# Authentification Microsoft Entra ID {% hint style="warning" %} Azure Active Directory (Azure AD) a été renommé **Microsoft Entra ID (ME-ID)**. Bien que la documentation WorkflowGen ait été mise à jour pour refléter ce changement de nom, les paramètres de l'application WorkflowGen font toujours référence à Azure AD (par exemple, connecteur d'annuaire `Azure AD SCIM v2`). De même, certains éléments de configuration ME-ID dans le portail Azure ont été renommés et / ou déplacés. La documentation WorkflowGen a été mise à jour en conséquence, mais il se peut qu'elle ne soit toujours pas tout à fait exacte à cet égard. Consultez la documentation [Microsoft Entra ID](https://learn.microsoft.com/fr-fr/entra/identity/) pour plus d'informations. {% endhint %} ## Aperçu Cette section fournit des instructions sur la façon de configurer l'authentification déléguée WorkflowGen avec l'authentification Microsoft Entra ID (ME-ID) via les fournisseurs **Microsoft Identity Platform v2.0** ou **API endpoint v1**, et vous montrera comment configurer une instance WorkflowGen fonctionnelle qui utilise ME-ID pour authentifier vos utilisateurs. {% hint style="info" %} Dans les instructions, remplacez `` par le domaine et le chemin de votre instance de WorkflowGen; par exemple, `localhost/wfgen` ou `www.macompagnie.com/wfgen`. {% endhint %} ## Prérequis * Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur Web IIS en mode de connexion sécurisé **HTTPS**. * Vous devez être un **administrateur WorkflowGen**. * Assurez-vous d'avoir un **accès administrateur ME-ID** pour pouvoir configurer Azure AD. * Assurez-vous d'avoir provisionné un utilisateur Azure AD existant que vous pouvez authentifier avec WorkflowGen et que l'utilisateur dispose des permissions d'**administrateur WorkflowGen**. Ceci est important car une fois que vous avez activé l'authentification déléguée avec ME-ID, vous devrez toujours pouvoir gérer l'application Web WorkflowGen. * Le mode de chiffrement AES et sa clé sont requis pour que l'authentification fonctionne. ## Configuration de Microsoft Entra ID La configuration de ME-ID se fait en deux parties. D'abord, vous devez enregistrer l'application Web WorkflowGen et la lier à votre instance de WorkflowGen; ensuite, vous devez enregistrer l'API GraphQL de WorkflowGen afin de pouvoir enregistrer d'autres applications personnalisées pour y accéder. ### Étape 1 : Créez une nouvelle inscription d'application pour WorkflowGen 1. Dans le portail Azure, cliquez sur **Inscriptions d'applications** dans la section **Azure Active Directory**.
2. Cliquez sur **Nouvelle inscription** et entrez les propriétés : * **Nom :** `WorkflowGen Web app` * **Types de comptes pris en charge :** `Comptes dans cet annuaire d'organisation uniquement (Default Directory uniquement - Locataire unique)` ✏️ **Note :** En fonction du contexte, vous devez choisir la bonne option pour votre cas d'utilisation pour la valeur **Types de comptes pris en charge**. * **URI de redirection :** * **Plateforme :** `Web` * **Valeur :** `https:///auth/callback` 📌 **Exemple :** `https://macompagnie.com/wfgen/auth/callback`
3. Cliquez sur **S'inscrire** en bas de la page. Vous devriez maintenant voir la page d'aperçu de l'enregistrement de l'application Web WorkflowGen. ### Étape 2 : Générez une clé secrète client pour l'application Maintenant, vous devez générer une **clé secrète client** à utiliser par le module d'authentification OIDC de WorkflowGen. 1. Cliquez sur **Ajouter un certificat ou un secret**.
2. Dans la section **Secrets client**, cliquez sur **Nouveau secret client**. * **Description :** `Mon secret`, ou quelque chose de semblable pour rappeler que ceci est la clé secrète client. * **Date d'expiration :** Choisissez **730 jours (24 mois)** ou la période d'expiration souhaitée.
3. Cliquez sur **Ajouter**.
4. La clé secrète client générée automatiquement est maintenant affichée sous la colonne **Valeur**. Copiez la valeur de la clé secrète client et enregistrez-la dans un endroit sûr, car vous ne pourrez plus la récupérer par la suite. {% hint style="warning" %} Il n'est plus possible de définir des clés secrètes client pour qu'elles n'expirent jamais. Vous devrez régénérer manuellement une nouvelle clé secrète client tous les deux ans (si l'option **24 mois** a été sélectionnée) avant qu'elle n'expire. Ensuite, mettez à jour la clé secrète client utilisée par l'instance WorkflowGen dans son fichier de configuration Web (clé **`ApplicationSecurityAuthClientSecret`**). {% endhint %} ### Étape 3 : Ajoutez un URI de redirection Pour que la communication entre WorkflowGen et ME-ID fonctionne, vous devez ajouter un autre URI de redirection autorisé à l'application Web `WorkflowGen Web app` enregistrée. 1. Cliquez sur **Authentification**.
2. Dans la section **URI de redirection**, cliquez sur **Ajouter l'URI**.
3. Entrez les informations suivantes : * **URI de redirection :** `https:///auth/logout/return` \ 📌 **Exemple :** `https://macompagnie.com/wfgen/auth/logout/return`\ ✏️ **Note :** Vous devriez également voir`https:///auth/callback` dans cette liste. 4. Cliquez sur **Enregistrer** en haut de la section. ### Étape 4 : Créez une nouvelle inscription d'application pour l'API GraphQL de WorkflowGen {% hint style="info" %} Si vous n'avez pas besoin de l'accès à l'API WorkflowGen GraphQL, vous pouvez ignorer l'enregistrement et la configuration de cette application dans Azure (**étapes 4 à 6**). Dans ce cas, poursuivez complètement la procédure de configuration depuis la section [Vérifiez les inscriptions](#verifiez-les-inscriptions) jusqu'à la section [Configuration de WorkflowGen](#configuration-de-workflowgen). Enfin, suivez la configuration dans la section [Configuration de l'authentification sans l'API GraphQL](#configuration-de-lauthentification-sans-lapi-graphql). {% endhint %} Pour exposer l'API GraphQL, vous devez ajouter une nouvelle application qui la représentera. Pour ce faire : 1. Dans le portail Azure, cliquez sur **Inscriptions d'applications** dans la section **Services Azure**.
2. Cliquez sur **Nouvelle inscription** et renseignez le formulaire des propriétés : * **Nom :** `WorkflowGen GraphQL API` * **Types de comptes pris en charge :** `Comptes dans cet annuaire d'organisation uniquement (Default Directory uniquement - Locataire unique)`
3. Cliquez sur **S'inscrire** en bas de la page. Vous avez maintenant correctement enregistré l'application `WorkflowGen GraphQL API` dans Azure AD. ### Étape 5 : Exposez l'API dans l'inscription d'application de l'API WorkflowGen GraphQL 1. Cliquez sur **Exposer une API**.
2. À droite de **URI ID d'application**, cliquez sur **Définir** et entrez l'URI `https:///graphql`.\ 📌 **Exemple :** `https://macompagnie.com/wfgen/graphql`
3. Cliquez sur **Enregistrer**.
4. Cliquez sur **Ajouter une étendue** et entrez les informations suivantes : * **Nom de l'étendue :** `defaut` * **Qui peut accepter ? :** `Administrateurs et utilisateurs` * **Nom d'affichage du consentement administrateur :** `Accès par défaut à l'API WorkflowGen GraphQL` * **Description du consentement administrateur** **:** `Permet à l'application d'accéder à l'API WorkflowGen GraphQL.` * **Nom d'affichage du consentement de l'utilisateur :** `Accès par défaut à l'API WorkflowGen GraphQL` * **Description du consentement de l'utilisateur :** `Permet à l'application d'accéder à l'API WorkflowGen GraphQL` 5. Cliquez sur **Ajouter une étendue**. {% hint style="warning" %} Depuis octobre 2021, Azure AD nécessite l'utilisation d'un schéma par défaut ou d'un domaine vérifié pour l'URL AppId sur l'application à locataire unique (voir la documentation Microsoft [ici](https://learn.microsoft.com/fr-fr/azure/active-directory/develop/reference-breaking-changes#appid-uri-in-single-tenant-applications-will-require-use-of-default-scheme-or-verified-domains) pour plus d'informations). La documentation Microsoft sur la façon d'ajouter et de vérifier un domaine personnalisé est disponible [ici](https://learn.microsoft.com/fr-fr/azure/active-directory/enterprise-users/domains-manage). {% endhint %} ### Étape 6 : Accordez à WorkflowGen l'accès à l'API WorkflowGen GraphQL 1. Dans la page d'inscription de l'application `WorkflowGen Web app`, cliquez sur **Autorisations de l'API**.
2. Cliquez sur **Ajouter une autorisation**, puis sélectionnez l'onglet **Mes API**.
3. Cliquez sur l'application `WorkflowGen GraphQL API` dans la liste.
4. Cliquez sur **Autorisations déléguées** et cochez `defaut` dans la colonne **Autorisation**.
5. Cliquez sur **Ajouter des autorisations**.
6. Dans la page **API autorisées**, cliquez sur **Accorder un consentement d'administrateur pour \**, puis cliquez sur **Oui**. ### Vérifiez les inscriptions Vous devriez maintenant avoir toutes les informations dont vous aurez besoin pour configurer WorkflowGen pour déléguer l'authentification à ME-ID. Voici un résumé : * Un **ID client**. Ceci est l'ID d'application (client) de l'inscription de l'application `WorkflowGen Web app` dans Azure AD. Vous pouvez le trouver sur sa page d'aperçu. * Une **clé secrète client**. Ceci est la clé secrète client précédemment générée à l'**étape 2** pour l'application WorkflowGen Web app. * Une **audience**. Ceci est la propriété `Application ID URI` (p.ex. : `https:///graphql`) dans la section **Exposer une API** de l'inscription de l'application `WorkflowGen GraphQL API`. * Le **point de terminaison des métadonnées**. Cette URL est liée à votre annuaire ME-ID. Pour la trouver : 1. Accédez à la page **Vue d'ensemble** et copiez la valeur `ID de locataire`. 2. L'URL du point de terminaison des métadonnées est créée en remplaçant `` par votre ID de locataire comme suit : \ **Pour Microsoft Identity Platform v2.0 (recommandé) :** ``` https://login.microsoftonline.com//v2.0/.well-known/openid-configuration ``` \ **Pour Azure v1 :** ``` https://login.microsoftonline.com//.well-known/openid-configuration ``` Vous devriez maintenant avoir toutes les informations requises pour lier votre instance de WorkflowGen à ME-ID. ## Configuration de WorkflowGen Vous devez maintenant configurer WorkflowGen pour déléguer l'authentification à ME-ID. ### Étape 1 : Ajoutez les valeurs Microsoft Entra ID au `web.config` de WorkflowGen 1. Ouvrez le fichier `web.config` de WorkflowGen et ajoutez et / ou mettez à jour les propriétés suivantes sous ``:\ \ **Pour Microsoft Identity Platform v2.0 (recommandé) :** ```markup ``` \ **Pour Azure v1 :** ```markup ``` \ ✏️ **Note :** Check session iFrame (p.ex. `ApplicationSecurityAuthCheckSessionUrl`) n'est pas supporté dans **Microsoft Identity Platform v2.0**.
2. Remplacez `` par l'ID d'application (client) `WorkflowGen Web app` de ME-ID.
3. Remplacez `` par la clé secrète générée par l'inscription de l'application `WorkflowGen Web app` de ME-ID.
4. Remplacez `` par l'URL du point de terminaison de métadonnées que vous avez créée précédemment à partir de la valeur `Tenant ID` de votre ME-ID.
5. Pour **Microsoft Identity Platform v2.0**, remplacez `` par votre URL WorkflowGen dans la valeur de la clé **`ApplicationSecurityAuthAdditionalScopes`** (p.ex. : `https://macompagnie.com/wfgen/graphql/default`) si vous avez configuré l'enregistrement de l'application `WorkflowGen GraphQL API` (**étapes 4 à 6**). Sinon, supprimez complètement la clé **`ApplicationSecurityAuthAdditionalScopes`**.
6. Pour **Azure v1**, remplacez `` (qui est généralement `https://login.microsoftonline.com//oauth2/checksession`) par la valeur de la propriété `check_session_iframe` du point de terminaison de métadonnées. Pour ce faire, vous devrez envoyer une requête HTTP GET à l'URL de votre point de terminaison de métadonnées (p.ex. : `https://login.microsoftonline.com//.well-known/openid-configuration`), puis copier et coller la valeur. Voir les exemples ci-dessous sur la façon de demander le point de terminaison de métadonnées.
**Exemple de requête Linux / macOS :** ``` curl "" | python -m json.tool ``` \ ✏️ **Note :** Enlevez `| python -m json.tool` si vous n'avez pas Python; ceci est pour l'impression automatique (« pretty printing »).
**Exemple de requête Windows PowerShell :** ``` Invoke-RestMethod -Uri "" -Method GET | ConvertTo-JSON ``` **Tableau des options `web.config`** | **Option** | **Description** | | --------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `ApplicationSecurityAuthProvider` | Le nom du fournisseur d'identité supporté par WorkflowGen. À présent, seulement Microsoft Entra ID, Microsoft Identity Platform v2.0, Auth0, AD FS et Okta sont supportés. Valeur : `azure-v1`, `ms-identity-v2`,`auth0`, `adfs`, ou `okta` | | `ApplicationSecurityAuthClientId` | Chaque fournisseur d'identité génère un code qui identifie uniquement votre application. Dans ce cas, cette valeur est le code qui identifie uniquement l'application Web WorkflowGen dans ME-ID, Auth0, AD FS ou Okta. | | `ApplicationSecurityAuthClientSecret` | Comme pour l'ID client, cette valeur est aussi générée par le fournisseur d'identité, mais est plutôt comme un mot de passe d'utilisateur. Il est important de le garder secret parce qu'un logiciel malveillant ayant accès pourrait agir au nom de l'application. Cette valeur doit être générée explicitement dans ME-ID. | | `ApplicationSecurityAuthMetadataUrl` | Le point de terminaison fourni par le fournisseur d'identité qui supporte le standard [OpenID Connect Discovery](https://openid.net/specs/openid-connect-discovery-1_0.html). Il permet à WorkflowGen de récupérer des informations publiques sur votre domaine ME-ID, sans lequel vous devrez effectuer beaucoup plus de configurations dans le fichier `web.config`. Notez que l'URL du point de terminaison des métadonnées est différente pour **Microsoft Identity Platform v2.0** et **Azure v1**. | | `ApplicationSecurityAuthAppIdClaim` |

Le nom de la revendication contenu dans le jeton d'accès obtenu du fournisseur d'identité qui identifie uniquement un client non-interactif. Il est utilisé seulement si vous avez une application machine-à-machine qui doit accéder à l'API GraphQL. Pour le configurer, voir la section Configuration de Microsoft Entra ID pour les applications monopage.

✏️ Note : Il est recommandé de garder la valeur par défaut.

| | `ApplicationSecurityAuthUsernameClaim` |

Le nom de la revendication contenue dans le jeton d'accès qui identifie l'utilisateur dans WorkflowGen. Il est utilisé par WorkflowGen pour générer un jeton de session ainsi que par l'API GraphQL en récupérant un jeton d'accès.

✏️ Note : Il est recommandé de garder la valeur par défaut.

| | `ApplicationSecurityAuthAccessTokenUsernameClaim` |

Cette valeur est utilisée par l'API GraphQL lors de la réception d'un jeton d'accès.

✏️ Note : Il est recommandé de garder la valeur par défaut.

| | `ApplicationSecurityAuthClockTolerance` |

Cette valeur est utilisée lors de la vérification d'un jeton dans WorkflowGen. Il est essentiellement pour gérer des différences mineures entre les horloges des serveurs.

✏️ Note : Il est recommandé de garder la valeur par défaut.

| | `ApplicationSecurityAuthSessionRefreshEnableIFrame` |

Lorsqu'elle est activée (Y), cette option active la fonctionnalité d'auto-rafraîchissement de session à l'aide d'un \