NetScaler en tant qu’IdP SAML
L’IdP SAML (Identity Provider) est une entité SAML déployée sur le réseau client. L’IdP reçoit les demandes du SP SAML et redirige les utilisateurs vers une page d’ouverture de session, où ils doivent entrer leurs informations d’identification. L’IdP authentifie ces informations d’identification auprès d’Active Directory (serveur d’authentification externe, tel que LDAP), puis génère une assertion SAML qui est envoyée au SP.
Le SP valide le jeton, et l’utilisateur est ensuite autorisé à accéder à l’application protégée demandée.
Lorsque l’appliance NetScaler est configurée en tant qu’IdP, toutes les demandes sont reçues par un serveur virtuel d’authentification associé au profil IdP SAML pertinent.
Remarque
Une appliance NetScaler peut être utilisée comme IdP dans un déploiement où le SP SAML est configuré soit sur l’appliance, soit sur n’importe quel SP SAML externe.
Lorsqu’elle est utilisée en tant qu’IdP SAML, une appliance NetScaler :
-
Prend en charge toutes les méthodes d’authentification prises en charge pour les ouvertures de session traditionnelles.
-
Signe numériquement les assertions.
-
Prend en charge l’authentification à un ou deux facteurs. SAML ne doit pas être configuré en tant que mécanisme d’authentification secondaire.
-
Peut chiffrer les assertions à l’aide de la clé publique du SP SAML. Cela est recommandé lorsque l’assertion inclut des informations sensibles.
-
Peut être configuré pour accepter uniquement les demandes signées numériquement provenant du SP SAML.
-
Peut se connecter à l’IdP SAML à l’aide des mécanismes d’authentification basés sur 401 suivants : Negotiate, NTLM et Certificate.
-
Peut être configuré pour envoyer 16 attributs en plus de l’attribut NameID. Les attributs doivent être extraits du serveur d’authentification approprié. Pour chacun d’eux, vous pouvez spécifier le nom, l’expression, le format et un nom convivial dans le profil IdP SAML.
-
Si l’appliance NetScaler est configurée en tant qu’IdP SAML pour plusieurs SP SAML, un utilisateur peut accéder aux applications des différents SP sans s’authentifier explicitement à chaque fois. L’appliance NetScaler crée un cookie de session pour la première authentification, et chaque demande suivante utilise ce cookie pour l’authentification.
-
Peut envoyer des attributs à plusieurs valeurs dans une assertion SAML.
-
Prend en charge les liaisons de publication et de redirection. La prise en charge de la liaison aux artefacts est introduite dans la version 13.0 Build 36.27 de NetScaler.
-
Peut spécifier la validité d’une assertion SAML.
Si l’heure système sur NetScaler SAML IdP et sur le SP SAML homologue n’est pas synchronisée, les messages peuvent être invalidés par l’une ou l’autre des parties. Pour éviter de tels cas, vous pouvez désormais configurer la durée pendant laquelle les assertions sont valides.
Cette durée, appelée « temps d’inclinaison », indique le nombre de minutes pendant lesquelles le message doit être accepté. Le temps d’inclinaison peut être configuré sur le SP SAML et le fournisseur d’identité SAML.
-
Peut être configuré pour diffuser des assertions uniquement aux SP SAML préconfigurés sur l’IdP ou approuvés par celui-ci. Pour cette configuration, l’IdP SAML doit avoir l’ID de fournisseur de services (ou le nom de l’émetteur) des SP SAML concernés.
Remarque
Avant de continuer, assurez-vous que vous disposez d’un serveur virtuel d’authentification lié à un serveur d’authentification LDAP.
Pour configurer une appliance NetScaler en tant qu’IdP SAML à l’aide de l’interface de ligne de commande
-
Configurez un profil IdP SAML.
Exemple
Ajout de l’appliance NetScaler en tant qu’IdP avec SiteMinder en tant que SP.
add authentication samlIdPProfile samlIDPProf1 -samlSPCertName siteminder-cert -encryptAssertion ON -samlIdPCertName ns-cert -assertionConsumerServiceURL http://sm-proxy.nsi-test.com:8080/affwebservices/public/saml2assertionconsumer -rejectUnsignedRequests ON -signatureAlg RSA-SHA256 -digestMethod SHA256<!--NeedCopy--> -
Configurez la stratégie d’authentification SAML et associez le profil IdP SAML comme action de la stratégie.
add authentication samlIdPPolicy samlIDPPol1 -rule true -action samlIDPProf1<!--NeedCopy--> -
Liez la stratégie au serveur virtuel d’authentification.
bind authentication vserver saml-auth-vserver -policy samlIDPPol1 -priority 100<!--NeedCopy-->Pour plus de détails sur la commande, voir https://developer-docs.citrix.com/projects/citrix-adc-command-reference/en/latest/authentication/authentication-samlIdPProfile/
Pour configurer une appliance NetScaler en tant qu’IdP SAML à l’aide de l’interface graphique
-
Configurez le profil et la politique SAML IdP.
Accédez à Sécurité > AAA - Trafic des applications > Politiques > Authentification > Politiques avancées > IDP SAML, créez une politique avec SAML IdP comme type d’action et associez le profil IDP SAML requis à la politique.
-
Associez la stratégie IdP SAML à un serveur virtuel d’authentification.
Accédez à Sécurité > AAA - Trafic d’applications > Serveurs virtuelset associez la stratégie IdP SAML au serveur virtuel d’authentification.