Configurer l’authentification du Connector AD/LDAP avec des certificats clients

​

Activer les certificats client

1. Accédez à Auth0 Dashboard > Authentication > Enterprise > Active Directory/LDAP, puis sélectionnez la connexion à configurer.
2. Dans les paramètres, activez la bascule Utiliser l’authentification par certificat SSL client.
3. Saisissez les plages d’adresses IP dans le champ Plages d’adresses IP. Seuls les utilisateurs provenant de ces plages d’adresses IP seront invités à s’authentifier à l’aide de certificats client. Les utilisateurs provenant d’autres plages d’adresses IP seront invités à se connecter au moyen du formulaire de connexion avec nom d’utilisateur et mot de passe.

​

Configurer les certificats

• Un certificat SSL pour l’URL frontale, puisque l’interaction entre l’utilisateur final et le Connector devra se faire en HTTPS.
• Un ou plusieurs certificats d’AC.
• Un certificat client signé par l’AC pour chaque utilisateur qui doit s’authentifier à l’aide de certificats clients.

1. Avant de téléverser des certificats vers le Connector AD/LDAP, convertissez les certificats X.509 en Base64. Utilisez Base64 ou Certutil sur Windows Server. Pour en savoir plus, consultez Base64 Decode sur le site Base64decode ou Certutil.exe dans la documentation Microsoft.
2. Téléversez les certificats SSL et d’AC vers le Connector AD/LDAP :
   
3. Pour effectuer un test, générez une AC auto-signée et des certificats clients à l’aide de makecert.exe sur Windows, qui fait partie du SDK Windows :
   SET ClientCertificateName=jon
       SET RootCertificateName=FabrikamRootCA
       "C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\Bin\makecert.exe" -sky exchange -r -n "CN=%RootCertificateName%" -pe -a sha1 -len 2048 -ss My "%RootCertificateName%.cer"
       "C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\Bin\makecert.exe" -n "CN=%ClientCertificateName%" -pe -sky exchange -m 96 -ss My -in "%RootCertificateName%" -is my -a sha1
   
   Il est important que le sujet du certificat client soit au format CN=AD_USERNAME, par exemple CN=jon.

auth.signin({
       popup: true,
       connection: 'FabrikamAD',
       scope: 'openid name email'
     }, onLoginSuccess, onLoginFailed);