Authentification unique SAML dans Joomla à l'aide d'ADFS
Marché
Le plugin miniOrange Joomla SAML SP SSO vous aide à intégrer votre site Joomla à ADFS en utilisant le protocole SAML 2.0. Notre plugin convivial simplifie le processus de configuration de l'authentification unique (SSO) avec ADFS (Active Directory Federation Services) dans Joomla, garantissant une expérience de connexion sécurisée. Cela permet aux utilisateurs d'accéder sans effort à divers sites Joomla en utilisant leurs informations d'identification ADFS IDP.
Notre plugin est conçu pour être compatible avec Joomla 3, 4 ainsi que 5 et fonctionne de manière transparente avec tous les fournisseurs d'identité compatibles SAML 2.0. Pour un aperçu détaillé des fonctionnalités complètes offertes par le plugin Joomla SAML SP, veuillez visiter notre page ici. Ci-dessous, nous fournissons un guide étape par étape sur la configuration de la connexion SAML SSO entre votre site Joomla et ADFS, avec ADFS servant de fournisseur d'identité (IDP) et Joomla de fournisseur de services (SP).
Pour configurer l'authentification unique entre ADFS et Joomla, vous pouvez également suivre cette étape par étape Configuration de la vidéo.
Étapes de configuration
Dans cette configuration, ADFS sert de référentiel pour stocker les utilisateurs, c'est-à-dire qu'il agira comme IDP pendant Joomla c'est là que les utilisateurs se connecteront en utilisant leurs informations d'identification ADFS où Plugin SSO Joomla SAML SP sera installé.
Étape 1 : Installer le plugin Joomla SAML SP
- Connectez-vous à votre site Joomla Administratrice console.
- Dans le menu bascule de gauche, cliquez sur Système, puis sous la section Installer, cliquez sur Extensions.
- Maintenant, cliquez sur Ou Rechercher un fichier pour localiser et installer le fichier du plugin téléchargé précédemment.
- L'installation du plugin est réussie. Cliquez maintenant sur Commencer ici!
- Rendez-vous dans la section Métadonnées du fournisseur de services onglet, ici vous pouvez trouver le URL de métadonnées, téléchargez le fichier XML de métadonnées, ou vous pouvez copier le ID d'entité et URL de l'ACS .
Étape 2 : Configurer ADFS comme IDP (fournisseur d'identité)
- Sur ADFS, recherchez Gestion ADFS .
- Après avoir ouvert l'application de gestion ADFS, sélectionnez Confiance de la partie de confiance puis cliquez sur Ajouter une confiance de partie de confiance.
- Cliquez sur Commencer bouton de l'assistant de confiance de la partie de confiance apparaît. Mais avant cela, assurez-vous Revendications conscientes est sélectionné.
- Sélectionnez les options pour ajouter une approbation de partie de confiance.
- Dans Sélectionner la source de données : Importer des données sur la partie utilisatrice publiées en ligne ou sur le réseau local option, puis ajoutez l'URL dans l'adresse des métadonnées de la Fédération (accédez à l'onglet Métadonnées du fournisseur de services à partir du plug-in pour obtenir l'URL SP Meatadata).
- Si vous avez une URL de métadonnées, vous pouvez ignorer les étapes ci-dessous pour importer le fichier de métadonnées et saisir les données manuellement, puis commencer la configuration à partir de cette étape.
- Dans Sélectionner la source de données : Importer des données sur la partie utilisatrice à partir d'un fichier option, puis parcourez le fichier de métadonnées (vous pouvez télécharger le fichier de métadonnées SP à partir du plugin sous le Métadonnées du fournisseur de services languette).
- Dans Sélectionner la source de données : Saisir des données sur la partie utilisatrice manuellement et cliquez sur Suivant.
- Entrez le nom d'affichage et cliquez Suivant.
- Téléchargez le certificat et cliquez SuivantTéléchargez le certificat à partir du plugin et utilisez le même certificat pour le télécharger sur ADFS.
- Choisir Activer la prise en charge du protocole SAML 2.0 WebSSO & Entrez l'URL ACS à partir des plugins Métadonnées du fournisseur de services Languette. Cliquez sur Suivant.
Utilisation de l'URL des métadonnées :
Utilisation du fichier XML de métadonnées :
Utilisation de la configuration manuelle :
- Ajouter ID d'entité à partir des plugins Métadonnées du fournisseur de services Cliquez sur l’onglet comme identifiant de confiance de la partie de confiance, puis cliquez sur Ajouter bouton puis cliquez sur Suivant.
- Téléchargez également le certificat de signature depuis Métadonnées du fournisseur de services Onglet du plugin.
- Choisir Autoriser tout le monde en tant que politique de contrôle d'accès et cliquez sur Suivant.
- Cliquez sur Suivant bouton de Prêt à ajouter de la confiance et cliquez sur Fermer.
- Il vous montrera la liste des confiances de partie de confiance. Sélectionnez l'application correspondante et cliquez sur Modifier la politique d'émission des réclamations.
- Cliquez sur Ajouter une règle .
- Choisir Envoyer des attributs LDAP en tant que revendications & cliquer sur Suivant.
- Entrez les détails suivants et cliquez sur Finition.
| Nom de la règle de revendication | Attributs |
| Magasin d'attributs | Le tiering Active Directory |
| Attribut LDAP | Adresses e-mail |
| Type de réclamation sortante | Nom ID |
- Cliquez à nouveau sur Appliquer et alors Ok.
- Sélectionnez la propriété de l'application et ajoutez le certificat téléchargé à partir du module complémentaire.
- Vous pouvez télécharger vos métadonnées ADFS à l'aide de l'URL suivante. Vous pouvez utiliser cette URL de métadonnées dans l'onglet Configuration du fournisseur de services.
{ }
SSO Windows (facultatif)
- Étapes pour configurer ADFS pour l’authentification Windows :
- Ouvrez l'invite de commande élevée sur le serveur ADFS et exécutez la commande suivante :
- setspn -a HTTP/##FQDN du serveur ADFS## ##Compte de service de domaine##
- Le FQDN est un nom de domaine complet (Exemple : adfs4.example.com)
- Le compte de service de domaine est le nom d'utilisateur du compte dans AD
- Exemple : setspn -a HTTP/adfs.example.com nom d'utilisateur/domaine
- Ouvrez la console de gestion AD FS et accédez à la section Stratégies d'authentification, modifiez les stratégies d'authentification globales. Vérifiez l'authentification Windows dans la zone Intranet.
- Ouvrez Internet Explorer. Accédez à l'onglet Sécurité dans les Options Internet.
- Ajoutez le nom de domaine complet d'AD FS à la liste des sites dans l'intranet local et redémarrez le navigateur.
- Sélectionnez le niveau personnalisé pour la zone de sécurité. Dans la liste des options, sélectionnez Connexion automatique uniquement dans la zone intranet.
- Ouvrez le PowerShell et exécutez les deux commandes suivantes pour activer l'authentification Windows dans le navigateur Chrome.
Set-AdfsProperties -WIASupportedUserAgents ((Get-ADFSProperties | Select -ExpandProperty WIASupportedUserAgents) + "Chrome")
Obtenir-AdfsProperties | Sélectionner -ExpandProperty WIASupportedUserAgents ;
Étape 3 : Configurer Joomla comme SP (fournisseur de services)
Dans le plugin Joomla SAML, accédez à l'onglet Configuration du fournisseur de services, puis cliquez sur Ajouter un nouveau fournisseur d'identitéIl existe 3 façons de configurer l'IdP :
A. En téléchargeant les métadonnées IDP :
- Dans le plugin Joomla SAML, accédez à Configuration du fournisseur de services onglet, cliquez ici sur le Choisir un fichier bouton pour sélectionner le fichier de métadonnées, puis cliquez sur le Télécharger une présentation .
B. Par URL de métadonnées :
- Entrer URL de métadonnées (Copier depuis l'application IDP) et cliquez sur Récupérer les métadonnées .
C. Configuration manuelle :
- Copier ID d'entité SAML, URL de point de terminaison d'authentification unique SAML et certificat X.509 à partir du document de métadonnées de la Fédération et collez-le dans ID d'entité du fournisseur d'identité, URL d'authentification unique, certificat X.509 champs respectivement dans le plugin.
| ID d'entité IdP | ID d'entité SAML dans le document de métadonnées de fédération |
| URL d'authentification unique | URL du point de terminaison SAML Single-Sign-On dans le document de métadonnées de fédération |
| Valeur du certificat X.509 | Certificat X.509 dans le document de métadonnées de la fédération |
Étape 4 : tester la configuration
- Cliquez à nouveau sur Enregistrer pour enregistrer votre configuration. Une fois enregistrée, l'IdP configuré apparaîtra dans le Liste des personnes déplacées à l'intérieur du pays, où vous pouvez copier le URL SSO ou gérez la configuration en modifiant l'IdP configuré, ou en le supprimant selon les besoins.
- Enfin, testez la configuration en cliquant sur Test Cliquez sur le bouton. Dans la fenêtre de test réussie, vous verrez les attributs reçus de votre fournisseur d'identité, ce qui vous permettra de vérifier que la configuration fonctionne correctement.
Étape 5 : Mappage des attributs – Fonctionnalité Premium
- Les attributs sont des détails utilisateur stockés dans votre fournisseur d'identité.
- Le mappage d'attributs vous aide à obtenir les attributs utilisateur de votre fournisseur d'identité (IDP) et à les mapper aux attributs utilisateur Joomla tels que le prénom, le nom, l'adresse, le téléphone, etc.
- Lors de l'enregistrement automatique des utilisateurs sur votre site Joomla, ces attributs seront automatiquement mappés aux détails de votre utilisateur Joomla.
- Accédez à l'onglet Cartographie et remplissez tous les champs. Cartographie d'attributs .
| Pseudo | Nom de l'attribut de nom d'utilisateur de l'IdP (Conserver NameID par défaut) |
| Email: | Nom de l'attribut email de l'IdP (Conserver NameID par défaut) |
| Nom : | Nom de l'attribut name de l'IdP |
- Vous pouvez consulter les résultats de la configuration du test sous l’onglet Configuration du fournisseur de services pour avoir une meilleure idée des valeurs à mapper ici.
Remarque : vous pouvez voir comment fonctionne le mappage d'attributs ici.
Étape 6 : Mappage de groupe – Fonctionnalité Premium
- Le mappage groupe/rôle vous aide à attribuer des rôles spécifiques aux utilisateurs d'un certain groupe dans votre fournisseur d'identité (IdP).
- Lors de l'inscription automatique, les utilisateurs se voient attribuer des rôles en fonction du groupe auquel ils sont mappés.
Remarque : vous pouvez voir comment fonctionne le mappage de groupe/rôle ici.
Étape 7 : Redirection et liens SSO
- Accédez à l'onglet Paramètres de connexion. Vous pouvez ajouter une URL de connexion pour effectuer l'authentification unique SAML sur votre site Joomla en suivant les étapes ci-dessous.
- Plusieurs fonctionnalités sont disponibles dans cet onglet, comme la redirection automatique de l'utilisateur vers le fournisseur d'identité et l'activation de la connexion au backend pour les super utilisateurs. Pour utiliser ces fonctionnalités, cliquez sur les cases à cocher correspondantes.
- Cliquez sur l'onglet Mise à niveau pour consulter notre liste complète de fonctionnalités et nos différents plans de licence. OU vous pouvez cliquer ici pour consulter les fonctionnalités et les plans de licence.
- Si vous rencontrez un problème ou avez des questions en tête, vous pouvez nous contacter en nous envoyant votre requête via le bouton Support du plugin ou en nous envoyant un e-mail à joomlasupport@xecurify.com.
FAQ
Plus de FAQ ➔Ma configuration de test a réussi, mais lorsque j'essaie de me connecter, je suis bloqué dans une boucle de redirection. 
Cela peut se produire pour plusieurs raisons :
1. La mise en cache est activée sur le site Web.
Lorsque la redirection automatique est activée, l'utilisateur est redirigé vers la page de connexion IDP et après s'être connecté au site principal, mais comme la mise en cache est activée, il redirige vers la page de connexion IDP, d'où une boucle.
2. Différence HTTP/HTTPS :
Cela se produit lorsque HTTPS n'est pas appliqué sur le site mais est configuré côté IDP avec une URL HTTPS. Cela peut être résolu en appliquant HTTPS sur le site en définissant une règle de redirection dans le fichier .htaccess ou au niveau d'Apache.
3. Falsification des cookies :
Le cookie créé par le plugin après la connexion de l'utilisateur est modifié par un autre plugin qui empêche l'utilisateur de se connecter au site Joomla mais la session est créée sur IDP.
Pourquoi suis-je redirigé vers le site Joomla au lieu de l'IDP lorsque je clique sur Tester la configuration ?
Dans le plugin Joomla SAML, lorsqu'une extension n'est pas activée après l'installation du plugin, après avoir cliqué sur « Tester la configuration », vous êtes redirigé vers votre propre site au lieu de vous rediriger vers IDP. Pour résoudre ce problème, vous devez activer toutes les extensions du plugin après l'avoir installé.
Veuillez suivre les étapes ci-dessous pour résoudre ce problème :
1. Dans l'interface d'administration Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange ».
3. Activez toutes les extensions des plugins.
Je me suis connecté à mon fournisseur d'identité et il m'a redirigé vers le site Joomla, mais je ne suis pas connecté ?
Voici quelques erreurs fréquentes qui peuvent survenir :
INVALID_ISSUER : cela signifie que vous n'avez PAS saisi la valeur d'ID d'émetteur ou d'entité correcte fournie par votre fournisseur d'identité. Vous verrez dans le message d'erreur quelle était la valeur attendue (que vous avez configurée) et ce qui a réellement été trouvé dans la réponse SAML.
INVALID_AUDIENCE : cela signifie que vous n'avez PAS configuré correctement l'URL d'audience dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/ dans votre fournisseur d'identité.
DESTINATION_INVALIDE : cela signifie que vous n'avez PAS configuré correctement l'URL de destination dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php dans votre fournisseur d'identité.
SIGNATURE VALIDE : cela signifie que le certificat que vous avez fourni ne correspond pas au certificat trouvé dans la réponse SAML. Assurez-vous de fournir le même certificat que celui que vous avez téléchargé auprès de votre fournisseur d'identité. Si vous disposez du fichier XML de métadonnées de votre fournisseur d'identité, assurez-vous de fournir un certificat inclus dans la balise de certificat X509 qui possède un attribut use='signature'.
INVALID_CERTIFICATE : cela signifie que le certificat que vous avez fourni n'est pas au bon format. Assurez-vous d'avoir copié l'intégralité du certificat fourni par votre fournisseur d'identité. S'il a été copié à partir du fichier XML de métadonnées du fournisseur d'identité, assurez-vous d'avoir copié la valeur entière.
Impossible de trouver un certificat correspondant à l'empreinte digitale configurée.
Cela n'est possible que lorsqu'un certificat provenant de la réponse SAML ne correspond pas au certificat configuré dans le plug-in. Copiez la valeur du certificat affichée dans la fenêtre Configuration de test et collez-la dans le champ Certificat X.509 de l'onglet Fournisseur de services du plug-in.
Comment exporter la configuration dans Joomla SAML ?
Veuillez suivre les étapes pour exporter la configuration :
1) Accédez au plugin miniOrange SAML SP et accédez à l’onglet Configuration du fournisseur de services.
2) Cliquez ensuite sur le bouton Importer/Exporter en bas de la page puis cliquez sur le bouton Exporter la configuration.
3) Accédez à Système >> Gérer et recherchez miniOrange dans la barre de recherche. Désinstallez ensuite toutes les extensions miniOrange.
Veuillez suivre les étapes pour importer la configuration :
1) Installez le dernier plugin et connectez-vous avec vos identifiants miniOrange dans le plugin.
2) Accédez à l’onglet Configuration du fournisseur de services et cliquez sur le bouton Importer/Exporter.
3) Téléchargez le fichier de configuration téléchargé, puis cliquez sur le bouton Importer la configuration.
Pourquoi est-ce que j'obtiens une erreur de table manquante lors de la mise à jour du plugin Joomla SAML ?
Lors de la mise à jour du plugin Joomla SAML, si une table ou une colonne n'est pas ajoutée à la base de données, vous obtiendrez une erreur de table manquante. Ce problème survient généralement lorsqu'une table ou une colonne n'est pas ajoutée à la base de données lors de la mise à jour du plugin.
Vous pouvez réinstaller le plugin pour résoudre ce problème, veuillez suivre les étapes ci-dessous :
Désinstaller le plugin existant (Faites la sauvegarde du plugin existant avant de désinstaller le plugin)
– Allez dans Extensions -> Gérer -> Gérer
– Recherche de miniOrange
– Sélectionnez toutes les extensions et cliquez sur « Désinstaller ».
Maintenant, installez à nouveau le plugin et configurez-le.
Comment résoudre l'erreur fatale : Impossible de déclarer la classe, car le nom est déjà utilisé ?
Un site Joomla peut être utilisé comme fournisseur de services ou comme fournisseur d'identité à l'aide du plug-in SP ou IDP approprié. Vous rencontrez probablement cette erreur parce que vous avez installé les deux plug-ins sur le même site.
Afin de résoudre ce problème, veuillez suivre les étapes ci-dessous : Supprimez les dossiers suivants de votre répertoire Joomla :
1. /bibliothèques/miniorangejoomlaidpplugin
2. /bibliothèques/miniorangesamlplugin
3. /plugins/system/samlredirect
Vous devriez maintenant pouvoir vous connecter à votre site Joomla.
Supprimez les extensions restantes :
1. Dans la console d’administration de votre site Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange »
3. Sélectionnez toutes les extensions et cliquez sur Désinstaller
L'authentification unique ne fonctionne pas ? Utilisez-vous les outils d'administration avec le plug-in SAML SP ?
Le problème de redirection se produit lors de l'utilisation du plugin Outils d'administration pour Joomla SAML SSO, où le plugin Outils d'administration apporte des modifications au fichier .htaccess et ajoute certaines règles qui empêchent la redirection depuis le site.
Vous pouvez résoudre le problème ci-dessus en suivant les étapes ci-dessous :
1. Accédez à Outils d’administration >> Panneau de configuration, puis cliquez sur l’option .htaccess maker.
2. Désactivez ensuite l'option « Protéger contre les attaques par injection de fichiers courantes ».
Ensuite, videz le cache de votre site et testez l’authentification unique.
Comment vérifier ou télécharger une requête/réponse SAML à l'aide des journaux SAML Tracer ?
Journaux du traceur SAML :
1. Téléchargez le module complémentaire SAML tracer : Firefox : [ Lien
] | Chrome:[ Lien ] 2. Ouvrez le traceur SAML depuis la barre d’outils du navigateur.
3. Gardez la fenêtre du traceur SAML ouverte.
4. Effectuez la configuration SSO/Test et reproduisez le problème.
5. Accédez à la fenêtre du traceur SAML.
6. Vous aurez la possibilité d'exporter le journal SAML Tracer dans un fichier (dans la barre de menu supérieure). Enregistrez les journaux dans un fichier, choisissez « Aucun » lorsque vous y êtes invité et envoyez-nous ce fichier.
Je vois l'erreur « nous n'avons pas pu vous connecter, veuillez contacter votre administrateur » lors de la connexion.
Il semble que votre fournisseur d'identité envoie une erreur dans la réponse SAML. Pour résoudre ce problème, accédez à l'onglet Configuration du fournisseur de services du plug-in SAML SP. Cliquez sur Configuration de test et examinez la fenêtre de résultat de la configuration. Assurez-vous que le mappage d'attributs a été effectué correctement et vérifiez que la valeur du certificat X.509 est exacte.
