Implémentation SAML Okta
Cet article contient de l'aide spécifique à Okta pour configurer l'identifiant avec SSO via SAML 2.0. Pour obtenir de l'aide pour configurer l'identifiant avec SSO pour un autre IdP, reportez-vous à Configuration SAML 2.0.
La configuration implique de travailler simultanément dans l'application web Bitwarden et le portail admin Okta. Au fur et à mesure que vous avancez, nous vous recommandons d'avoir les deux à portée de main et de compléter les étapes dans l'ordre où elles sont documentées.
pointe
Déjà un expert en SSO ? Ignorez les instructions de cet article et téléchargez des captures d'écran d'exemples de configurations pour les comparer aux vôtres.
saisir: asset-hyperlink id: 3tQfArvZQ1vigzlnjdBxr1
Connectez-vous à l'application web Bitwarden et ouvrez la console Admin en utilisant le sélecteur de produit ():
Ouvrez l'écran Paramètres → Connexion unique de votre organisation :
Si vous ne l'avez pas déjà fait, créez un identifiant SSO unique pour votre organisation et sélectionnez SAML dans le menu déroulant Saisir . Gardez cet écran ouvert pour une référence facile.
Vous pouvez désactiver l'option Définir un ID d'entité SP unique à ce stade si vous le souhaitez. En faisant cela, votre ID d'organisation sera supprimé de la valeur de votre ID d'entité SP, cependant dans presque tous les cas, il est recommandé de laisser cette option activée.
pointe
Il existe des options alternatives de décryptage des membres. Apprenez comment commencer à utiliser SSO avec des appareils de confiance ou Key Connector.
Dans le Portail Admin Okta, sélectionnez Applications → Applications à partir de la navigation. Sur l'écran des Applications, sélectionnez le bouton Créer une Intégration d'Application :
Dans la boîte de dialogue Créer une nouvelle intégration d'application, sélectionnez le bouton radio SAML 2.0 :
Sélectionnez le bouton Suivant pour passer à la configuration.
Sur l'écran des Paramètres Généraux, donnez à l'application un nom unique, spécifique à Bitwarden et sélectionnez Suivant.
Sur l'écran Configurer SAML, configurez les champs suivants:
Champ | Description |
|---|---|
URL de connexion unique | Définissez ce champ sur l'URL du Service de Consommation d'Assertion (ACS) pré-généré. Cette valeur générée automatiquement peut être copiée à partir de l'écran Paramètres → Connexion unique de votre organisation et variera en fonction de votre configuration. |
URI de l'audience (ID de l'entité SP) | Définissez ce champ sur l'ID d'entité SP pré-généré. Cette valeur générée automatiquement peut être copiée à partir de l'écran Paramètres → Connexion unique de votre organisation et variera en fonction de votre configuration. |
Name ID Format | Sélectionnez le format SAML NameID à utiliser dans les assertions SAML. Par défaut, Non spécifié. |
Nom d'utilisateur de l'application | Sélectionnez l'attribut Okta que les utilisateurs utiliseront pour se connecter à Bitwarden avec leur identifiant. |
Sélectionnez le lien Afficher les paramètres avancés et configurez les champs suivants:
Champ | Description |
|---|---|
Réponse | Que la réponse SAML soit signée par Okta. |
Signature d'Assertion | Que l'assertion SAML soit signée par Okta. |
Algorithme de Signature | L'algorithme de signature utilisé pour signer la réponse et/ou l'affirmation, selon ce qui est défini comme Signé. Par défaut, |
Algorithme de Digest | L'algorithme de condensat utilisé pour signer la réponse et/ou l'assertion, selon ce qui est défini comme Signé. Ce champ doit correspondre à l'Algorithme de Signature sélectionné. |
Dans la section Déclarations d'Attributs, construisez les mappages d'attributs suivants SP → IdP :
Une fois configuré, sélectionnez le bouton Suivant pour passer à l'écran Commentaires et sélectionnez Terminer.
Une fois votre application créée, sélectionnez l'onglet Se connecter pour l'application et sélectionnez le bouton Afficher les instructions de configuration situé sur le côté droit de l'écran:
Laissez cette page ouverte pour une utilisation future, ou copiez l'URL de connexion unique du fournisseur d'identité et l'Émetteur du fournisseur d'identité et téléchargez le Certificat X.509 :
Naviguez vers l'onglet Devoirs et sélectionnez le bouton Attribuer :
Vous pouvez attribuer l'accès à l'application sur une base utilisateur par utilisateur en utilisant l'option Attribuer aux personnes, ou en masse en utilisant l'option Attribuer aux groupes.
À ce stade, vous avez configuré tout ce dont vous avez besoin dans le contexte du Portail Admin Okta. Retournez à l'application web Bitwarden pour terminer la configuration.
L'écran de connexion unique sépare la configuration en deux sections :
La configuration du fournisseur de services SAML déterminera le format des requêtes SAML.
La configuration du fournisseur d'Identité SAML déterminera le format à attendre pour les réponses SAML.
Configurez les champs suivants en fonction des choix sélectionnés dans le portail admin Okta lors de la création de l'application :
Champ | Description |
|---|---|
Format d'identifiant de nom | Définissez ceci sur le format d'ID de nom spécifié dans Okta, sinon laissez Non spécifié. |
Algorithme de Signature Sortant | L'algorithme que Bitwarden utilisera pour signer les requêtes SAML. |
Comportement de signature | Si/quand les demandes SAML seront signées. |
Algorithme de Signature Minimum Entrant | Définissez ceci sur l'Algorithme de Signature spécifié dans Okta. |
Voulez des Assertions Signées | Cochez cette case si vous avez défini le champ Signature d'Assertion à Signé dans Okta. |
Valider les Certificats | Cochez cette case lorsque vous utilisez des certificats fiables et valides de votre IdP via une CA de confiance. Les certificats auto-signés peuvent échouer à moins que des chaînes de confiance appropriées ne soient configurées dans l'image Docker de l'identifiant Bitwarden avec SSO. |
Lorsque vous avez terminé avec la configuration du fournisseur de services, Enregistrez votre travail.
La configuration du fournisseur d'Identité nécessitera souvent que vous vous référiez au Portail Admin Okta pour récupérer les valeurs de l'application :
Champ | Description |
|---|---|
ID de l'entité | Entrez votre Émetteur du Fournisseur d'Identité, récupéré depuis l'écran des Paramètres de Connexion Okta en sélectionnant le bouton Afficher les Instructions de Configuration. Ce champ est sensible à la casse. |
Type de Reliure | Réglé sur Rediriger. Okta ne prend actuellement pas en charge HTTP POST. |
URL du service de connexion unique | Entrez votre URL de connexion unique du fournisseur d'Identité, récupérée depuis l'écran des paramètres de connexion d'Okta. |
URL du service de déconnexion unique | L'identification avec SSO ne prend actuellement pas en charge SLO. Cette option est prévue pour un développement futur, cependant vous pouvez la pré-configurer si vous le souhaitez. |
Certificat Public X509 | Collez le certificat téléchargé, en supprimant
et |
Algorithme de Signature Sortant | Sélectionnez l'algorithme de signature sélectionné lors de la configuration de l'application Okta. Si vous n'avez pas modifié l'Algorithme de Signature, laissez la valeur par défaut ( |
Autoriser les demandes de déconnexion sortantes | La connexion avec SSO ne prend actuellement pas en charge SLO. |
Voulez-vous que les demandes d'authentification soient signées | Que Okta s'attend à ce que les demandes SAML soient signées. |
note
Lors de la complétion du certificat X509, prenez note de la date d'expiration. Les certificats devront être renouvelés afin d'éviter toute interruption de service pour les utilisateurs finaux de SSO. Si un certificat a expiré, les comptes Admin et Propriétaire pourront toujours se connecter avec l'adresse de courriel et le mot de passe principal.
Lorsque vous avez terminé avec la configuration du fournisseur d'identité, Enregistrez votre travail.
pointe
Vous pouvez exiger que les utilisateurs se connectent avec SSO en activant la politique d'authentification à connexion unique. Veuillez noter que cela nécessitera également l'activation de la politique de sécurité de l'organisation unique. En savoir plus.
Une fois votre configuration terminée, testez-la en vous rendant sur https://vault.bitwarden.com, en entrant votre adresse de courriel, en sélectionnant Continuer, et en sélectionnant le bouton Connexion unique de l'Entreprise :
Entrez l'identifiant de l'organisation configuré et sélectionnez Se connecter. Si votre mise en œuvre est correctement configurée, vous serez redirigé vers l'écran d'identifiant Okta:
Après vous être authentifié avec vos identifiants Okta, entrez votre mot de passe principal Bitwarden pour déchiffrer votre coffre !
note
Bitwarden ne prend pas en charge les réponses non sollicitées, donc l'initiation de l'identifiant à partir de votre IdP entraînera une erreur. Le flux de connexion SSO doit être initié à partir de Bitwarden. Les administrateurs Okta peuvent créer une Application de signet Okta qui liera directement à la page d'identifiant du coffre web Bitwarden.
En tant qu'admin, naviguez vers le menu déroulant Applications situé sur la barre de navigation principale et sélectionnez Applications.
Cliquez sur Parcourir le catalogue d'applications.
Recherchez l'application Bookmark et cliquez sur Ajouter une intégration.
Ajoutez les paramètres suivants à l'application :
Donnez à l'application un nom tel que Identifiant Bitwarden.
Dans le champ URL, fournissez l'URL de votre client Bitwarden comme
https://vault.bitwarden.com/#/identifiantouvotre-URL-auto-hébergée.com.
Sélectionnez Terminé et revenez au tableau de bord des applications et éditez l'application nouvellement créée.
Attribuez des personnes et des groupes à l'application. Vous pouvez également attribuer un logo à l'application pour la reconnaissance de l'utilisateur final. Le logo Bitwarden peut être obtenu ici.
Une fois ce processus terminé, les personnes et groupes assignés auront une application de signet Bitwarden sur leur tableau de bord Okta qui les liera directement à la page d'identifiant du coffre web Bitwarden.