Modèle d’intégration SAML 2.0 BTB-Direct
(Modèle d’intégration standard)
BTB-Direct est le modèle d’intégration standard et s’utilise pour des exigences de sécurité ordinaires. Il est disponible pour des services à l’intérieur et à l’extérieur du réseau del l'administration fédérale.Intégration SAML 2.0
La figure ci-dessous illustre de manière simplifiée le déroulement et les composants impliqués lors de l’accès d’un utilisateur non encore authentifié à une application web. Les requêtes HTTP circulent directement entre le navigateur de l’utilisateur et l’application. eIAM est utilisé uniquement pour l’authentification de l’utilisateur et comme fournisseur d’identités, de rôles d’autorisation et d’attributs utilisateurs. Les étapes individuelles sont décrites dans le tableau ci-après.-
- Aperçu des messages Authentification pour une application hébergée en externe
- Légende
Ce symbole marque les requêtes et réponses qui devraient/doivent être signées (plus d’informations sous :
Autres exigences SAML 2.0)
| Nr. | Action | Description |
|---|---|---|
| 1 | Accès de l’utilisateur à l’application web externe | L’utilisateur accède à l’application externe via un navigateur web. L’application externe vérifie le droit d’accès et constate qu’une autorisation préalable est nécessaire. |
| 2 | AuthnRequest de l’application au eIAM Trustbroker (eIAM BTB) | L’application externe émet un AuthnRequest SAML 2.0 signé à l’intention du eIAM Trustbroker et l’envoie, sous forme de formulaire auto-soumis, directement au navigateur de l’utilisateur. Le navigateur de l’utilisateur envoie automatiquement le formulaire au eIAM Trustbroker par POST du navigateur via JavaScript. |
| 3 | Home Realm Discovery (HRD) / Contexte de connexion | Le eIAM Trustbroker effectue un « Home Realm Discovery » et affiche les IdP conformément au contexte de connexion commandé (contexte eGOV ou Federal, plus IdP de secteur). |
| 4 | Redirection (SAML AuthnRequest) du eIAM BTB vers l’IdP sélectionné | Le eIAM Trustbroker émet un AuthnRequest SAML 2.0 signé à l’intention de l’IdP et l’envoie, sous forme de formulaire auto-soumis, au navigateur de l’utilisateur. Le navigateur de l’utilisateur envoie automatiquement le formulaire à l’IdP par POST du navigateur via JavaScript. |
| 5 | Authentification sur l’IdP | L’utilisateur est authentifié au moyen d’un moyen d’authentification pris en charge par l’IdP. Selon le moyen d’authentification, l’authentification s’effectue avec interaction utilisateur (p. ex. AccessApp, mot de passe) ou sans interaction utilisateur (p. ex. Kerberos Active Directory, session existante sur l’IdP). |
| 6 | SAML) Response de l’IdP au eIAM Trustbroker | L’IdP émet, à l’intention du eIAM Trustbroker, une Response SAML 2.0. La réponse contient une assertion SAML signée (le message SAML complet est également signé) avec des déclarations (claims) concernant le sujet et ses attributs. La SAML Response est envoyée au navigateur de l’utilisateur sous forme de formulaire auto-soumis. |
| 7 | Requête d’attributs dans eIAM AM | Le eIAM Trustbroker vérifie la validité de l’assertion SAML de l’IdP. En plus des attributs fournis par l’IdP, le eIAM Trustbroker récupère dans eIAM IDM des informations supplémentaires relatives à l’identité, mises à disposition sous forme d’attributs. En cas d’utilisation d’eIAM Access Management, le Trustbroker détermine, dans eIAM Access Management (composant d’eIAM), les attributs de l’utilisateur nécessaires à l’exécution. L’utilisateur est recherché via sa référence d’identité pointant vers l’IdP afin d’identifier le compte eIAM de l’utilisateur. Ensuite, l’utilisateur est recherché via sa référence d’identité dans un client d’accès spécifique ou dans tous les Access Clients. |
| 8 | Agrégation des attributs | Le eIAM Trustbroker agrège les attributs de l’IdP avec ceux issus de la requête dans le Client racine eIAM (et dans l’Access Client eIAM en cas d’utilisation d’eIAM AM). |
| 9 | SAML Response du eIAM BTB à l’application externe | Le eIAM Trustbroker émet une Response SAML 2.0 avec assertion signée (le message SAML complet est également signé) à l’intention de l’application externe et l’envoie, sous forme de formulaire auto-soumis, au navigateur de l’utilisateur. Le navigateur de l’utilisateur envoie automatiquement le formulaire à l’application externe par POST du navigateur via JavaScript. |
| 10 | Authentification et autorisation sur l’application externe | L’application externe vérifie la validité de l’assertion SAML du eIAM Trustbroker, autorise l’utilisateur à accéder à la ressource (notamment sur la base des informations du jeton SAML) et, en cas de succès, crée une session avec l’utilisateur, suivie par cookie. Le navigateur de l’utilisateur est redirigé vers une URL prédéfinie de l’application externe ou vers l’URL initialement demandée par l’utilisateur (dans la requête 1), visible dans le Relay State. |