Temps estimé pour terminer : 15 minutes
Arrow propose une intégration complète avec Microsoft Entra ID pour le SSO, le provisionnement utilisateur SCIM pour les membres du plan et le provisionnement de groupe via SAML.
Consultez la documentation Microsoft pour connaître les limites et obtenir des informations supplémentaires.
En savoir plus sur le SSO et le SCIM
En savoir plus sur le SSO basé sur SAML sur le site de support de Microsoft
Important : L'authentification unique confidentielle ne prend pas en charge les politiques d'accès conditionnel basées sur les appareils mobiles. Si votre organisation exige cette politique, pensez plutôt à configurer le SSO en utilisant l'option d'auto-hébergement.
Prérequis
Pour terminer cette configuration, vous avez besoin d'une autorisation d'administrateur pour :
- Console d'administration Arrow
- Autorisation d'administrateur Azure (Azure/Microsoft Entra ID)
- Votre fournisseur DNS public (pour la vérification du domaine)
Table des matières
- Étape 1 : Enregistrer une nouvelle application dans Azure
- Étape 2 : Configurer Azure pour le SSO SAML
- Étape 3 : Téléchargez les métadonnées Azure
- Étape 4 : Configurer Arrow avec les métadonnées Azure
- Étape 5 : Vérifiez votre domaine auprès de DNS Provider
- Étape 6 : Attribuer des utilisateurs et des groupes dans Azure
- Étape 7 : Testez votre configuration SSO
- Étape 8 : Activez le SSO pour tous les utilisateurs
Configurer le provisionnement SCIM pour les utilisateurs
- Étape 1 : Générez un jeton d'API SCIM dans Arrow
- Étape 2 : Configurer le jeton d'API SCIM dans Azure
- Étape 3 : Commencer l'approvisionnement
Configurer l'approvisionnement SAML de groupe
- Étape 1 : Configurer le provisionnement de groupe avec SAML dans Azure
- Étape 2 : Configurer l'approvisionnement de groupe avec SAML dans Arrow
Configurer le SSO
Étape 1 : Enregistrer une nouvelle application dans Azure
- Ouvrez Azure Portal et connectez-vous à l'aide de vos informations d'administrateur.
- Dans la section Services Azure, recherchez et sélectionnez Applications d'entreprise. Si les applications d'entreprise ne sont pas répertoriées, vous pouvez utiliser la recherche.
- Sélectionnez + Nouvelle application en haut de la page.
- Sélectionnez Créer votre propre application et donnez-lui un nom pertinent, comme « Arrow SSO ». Sélectionnez ensuite l'option : Intégrez toute autre application que vous ne trouvez pas dans la galerie.
- Sélectionnez Créer.
Étape 2 : Configurer Azure pour le SSO SAML
- Dans la nouvelle application créée à l'étape 1, sélectionnez Authentification unique dans le menu de gauche, puis sélectionnez SAML.
- Sélectionnez Modifier la configuration SAML de base.
- Saisissez ces deux éléments, puis enregistrez :
- Identifiant (identifiant de l'entité) : dashlane-nitro-sso
- URL de réponse (URL du service aux consommateurs d'assertion) : https://sso.nitro.dashlane.com/saml/callback
Étape 3 : Téléchargez les métadonnées Azure
- Téléchargez le fichier XML des métadonnées de la fédération dans la section des certificats SAML.
- Ouvrez le code XML des métadonnées de la fédération dans le Bloc-notes ou dans un éditeur de texte brut et copiez l'intégralité du fichier XML dans votre presse-papiers. N'ouvrez pas le XML dans Safari, car cela pourrait altérer le format du XML lors de la copie.
Étape 4 : Configurer Arrow avec les métadonnées Azure
- Connectez-vous à la console d'administration
- Dans la section Intégrations du menu de gauche, sélectionnez Authentification unique. Si vous avez déjà commencé la configuration, sélectionnez Modifier. Sinon, sélectionnez Configurer un SSO confidentiel.
- Passez à l'étape 2 : enregistrez les métadonnées de votre IdP et collez celles que vous avez copiées précédemment.
- Sélectionnez Enregistrer.
Étape 5 : Vérifiez votre domaine auprès de DNS Provider
- À l'étape 3 : Vérifiez vos domaines dans l'Admin Console, saisissez le domaine e-mail de votre entreprise et sélectionnez Vérifier le domaine. Notez les boutons de copie que vous utiliserez pour copier le nom d'hôte et les valeurs TXT sur votre fournisseur DNS public.
- Dans un nouvel onglet de navigateur, accédez à votre fournisseur DNS public et ajoutez un enregistrement TXT. Les étapes exactes varient en fonction de votre fournisseur.
- Collez le nom d'hôte et la valeur TXT de la console d'administration Arrow dans le nouvel enregistrement TXT, puis sélectionnez Enregistrer.
- Après avoir saisi l'enregistrement, attendez quelques minutes, puis dans la console d'administration Arrow, sélectionnez Vérifier le domaine.
Les modifications du DNS public peuvent prendre jusqu'à 24 heures, mais la plupart des nouveaux enregistrements prennent 5 minutes ou moins. Si cela ne fonctionne pas la première fois, attendez quelques minutes et sélectionnez à nouveau Vérifier le domaine.
Une fois le domaine vérifié, une coche verte apparaît. Répétez les étapes pour tous les domaines supplémentaires de votre client SSO que vous souhaitez activer pour le SSO. Nous ne sommes pas favorables à l'association de plusieurs fournisseurs de SSO à un seul forfait Arrow.
(Facultatif) Approvisionnement juste à temps
Vous pouvez activer Just In Time Provisioning pour ajouter automatiquement n'importe quel employé possédant vos domaines vérifiés lors de sa première tentative de connexion.
Avant d'activer le provisionnement juste à temps, assurez-vous que les membres de votre plan ont déjà été ajoutés à l'application Arrow SAML de votre IdP.
Une fois que vous l'avez activée, ils peuvent installer l'extension Arrow Smart et créer leur compte.
S'il n'y a plus de places dans votre forfait, les membres ne pourront pas se connecter tant que vous n'aurez pas acheté de places supplémentaires.
Si vous utilisez Just in Time Provisioning en même temps qu'une autre méthode de provisionnement automatique telle que SCIM ou AD Sync, assurez-vous d'ajouter tous les membres de votre plan à vos groupes synchronisés. Sinon, les membres du plan qui ne sont pas ajoutés aux groupes synchronisés seront supprimés lors de la prochaine synchronisation de l'annuaire.
En savoir plus sur Just in Time Provisioning
Étape 6 : Attribuer des utilisateurs et des groupes dans Azure
- Ouvrez Azure Portal et connectez-vous à l'aide de vos informations d'administrateur.
- Accédez à votre application Arrow Enterprise et sélectionnez Utilisateurs et groupes.
- Pour attribuer des utilisateurs à votre application Arrow SAML, sélectionnez +Ajouter un utilisateur/un groupe.
Étape 7 : Testez votre configuration SSO
- Retournez à la console d'administration Arrow et testez la connexion.
- Un message de réussite s'affiche si le SSO a été configuré comme prévu.
Si vous voyez un message d'erreur, vous pouvez ouvrir un ticket via notre chatbot d'assistance.
Contactez un agent via le
chat de la console d'administration avec notre bot
Étape 8 : Activez le SSO pour tous les utilisateurs
- Une fois les tests réussis, activez le SSO dans Arrow Étape 4 : Activer le SSO pour les domaines vérifiés.
- Informer les utilisateurs de la nouvelle méthode de connexion SSO. Les utilisateurs dont le compte a été créé avec un mot de passe principal doivent se connecter une dernière fois avec ce mot de passe principal avant d'activer le SSO. Pour savoir comment fonctionne le processus pour les utilisateurs, consultez cet article :
- Assurez-vous que les utilisateurs peuvent se connecter à l'aide de leurs informations d'identification Microsoft.
Configurer le provisionnement SCIM pour les utilisateurs
Étape 1 : Générez un jeton d'API SCIM dans Arrow
- Connectez-vous à la console d'administration
- Dans la section Intégrations, sélectionnez Approvisionnement puis Approvisionnement confidentiel.
- Sélectionnez Configurer ou Modifier si vous avez déjà commencé la configuration.
Si cette option est grisée et n'est pas disponible, soit vous devez d'abord configurer le SSO confidentiel, soit vous avez déjà configuré le SSO auto-hébergé, le SCIM ou Active Directory.
- À l'étape 1 : Générer un jeton d'API SCIM, sélectionnez Générer un jeton.
- Copiez le jeton de l'API SCIM à l'étape 2 : Copier le jeton.
- Activez le bouton pour l'étape 3 : activer le provisionnement automatique des utilisateurs.
Étape 2 : Configurer le jeton d'API SCIM dans Azure
- Dans la section Azure Serviced, recherchez et sélectionnez Applications d'entreprise. Si les applications d'entreprise ne sont pas répertoriées, vous pouvez utiliser la recherche.
- Trouvez et ouvrez l'application Arrow.
- Dans le menu de gauche, sélectionnez Provisioning, puis Commencer.
- Réglez le mode d'approvisionnement sur Automatique.
- Collez le jeton d'API SCIM sous le jeton secret.
- Copiez la valeur du point de terminaison depuis l'Admin Console et collez-la sous l'URL de Tenent.
- Testez la connexion pour vous assurer qu'elle fonctionne et sélectionnez Enregistrer.
- Dans Attribute Mappings, passez en revue les paramètres par défaut.
- Pour approvisionner les groupes Azure Active Directory, définissez Non pour Activé et enregistrez.
Étape 3 : Commencer l'approvisionnement
- Sélectionnez Provisioning dans le menu de gauche.
- Commencez à approvisionner.
Configurer le provisionnement SAML de groupe
Étape 1 : Configurer le provisionnement de groupe avec SAML dans Azure
- Ouvrez l'application Arrow Enterprise sur Azure et sélectionnez Authentification unique.
- Sélectionnez Modifier pour Attributs et réclamations.
- Sélectionnez + Ajouter une réclamation collective.
- Sélectionnez les groupes affectés à l'application.
- Dans la liste déroulante de l'attribut Source, sélectionnez SamaAccountName.
- Cochez la case : Émettre un nom de groupe pour les groupes réservés au cloud.
- Développez les options avancées et sélectionnez Personnaliser le nom de la réclamation collective.
-
Dans le champ Nom, ajoutez « DashlaneSharingGroups » et sélectionnez Enregistrer.
Remarque : en raison d'une limitation d'Azure, aucun groupe ne sera créé si plus de 150 groupes sont attribués à l'application Arrow SAML. Azure n'enverra pas de noms de groupes dans la réponse SAML mais fournit un lien, ce qui entraîne l'échec du processus de provisionnement sans préavis. Pour en savoir plus, consultez la documentation de Microsoft : Configurez les réclamations groupées pour les applications à l'aide de Microsoft Entra ID
Étape 2 : Configurer l'approvisionnement de groupe avec SAML dans Arrow
- Connectez-vous à la console d'administration Arrow
- Accédez à Intégration, sélectionnez Paramètres d'approvisionnement dans la section Intégrations, puis sélectionnez Approvisionnement confidentiel.
- Sélectionnez Configurer ou Modifier si vous avez déjà commencé la configuration.
- Accédez à la section Approvisionnement des groupes vers le bas.
- Activez le provisionnement des groupes à l'étape 2 : activez la synchronisation des groupes.
- Les membres de votre plan devront peut-être se connecter à Arrow pour voir si les modifications seront répercutées sur la console d'administration.
- En tant qu'administratrice du forfait, vous ne serez pas ajoutée aux groupes. vous continuerez à utiliser votre mot de passe principal pour vous connecter.
- Pour voir les modifications apportées à l'onglet Groupes de la console d'administration Arrow, connectez-vous de force à la console d'administration si vous ne voyez pas les groupes.
- Les membres de votre plan peuvent accepter des invitations de groupe via l'e-mail d'invitation ou en sélectionnant l'icône des notifications, représentée par une cloche, dans l'application Arrow.
Résoudre les problèmes d'Arrow avec Azure
(SSO) Renouveler un certificat de signature SAML pour l'application d'entreprise Arrow
- Dans un nouvel onglet de navigateur, ouvrez le portail Azure et recherchez ou sélectionnez Applications d'entreprise.
- Sélectionnez votre application Arrow dans la liste des applications.
- Sélectionnez Authentification unique dans le menu.
- Sélectionnez Modifier les certificats SAML, puis sélectionnez Nouveau certificat.
- Un nouveau certificat apparaît dans la liste avec le statut.
- Sélectionnez Enregistrer. Une notification apparaît indiquant que votre certificat a été mis à jour, et le statut du nouveau certificat passera à « Inactif ».
- Sélectionnez le menu à 3 points pour le nouveau certificat « inactif », sélectionnez Rendre le certificat actif, puis sélectionnez Oui pour confirmer.
- Sélectionnez le menu à 3 points pour le certificat « Inactif », sélectionnez Supprimer le certificat, puis sélectionnez Oui pour confirmer. Une notification apparaît indiquant que votre certificat a été supprimé.
- Retournez à la page d'authentification unique et fermez les fenêtres contextuelles. Accédez aux certificats SAML et sélectionnez Télécharger pour le XML des métadonnées de la fédération.
- Ouvrez le fichier téléchargé dans un éditeur de texte, sélectionnez tout le texte et copiez-le dans votre presse-papiers.
- Sélectionnez l'icône Flèche D dans la barre d'outils de votre navigateur et saisissez votre mot de passe principal administrateur si vous y êtes invitée. Dans la fenêtre contextuelle de l'extension, sélectionnez Plus, puis ouvrez la console d'administration.
- Dans la section Intégrations du menu latéral, sélectionnez Authentification unique, puis Modifier l'authentification unique confidentielle.
- Sélectionnez Modifier pour les paramètres SSO.
- Facultatif : copiez et enregistrez le texte dans la zone de texte Ajouter les métadonnées du fournisseur d'identité pour vos dossiers.
- Supprimez ensuite tout ce texte et collez le texte que vous avez copié tout à l'heure.
- Sélectionnez Enregistrer les modifications.
Si les métadonnées contiennent plusieurs certificats, la console d'administration Arrow affiche un message d'erreur. Si une erreur apparaît lors de l'enregistrement des nouvelles métadonnées, vérifiez que vous avez supprimé le certificat inactif à l'étape 8.
- Sélectionnez Tester la connexion SSO pour vérifier que la mise à jour a été effectuée avec succès.
- Demandez à un membre de l'équipe de tester le login.
Après avoir renouvelé votre certificat, testez la connexion en demandant à un membre du forfait de se connecter.
(SSO) Message d'erreur : AADSTS700016
L'application portant l'identifiant https://domain-sso.azurewebsites.net/saml n'a pas été trouvée dans le domaine de l'annuaire. Cela peut se produire si l'application doit encore être installée par l'administrateur du locataire ou, par conséquent, par n'importe quel utilisateur du locataire. Vous avez peut-être envoyé votre demande d'authentification au mauvais locataire.
- Ouvrez Azure Portal avec votre compte administrateur.
- Consultez l'application Arrow Enterprise pour vous assurer que l'identifiant de l'entité et l'URL ACS sont identiques à ceux de la console d'administration Arrow.
(SSO) Message d'erreur : AADSTS50105
Votre administrateur a configuré l'application Arrow (code de l'application) pour bloquer les utilisateurs à moins que l'accès à l'application ne leur soit spécifiquement accordé (« assigné »). L'utilisateur connecté est bloqué parce qu'il n'est pas membre direct d'un groupe dont l'accès n'a pas été attribué directement par un administrateur. Veuillez contacter votre administrateur pour lui attribuer l'accès à cette application.
Comment y remédier
- Connectez-vous à Azure Portal avec votre compte administrateur.
- Consultez les utilisateurs et les groupes de l'application Arrow Enterprise : ajoutez les utilisateurs auxquels vous souhaitez accéder à Arrow par SSO.
- Testez à nouveau la connexion.
- Si cela ne fonctionne toujours pas, testez la connexion SSO depuis un autre profil de navigateur afin qu'elle ne soit pas synchronisée avec votre compte administrateur afin d'exclure tout problème de profil de navigateur.
(SCIM) Message d'erreur : une réponse HTTP/404 introuvable a été renvoyée au lieu de la réponse HTTP/200 OK attendue
Vous semblez avoir saisi des informations d'identification non valides. Veuillez confirmer que vous utilisez les bonnes informations pour un compte administratif.
Comment y remédier
- Vérifiez que vous avez activé le bouton à bascule Activer le provisionnement automatique des utilisateurs dans Arrow Admin Console.
- Retournez à l'application Azure Arrow Enterprise et testez à nouveau la connexion.
Si vous sélectionnez « régénérer le jeton », vous devrez le mettre à jour dans Azure.
(SSO) Message d'erreur : nous n'avons pas pu vérifier votre connexion SSO
Erreur lors du test de connexion avec Arrow dans la console d'administration. Cette erreur peut également s'afficher lorsque vous essayez d'enregistrer les métadonnées.
Comment y remédier
- Vérifiez que vous ouvrez la console d'administration et que vous vous y connectez depuis l'extension Arrow Smart.
- Si le portail d'administration de votre IdP est ouvert, déconnectez-vous de votre compte administrateur sur Azure et fermez l'onglet du navigateur avant de tester à nouveau la connexion avec Arrow.
(SSO) Changement de nom d'utilisateur (UPN) dans Arrow
Pour que les membres de votre équipe puissent se connecter à leurs comptes, leur UPN (nom d'utilisateur principal) auprès de votre fournisseur d'identité doit correspondre à leur identifiant Arrow (les adresses e-mail que vous voyez dans la console d'administration). Vous ne devriez mettre à jour leur UPN avec la nouvelle adresse e-mail qu'une fois qu'ils auront exporté leurs données depuis le compte Arrow d'origine.
Comment y remédier
- Si l'UPN a déjà été remplacé par la nouvelle adresse e-mail, vous devrez le remplacer par l'ancienne adresse e-mail pour permettre aux membres concernés de se reconnecter à leurs anciens comptes.
- Désactivez les options Smart Spaces dans la console d'administration, afin que les membres de votre équipe puissent exporter les données depuis Business Space. Si votre équipe n'utilise pas Spaces, activez la politique d'autorisation des exportations
- Demandez aux membres de votre équipe d'exporter leurs données depuis les comptes existants, puis de se déconnecter d'Arrow : sélectionnez Mon compte, puis déconnectez-vous.
- Mettez à jour les profils utilisateurs de l'IdP avec les nouvelles adresses e-mail.
- Supprimez les anciens comptes de votre équipe Arrow.
- Invitez les nouveaux comptes à rejoindre l'équipe Arrow en utilisant les nouvelles adresses e-mail. Pour plus d'informations sur la gestion des membres de l'équipe dans le cadre de votre plan, vous pouvez consulter cet article :
- Demandez aux membres de votre équipe de créer leur nouveau compte en cliquant sur le lien figurant dans l'e-mail contenant l'invitation de l'équipe.
- Demandez aux membres de votre équipe d'importer le fichier de sauvegarde pour récupérer leurs données.
- Réactivez Smart Spaces ou désactivez la politique d'autorisation des exportations, selon les paramètres de votre équipe.
- Si vous avez activé le provisionnement SCIM, contactez le support d'Arrow pour la dernière étape.
(SSO) Message d'erreur : ValidationForResourceFailed. Cette région a un quota de 0 instances pour votre abonnement. Essayez de sélectionner une autre région ou un autre SKU.
Cette erreur, liée aux abonnements Microsoft, peut survenir lors du déploiement du service de cryptage avec un SSO auto-hébergé. Cela se produit lorsque les nouveaux locataires n'ont pas accès à l'application. Vérifiez qu'un quota d'applications suffisant est disponible.
Comment y remédier
- Faites une demande de quota d'applications auprès de Microsoft.
- Si le problème n'est toujours pas résolu, contactez le support Microsoft pour obtenir des précisions.
Contacter le support
Contactez notre équipe d'assistance si vous rencontrez le moindre problème ou si vous avez des questions à propos de cette procédure.
Contactez un agent via le
chat de la console d'administration avec notre bot
Commentaires
0 commentaire
Cet article n'accepte pas de commentaires.