Configurer l’authentification unique Web à l’aide des services ADFS (Office SharePoint Server)

Mise à jour : 2009-03-26

Dans cet article :

• À propos des systèmes d’authentification fédérée

• Avant de commencer

• Configurer votre application Web extranet pour utiliser l’authentification unique Web

• Autoriser les utilisateurs à accéder à votre site Web extranet

• Utiliser le sélecteur de personnes

• Utiliser des revendications par courrier électronique ou UPN

• Utiliser des groupes et des revendications de groupe d’organisation

À propos des systèmes d’authentification fédérée

Microsoft Office SharePoint Server 2007 prend en charge les scénarios d’authentification fédérée dans lesquels le système d’authentification n’est pas local pour l’ordinateur qui héberge Office SharePoint Server 2007. Les systèmes d’authentification fédérée sont également appelés systèmes d’authentification unique Web. Grâce aux services ADFS (Active Directory Federation Services), les personnes d’une société peuvent accéder aux serveurs hébergés par une autre société à l’aide de leurs comptes Active Directory existants. En outre, les services ADFS établissent une relation d’approbation entre les deux sociétés et procurent une expérience d’ouverture de session unique et transparente aux utilisateurs finaux. Les services ADFS reposent sur les redirections 302 pour authentifier les utilisateurs finaux. Les utilisateurs reçoivent un jeton d’authentification (cookie) une fois authentifiés.

Avant de commencer

Avant d’utiliser les services ADFS pour configurer l’authentification unique Web pour votre application Web extranet, vous devez vous familiariser avec les ressources suivantes :

• le blog de l’équipe des produits et technologies Microsoft SharePoint consacré à la configuration de plusieurs fournisseurs d’authentification (https://blogs.msdn.com/error.htm?aspxerrorpath=/blogs/post.aspx)  ;

• Guide pas à pas des services ADFS (https://go.microsoft.com/fwlink/?linkid=145396&clcid=0x40C). Les noms de serveur et les exemples utilisés dans cet article reposent sur ce guide pas à pas, qui décrit la configuration des services ADFS dans un environnement d’atelier de petite taille. Dans cet environnement, un nouveau serveur nommé Trey-SharePoint est joint à la forêt Trey Research. Suivez les étapes du guide pas à pas pour configurer l’infrastructure des services ADFS. Toutefois, étant donné que cet article décrit la configuration de Office SharePoint Server 2007 dans un mode d’application prenant en charge les revendications, vous n’avez pas besoin de suivre toutes les étapes pour construire les applications d’agent basées sur les jetons Windows NT décrites dans le guide pas à pas.

Configurer votre application Web extranet pour utiliser l’authentification unique Web

1. Installez l’Agent Web pour les applications prenant en charge les revendications.

2. Téléchargez et installez le correctif pour les services ADFS décrit dans l’article Le fournisseur de rôles et le fournisseur d’appartenances ne peuvent pas être appelés à partir de Windows SharePoint Services 3.0 sur un ordinateur Windows Server 2003 R2 qui exécute ADFS et Microsoft Windows SharePoint Services 3.0 (http https://go.microsoft.com/fwlink/?linkid=145397&clcid=0x40C). Ce correctif sera inclus dans Windows Server 2003 Service Pack 2 (SP2).

3. Installez Office SharePoint Server 2007, configurez tous les services et les serveurs de la batterie, puis créez une nouvelle application Web. Par défaut, cette application Web sera configurée pour utiliser l’authentification Windows et constituera le point d’entrée par lequel vos utilisateurs intranet accéderont au site. Dans l’exemple utilisé dans cet article, le site est nommé http://trey-moss/.

4. Étendez l’application Web que vous avez créée à l’étape 2 dans une autre zone. Dans la page Gestion des applications du site Web Administration centrale de SharePoint, cliquez sur Créer ou étendre une application Web, sur Étendre une application Web existante, puis effectuez les opérations suivantes :

   1. Ajoutez un en-tête d’hôte. Il s’agit du nom DNS sous lequel le site sera connu des utilisateurs au sein de l’extranet. Dans cet exemple, le nom est extranet.treyresearch.net.

   2. Adoptez Extranet en guise de zone.

   3. Attribuez au site un nom d’en-tête d’hôte que vous configurerez dans le système DNS et auquel recourront vos utilisateurs extranet pour la résolution.

   4. Cliquez sur Utiliser le protocole SSL (Secure Sockets Layer) et choisissez 443 comme numéro de port. Les services ADFS nécessitent que les sites soient configurés de manière à utiliser SSL.

   5. Dans la zone URL avec équilibrage de la charge réseau, supprimez la chaîne de texte :443. Internet Information Services (IIS) utilisera automatiquement le port 443, car vous avez spécifié ce numéro de port à l’étape précédente.

   6. Effectuez les autres étapes indiquées dans la page pour terminer l’extension de l’application Web.

5. Dans la page Mappages des accès de substitution, vérifiez que les URL ressemblent à celles indiquées dans le tableau suivant.

   URL interne	Zone	URL publique de la zone
   http://trey-moss/	Par défaut	http://trey-moss/
   https://extranet.treyresearch.net/	Extranet	https://extranet.treyresearch.net/

6. Ajoutez un certificat SSL au site Web extranet dans IIS. Assurez-vous que ce certificat SSL est émis pour extranet.treyresearch.net, car il s’agit du nom que les clients utiliseront pour accéder aux sites.

7. Configurez le fournisseur d’authentification pour la zone extranet sur votre application Web afin qu’il utilise l’authentification unique Web, en procédant comme suit :

   1. Dans la page Gestion des applications du site Administration centrale de votre batterie de serveurs, cliquez sur Fournisseurs d’authentification.

   2. Cliquez sur Modifier dans le coin supérieur droit de la page, puis sélectionnez l’application Web sur laquelle vous souhaitez activer l’authentification unique Web.

   3. Dans la liste des deux zones qui sont mappées pour cette application Web (les deux doivent indiquer Windows), cliquez sur le lien Windows pour la zone extranet.

   4. Dans la section Type d’authentification, cliquez sur Authentification unique Web.

   5. Dans la zone Nom du fournisseur d’appartenances, tapez

      SingleSignOnMembershipProvider2

      Notez cette valeur ; vous l’ajouterez à l’élément de nom de la section <membership> dans les fichiers web.config que vous allez modifier plus loin dans cette procédure.

   6. Dans la zone Nom du gestionnaire de rôles, tapez

      SingleSignOnRoleProvider2

      Notez cette valeur ; vous l’ajouterez à l’élément de nom de la section <roleManager> dans les fichiers web.config que vous allez modifier plus loin dans cette procédure.

   7. Assurez-vous que l’option Activer l’intégration des clients ? est définie sur Non.

   8. Cliquez sur Enregistrer.

Votre application Web extranet est désormais configurée pour utiliser l’authentification unique Web. Toutefois, à ce stade, le site est inaccessible, car personne ne possède d’autorisations sur celui-ci. L’étape suivante consiste à attribuer des autorisations aux utilisateurs de façon à ce qu’ils puissent accéder à ce site.

Autoriser les utilisateurs à accéder à votre site Web extranet

1. À l’aide d’un éditeur de texte, ouvrez le fichier web.config du site Web sur la zone par défaut qui utilise l’authentification Windows.

2. Ajoutez l’entrée suivante n’importe où dans le nœud <system.web>.

   <membership>

   <providers>

   <add name="SingleSignOnMembershipProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnMembershipProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" fs="https://fs-server/adfs/fs/federationserverservice.asmx" />

   </providers>

   </membership>

   <roleManager enabled="true" defaultProvider="AspNetWindowsTokenRoleProvider">

   <providers>

   <remove name="AspNetSqlRoleProvider" />

   <add name="SingleSignOnRoleProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnRoleProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" fs="https://fs-server/adfs/fs/federationserverservice.asmx" />

   </providers>

   </roleManager>

3. Modifiez la valeur de fs-server afin qu’elle reflète votre serveur de fédération de ressources (adfsresource.treyresearch.net ). Assurez-vous que vous avez entré le fournisseur d’appartenances approprié et les noms de gestionnaire de rôles dans la page Fournisseurs d’authentification de l’Administration centrale. Lorsque cette entrée est ajoutée au fichier web.config, le Sélecteur de personnes sur le site de zone par défaut qui utilise l’authentification Windows est à même de reconnaître les fournisseurs ADFS et, par conséquent, peut résoudre les revendications ADFS. Cela vous permet d’accorder des autorisations aux revendications ADFS sur votre site Web.

4. Accordez l’accès au site au moyen de revendications ADFS en procédant comme suit :

   1. Accédez au site Web sur la zone par défaut qui utilise l’authentification Windows en tant qu’administrateur du site.

   2. Cliquez sur le menu Actions du site, pointez sur Paramètres du site, puis cliquez sur Autorisations avancées.

   3. Cliquez sur Nouveau, puis cliquez sur Ajouter des utilisateurs.

   4. Pour ajouter une revendication d’utilisateur, spécifiez son adresse de messagerie ou son nom d’utilisateur principal dans la section Utilisateurs/Groupes. Si des revendications UPN et des revendications d’identité (courrier électronique) sont envoyées à partir du serveur de fédération, SharePoint utilisera le nom UPN pour effectuer la vérification auprès du fournisseur d’appartenances (MembershipProvider). Par conséquent, si vous souhaitez utiliser la messagerie électronique, vous devrez désactiver la revendication UPN dans votre serveur de fédération. Pour plus d’informations, voir « Utiliser des revendications d’identité (courrier électronique) ou UPN ».

   5. Pour ajouter une revendication de groupe, tapez le nom de la revendication que le site SharePoint doit utiliser dans la section Utilisateurs/Groupes. Par exemple, créez une revendication de groupe d’organisation nommée Collaborateurs Adatum sur le serveur de fédération. Ajoutez le nom de revendication Collaborateurs Adatum au site SharePoint en suivant la même procédure que pour un utilisateur ou groupe Windows. Vous pouvez affecter à cette revendication le groupe Membres de Accueil [Collaboration] de sorte que tout utilisateur qui accède au site SharePoint en utilisant cette revendication de groupe bénéficie d’un accès en tant que collaborateur.

   6. Sélectionnez le niveau d’autorisation ou le groupe SharePoint approprié.

   7. Cliquez sur OK.

5. Utilisez l’éditeur de texte de votre choix pour ouvrir le fichier web.config du site extranet et ajoutez l’entrée suivante dans le nœud <configSections>.

   <sectionGroup name="system.web">

   <section name="websso" type="System.Web.Security.SingleSignOn.WebSsoConfigurationHandler, System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null" />

   </sectionGroup>

6. Ajoutez l’entrée suivante au nœud <httpModules>:

   <add name="Identity Federation Services Application Authentication Module" type="System.Web.Security.SingleSignOn.WebSsoAuthenticationModule, System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null" />

   Notes

   Le module d’authentification ADFS doit toujours être spécifié après le module SPRequest SharePoint dans le nœud <httpModules> du fichier web.config. Il est préférable d’ajouter cette entrée en dernier dans cette section.

7. Ajoutez l’entrée suivante n’importe où sous le nœud <system.web>.

   <membership defaultProvider="SingleSignOnMembershipProvider2">

   <providers>

   <add name="SingleSignOnMembershipProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnMembershipProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />

   </providers>

   </membership>

   <roleManager enabled="true" defaultProvider="SingleSignOnRoleProvider2">

   <providers>

   <add name="SingleSignOnRoleProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnRoleProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35 />

   </providers>

   </roleManager>

   <websso>

   <authenticationrequired />

   <auditlevel>55</auditlevel>

   <urls>

   <returnurl>https://your_application</returnurl>

   </urls>

   <fs>https://fs-server/adfs/fs/federationserverservice.asmx</fs>

   <isSharePoint />

   </websso>

   Notes

   Attribuez au paramètre fs-server la valeur correspondant à votre serveur de fédération et modifiez la valeur du paramètre your_application afin qu’elle reflète l’URL de votre application Web extranet.

8. Accédez au site Web https://extranet.treyresearch.net/ en tant qu’utilisateur ADFS disposant d’autorisations sur le site Web extranet.

À propos de l’utilisation de l’Administration centrale

Vous pouvez également utiliser la stratégie Administration centrale pour accorder des droits aux utilisateurs ADFS, mais il est préférable de ne pas recourir à cette méthode pour les raisons suivantes :

• L’octroi de droits par stratégie est une opération très sommaire. Elle permet à l’utilisateur (ou au groupe) de détenir le même jeu de droits dans chaque site Web, dans chaque collection de sites, dans l’ensemble de l’application Web. Elle doit être utilisée très judicieusement ; dans ce scénario spécifique, nous pouvons accorder l’accès aux utilisateurs ADFS sans recourir à cette méthode.

• Une fois que les sites ont été utilisés dans un environnement extranet, il est très probable que les utilisateurs internes soient chargés d’accorder l’accès aux sites et au contenu. Étant donné que seuls les administrateurs de batterie ont accès au site Administration centrale, il est logique que les utilisateurs internes puissent ajouter des revendications ADFS à partir du site de zone par défaut qui utilise l’authentification Windows.

• À mesure que vous étendez les applications Web à l’aide de fournisseurs différents, vous pouvez configurer un ou plusieurs de ces derniers afin de pouvoir rechercher des utilisateurs et des groupes à partir de différents fournisseurs que vous utilisez dans cette application Web. Dans ce scénario, nous avons configuré le site qui utilise l’authentification Windows de manière à ce que les utilisateurs puissent, depuis ce site, sélectionner à la fois d’autres utilisateurs Windows, d’autres groupes Windows et d’autres revendications ADFS.

Utiliser le Sélecteur de personnes

Le Sélecteur de personnes ne peut pas rechercher des rôles à partir de caractères génériques. Si vous avez un rôle de fournisseur de rôles d’authentification unique Web nommé Lecteurs, et que vous tapez Lect dans la boîte de dialogue de recherche Sélecteur de personnes, le sélecteur ne trouve pas votre revendication. Si vous tapez Lecteurs, il y parvient. Il ne s’agit pas d’un bogue ; vous ne pouvez simplement pas exécuter de recherche à partir de caractères génériques à l’aide du fournisseur de rôles.

Les fichiers exécutables de la ligne de commande tels que stsadm.exe ne peuvent pas résoudre les revendications ADFS par défaut. Par exemple, supposons que vous souhaitiez ajouter un nouvel utilisateur au site extranet à l’aide de la commande stsadm.exe –o adduser. Pour permettre à Stsadm (ou à un autre fichier exécutable) de résoudre les utilisateurs, créez un nouveau fichier de configuration en procédant comme suit :

• Créez un nouveau fichier nommé stsadm.exe.config dans le même répertoire que stsadm.exe (%programfiles%\Common Files\Microsoft Shared Debug\Web Server Extensions\12\BIN). Ajoutez l’entrée suivante dans le fichier stsadm.exe.config :

  <configuration>

  <system.web>

  <membership defaultProvider="SingleSignOnMembershipProvider2">

  <providers>

  <add name="SingleSignOnMembershipProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnMembershipProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" fs="https://fs-server/adfs/fs/federationserverservice.asmx" />

  </providers>

  </membership>

  <roleManager enabled="true" defaultProvider="SingleSignOnRoleProvider2">

  <providers>

  <add name="SingleSignOnRoleProvider2" type="System.Web.Security.SingleSignOn.SingleSignOnRoleProvider2, System.Web.Security.SingleSignOn.PartialTrust, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" fs="https://fs-server/adfs/fs/federationserverservice.asmx" />

  </providers>

  </roleManager>

  </system.web>

  </configuration>

  Notes

  Affectez au paramètre fs-server la valeur correspondant à votre serveur de fédération de ressources (adfsresource.treyresearch.net ).

Utiliser des revendications par courrier électronique ou UPN

Pour configurer le serveur de fédération afin qu’il puisse, ou ne puisse pas, envoyer des revendications par message électronique ou UPN à Office SharePoint Server 2007, procédez comme suit.

1. Dans Outils d’administration sur votre serveur de fédération, ouvrez le composant logiciel enfichable ADFS.

   Notes

   Vous pouvez également ouvrir le composant logiciel enfichable ADFS en tapant ADFS.MSC dans la boîte de dialogueExécuter.

2. Sélectionnez le nœud de votre application Office SharePoint Server 2007 (celle-ci doit déjà figurer dans la liste des nœuds).

3. Dans la liste des revendications située à droite, cliquez avec le bouton droit sur Adresse de messagerie, puis sélectionnez Activer ou Désactiver.

4. Dans la liste des revendications située à droite, cliquez avec le bouton droit sur UPN, puis sélectionnez Activer ou Désactiver.

   Notes

   Si les paramètres UPN et de messagerie électronique sont tous les deux activés, Office SharePoint Server 2007 utilisera UPN pour effectuer la vérification de la revendication utilisateur. Par conséquent, lorsque vous configurez Office SharePoint Server 2007, soyez attentif quant à la revendication utilisateur que vous entrez. En outre, notez que la revendication UPN ne fonctionne de manière cohérente que si les suffixes UPN et les suffixes de messagerie qui sont acceptés par le serveur de fédération sont identiques. Cela est dû au fait que le fournisseur d’appartenances est basé sur la messagerie électronique. En raison de cette complexité de la configuration des revendications UPN, il est recommandé de recourir à la revendication utilisateur par messagerie électronique pour l’authentification de l’appartenance.

Utiliser des groupes et des revendications de groupe d’organisation

Dans Office SharePoint Server 2007, vous pouvez affecter des droits à des groupes Active Directory en les ajoutant à un groupe SharePoint ou directement à un niveau d’autorisation. Le niveau d’autorisation dont dispose un utilisateur donné sur un site dépend des groupes Active Directory dont il est membre, des groupes SharePoint auxquels il appartient et de tous les niveaux d’autorisation auxquels il a été directement associé.

Lorsque vous utilisez ADFS comme fournisseur de rôles dans Office SharePoint Server 2007, le processus est différent. Il n’existe aucun moyen pour le fournisseur d’authentification unique Web de résoudre directement un groupe Active Directory ; pour sa part, il résout les groupes à l’aide de revendications de groupe d’organisation. Lorsque vous utilisez les services ADFS avec Office SharePoint Server 2007, vous devez créer un ensemble de revendications de groupe d’organisation dans ces services. Vous pouvez ensuite associer plusieurs groupes Active Directory à la revendication de groupe d’organisation ADFS.

Pour que les revendications de groupe fonctionnent avec la version la plus récente des services ADFS, vous devez modifier le fichier web.config de l’application ADFS dans IIS sur votre serveur ADFS.

Ouvrez le fichier web.config et ajoutez <getGroupClaims /> au nœud <FederationServerConfiguration> à l’intérieur du nœud <System.Web>, comme illustré dans l’exemple suivant.

<configuration>
     <system.web>
          <FederationServerConfiguration>
               <getGroupClaims />
          </FederationServerConfiguration>
     </system.web>
</configuration>

Dans la forêt de compte Adatum, procédez comme suit :

1. Créez un groupe Active Directory nommé Lecteurs Trey SharePoint.

2. Créez un groupe Active Directory nommé Collaborateurs Trey SharePoint.

3. Ajoutez Alansh au groupe Lecteurs et Adamcar au groupe Collaborateurs.

4. Créez une revendication de groupe d’organisation nommée Lecteurs Trey SharePoint.

5. Créez une revendication de groupe d’organisation nommée Collaborateurs Trey SharePoint.

6. Cliquez avec le bouton droit sur le magasin de comptes Active Directory, puis cliquez sur Nouveau Extraction de revendication de groupe.

   1. Sélectionnez la revendication de groupe d’organisation Lecteurs Trey SharePoint, puis associez-la au groupe Active Directory Lecteurs Trey SharePoint.

   2. Répétez l’étape 6, puis associez la revendication de groupe d’organisation Collaborateurs Trey SharePoint au groupe Active Directory Collaborateurs Trey SharePoint.

7. Cliquez avec le bouton droit sur le partenaire de compte Trey Research, puis créez les mappages de revendications sortantes :

   1. Sélectionnez la revendication Lecteur Trey SharePoint, puis mappez-la sur la revendication sortante adatum-trey-readers.

   2. Sélectionnez la revendication Collaborateur Trey SharePoint, puis mappez-la sur la revendication sortante adatum-trey-contributors.

Sur le site Trey Research, démarrez ADFS.MSC, puis procédez comme suit :

1. Créez une revendication de groupe d’organisation nommée Lecteurs Adatum SharePoint.

2. Créez une revendication de groupe d’organisation nommée Collaborateurs Adatum SharePoint.

3. Créez des mappages de groupes entrants pour vos revendications :

   1. Cliquez avec le bouton droit sur le partenaire de compte Adatum, puis cliquez sur Mappage de revendications de groupe entrantes.

   2. Sélectionnez la revendication Lecteurs Adatum SharePoint, puis mappez-la sur le nom de revendication entrante adatum-trey-readers.

   3. Sélectionnez la revendication Collaborateurs Adatum SharePoint, puis mappez-la sur le nom de revendication entrante adatum-trey-contributors.

4. Cliquez avec le bouton droit sur l’application Web Office SharePoint Server 2007, puis cliquez sur Activer pour les revendications Lecteur et Collaborateur.

Accédez au site http://trey-moss/ sur le site de Trey Research en tant qu’administrateur de site, puis procédez comme suit :

1. Cliquez sur le menu Actions du site, pointez sur Paramètres du site, puis cliquez sur Personnes et groupes.

2. S’il n’est pas déjà sélectionné, cliquez sur le groupe Membres correspondant à votre site.

3. Cliquez sur Nouveau, puis cliquez sur Ajouter des utilisateurs dans la barre d’outils.

4. Cliquez sur l’icône de carnet d’adresses en regard de la zone Utilisateurs/Groupes.

5. Dans la zone Rechercher de la boîte de dialogue Sélecteur de personnes, tapez

   Lecteurs Adatum SharePoint

   Dans la section Autoriser l’accès, sélectionnez Visiteurs [Lecteurs] de Accueil du groupe SharePoint.

6. Dans la zone Rechercher, tapez

   Collaborateurs Adatum SharePoint

   Dans la section Autoriser l’accès, sélectionnez Membres de Accueil du groupe SharePoint [Collaboration].

Télécharger ce livre

Cette rubrique est incluse dans le livre à télécharger suivant pour une lecture et une impression plus faciles :

• Déploiement pour Office SharePoint 2007 (en anglais)

Consultez la liste des livres disponibles dans la Bibliothèque TechNet pour Office SharePoint Server.