Authentification unique SAML dans Joomla à l'aide de PingFederate
Marché
Le plugin miniOrange Joomla SAML SP SSO vous aide à intégrer votre site Joomla à PingFederate en utilisant le protocole SAML. Le plugin miniOrange Joomla SAML SP Single Sign-on (SSO) est simple à configurer pour PingFederate SSO dans Joomla et permet une connexion sécurisée dans Joomla. En conséquence, les utilisateurs peuvent accéder à plusieurs applications Joomla avec une seule connexion après s'être authentifiés avec leurs informations d'identification PingFederate IDP.
Notre plugin est compatible avec Joomla 3 ainsi que Joomla 4 avec tous les fournisseurs d'identité compatibles SAML 2.0. Nous allons ici passer en revue un guide étape par étape pour configurer la connexion SAML SSO entre le site Joomla et PingFederate en considérant PingFederate comme IDP (Identity Provider) et Joomla comme SP (Service Provider).
Étapes de configuration
Dans cette configuration, PingFédérer sert de référentiel pour stocker les utilisateurs, c'est-à-dire qu'il agira comme IDP pendant Joomla c'est là que les utilisateurs se connecteront en utilisant leurs informations d'identification de PingFederate où Plugin SSO Joomla SAML SP sera installé.
Étape 1 : Installer le plugin Joomla SAML SP
- Connectez-vous à votre site Joomla Administratrice console.
- Dans le menu bascule de gauche, cliquez sur Système, puis sous la section Installer, cliquez sur Extensions.
- Maintenant, cliquez sur Ou Rechercher un fichier pour localiser et installer le fichier du plugin téléchargé précédemment.
- L'installation du plugin est réussie. Cliquez maintenant sur Commencer ici!
- Rendez-vous dans la section Métadonnées du fournisseur de services onglet, ici vous pouvez trouver le URL de métadonnées, téléchargez le fichier XML de métadonnées, ou vous pouvez copier le ID d'entité et URL de l'ACS .
Étape 2 : Configurer PingFederate comme IDP (fournisseur d'identité)
- Se connecter à votre PingFédérer Tableau de bord d'administration des utilisateurs.
- Cliquez sur le Fournisseur d'identité dans le menu de navigation de gauche.
- Sous CONNEXION SP, cliquer sur CRÉER UN NOUVEAU DOSSIER .
- Vous obtiendrez l’écran suivant. Cliquer sur Créer une intégration d'application .
- Sélectionnez le Profils SSO du navigateur modèle de connexion sur le Type de connexion onglet et cliquez Suivant.
- Sélectionnez SSO du navigateur sur le Options de connexion onglet et cliquez Suivant.
- Choisir Fichier comme méthode d'importation des métadonnées et cliquez sur Choisissez fichier pour choisir le plugin miniOrange SSO métadonnées dans l'onglet Importer des métadonnées. Cliquez sur Suivant.
- Consultez les informations sur le Résumé des métadonnées onglet et cliquez Suivant.
- Dans l' Onglet Informations générales s'assurer que le ID d'entité du fournisseur de services, Nom de la connexion et URL de base les champs sont pré-remplis en fonction des métadonnées. Cliquez sur Suivant.
- Accédez à la SSO du navigateur onglet et cliquez sur le Configurer l'authentification unique du navigateur. Vous serez redirigé vers l’assistant de configuration SSO du navigateur.
- Sélectionnez le SSO initié par le fournisseur d'identité et SSO initié par le SP options sur le Profils SAML onglet et cliquez Suivant.
- Entrez la durée de validité de votre assertion souhaitée à partir du Durée de vie des assertions onglet et cliquez SuivantPar défaut, il est configuré sur 5 minutes pour les deux.
- Accédez à la création d'assertions et cliquez sur Configurer la création d'assertions. Vous serez redirigé vers l'assistant de configuration de création d'assertions.
- Dans l'onglet Mappage d'identité, sélectionnez STANDARD et cliquez sur Suivant.
- Sélectionnez un format de nom de sujet pour SAML_SUBJECT sur le Contrat d'attribut onglet et cliquez sur Suivant.
- Cliquez sur Mapper une nouvelle instance d'adaptateur dans le mappage de source d'authentification.
- Sélectionnez un Instance d'adaptateur et cliquez sur SuivantL'adaptateur doit inclure l'adresse e-mail de l'utilisateur.
- Sélectionnez le Utilisez uniquement les valeurs du contrat d'adaptateur dans l'option d'assertion SAML sur le Méthode de cartographie onglet et cliquez Suivant.
- Sélectionnez votre instance d'adaptateur comme Matériau et l'e-mail comme Valeur sur le Exécution du contrat d'attribut onglet et cliquez Suivant.
- (Facultatif) Sélectionnez les conditions d'autorisation que vous souhaitez sur la page Critères de délivrance tabulation et clic Suivant.
- Cliquez à nouveau OK sur le Résumé.
- Cliquez sur Suivant sur le Mappage des sources d'authentification languette.
- Cliquez à nouveau OK dans l'onglet Résumé.
- Cliquez à nouveau Suivant sur le Création d'assertions.
- Accédez à l’onglet Paramètres du protocole de l’assistant SSO du navigateur et cliquez sur les paramètres Configurer le protocole.
- Sélectionnez POST pour Fixations et spécifiez l'authentification unique URL du point de terminaison dans le champ URL du point de terminaison sur le URL du service client d'assertion Cliquez à nouveau Suivant.
- Choisir POSTEZ sur le Liaisons SAML autorisées onglet et cliquez Suivant.
- Sélectionnez les politiques de signature souhaitées pour les assertions sur le Politique de signature onglet et cliquez sur Suivant.
- Sélectionnez la politique de chiffrement souhaitée pour les assertions sur le Politique de cryptage onglet et cliquez Suivant.
- Cliquez à nouveau OK sur le Résumé des paramètres de protocole languette.
- Cliquez à nouveau OK sur le Résumé de l'authentification unique du navigateur.
- Accédez à la Titres de compétences et cliquez sur le Configurer les informations d'identification. Vous serez redirigé vers le Titres de compétences Assistant de configuration.
- Sélectionnez le certificat de signature à utiliser avec le service d’authentification unique et sélectionnez Inclure le certificat dans l’élément de signature dans l’onglet Paramètres de signature numérique. Cliquez sur Terminé.
- Cliquez à nouveau OK sur le Résumé.
- Cliquez à nouveau Suivant sur le Titres de compétences.
- Choisir Active pour État de la connexion sur le Onglet Activation et résumé et cliquez sur Enregistrer.
- Accédez maintenant au fournisseur d’identité du tableau de bord d’administration des utilisateurs de Ping Federate.
- Cliquez à nouveau Gérer tout sous Connexions SP.
- Cliquez à nouveau Exporter les métadonnées pour la connexion du fournisseur de services souhaité.
- Cliquez à nouveau Télécharger sur le Onglet Exporter et Résumé et cliquez sur OK.
Étape 3 : Configurer Joomla comme SP (fournisseur de services)
Dans le plugin Joomla SAML, accédez à l'onglet Configuration du fournisseur de services, puis cliquez sur Ajouter un nouveau fournisseur d'identitéIl existe 3 façons de configurer l'IdP :
A. En téléchargeant les métadonnées IDP :
- Dans le plugin Joomla SAML, accédez à Configuration du fournisseur de services onglet, cliquez ici sur le Choisir un fichier bouton pour sélectionner le fichier de métadonnées, puis cliquez sur le Télécharger une présentation .
B. Par URL de métadonnées :
- Entrer URL de métadonnées (Copier depuis l'application IDP) et cliquez sur Récupérer les métadonnées .
C. Configuration manuelle :
- Copier ID d'entité SAML, URL de point de terminaison d'authentification unique SAML et certificat X.509 à partir du document de métadonnées de la Fédération et collez-le dans ID d'entité du fournisseur d'identité, URL d'authentification unique, certificat X.509 champs respectivement dans le plugin.
| ID d'entité IdP | ID d'entité SAML dans le document de métadonnées de fédération |
| URL d'authentification unique | URL du point de terminaison SAML Single-Sign-On dans le document de métadonnées de fédération |
| Valeur du certificat X.509 | Certificat X.509 dans le document de métadonnées de la fédération |
Étape 4 : tester la configuration
- Cliquez à nouveau Enregistrer pour enregistrer votre configuration. Une fois enregistrée, l'IdP configuré apparaîtra dans le Liste des personnes déplacées à l'intérieur du pays, où vous pouvez copier le URL SSO ou gérez la configuration en modifiant l'IdP configuré, ou en le supprimant selon les besoins.
- Enfin, testez la configuration en cliquant sur Test Cliquez sur le bouton. Dans la fenêtre de test réussie, vous verrez les attributs reçus de votre fournisseur d'identité, ce qui vous permettra de vérifier que la configuration fonctionne correctement.
Étape 5 : Mappage des attributs – Fonctionnalité Premium
- Les attributs sont des détails utilisateur stockés dans votre fournisseur d'identité.
- Le mappage d'attributs vous aide à obtenir les attributs utilisateur de votre fournisseur d'identité (IDP) et à les mapper aux attributs utilisateur Joomla tels que le prénom, le nom, l'adresse, le téléphone, etc.
- Lors de l'enregistrement automatique des utilisateurs sur votre site Joomla, ces attributs seront automatiquement mappés aux détails de votre utilisateur Joomla.
- Accédez à l'onglet Cartographie et remplissez tous les champs. Cartographie d'attributs .
| Pseudo | Nom de l'attribut de nom d'utilisateur de l'IdP (Conserver NameID par défaut) |
| Courriel : | Nom de l'attribut email de l'IdP (Conserver NameID par défaut) |
| Nom : | Nom de l'attribut name de l'IdP |
- Vous pouvez consulter les résultats de la configuration du test sous l’onglet Configuration du fournisseur de services pour avoir une meilleure idée des valeurs à mapper ici.
Remarque : vous pouvez voir comment fonctionne le mappage d'attributs ici.
Étape 6 : Mappage de groupe – Fonctionnalité Premium
- Le mappage groupe/rôle vous aide à attribuer des rôles spécifiques aux utilisateurs d'un certain groupe dans votre fournisseur d'identité (IdP).
- Lors de l'inscription automatique, les utilisateurs se voient attribuer des rôles en fonction du groupe auquel ils sont mappés.
Remarque : vous pouvez voir comment fonctionne le mappage de groupe/rôle ici.
Étape 7 : Redirection et liens SSO
- Accédez à l'onglet Paramètres de connexion. Vous pouvez ajouter une URL de connexion pour effectuer l'authentification unique SAML sur votre site Joomla en suivant les étapes ci-dessous.
- Plusieurs fonctionnalités sont disponibles dans cet onglet, comme la redirection automatique de l'utilisateur vers le fournisseur d'identité et l'activation de la connexion au backend pour les super utilisateurs. Pour utiliser ces fonctionnalités, cliquez sur les cases à cocher correspondantes.
- Cliquez sur l'onglet Mise à niveau pour consulter notre liste complète de fonctionnalités et nos différents plans de licence. OU vous pouvez cliquer ici pour consulter les fonctionnalités et les plans de licence.
- Si vous rencontrez un problème ou avez des questions en tête, vous pouvez nous contacter en nous envoyant votre requête via le bouton Support du plugin ou en nous envoyant un e-mail à joomlasupport@xecurify.com.
FAQ
Plus de FAQ ➔Ma configuration de test a réussi, mais lorsque j'essaie de me connecter, je suis bloqué dans une boucle de redirection. 
Cela peut se produire pour plusieurs raisons :
1. La mise en cache est activée sur le site Web.
Lorsque la redirection automatique est activée, l'utilisateur est redirigé vers la page de connexion IDP et après s'être connecté au site principal, mais comme la mise en cache est activée, il redirige vers la page de connexion IDP, d'où une boucle.
2. Différence HTTP/HTTPS :
Cela se produit lorsque HTTPS n'est pas appliqué sur le site mais est configuré côté IDP avec une URL HTTPS. Cela peut être résolu en appliquant HTTPS sur le site en définissant une règle de redirection dans le fichier .htaccess ou au niveau d'Apache.
3. Falsification des cookies :
Le cookie créé par le plugin après la connexion de l'utilisateur est modifié par un autre plugin qui empêche l'utilisateur de se connecter au site Joomla mais la session est créée sur IDP.
Pourquoi suis-je redirigé vers le site Joomla au lieu de l'IDP lorsque je clique sur Tester la configuration ?
Dans le plugin Joomla SAML, lorsqu'une extension n'est pas activée après l'installation du plugin, après avoir cliqué sur « Tester la configuration », vous êtes redirigé vers votre propre site au lieu de vous rediriger vers IDP. Pour résoudre ce problème, vous devez activer toutes les extensions du plugin après l'avoir installé.
Veuillez suivre les étapes ci-dessous pour résoudre ce problème :
1. Dans l'interface d'administration Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange ».
3. Activez toutes les extensions des plugins.
Je me suis connecté à mon fournisseur d'identité et il m'a redirigé vers le site Joomla, mais je ne suis pas connecté ?
Voici quelques erreurs fréquentes qui peuvent survenir :
INVALID_ISSUER : cela signifie que vous n'avez PAS saisi la valeur d'ID d'émetteur ou d'entité correcte fournie par votre fournisseur d'identité. Vous verrez dans le message d'erreur quelle était la valeur attendue (que vous avez configurée) et ce qui a réellement été trouvé dans la réponse SAML.
INVALID_AUDIENCE : cela signifie que vous n'avez PAS configuré correctement l'URL d'audience dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/ dans votre fournisseur d'identité.
DESTINATION_INVALIDE : cela signifie que vous n'avez PAS configuré correctement l'URL de destination dans votre fournisseur d'identité. Elle doit être définie sur https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php dans votre fournisseur d'identité.
SIGNATURE VALIDE : cela signifie que le certificat que vous avez fourni ne correspond pas au certificat trouvé dans la réponse SAML. Assurez-vous de fournir le même certificat que celui que vous avez téléchargé auprès de votre fournisseur d'identité. Si vous disposez du fichier XML de métadonnées de votre fournisseur d'identité, assurez-vous de fournir un certificat inclus dans la balise de certificat X509 qui possède un attribut use='signature'.
INVALID_CERTIFICATE : cela signifie que le certificat que vous avez fourni n'est pas au bon format. Assurez-vous d'avoir copié l'intégralité du certificat fourni par votre fournisseur d'identité. S'il a été copié à partir du fichier XML de métadonnées du fournisseur d'identité, assurez-vous d'avoir copié la valeur entière.
Impossible de trouver un certificat correspondant à l'empreinte digitale configurée.
Cela n'est possible que lorsqu'un certificat provenant de la réponse SAML ne correspond pas au certificat configuré dans le plug-in. Copiez la valeur du certificat affichée dans la fenêtre Configuration de test et collez-la dans le champ Certificat X.509 de l'onglet Fournisseur de services du plug-in.
Comment exporter la configuration dans Joomla SAML ?
Veuillez suivre les étapes pour exporter la configuration :
1) Accédez au plugin miniOrange SAML SP et accédez à l’onglet Configuration du fournisseur de services.
2) Cliquez ensuite sur le bouton Importer/Exporter en bas de la page puis cliquez sur le bouton Exporter la configuration.
3) Accédez à Système >> Gérer et recherchez miniOrange dans la barre de recherche. Désinstallez ensuite toutes les extensions miniOrange.
Veuillez suivre les étapes pour importer la configuration :
1) Installez le dernier plugin et connectez-vous avec vos identifiants miniOrange dans le plugin.
2) Accédez à l’onglet Configuration du fournisseur de services et cliquez sur le bouton Importer/Exporter.
3) Téléchargez le fichier de configuration téléchargé, puis cliquez sur le bouton Importer la configuration.
Pourquoi est-ce que j'obtiens une erreur de table manquante lors de la mise à jour du plugin Joomla SAML ?
Lors de la mise à jour du plugin Joomla SAML, si une table ou une colonne n'est pas ajoutée à la base de données, vous obtiendrez une erreur de table manquante. Ce problème survient généralement lorsqu'une table ou une colonne n'est pas ajoutée à la base de données lors de la mise à jour du plugin.
Vous pouvez réinstaller le plugin pour résoudre ce problème, veuillez suivre les étapes ci-dessous :
Désinstaller le plugin existant (Faites la sauvegarde du plugin existant avant de désinstaller le plugin)
– Allez dans Extensions -> Gérer -> Gérer
– Recherche de miniOrange
– Sélectionnez toutes les extensions et cliquez sur « Désinstaller ».
Maintenant, installez à nouveau le plugin et configurez-le.
Comment résoudre l'erreur fatale : Impossible de déclarer la classe, car le nom est déjà utilisé ?
Un site Joomla peut être utilisé comme fournisseur de services ou comme fournisseur d'identité à l'aide du plug-in SP ou IDP approprié. Vous rencontrez probablement cette erreur parce que vous avez installé les deux plug-ins sur le même site.
Afin de résoudre ce problème, veuillez suivre les étapes ci-dessous : Supprimez les dossiers suivants de votre répertoire Joomla :
1. /bibliothèques/miniorangejoomlaidpplugin
2. /bibliothèques/miniorangesamlplugin
3. /plugins/system/samlredirect
Vous devriez maintenant pouvoir vous connecter à votre site Joomla.
Supprimez les extensions restantes :
1. Dans la console d’administration de votre site Joomla, accédez à Extensions -> Gérer -> Gérer.
2. Recherchez « miniorange »
3. Sélectionnez toutes les extensions et cliquez sur Désinstaller
L'authentification unique ne fonctionne pas ? Utilisez-vous les outils d'administration avec le plug-in SAML SP ?
Le problème de redirection se produit lors de l'utilisation du plugin Outils d'administration pour Joomla SAML SSO, où le plugin Outils d'administration apporte des modifications au fichier .htaccess et ajoute certaines règles qui empêchent la redirection depuis le site.
Vous pouvez résoudre le problème ci-dessus en suivant les étapes ci-dessous :
1. Accédez à Outils d’administration >> Panneau de configuration, puis cliquez sur l’option .htaccess maker.
2. Désactivez ensuite l'option « Protéger contre les attaques par injection de fichiers courantes ».
Ensuite, videz le cache de votre site et testez l’authentification unique.
Comment vérifier ou télécharger une requête/réponse SAML à l'aide des journaux SAML Tracer ?
Journaux du traceur SAML :
1. Téléchargez le module complémentaire SAML tracer : Firefox : [ Lien
] | Chrome:[ Lien ] 2. Ouvrez le traceur SAML depuis la barre d’outils du navigateur.
3. Gardez la fenêtre du traceur SAML ouverte.
4. Effectuez la configuration SSO/Test et reproduisez le problème.
5. Accédez à la fenêtre du traceur SAML.
6. Vous aurez la possibilité d'exporter le journal SAML Tracer dans un fichier (dans la barre de menu supérieure). Enregistrez les journaux dans un fichier, choisissez « Aucun » lorsque vous y êtes invité et envoyez-nous ce fichier.
Je vois l'erreur « nous n'avons pas pu vous connecter, veuillez contacter votre administrateur » lors de la connexion.
Il semble que votre fournisseur d'identité envoie une erreur dans la réponse SAML. Pour résoudre ce problème, accédez à l'onglet Configuration du fournisseur de services du plug-in SAML SP. Cliquez sur Configuration de test et examinez la fenêtre de résultat de la configuration. Assurez-vous que le mappage d'attributs a été effectué correctement et vérifiez que la valeur du certificat X.509 est exacte.
