Qu'est-ce que le SAML ?

Le langage SAML (Security Assertion Markup Language) est une norme ouverte, basée sur XML, permettant l'échange de données d'authentification et d'autorisation entre un fournisseur d'identité et un fournisseur de services. Il permet à un utilisateur de s'authentifier une seule fois, puis d'accéder à plusieurs applications sans avoir à saisir à nouveau ses identifiants – c'est le mécanisme qui sous-tend la plupart des systèmes d'authentification unique (SSO) d'entreprise basés sur le Web.

Points clés à retenir

• Le protocole SAML permet l'échange d'assertions XML signées entre un fournisseur d'identité et des fournisseurs de services.
• Il permet l'authentification unique : une seule authentification suffit pour accéder à de nombreuses applications.
• Okta, Microsoft Entra ID, ADFS et OneLogin sont des fournisseurs d'identité courants.
• Une passerelle SSE « Versa » fait office de fournisseur de services, identifié par un identifiant d'entité SP.
• Le protocole SAML peut être associé à des certificats de périphérique ou d'utilisateur pour renforcer la sécurité.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SAML et Versa · FAQ

Pourquoi le protocole SAML est-il important ?

Avant l'apparition des normes d'identité fédérée, chaque application disposait de son propre répertoire de mots de passe, ce qui obligeait les utilisateurs à s'authentifier séparément sur chacune d'entre elles. Le protocole SAML a résolu ce problème en permettant à un fournisseur d'identité de confiance de garantir l'identité d'un utilisateur auprès d'un nombre illimité de fournisseurs de services. Ainsi, une seule connexion suffit pour accéder à Salesforce, Microsoft 365, Slack ou une passerelle d'application privée sans avoir à saisir de nouveau ses identifiants.

Ce point unique d’authentification constitue également un point unique de contrôle. La désactivation d’un utilisateur au niveau du fournisseur d’identité – lorsqu’une personne quitte l’entreprise ou qu’un identifiant est compromis – révoque son accès partout simultanément, évitant ainsi à l’administrateur de devoir intervenir sur chaque application. SAML étant un protocole ouvert et indépendant des fournisseurs, les entreprises peuvent choisir leurs fournisseurs d’identité (IdP) et leurs fournisseurs de services (SP) de manière indépendante, tout en ayant l’assurance qu’ils sont interopérables – c’est pourquoi SAML reste la norme par défaut pour l’authentification unique (SSO) sur le Web en entreprise.

Qu'est-ce que le SAML ?

Un échange SAML implique deux rôles. Le fournisseur d’identité (IdP) – Okta, Microsoft Entra ID, ADFS ou Ping Identity – authentifie l’utilisateur, généralement à l’aide d’un mot de passe et d’une étape d’authentification multifactorielle, et détient l’enregistrement faisant autorité concernant son identité. Le fournisseur de services (SP) est l’application ou la passerelle à laquelle l’utilisateur souhaite accéder ; il se fie aux assertions émises par l’IdP plutôt que d’authentifier lui-même l’utilisateur.

Lorsqu'un utilisateur tente d'accéder à une ressource protégée, le fournisseur de services (SP) le redirige vers le fournisseur d'identité (IdP). Après avoir authentifié l'utilisateur, l'IdP renvoie une assertion SAML: un document XML signé indiquant l'identité de l'utilisateur (le NameID) et des attributs tels que son adresse e-mail, son rôle ou son appartenance à un groupe. Le SP valide la signature et, si celle-ci est valide, établit une session et applique la politique d'accès correspondante.

Types de SAML

Il existe deux modèles d'initiation. Le SSO initié par le fournisseur de services (SP) commence lorsque l'utilisateur tente d'accéder au fournisseur de services ; celui-ci le redirige vers le fournisseur d'identité (IdP), qui l'authentifie et renvoie l'assertion. Le SSO initié par l'IdP démarre depuis le portail d'applications du fournisseur d'identité : l'utilisateur sélectionne l'application, et l'assertion est transmise au SP sans redirection initiale.

L'échange repose également sur quelques éléments fixes : l'identifiant de l'entité SP (un URI identifiant le fournisseur de services), l'URL du service de consommation d'assertions (ACS) (où l'IdP publie l'assertion) et les déclarations d'attributs (revendications de rôle, d'organisation et de groupe utilisées pour l'autorisation). Les déclarations d'attributs de groupe permettent à un SP d'importer l'appartenance à un groupe depuis l'IdP, de sorte que les politiques ciblent les groupes de l'IdP plutôt qu'une liste d'utilisateurs distincte.

SAML & Versa

Une passerelle SSE d’ Versa fait office de fournisseur de services SAML. Les administrateurs créent un profil d’authentification SAML sous « Configurer > Security Service Edge > Authentification des utilisateurs et des appareils > Profils », en sélectionnant un préréglage pour le fournisseur d’identité – Okta, Microsoft Entra ID ou un fournisseur d’identité SAML générique – et en fournissant l’URL d’authentification unique, les identifiants d’entité du fournisseur de services (SP) et du fournisseur d’identité (IdP), ainsi que le certificat de signature de l’IdP, valeurs affichées par le portail de l’IdP lors de la configuration, comme indiqué dans la section « Configuration des profils d’authentification sur la passerelle SSE ». Le profil peut être limité à des utilisateurs individuels ou à des groupes de l’IdP, ce qui permet à une règle d’accès sécurisé d’appliquer une politique – telle que la protection Internet ou la protection des applications privées – en fonction de l’appartenance à un groupe dans l’assertion.

Une fois publiée et appliquée à une règle « Secure Access Client », la passerelle redirige les connexions vers l’IdP configuré, valide l’assertion renvoyée et établit la session en cas de réussite. Les événements sont consignés dans Concerto sous Affichage > Tableau de bord > Secure Access > Journaux > Authentification > Événements. Il est possible de combiner le protocole SAML avec l’authentification par certificat pour une vérification de type « Zero Trust », conformément au guide de configuration étape par étape.

Questions fréquentes

Quelle est la différence entre l'authentification SAML et l'authentification LDAP ?

Avec LDAP, la passerelle « Versa » interroge directement un serveur d'annuaire pour obtenir les identifiants et les attributs de groupe. SAML, quant à lui, redirige l'utilisateur vers un fournisseur d'identité externe, qui l'authentifie et renvoie une assertion signée.

Qu'est-ce qu'une assertion SAML ?

Document XML signé émis par le fournisseur d'identité après l'authentification d'un utilisateur. Il indique l'identité de l'utilisateur (NameID) et peut contenir des attributs, tels que le rôle ou l'appartenance à un groupe, que le fournisseur de services utilise pour définir sa politique d'accès.

Le protocole SAML peut-il être associé à une authentification par certificat ?

Oui. Une passerelle SSE d'Versa peut exiger la validation d'un certificat de périphérique ou d'utilisateur avant ou parallèlement à la connexion SAML, afin que le point de terminaison et l'identité de l'utilisateur soient tous deux vérifiés – une pratique courante dans les environnements réglementés et « Zero Trust ».

Quelle est la différence entre l'authentification unique (SSO) initiée par le SP et celle initiée par l'IdP ?

L'authentification unique (SSO) initiée par le fournisseur de services (SP) commence lorsqu'un utilisateur tente d'accéder au fournisseur de services, qui le redirige vers une page d'authentification. L'authentification unique (SSO) initiée par le fournisseur d'identité (IdP) commence sur le portail d'applications du fournisseur d'identité, où l'utilisateur sélectionne l'application et où l'assertion est transmise directement au SP.

Quels fournisseurs d'identité sont compatibles avec l'implémentation SAML d'Versa?

Versa Les passerelles SSE prennent en charge Okta, Microsoft Entra ID et d'autres fournisseurs d'identité conformes à la norme SAML 2.0, grâce à des préréglages dédiés ou à un profil générique acceptant l'ID d'entité, l'URL SSO et le certificat de n'importe quel fournisseur d'identité (IdP).

En savoir plus sur SAML

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole SAML, voici quelques liens qui pourraient vous intéresser.