Configurer l’authentification d’AD/LDAP Connector avec Kerberos

​

Configurer Active Directory

1. Accédez à Auth0 Dashboard > Authentification > Enterprise > Active Directory/LDAP, puis sélectionnez la connexion que vous souhaitez configurer.
2. Activez le commutateur Use Windows Integrated Auth (Kerberos).

​

Plage automatiquement détectée pour Kerberos

1. Configurez les plages d’adresses IP. Utilisez la notation CIDR. Il doit s’agir de plages visibles par Auth0. Lorsque Auth0 s’exécute dans le cloud, il ne peut pas voir l’adresse IP interne de votre utilisateur. Dans ce cas, vous devez configurer la ou les adresses IP publiques/WAN de votre entreprise.
2. Nous vous recommandons de redémarrer le service Windows qui héberge AD Connector chaque fois que ce paramètre est modifié. Ainsi, les changements prendront effet immédiatement.

​

Flux d’authentification

​

Connexion automatique avec Lock

<script src="https://cdn.auth0.com/js/lock/11.x.x/lock.min.js"></script>
<script src="https://cdn.auth0.com/js/auth0/9.x/auth0.min.js"></script>
<script src="https://cdn.auth0.com/js/polyfills/1.0/object-assign.min.js"></script>

<script>
  var config = JSON.parse(decodeURIComponent(escape(window.atob('@@config@@'))));

  var lock = new Auth0Lock(config.clientID, config.auth0Domain, {
      //...configuration supplémentaire
  });

  function handleError(err) {
    // ajouter une gestion des erreurs appropriée
    console.log(err);
  };

  var params = Object.assign({
      scope: config.internalOptions.scope,
      _csrf: config.internalOptions._csrf,
      state: config.internalOptions.state,
    },
    {
      /* configuration supplémentaire requise pour l'utilisation de domaines personnalisés 
      overrides: {
        __tenant: config.auth0Tenant,
        __token_issuer: '{yourCustomDomain}'
      }, */
      domain: config.auth0Domain,
      clientID: config.clientID,
      redirectUri: config.callbackURL,
      responseType: 'code'
    });

  var webAuth = new auth0.WebAuth(params);

  /*
   * Vérifier si Kerberos est possible ; si c'est le cas, tenter d'authentifier l'utilisateur.
   *
   * la réponse de getSSOData n'aura une connexion et une stratégie que si
   * l'adresse IP se trouve dans la plage Kerberos définie dans les paramètres de la connexion
   */
  webAuth.client.getSSOData(true, function(err, data) {
    if (err) handleError(err);

    if (data.connection && data.strategy === 'ad') {
      webAuth.authorize({connection: data.connection}, function(err) {
        if (err) handleError(err);
      });
    } else {
      lock.show();
    }
  });
</script>

​

Contourner Kerberos à l’exécution

function useKerberos() {
      // renvoyer true pour utiliser Kerberos, false pour contourner
    };
    
    lock.show({rememberLastLogin: useKerberos()});

​

Activer la journalisation des requêtes Kerberos

1. Pour activer la journalisation détaillée des requêtes Kerberos, ajoutez la variable d’environnement système DEBUG=kerberos-server.
2. Redémarrez le Connector.
3. Connectez-vous de nouveau et consultez les journaux pour en savoir plus.

​

Prise en charge de Kerberos dans Firefox

1. Ouvrez un onglet Firefox et tapez about:config dans la barre d’adresse.
2. Supprimez tout message d’avertissement, puis tapez negotiate dans la zone de recherche.
3. Repérez l’élément network.negotiate-auth.trusted-uris et double-cliquez dessus pour en modifier la valeur.
4. Tapez le nom de domaine du serveur sur lequel le Connector est installé. Si vous avez plusieurs instances du Connector derrière un répartiteur de charge, ajoutez le nom DNS du répartiteur. La valeur accepte une liste de préfixes d’URL ou de domaines séparés par des virgules, sous la forme mydomain.com, https://myotherdomain.com.
5. Cliquez sur Ok. Vous n’avez pas besoin de redémarrer le serveur pour que les modifications prennent effet.

​

Prise en charge de HTTPS pour Kerberos

1. Configurez un proxy inverse et exposez l’AD/LDAP Connector sur un domaine HTTPS. Vous pouvez utiliser le paramètre SERVER_URL (Front Facing URL) pour publier l’emplacement public où l’AD/LDAP Connector écoutera les requêtes entrantes.
2. Mappez SERVER_URL dans le proxy inverse vers toutes les instances internes des connecteurs déployés.