Configurer Salesforce comme fournisseur d’identité SAML

Décrit comment configurer Salesforce comme fournisseur d’identité SAML avec Auth0.

Configurez Salesforce comme SAML fournisseur d’identité en suivant les étapes suivantes :

1. Obtenez le certificat et les métadonnées de Salesforce.
2. Configurez Auth0 comme fournisseur de services.
3. Configurez le fournisseur d’identité Salesforce (IdP).
4. Accordez des privilèges aux utilisateurs dans Salesforce.
5. Testez la connexion au fournisseur d’identité Salesforce.

​

Prérequis

Créez un compte Salesforce.com. Vous devez choisir l’un des types de compte qui comprennent la prise en charge d’un fournisseur d’identité.

​

Obtenir le certificat et les métadonnées Salesforce

1. Connectez-vous à votre compte Salesforce.
2. Créez votre domaine Salesforce.
3. Connectez-vous à votre domaine Salesforce https://{yourDomain}.my.salesforce.com, puis cliquez sur Setup en haut à droite.
4. Dans la zone Quick Find, entrez Single Sign-On Settings, puis sélectionnez Single Sign-On Settings, puis cliquez sur Edit.
5. Pour afficher les paramètres SAML SSO, sélectionnez SAML Enabled
6. Sélectionnez le certificat par défaut, puis cliquez sur Save.
7. Cliquez sur Download Certificate pour télécharger le certificat du fournisseur d’identité.
8. Cliquez sur Download Metadata pour télécharger les métadonnées du fournisseur d’identité.

​

Configurer Auth0 comme fournisseur de services

Configurez Auth0 comme fournisseur de services pour communiquer avec le fournisseur d’identité Salesforce pour le SSO.

1. Accédez à Dashboard > Authentication > Enterprise, puis cliquez sur SAML.
2. Cliquez sur Créer une connexion.
3. Dans la fenêtre de configuration, saisissez les renseignements suivants :

Paramètre	Description
Nom de la connexion	Donnez un nom à votre connexion. Par exemple, SFIDP.
Domaines de courriel	Saisissez le nom de domaine de courriel à partir duquel vos utilisateurs se connecteront. Par exemple, si vos utilisateurs ont le domaine de courriel abc-example.com, saisissez-le dans ce champ. Vous pouvez saisir plusieurs domaines.
Sign In URL	Ouvrez le fichier de métadonnées téléchargé depuis Salesforce et repérez la ligne qui contient la liaison SingleSignOnService. La valeur de l’attribut location sur cette ligne correspond à votre Sign In URL. Elle ressemblera à ceci : https://{sf-account-name}.my.salesforce.com/idp/endpoint/HttpRedirect, où {sf-account-name} correspond à votre nom de domaine Salesforce.
Sign Out URL	Entrez la même URL que celle indiquée pour Sign In URL.

4. Pour le certificat, convertissez le certificat téléchargé depuis Salesforce au format .pem à l’aide de la commande suivante : openssl x509 -in original.crt -out sfcert.pem -outform PEMoù original.crt est le nom du fichier .crt téléchargé.

   1. Cliquez sur TÉLÉVERSER LE CERTIFICAT et sélectionnez le fichier .pem que vous venez de créer. (sfcert.pem dans l’exemple ci-dessus). Vous pouvez ignorer le reste des champs pour le moment.
   2. Cliquez sur ENREGISTRER.
   3. Cliquez sur CONTINUER. Dans la fenêtre qui s’affiche, les métadonnées SAML du fournisseur de services Auth0 seront affichées. Gardez cette fenêtre ouverte, car vous devrez saisir une partie de ces renseignements dans Salesforce pour terminer la configuration.

Vous pouvez accéder aux métadonnées d’une connexion SAML Auth0 avec la syntaxe d’URL suivante : https://{yourDomain}/samlp/metadata?connection={yourConnectionName}.

​

Configurer Salesforce comme fournisseur d’identité

Configurez Salesforce avec les métadonnées d’Auth0 afin qu’il puisse recevoir et répondre aux requêtes d’authentification SAML d’Auth0.

1. Ouvrez salesforce.com.
2. Accédez à Setup > Manage Apps. Cliquez sur Connected Apps.
3. Créez une nouvelle Connected App et remplissez les champs suivants :

Paramètre	Description
Entity ID	urn:auth0:YOUR_TENANT:YOUR_CONNECTION_NAME
ACS URL	https://{yourDomain}/login/callback
Subject Type	Persistent ID
Name ID Format	Choisissez celui qui contient emailAddress
Issuer	https://{your-saleforce-domain}.my.salesforce.com

4. Cliquez sur Save pour terminer la configuration.

​

Accorder des privilèges aux utilisateurs dans Salesforce

1. Ouvrez salesforce.com et cliquez sur Setup.
2. Sous Manage Users, cliquez sur Profiles.
3. Faites défiler la page jusqu’au profil Standard User (à la page 2).
4. Cliquez sur Edit pour modifier le profil.
5. Faites défiler la page jusqu’à la section Connected App Access.
6. Cochez la case à côté du nom de votre Connected App pour l’activer pour ce profil.
7. Cliquez sur Save.
8. Sous Manage Users, cliquez sur Users.
9. Cliquez sur Edit pour modifier votre utilisateur de test et attribuez-lui le profil Standard User. Pour utiliser un autre profil Salesforce, activez la Connected App pour ce profil et assurez-vous que tous les utilisateurs qui ouvrent une session par l’entremise du fournisseur d’identité Salesforce ont ce profil.

​

Tester la connexion à Salesforce

1. Accédez à la section Authentication > Enterprise de l’Auth0 Dashboard. Sélectionnez SAMLP Identity Provider.

2. Cliquez sur le bouton Try pour la connexion SAML que vous avez créée plus tôt. Vous devriez être redirigé d’Auth0 vers la page de connexion Salesforce.

3. Une fois sur l’écran de connexion Salesforce, connectez-vous avec les informations d’identification que vous avez fournies lorsque vous avez créé le compte Salesforce.

   1. Si la configuration SAML fonctionne, votre navigateur sera redirigé vers une page Auth0 indiquant « It works!!! ». Cette page affichera le contenu de l’assertion d’authentification SAML envoyée par le fournisseur d’identité Salesforce à Auth0.
   2. Si cela ne fonctionne pas, revérifiez les étapes ci-dessus et consultez la section de dépannage ci-dessous.

Lors du dépannage du SSO, il est souvent utile de capturer une trace HTTP de l’interaction et de l’enregistrer dans un fichier HAR. Pour en savoir plus, consultez Générer et analyser des fichiers HAR.

Avant de partager un fichier HAR avec qui que ce soit (y compris Auth0), assurez-vous de supprimer ou d’obfusquer toutes les données sensibles, telles que :

• Renseignements confidentiels sur l’utilisateur
• Renseignements personnels permettant d’identifier une personne (PII)
• Renseignements confidentiels sur l’application

Pour en savoir plus, consultez les articles suivants dans Auth0 Community :

• Nettoyer les traces HTTP
• Comment nettoyer automatiquement un fichier de trace HTTP
• Comment caviarder manuellement les renseignements sensibles
• Le fichier HAR est trop volumineux pour être téléversé dans le dossier de soutien

Une fois que vous disposez d’un outil de trace HTTP, capturez la séquence de connexion du début à la fin et analysez la trace pour suivre la séquence des requêtes GET. Vous devriez voir une redirection de votre site d’origine vers le fournisseur d’identité, une requête POST contenant les informations d’identification si vous avez dû vous connecter, puis une redirection vers l’URL de rappel. Le fichier HAR contiendra également la réponse SAML.

Assurez-vous que les cookies et JavaScript sont activés dans votre navigateur.

Assurez-vous que le profil de l’utilisateur dans Salesforce est autorisé à se connecter au moyen du fournisseur d’identité Salesforce (voir la section 4 ci-dessus).