# Activer l'authentification unique (SSO) ## Pourquoi et quand exécuter cette tâche Vous pouvez activer le SSO pour accéder à Talend Administration Center depuis différents systèmes d'IdP (fournisseurs d'identité) ainsi que pour gérer les rôles et types de projets des utilisateurs et des utilisatrices de l'application via ces fournisseurs. Pour plus d'informations concernant la configuration des fournisseurs d'identité, consultez : * [AD FS 2.0](https://help.qlik.com/talend/en-US/sso-with-adfs20/8.0/ad-fs-2.0-overview) * [AD FS 3.0/4.0](https://help.qlik.com/talend/en-US/sso-with-adfs3040/8.0/ad-fs-3.0-4.0-overview) * [Azure Active Directory](https://help.qlik.com/talend/en-US/sso-with-azure/8.0/configuring-azure-ad) * [CA SiteMinder](https://help.qlik.com/talend/en-US/sso-with-siteminder/8.0/ca-siteminder-talend-administration-center-sso-configuration-overview) * [Keycloak](https://help.qlik.com/talend/en-US/sso-with-keycloak/8.0/creating-tac-app-on-keycloak) * [PingFederate](https://help.qlik.com/talend/en-US/sso-with-pingfederate/8.0/pingfederate-overview) (uniquement en anglais) (en anglais) * [Okta](https://help.qlik.com/talend/en-US/sso-with-okta/8.0/add-talend-administration-center-in-okta) ## Procédure 1. Dans la page Configuration, développez le nœud SSO. 2. Si le SSO n'a pas été précédemment activé, sélectionnez true dans le champ Use SSO Login. Note InformationsRemarque : If Personal Access Token is enabled, when SSO is enabled or disabled, all users' Personal Access Token will be reset. For more information, see [Setting up the Security Policy](https://help.qlik.com/talend/en-US/administration-center-user-guide/8.0/setting-up-security-policy). 3. Cliquez sur Launch Upload dans le champ IDP metadata et chargez le fichier de métadonnées de l'IdP (fournisseur d'identité) que vous avez téléchargé précédemment depuis le Fournisseur d'identité (IdP). Lorsque les métadonnées contiennent l'URL du service SSO et/ou l'URL du service de déconnexion simple, Talend Administration Center renseigne automatiquement tous les champs correspondants qui sont vides. Si un champ contient déjà une valeur, Talend Administration Center vous invite à confirmer avant de la remplacer. Cette fonctionnalité est disponible uniquement dans AD FS. Si vous avez déjà saisi des valeurs manuellement, examinez-les après l'importation des métadonnées. Talend Administration Center ne remplace pas les valeurs manuelles existantes en mode silencieux. 4. Dans le champ Service Provider Entity ID (ID de l'entité du fournisseur de service), saisissez l'ID de l'entité de votre fournisseur de service (disponible dans la configuration de l'IdP), par exemple, http://localhost:8080/org.talend.administrator/ssologin. 5. Dans la liste IDP Authentication Plugin (Plug-in d'authentification par IdP), sélectionnez le fournisseur d'identité parmi Okta, ADFS, ADFS3, ADFS4, PingFederate, SiteMinder, Custom plugin (Plug-in personnalisé) et Keycloak. Si Custom plugin est sélectionné, une boîte de dialogue Upload IDP Authentication Plugin s'affiche et vous invite à charger le fichier de métadonnées du fournisseur d'identité personnalisé. Si vous avez activé le jeton d'accès personnalisé, vous pouvez utiliser le jeton d'accès personnalisé et ignorer la configuration du plug-in d'authentification IDP. SI Keycloak est sélectionné, suivez l'étape 5 de ce [lien](https://help.qlik.com/talend/en-US/administration-center-user-guide/8.0/setting-up-security-policy) pour activer le jeton d'accès personnel. Les fichiers Jar fournis par Qlik se trouvent dans le répertoire <TomcatPath>/webapps/org.talend.administrator/idp/plugins. Note InformationsRemarque : If you are using Custom plugin for SSO, you need to modify the <TomcatPath>\conf\server.xml file by changing the value of autodeploy to false in the following code block. Otherwise the custom IDP plugin will be deleted on Tomcat restart. ``` ``` 6. Cliquez sur Identity Provider Configuration et renseignez les informations requises. ### Exemple Exemple de configuration PingFederate : ![](https://help.qlik.com/talend/fr-FR/administration-center-user-guide/Resources/images/sso_idp_config_pingfederate.png) ### Exemple Exemple de configuration Okta : ![](https://help.qlik.com/talend/fr-FR/administration-center-user-guide/Resources/images/sso_idp_config_okta.png) 7. Définissez le champ Use Role Mapping à true pour faire correspondre les types de projet et rôles utilisateur·trice des applications avec ceux définis dans le fournisseur d'identité. Une fois les rôles/types de projet définis côté Fournisseur d'identité, vous ne pourrez pas les modifier depuis Talend Administration Center. Exemples pour les types de projets : * DI = DI; DQ=DQ; NPA=NPA Exemples pour les rôles : * Rôles Talend Administration Center * Administrateur = tac\_admin * Gestionnaire d'opérations = tac\_om Note InformationsRemarque : Setting the Talend Administration Center roles is mandatory. * Rôles Talend Data Preparation * Administrateur = dp\_admin * Préparateur de données = dp\_dp * Rôles Talend Data Stewardship * Data Steward = tds\_ds Attributs Role Mappings (Mappings de rôles) : dans le cas d'une liste d'identifiants de sécurité, vous devez remplacer la valeur par défaut du nom de l'attribut SAML (tac.role) par tokenGroups. Si votre entreprise n'accepte pas les attributs personnalisés dans le jeton SAML : * Sélectionnez Show Advanced Configuration (Afficher la configuration avancée) dans l'assistant et, dans Path to Value (Chemin d'accès à la valeur), saisissez l'expression XPath de sorte à cibler la valeur SAML à mapper vers l'objet Talend Administration Center correspondant (Project Types (Types de projet), Roles (Rôles), Email (E-mail), First Name (Prénom), Last Name (Nom de famille)). Exemple : /saml2p:Response/saml2:Assertion/saml2:AttributeStatement/saml2:Attribute[@Name='tac.projectType']/saml2:AttributeValue/text() * Définissez Use Role Mapping (Utiliser le mapping des rôles) sur false. Dans ce cas, vous ne pouvez pas créer d'utilisateur.rices manuellement, mais le type d'utilisateur.rice et les rôles utilisateur.rice peuvent être modifiés dans Talend Administration Center. Lorsqu'un utilisateur ou une utilisatrice se connecte pour la première fois, son type est No Project access. Les types de rôles et projets configurés dans le fournisseur d'identité écrasent les rôles configurés dans Talend Administration Center lors de la connexion de l'utilisateur ou de l'utilisatrice. Le délai avant expiration par défaut de la connexion est de 120 secondes ; vous pouvez le modifier en ajoutant le paramètre sso.config.clientLoginTimeout avec le délai avant expiration souhaité dans le fichier <ApplicationPath>/WEB-INF/classes/configuration.properties. 8. Dans le champ Redirect URL on Logout (Rediriger l'URL si déconnexion), saisissez l'URL de la page du fournisseur d'identité à ouvrir après que les utilisateurs se déconnectent de Talend Administration Center. Si ce champ est vide, vous serez redirigé vers l'emplacement par défaut de Talend Administration Center lors de la déconnexion. Ce champ contrôle la page ouverte dans le navigateur après la déconnexion. Il est différent du champ Single Logout Service URL (URL du service de déconnexion simple), qui définit l'endpoint du fournisseur d'identité utilisé pour la déconnexion simple SAML. 9. Dans le champ Single Logout Service URL (URL du service de déconnexion simple), vérifiez l'endpoint de déconnexion importé des métadonnées du fournisseur d'identité ou saisissez-le manuellement, s'il n'est pas fourni. Si les métadonnées contiennent une valeur Response Location pour l'élément SingleLogoutService, Talend Administration Center utilisez-la. Sinon, Talend Administration Center utilise la valeur Location. Lorsque la déconnexion simple SAML est configurée, Talend Administration Center supporte la déconnexion initiée par l'IdP. Lorsqu'un.e utilisateur.trice se déconnecte du fournisseur d'identité, Talend Administration Center met fin à toutes les sessions actives de cet.te utilisateur.trice et renvoie une LogoutResponse SAML en utilisant la liaison déclarée dans les métadonnées du fournisseur d'identité.