Fournir des métadonnées dans la console

Pour vous connecter à vos applications à partir de l'interface utilisateur IBM Cloud, procédez comme suit.

1. Accédez à l'onglet SAML 2.0 du tableau de bord App ID.

2. Ajoutez le nom du fournisseur. Nom par défaut : SAML.

3. Entrez les métadonnées suivantes, obtenues du fournisseur d'identité à la section Fournir des métadonnées à partir d'un fournisseur d'identité SAML.

   Les informations qui doivent être fournies à App ID

   Variable	Description
   Sign-in URL	URL vers laquelle l'utilisateur est redirigé pour l'authentification. Elle est hébergée par votre fournisseur d'identité SAML.
   Entity ID	Nom global unique d'un fournisseur d'identité SAML.
   Primary certificate	Certificat émis par votre fournisseur d'identité SAML. Utilisé pour la signature et la validation des assertions SAML. Tous les fournisseurs sont différents, mais vous devriez pouvoir télécharger le certificat signataire depuis votre fournisseur d'identité. Le certificat doit être au format .pem.

4. Facultatif : Indiquez un certificat secondaire à utiliser en cas d'échec de validation de la signature pour le certificat principal. Si la clé de signature reste la même, App ID ne bloque pas l'authentification de certificats arrivés à expiration.

5. Cliquez sur Sauvegarder.

Vous souhaitez définir un contexte d'authentification ? Vous pouvez le faire à l'aide de l'API.

Configuration de la connexion IdP-initiated dans la console

En option, si vous souhaitez vous connecter à vos applications sur IBM Cloud à partir de l'interface utilisateur de votre fournisseur d'identité, vous pouvez activer la connexion IdP-initiated.

Suivez les étapes 1 à 4 de la section Fournir des métadonnées dans la console. Complétez ensuite le processus suivant.

5. Activez la connexion initiée parIdP.
6. Saisissez la redirection IdP URL.
7. Cliquez sur Sauvegarder.

Fournir des métadonnées avec l'API

1. Consultez votre configuration SAML actuelle, y compris votre contexte d'authentification et vos certificats, en effectuant une requête GET vers le point de terminaison de l'API /saml.

   Exemple de code :

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Exemple de sortie :

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Créez votre configuration SAML en remplaçant les valeurs de l'exemple suivant par les informations de votre fournisseur. Les valeurs affichées dans l'exemple sont obligatoires, mais vous pouvez choisir d'inclure plus d'informations, comme indiqué dans le tableau.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variables de configuration

   Variable	Description
   signInUrl	URL vers laquelle l'utilisateur est redirigé pour l'authentification. Elle est hébergée par votre fournisseur d'identité SAML.
   entityID	Nom global unique d'un fournisseur d'identité SAML.
   displayName	Nom que vous attribuez à votre configuration SAML.
   primary-certificate-example-pem-format	Certificat émis par votre fournisseur d'identité SAML. Utilisé pour la signature et la validation des assertions SAML. Tous les fournisseurs sont différents, mais vous devriez pouvoir télécharger le certificat signataire depuis votre fournisseur d'identité. Le certificat doit être au format .pem.
   Facultatif : secondary-certificate-example-pem-format	Le certificat de sauvegarde émis par votre fournisseur d'identité SAML. Il est utilisé si la validation de la signature échoue avec le certificat principal. Remarque : si la clé de signature reste la même, App ID ne bloque pas l'authentification des certificats expirés.
   Facultatif : authnContext	Le contexte d'authentification est utilisé pour vérifier la qualité de l'authentification et des assertions SAML. Vous pouvez ajouter un contexte d'authentification en ajoutant un tableau de classes et une chaîne de comparaison à votre code. Assurez-vous d'actualiser les paramètres class et comparison avec vos valeurs. Par exemple, un paramètre class pourrait ressembler à urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Facultatif : signRequest	L'indicateur signRequest permet d'envoyer une demande SAML signée à un fournisseur d'identité qui est signée à l'aide de la clé privée de signature SAML. Pour configurer votre fournisseur d'identité SAML pour recevoir une demande signée, vous avez besoin du certificat de signature du fichier de métadonnées que vous pouvez télécharger dans la zone KeyDescriptor use="signing". Par défaut, la signature de la demande est désactivée (off).
   Facultatif : encryptResponse	L'indicateur encryptResponse vous permet de recevoir une réponse chiffrée de votre fournisseur d'identité dans le cadre de la demande d'authentification. Pour configurer le fournisseur d'identité SAML pour envoyer une réponse chiffrée, vous devez détenir le certificat de chiffrement qui se trouve dans le fichier de métadonnées dans la zone KeyDescriptor use="encryption". Par défaut, le chiffrement de la réponse est désactivé (off).

3. Faites une demande PUT au point de terminaison de l'API /saml pour fournir à App ID la configuration que vous avez créée à l'étape 2. Consultez l'exemple suivant pour voir à quoi pourrait ressembler votre demande.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

Configuration de la connexion IdP-initiated avec l'API

Pour configurer IdP-initiated login, suivez les étapes suivantes.

1. Consultez votre configuration SAML actuelle, y compris votre contexte d'authentification et vos certificats, en effectuant une requête GET vers le point de terminaison de l'API /saml.

   Exemple de code :

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Exemple de sortie :

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Créez votre configuration SAML en remplaçant les valeurs de l'exemple suivant par les informations de votre fournisseur. Les valeurs affichées dans l'exemple sont obligatoires, mais vous pouvez choisir d'inclure plus d'informations, comme indiqué dans le tableau.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variables de configuration

   Variable	Description
   signInUrl	URL vers laquelle l'utilisateur est redirigé pour l'authentification. Elle est hébergée par votre fournisseur d'identité SAML.
   entityID	Nom global unique d'un fournisseur d'identité SAML.
   displayName	Nom que vous attribuez à votre configuration SAML.
   primary-certificate-example-pem-format	Certificat émis par votre fournisseur d'identité SAML. Utilisé pour la signature et la validation des assertions SAML. Tous les fournisseurs sont différents, mais vous devriez pouvoir télécharger le certificat signataire depuis votre fournisseur d'identité. Le certificat doit être au format .pem.
   DefaultRelayState	Valeur initiale de RelayState. Cette variable est configurée dans les paramètres de votre fournisseur d'identité. Cette variable peut être utilisée pour la redirection URL au lieu de idpRedirectUrl lors des demandes SAML de votre fournisseur d'identité. Si vous définissez les deux variables, la valeur de DefaultRelayState est prioritaire. IdP-initiated la connexion échoue si vous ne définissez pas l'une de ces variables.
   idpInitEnabled	Valeur booléenne indiquant si vous souhaitez activer la connexion initiée par IdP.
   idpRedirectUrl	La valeur de ce champ peut être null, une chaîne vide ou une redirection http ou https valide URL. Note: Si la valeur de ce champ est nulle, vous devez définir le site DefaultRelayState comme étant la redirection URL. Si vous définissez les deux variables, la valeur de DefaultRelayState est prioritaire. IdP-initiated la connexion échoue si vous ne définissez pas l'une de ces variables.
   Facultatif : secondary-certificate-example-pem-format	Le certificat de sauvegarde émis par votre fournisseur d'identité SAML. Il est utilisé si la validation de la signature échoue avec le certificat principal. Remarque : si la clé de signature reste la même, App ID ne bloque pas l'authentification des certificats expirés.
   Facultatif : authnContext	Le contexte d'authentification est utilisé pour vérifier la qualité de l'authentification et des assertions SAML. Vous pouvez ajouter un contexte d'authentification en ajoutant un tableau de classes et une chaîne de comparaison à votre code. Assurez-vous d'actualiser les paramètres class et comparison avec vos valeurs. Par exemple, un paramètre class pourrait ressembler à urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Facultatif : signRequest	L'indicateur signRequest permet d'envoyer une demande SAML signée à un fournisseur d'identité qui est signée à l'aide de la clé privée de signature SAML. Pour configurer votre fournisseur d'identité SAML pour recevoir une demande signée, vous avez besoin du certificat de signature du fichier de métadonnées que vous pouvez télécharger dans la zone KeyDescriptor use="signing". Par défaut, la signature de la demande est désactivée (off).
   Facultatif : encryptResponse	L'indicateur encryptResponse vous permet de recevoir une réponse chiffrée de votre fournisseur d'identité dans le cadre de la demande d'authentification. Pour configurer le fournisseur d'identité SAML pour envoyer une réponse chiffrée, vous devez détenir le certificat de chiffrement qui se trouve dans le fichier de métadonnées dans la zone KeyDescriptor use="encryption". Par défaut, le chiffrement de la réponse est désactivé (off).

3. Faites une demande PUT au point de terminaison de l'API /saml pour fournir à App ID la configuration que vous avez créée à l'étape 2. Consultez l'exemple suivant pour voir à quoi pourrait ressembler votre demande.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }