Qu'est-ce qu'un prestataire de services ?

Dans le cadre de l'authentification unique (SSO), un fournisseur de services (SP) est le système qui s'appuie sur un fournisseur d'identité (IdP) pour authentifier un utilisateur, puis lui accorde l'accès sur la base de l'assertion émise par l'IdP. Versa Director, Concerto et SSE Gateways font chacun office de SP, identifiés par un identifiant d'entité SP unique et une URL de service de consommation d'assertions.

Points clés à retenir

• Le SP se fie à l'attestation fournie par un IdP au lieu de vérifier lui-même les identifiants.
• L'authentification unique (SSO) initiée par le SP commence sur la page de connexion ; celle initiée par l'IdP commence sur le site de l'IdP.
• Versa Director, Concerto et SSE Gateways sont chacun enregistrés en tant que fournisseur de services (SP) distinct.
• Un identifiant d'entité SP et une URL ACS permettent d'identifier de manière unique chaque intégration SP d'Versa .
• SAML et OpenID Connect utilisent tous deux un rôle SP, qui a été testé avec quatre IdP.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Prestataires de services et Versa · FAQ

Pourquoi est-il important de faire appel à un prestataire de services ?

L'authentification unique (Single Sign-On) a pour but d'éviter que chaque application ne gère son propre système de connexion. Sans un rôle de fournisseur d'identité (SP) clairement défini, chaque produit – Director, Concerto, un portail – devrait disposer de sa propre base de données de mots de passe, de son propre processus d'inscription à l'authentification multifactorielle et de sa propre procédure pour désactiver l'accès d'un collaborateur qui quitte l'entreprise. Le rôle de fournisseur d'identité (SP) résout ce problème en déléguant la décision d'authentification à un fournisseur d'identité de confiance unique ; ainsi, l'application n'a plus qu'à se fier à une assertion signée, sans avoir à gérer elle-même les identifiants.

Cette séparation constitue également un contrôle de sécurité. La centralisation de l’authentification au niveau de l’IdP signifie que l’application de l’authentification multifactorielle, la politique relative aux mots de passe et le cycle de vie des comptes sont gérés en un seul et même endroit, au lieu d’être reproduits – et potentiellement oubliés – sur chaque SP exploité par une organisation. Pour les administrateurs qui doivent jongler entre les connexions à Director, Concerto et au portail « Titan », le rôle de SP permet à un seul identifiant IdP d’accéder à l’ensemble de ces services dans le cadre d’une politique unique.

Qu'est-ce qu'un prestataire de services ?

D'un point de vue technique, le SP correspond à la partie de la procédure d'authentification SSO qui ne prend jamais connaissance du mot de passe. Dans le protocole SAML initié par le SP, ce dernier construit une requête d’authentification et redirige le navigateur vers l’IdP ; l’IdP authentifie l’utilisateur et renvoie une assertion signée à l’URL du service de consommation d’assertions (ACS) du SP ; le SP valide la signature et le destinataire, puis connecte l’utilisateur. Dans les flux initiés par l’IdP, la séquence commence à la place par l’IdP, qui envoie l’assertion directement au SP.

Deux identifiants permettent d'identifier un SP : l'identifiant d'entité du SP (également appelé « URI d'audience » ou « émetteur du SP »), qui désigne le SP au sein de l'assertion, et l'URL de l'ACS, qui indique à l'IdP où envoyer la réponse d'authentification.

Types de prestataires de services

VersaLa mise en œuvre du SSO de [nom] définit le rôle de fournisseur de services (SP) de deux manières, correspondant aux deux protocoles pris en charge. Un fournisseur de services SAML échange des assertions XML signées avec le fournisseur d’identité (IdP), identifié par un identifiant d’entité SP et une URL ACS, et peut exiger un contexte d’authentification spécifique : mot de passe, certificat ou authentification multifactorielle. Un fournisseur de services OpenID Connect – communément appelé « partie de confiance » (relying party) dans la terminologie OIDC, bien que les écrans d’ Versacontinuent de le désigner comme « fournisseur de services » – enregistre plutôt un identifiant client et un secret auprès de l’IdP, en échangeant un jeton signé via les points de terminaison « authorize », « token », « userinfo » et « revoke ».

Ces deux variantes remplissent la même fonction – faire confiance à l'IdP, valider sa réponse, connecter l'utilisateur – et ne diffèrent que par le protocole, le format des identifiants et les identifiants enregistrés par le SP.

Prestataires de services & Versa

Versa Director, Concerto et SSE Gateways assument tous le rôle de fournisseur d’accès (SP) ; leur compatibilité a été testée avec ADFS, Azure, Okta et Ping Identity. La convention de Versaenregistre l’ID d’entité du fournisseur d’accès (SP) sous la forme http://versa-networks.com/sp, les réponses SAML étant transmises à une URL ACS telle que https://<director-ip>/versa/sso/loginConsumer, ainsi que les réponses OpenID Connect à un processus parallèle /versa/sso/openid/loginConsumer point de terminaison. Voir Configurer l'authentification unique pour Concerto pour consulter le guide complet basé sur Okta.

L'authentification unique (SSO) peut être définie au niveau de chaque locataire : le mode de connecteur (None, « Default IdP Connector » ou « Single IdP Connector ») détermine si les utilisateurs du système et les utilisateurs des locataires s'authentifient via un fournisseur de services (SP) donné, et chaque organisation est associée à son propre connecteur IdP. La section « Gérer les utilisateurs » traite de la notion distincte de « fournisseur de services » (Service Provider) au sens de l'administrateur du fournisseur, qui détermine qui configure ces paramètres.

Questions fréquentes

Quelle est la différence entre l'authentification unique (SSO) initiée par le SP et celle initiée par l'IdP ?

Dans le cas d'une authentification unique (SSO) initiée par le fournisseur de services (SP), le processus commence sur la page de connexion du SP lui-même – en cliquant sur « Se connecter avec SSO » dans Concerto ou Director –, ce qui redirige vers le fournisseur d'identité (IdP). Dans le cas d'une authentification unique (SSO) initiée par l'IdP, l'utilisateur commence sur le tableau de bord de l'IdP et est redirigé directement vers le SP.

Qu'est-ce qu'un identifiant d'entité SP ?

L'identifiant d'entité SP est un URI unique permettant au fournisseur d'identité d'identifier le fournisseur de services lors d'une fédération SAML – Versa Director et Concerto s'enregistrent en tant que http://versa-networks.com/sp. L'IdP l'utilise, avec l'URL du service de traitement des assertions, pour acheminer et valider les réponses de connexion.

Quels fournisseurs d'identité sont compatibles avec le rôle de fournisseur de services d'Versa?

VersaLa mise en œuvre du SSO a été testée avec ADFS, Azure, Okta et Ping Identity en tant que fournisseurs d’identité, via SAML ou OpenID Connect. Tout fournisseur d’identité conforme aux normes et prenant en charge l’un de ces protocoles peut généralement s’intégrer à Versa Director, Concerto ou une passerelle SSE en tant que fournisseur de services (SP).

OpenID Connect utilise-t-il le même rôle de fournisseur de services que SAML ?

D'un point de vue conceptuel, oui – la documentation disponible à l'adresse Versadésigne ces deux rôles sous le terme de « fournisseur de services » (service provider), bien qu'OpenID Connect utilise plus couramment le terme « partie de confiance » (relying party). Au lieu d'un identifiant d'entité SP et d'une URL ACS, un SP OpenID Connect enregistre un identifiant de client, un secret et des URI de redirection auprès de l'IdP.

Le terme « Fournisseur de services » dans la gestion des utilisateurs de Concerto correspond-il au rôle de fournisseur de services SSO ?

Non. Concerto utilise également le terme « fournisseur de services » pour désigner le rôle d’administrateur chargé de gérer les locataires et l’infrastructure (administrateur du fournisseur de services, vue « fournisseur de services ») – un concept propre aux MSP (fournisseurs de services gérés) qui n’a aucun rapport avec SAML ou OpenID Connect, où le terme « fournisseur de services » désigne ici le système qui utilise l’assertion d’un fournisseur d’identité (IdP).

En savoir plus sur les prestataires de services

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux prestataires de services, voici quelques-uns qui méritent votre attention.