Protocole Web Services Federation

Décrit comment Auth0 fonctionne avec le protocole Web Services Federation (WS-Fed).

Web Services Federation (WS-Federation ou WS-Fed) fait partie du framework WS-Security au sens large et étend les fonctionnalités de WS-Trust. Les fonctionnalités de WS-Federation peuvent être utilisées directement par les applications SOAP et les services web. WS-Fed est un protocole qui peut servir à négocier l’émission d’un token. Vous pouvez utiliser ce protocole pour vos applications (comme une application basée sur Windows Identity Foundation) et pour les fournisseurs d’identité (comme Active Directory Federation Services ou Azure AppFabric Access Control Service).

​

Pour les applications

Lorsque vous enregistrez une application dans Auth0, un point de terminaison WS-Fed de la forme suivante lui est automatiquement attribué :

https://{yourDomain}/wsfed/{yourClientId}

Vous trouverez toutes les options offertes pour configurer WS-Fed dans la section paramètres avancés de votre application.

Vous devrez configurer la Relying Party, ce que vous pouvez faire à l’aide du point de terminaison de métadonnées suivant :

https://{yourDomain}/wsfed/FederationMetadata/2007-06/FederationMetadata.xml

Vous pouvez aussi utiliser l’objet samlConfiguration, disponible dans les Rules, pour configurer les claims envoyées dans le token, ainsi que d’autres paramètres WS-Fed et SAML-P plus avancés.

Lorsque vous redirigez vos utilisateurs vers votre point de terminaison WS-Fed, vous pouvez utiliser les paramètres (facultatifs) suivants :

Paramètre	Description
wa=wsignin1.0	Indique si Auth0 doit émettre un token pour la Relying Party (par défaut)
wa=wsignout1.0	Indique si Auth0 doit effacer la session de l’utilisateur et le déconnecter
wreply={callback_URL}	Indique où la réponse doit être envoyée
wctx={state}	La valeur state de votre application
whr={connection_name}	Connexion à utiliser (permet aux utilisateurs d’éviter la page de connexion Auth0)
wfresh=0	Indique si l’utilisateur doit se réauthentifier, même si une session existe déjà (0 exige une réauthentification)

Voici à quoi pourrait ressembler votre URL avec les paramètres facultatifs :

https://{yourDomain}/wsfed/{yourClientId}?whr=google-oauth2

​

Fournisseurs d’identité

Si vous utilisez Auth0 avec un fournisseur d’identité qui utilise le protocole WS-Federation (comme Active Directory Federation Services, Azure AppFabric Access Control Service et IdentityServer), la façon la plus simple de configurer votre intégration consiste à créer et à utiliser le type de connexion ADFS dans le Dashboard. Voici les deux façons de procéder :

• Importer le fichier Federation Metadata
• Activer le point de terminaison Federation Metadata pour vérifier s’il y a des modifications

​

Importer le fichier de métadonnées de fédération

Lorsque vous configurez une connexion basée sur ADFS, vous pouvez importer les paramètres requis en fournissant à Auth0 le point de terminaison Federation Metadata ou en important/téléversant votre fichier de métadonnées de fédération.

Les instructions nécessaires pour terminer la configuration de l’intégration s’afficheront.

​

Activer le point de terminaison Federation Metadata

Le fichier de métadonnées de fédération contient des renseignements sur les certificats du fournisseur d’identité. Si vous fournissez le point de terminaison Federation Metadata (généralement sous la forme d’une URL se terminant par /FederationMetadata/2007-06/FederationMetadata.xml), Auth0 peut vérifier quotidiennement si la configuration a changé, par exemple si un nouveau certificat de signature a été ajouté en prévision d’un renouvellement. C’est pourquoi il est préférable d’activer le point de terminaison Federation Metadata plutôt que de fournir un fichier de métadonnées autonome. Si vous fournissez un fichier de métadonnées autonome, nous vous aviserons par courriel lorsque les certificats approcheront de leur date d’expiration.

Si les métadonnées Federation Metadata contiennent à la fois les certificats principal et secondaire, vous pouvez utiliser les deux dans Auth0.

Pour renouveler les certificats à l’aide du point de terminaison Federation Metadata :

1. Générez un nouveau certificat et ajoutez-le comme certificat secondaire dans votre environnement ADFS. Cela doit être fait au moins deux jours avant l’expiration de votre certificat principal actif.
2. Laissez Auth0 récupérer votre nouveau certificat à partir du point de terminaison Federation Metadata. Auth0 vérifie vos points de terminaison une fois par jour; assurez-vous donc de prévoir suffisamment de temps pour qu’Auth0 puisse terminer cette étape. Vous pouvez aussi effectuer cette étape manuellement en vous connectant à l’Auth0 Dashboard, en accédant à la connexion ADFS appropriée, puis en cliquant sur Save. Cette action permet à Auth0 de télécharger immédiatement les certificats.
3. Définissez le certificat maintenant secondaire comme certificat principal avant l’expiration du certificat principal actuel dans votre environnement ADFS.

​

​

En savoir plus

• Configurer les applications WS-Fed