Exigences

Pour activer l’authentification par signature unique (SSO) dans Jamf Pro, vous avez besoin des éléments suivants :

• D’une intégration à un fournisseur d’identité (IdP) prenant en charge les protocoles SAML 2.0

• Des comptes d’utilisateurs ou des groupes Jamf Pro correspondant aux noms d’utilisateurs ou aux groupes du fournisseur d’identité

• De privilèges d'administrateur pour Jamf Pro et votre fournisseur d'identité

Procédure

1. Connectez-vous à Jamf Pro.

2. Dans l’angle supérieur droit de la page, cliquez sur Réglages .

3. Cliquez sur Réglages système.

4. Cliquez sur Authentification par signature unique.

5. Cliquez sur Modifier .

6. Cochez la case Activer l’authentification par signature unique.

   Remarque : Copiez l’URL de connexion de basculement et enregistrez-la dans un emplacement sécurisé.

7. Choisissez votre fournisseur d’identité dans le menu contextuel Fournisseur d’identité. Si votre fournisseur d’identité n’est pas disponible dans le menu contextuel, choisissez « Autre ».

8. Le champ Identifiant de l’entité est prérempli par défaut (par ex., « https://instancename.jamfcloud.com/saml/metadata ») dans Jamf Pro.

   Remarque : En général, cette valeur correspond à la valeur URI Public dans les réglages de configuration de votre fournisseur d’identité.

9. Choisissez « URL de métadonnées » ou « Fichier de métadonnées » dans le menu contextuel Source des métadonnées du fournisseur d’identité. Cette valeur est obtenue à partir des réglages de configuration de votre fournisseur d’identité.

10. Saisissez une valeur en minutes dans le champ Expiration du jeton. Cette valeur, préremplie selon votre fournisseur d’identité, détermine le délai avant l’expiration du jeton SAML.

    Important : Assurez-vous que cette valeur corresponde aux réglages d’expiration du jeton configurés dans votre fournisseur d’identité.

11. Configurer les réglages du mappage des utilisateurs :

    1. Sélectionnez l’attribut du jeton SAML à mapper aux utilisateurs Jamf Pro. NameID est sélectionné par défaut. Si vous sélectionnez Attribut personnalisé, définissez un attribut personnalisé inclus dans le jeton SAML envoyé depuis votre fournisseur d’identité.

       Remarque : Pour terminer l’échange d’informations entre Jamf Pro et le fournisseur d’identité, le jeton SAML envoyé par le fournisseur d’identité doit contenir l’attribut NameID pour les deux options.

    2. Sélectionnez Nom d’utilisateur ou E-mail pour déterminer comment mapper les utilisateurs de votre fournisseur d’identité à ceux de Jamf Pro. P ar défaut, Jamf Pro obtient des informations sur l’utilisateur auprès du fournisseur d’identité et les compare aux comptes utilisateur Jamf Pro existants. Si le compte utilisateur entrant n'existe pas dans Jamf Pro, un mappage du nom de groupe a lieu.

    3. Saisissez l’attribut du jeton SAML qui définit les utilisateurs du fournisseur d’identité dans le champ Nom de l’attribut de groupe du fournisseur d’identité. Jamf Pro mappe chaque groupe de la base de données Jamf Pro et compare les noms de groupes. Les utilisateurs se verront accorder des privilèges d'accès à tous les groupes de la même manière qu'un utilisateur Jamf Pro local. Les chaînes AttributeValue peuvent se présenter sous la forme de plusieurs chaînes ou d’une seule chaîne de valeurs séparées par des points-virgules.
       

       Exemple: http://schemas.xmlsoap.org/claims/Group

    4. (Optionnel) Utilisez l’option Clé RDN pour le groupe LDAP pour extraire le nom du groupe des chaînes envoyées au format LDAP, Nom distinctif (DN). Jamf Pro recherchera dans la chaîne entrante un nom distinctif relatif (RDN) avec la clé spécifiée et utilisera la valeur de la clé RDN comme le véritable nom du groupe.

       Remarque : Si la chaîne du service d'annuaire LDAP contient plusieurs parties RDN avec la même clé (CN=Administrateurs, CN=Utilisateurs, O=VotreOrganisation), Jamf Pro extrait les noms de groupes de la clé RDN la plus à gauche (CN=Administrateurs). Si le champ Clé RDN pour le groupe LDAP est laissé vide, Jamf Pro utilisera toute la chaîne au format LDAP.

12. (Recommandé) Choisissez une option dans le menu Certificat de signature Jamf Pro pour sécuriser la communication SAML à l’aide d’une signature numérique. Si vous uploadez le certificat de signature Jamf Pro, uploadez un keystore du certificat de signature (.jks ou .p12) à l’aide d’une clé privée pour signer et chiffrer les jetons SAML, saisissez le mot de passe dans le fichier KeyStore, sélectionnez un alias de clé privée, puis saisissez le mot de passe pour cette clé.

13. Configurez une ou plusieurs des options de SSO suivantes pour Jamf Pro :

    • Sélectionnez Autoriser les utilisateurs à ignorer l’authentification par signature unique pour permettre aux utilisateurs de se connecter à Jamf Pro sans authentification SSO s’ils accèdent directement à l’URL de Jamf Pro. Lorsqu’un utilisateur tente d’accéder à Jamf Pro via votre fournisseur d’identité, cette opération déclenche toujours l’authentification et l’autorisation SSO.

    • Sélectionnez Activer l’authentification par signature unique pour Self Service pour macOS pour permettre aux utilisateurs de se connecter à Self Service via la page d’ouverture de session du fournisseur d’identité. Self Service peut accéder à tous les noms d’utilisateurs existants à partir du fournisseur d’identité.
      

      Remarques :

      • Si cette option est sélectionnée, les réglages de connexion de Self Service pour macOS changeront automatiquement les réglages de connexion de l’utilisateur de Self Service à utiliser pour l’authentification par signature unique.

      • La désactivation de l’authentification par signature unique pour Self Service définit automatiquement les réglages Connexion de l'utilisateur de Self Service sur « Autoriser les utilisateurs à se connecter pour voir les éléments disponibles en utilisant un compte LDAP ou un compte utilisateur Jamf Pro ».

    • Sélectionnez Activer l’authentification par signature unique pour l’enrôlement par l’utilisateur pour permettre aux utilisateurs d’enrôler leur appareil avec Jamf Pro via la page d’ouverture de session du fournisseur d’identité. Si cette option est activée, le nom d’utilisateur affiché sur la page d’ouverture de session du fournisseur d’identité sera le nom d’utilisateur saisi par Jamf Pro dans le champ Nom d’utilisateur de la catégorie Utilisateur et emplacement lors de la mise à jour de l’inventaire d’un ordinateur ou d’un appareil mobile. Vous pouvez autoriser l’accès à tous les utilisateurs du fournisseur d’identité ou limiter l’accès à un groupe restreint d’utilisateurs.

      Remarques :

      • Si LDAP est intégré à Jamf Pro, les informations sur l’utilisateur et l’emplacement seront entièrement remplies à l’aide d’une recherche de Jamf Pro à LDAP.

      • Si LDAP n'est pas intégré à Jamf Pro, le champ Nom d'utilisateur sera le seul élément rempli dans la catégorie Utilisateur et emplacement. La recherche d'utilisateur ne fonctionnera pas pendant l'enrôlement.

14. Cliquez sur Enregistrer .
    

15. (Optionnel) Téléchargez le fichier de métadonnées Jamf Pro.

Les utilisateurs seront désormais redirigés automatiquement vers la page d’ouverture de session du fournisseur d’identité de votre organisation pour accéder aux parties configurées de Jamf Pro.

Pour tester les réglages de l’authentification SSO, déconnectez-vous de Jamf Pro et de votre fournisseur d’identité, puis accédez à votre URL de Jamf Pro dans un navigateur web. Après l’authentification, la page d’ouverture de session de votre fournisseur d’identité doit s’afficher et vous rediriger vers le tableau de bord Jamf Pro.

Pour résoudre les erreurs courantes que les utilisateurs peuvent rencontrer lors de l’utilisation de l’authentification SSO, consultez l’article de la Base de connaissances Troubleshooting Single Sign-On in Jamf Pro (Dépannage de l’authentification par signature unique dans Jamf Pro).