Intégration d'Azure AD avec Logto

Introduction#

Logto fournit un connecteur SAML prêt à l'emploi pour s'intégrer aux fournisseurs d'identité SSO. Chaque fournisseur a ses propres informations spécifiques à configurer. Ce guide vous guidera à travers les étapes pour intégrer Azure AD avec Logto.

Créer un nouveau connecteur social SAML dans Logto#

1. Visitez votre Console Cloud Logto et accédez à la section connecteur.

2. Passez à l'onglet Connecteurs sociaux et cliquez sur le bouton Ajouter un connecteur social en haut à droite.

   

3. Sélectionnez le connecteur SAML.

   

   Vous serez présenté avec le formulaire de création de connecteur SAML :

   

4. Remplissez les informations générales du connecteur

   

   Nom du champ	Description
   Nom pour le bouton de connexion sociale	Le nom du bouton de connexion sociale qui sera affiché sur la page de connexion.
   URL du logo pour le bouton de connexion sociale	L'URL du logo du bouton de connexion sociale qui sera affichée sur la page de connexion.
   Nom du fournisseur d'identité	Le nom du fournisseur d'identité. Cela peut vous aider à identifier le fournisseur cible du connecteur.
   Synchroniser les informations de profil	Indique si les informations du profil utilisateur doivent être synchronisées depuis le fournisseur d'identité seulement après la première inscription ou après chaque session de connexion.

5. Définissez l'ID d'entité et l'URL du service consommateur d'assertions

   

   L'ID d'entité et une URL ACS sont des composants essentiels utilisés dans le processus d'échange SAML pour les fournisseurs d'identité et de services.

   ID d'entité SP : L'ID d'entité est un identifiant unique qui représente une entité SAML dans un système basé sur SAML. Il est utilisé pour distinguer les différents participants dans l'échange SAML. L'ID d'entité SP aide à la fois l'IdP à reconnaître le public de la demande et à établir la confiance.

   URL ACS (Assertion Consumer Service URL) : L'URL ACS est un point de terminaison spécifique fourni par le fournisseur de services (Logto) où le fournisseur d'identité (IdP) envoie l'assertion SAML après une authentification réussie. Une fois qu'un utilisateur est authentifié par l'IdP, l'IdP génère une assertion SAML contenant des attributs utilisateur et la signe numériquement. L'IdP envoie ensuite cette assertion à l'URL ACS du SP. Le SP valide l'assertion, extrait les attributs utilisateur et connecte l'utilisateur.

   Nom du champ	Description	Exemple
   ID d'entité SP (Audience)	ID d'entité SP utilisé par AzureAD pour identifier l'identité de Logto. Il est recommandé d'utiliser votre point de terminaison Logto comme ID d'entité	https://<tenant-id>.logto.app
   URL de l'authentification unique IdP	Point final d'authentification IdP. Optionnel dans Azure. Ce champ est utilisé pour que le SP identifie une session de connexion initiée par l'IdP. Actuellement, Logto ne prend PAS en charge la session de connexion initiée par l'IdP. Veuillez laisser ce champ vide
   Certificat X.509	Le certificat IdP utilisé pour signer l'assertion SAML. (Nous récupérerons ce certificat depuis AzureAD plus tard)
   Métadonnées IdP au format XML	Contenu du fichier XML des métadonnées IdP. (Nous récupérerons ce fichier depuis AzureAD plus tard)
   URL du service consommateur d'assertions	L'URL ACS du SP. Point de terminaison SP (Logto) pour recevoir les demandes d'assertions SAML. Remplacez le tenant-id et le connector-id par les vôtres.	https://<tenant-id>.logto.app/api/authn/saml/<connector-id>

Créer une application SSO SAML dans le portail Azure#

1. Connectez-vous au Tableau de bord Azure Active Directory. Sélectionnez « Applications d'entreprise ».

   

2. Sélectionnez « Nouvelle application » → « Créer votre propre application ».

   

3. Initiez une application SAML.

   

4. Remplissez la configuration avec EntityId et ACS URL que vous avez définis dans Logto.

   

5. Configurez les attributs utilisateur et les revendications

   Vous pouvez configurer les attributs utilisateur en cliquant sur le bouton "Modifier" dans la section "Attributs et revendications utilisateur".

   

   Logto nécessite que les attributs utilisateur de base suivants soient envoyés dans l'assertion SAML :

   Nom de la revendication	Nom de l'attribut
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.mail
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name	user.name

6. Assignez des groupes et utilisateurs à l'application SAML Pour que les utilisateurs ou groupes d'utilisateurs puissent être authentifiés, nous devrons les assigner à l'application SAML AzureAD. Sélectionnez "Utilisateurs et groupes" dans la section "Gérer" du menu de navigation. Ensuite, sélectionnez "Ajouter un utilisateur/groupe".

   

7. Obtenez les détails de l'IdP AzureAD en téléchargeant des certificats et le fichier de métadonnées. Téléchargez le fichier Federation Metadata XML et le fichier Certificate (Base64) en cliquant sur le bouton "télécharger". Vous aurez besoin de ces fichiers pour compléter la création du connecteur SAML dans Logto.

   

Terminez la création de la connexion SAML dans Logto#

Retournez au formulaire de création du connecteur SAML de la Console Cloud Logto et continuez à remplir les détails de l'IdP. Copiez le contenu du fichier XML des métadonnées IdP dans le champ métadonnées IdP. Collez le certificat IdP dans le champ certificat IdP.

Définissez le mappage du profil utilisateur

En fonction des paramètres de revendication utilisateur AzureAD, vous pouvez procéder au réglage des configurations de mappage des clés dans Logto :

Les champs utilisateur disponibles dans Logto sont :

Cliquez sur "Enregistrer et Terminer".

Activer le connecteur SAML#

Une fois que vous avez terminé la création du connecteur SAML, vous pouvez activer le connecteur en naviguant vers la section "Expérience de connexion" et ajouter le connecteur comme méthode de "Connexion sociale" :

Vérifiez votre connexion SSO AzureAD en utilisant notre application de démonstration prévisualisée :

Félicitations ! Vous avez intégré avec succès SSO AzureAD avec Logto. Vous pouvez maintenant utiliser AzureAD pour vous connecter à votre compte Logto.