAML. Pour résoudre ce problème, accédez à l'onglet Configuration du fournisseur de services du plug-in SAML SP. Cliquez sur Configuration de test et examinez la fenêtre de résultat de la configuration. Assurez-vous que le mappage d'attributs a été effectué correctement et vérifiez que la valeur du certificat X.509 est exacte.
