Aperçu

Cette section contient les instructions sur la configuration du connecteur de synchronisation Azure AD de WorkflowGen, qui s'appuie sur les fonctionnalités d'approvisionnement des utilisateurs de Microsoft Entra ID (ME-ID). Les utilisateurs et les groupes seront automatiquement mis à jour (envoyés vers WorkflowGen) par ME-ID (toutes les 20 à 40 minutes) en utilisant le protocole SCIM v2.

Comme mentionné, c'est ME-ID qui pousse les données vers WorkflowGen. La nature du protocole ne permet pas à WorkflowGen de mettre à jour le répertoire dans ME-ID. En d'autres termes, c'est Azure qui interroge WorkflowGen pour obtenir des informations, et non l'inverse. Cela signifie que ME-ID est la seule source de vérité pour les utilisateurs et les groupes du système.

Dans les instructions, remplacez <url workflowgen> par le domaine et le chemin de votre instance de WorkflowGen; par exemple, localhost/wfgen ou www.macompagnie.com/wfgen.

Prérequis

• Assurez-vous d'avoir une instance de WorkflowGen en fonctionnement dans un réseau accessible par ME-ID avec les ports HTTPS ou HTTP ouverts.

• Assurez-vous de connaître l'adresse de l'instance.

• Assurez-vous que l'instance de WorkflowGen est opérationnelle.

Configuration de WorkflowGen

Cette section contient les instructions sur la définition d'un nouvel annuaire qui sera utilisé par ME-ID pour la synchronisation des utilisateurs et des groupes. Si vous avez satisfait les prérequis ci-dessus, vous pouvez procéder à la configuration de WorkflowGen pour recevoir les informations de ME-ID.

Créez et configurez un annuaire Azure AD SCIM v2

1. Dans le module d'administration de WorkflowGen (https://<url workflowgen>/admin), cliquez sur Annuaires, puis cliquez sur Nouvel annuaire dans l'écran Annuaires.

2. Entrez un nom et une description pour l'annuaire.

3. Choisissez Azure AD SCIM v2 dans la liste déroulante Connecteur d'annuaire.

Configuration de Microsoft Entra ID

Cette section contient les étapes pour la configuration d'une application d'entreprise typique avec ME-ID pour approvisionner votre instance de WorkflowGen avec des utilisateurs et des groupes.

Étape 1 : Créez une nouvelle application d'entreprise

Pour approvisionner WorkflowGen, vous devez l'inscrire dans le portail Azure en ajoutant une nouvelle application d'entreprise. Pour ce faire :

1. Dans votre portail Azure, cliquez sur Applications d'entreprise, puis cliquez sur Nouvelle application.

2. Dans la page Parcourir la galerie Microsoft Entra, cliquez sur Créer votre propre application, puis sélectionnez Intégrer une autre application que vous ne trouvez pas dans la galerie (non-galerie).

3. Entrez le nom de l'application. Généralement, il vous faudra un nom comme WorkflowGen SCIM v2

Vous pouvez maintenant passer à la configuration de l'application pour approvisionner WorkflowGen.

Étape 2 : Configurez l'application Microsoft Entra ID

Établissez une connexion entre WorkflowGen et Microsoft Entra ID

Cliquez sur Provisionnement sur la page de l'application, puis cliquez sur Démarrer. Toute la configuration restante sera faite ici.

Pour configurer la connexion entre WorkflowGen et ME-ID :

1. Choisissez le mode d'approvisionnement Automatique.

2. Cliquez sur Informations d'identification de l'administrateur. Pour l'URL de locataire, ajoutez votre adresse WorkflowGen (p.ex. : https://<url workflowgen>/wfgen/scim).

   ✏️ Note : Si votre domaine de base pointe déjà vers l'instance de WorkflowGen, n'incluez pas wfgen dans l'adresse.

Configurez l'approvisionnement

Deux nouvelles sections devraient maintenant être disponibles : Mappages et Paramètres. Vous devrez modifier certains mappages afin de faire correspondre correctement les données correspondantes dans WorkflowGen et de réduire les risques d'erreurs.

Groupes

Cliquez sur l'option qui contient Groupes pour changer le mappage des groupes. Ensuite, dans la nouvelle page, accédez à la section Mappages d'attributs et conservez seulement les mappages externalId, displayName et member réglées sur customappsso. Vous devez aussi changer le mappage de externalId en objectID de ME-ID. Ceci empêchera deux groupes différents d'être approvisionnés avec le même mappage externalId. Cet attribut doit être unique.

Vous avez également la possibilité de personnaliser les opérations à exécuter dans le répertoire WorkflowGen. Si vous partez de zéro, vous devez laisser les opérations Créer, Mettre à jour et Supprimer activées pour vous assurer qu'Azure peut effectuer toutes les opérations dont il a besoin pour garder WorkflowGen synchronisé avec ME-ID.

Les mappages finaux doivent ressembler au tableau suivant. Si vous avez des mappages supplémentaires qui ne sont pas listées ici, vous devez les supprimer, car elles ne seront pas mappés dans WorkflowGen.

Une fois que vous avez défini tous les mappages des groupes, cliquez à nouveau sur Enregistrer.

Utilisateurs

Vous devez aussi modifier les correspondances des utilisateurs. Pour ce faire, retournez aux options d'approvisionnement pour l'application de l'entreprise, puis cliquez sur le bouton pour les correspondances des utilisateurs dans la section Mappages.

Dans la section Mappages d'attributs dans la nouvelle page, vous devez changer seulement la correspondance de externalId en objectId de ME-ID.

Vous avez également la possibilité de personnaliser les opérations à exécuter dans le répertoire WorkflowGen. Si vous partez de zéro, vous devez laisser les opérations Créer, Mettre à jour et Supprimer activées pour vous assurer que ME-ID peut effectuer toutes les opérations dont il a besoin pour garder WorkflowGen synchronisé avec ME-ID.

Les mappages finaux doivent ressembler au tableau suivant. Si vous avez des mappages supplémentaires qui ne sont pas listés ici, vous devez les supprimer, car elles ne seront pas mappés dans WorkflowGen.

Lorsque toutes les mappages des utilisateurs sont réglés, cliquez sur Enregistrer.

Étape 3 : Lancez la synchronisation

Vous êtes maintenant prêt à lancer la synchronisation des utilisateurs et des groupes avec votre instance de WorkflowGen. Pour ce faire, naviguez à la section Paramètres dans la page Provisionnement de votre application d'entreprise.

Si vous voulez synchroniser seulement un sous-ensemble de vos utilisateurs et vos groupes ME-ID, sélectionnez l'option pour synchroniser les utilisateurs et les groupes affectés, ensuite affectez-les manuellement à cette application dans l'annuaire. Pour ce faire, naviguez à la section Utilisateurs et groupes de l'application et ajoutez-y manuellement vos utilisateurs.

Vous pouvez aussi configurer l'application pour synchroniser tous les utilisateurs et les groupes de votre répertoire. Dans ce cas, sélectionnez l'option pour synchroniser tous les utilisateurs et groupes.

Lorsque vous êtes prêt, réglez le status de l'approvisionnement sur Activé, puis cliquez sur Enregistrer.

Migration d'Active Directory classique vers Microsoft Entra ID

Si vous avez déjà une synchronisation avec un Active Directory classique, cette section contient les instructions sur comment migrer vos utilisateurs WorkflowGen vers votre nouvel Microsoft Entra ID sans devoir les supprimer et récréer.

À propos de l'approvisionnement Microsoft Entra ID

Tout d'abord, il est important de comprendre comment ME-ID synchronise votre annuaire via le connecteur SCIM avant de procéder à une migration. Dans ce guide, nous avons changé les correspondances par défaut entre les propriétés d'objet ME-ID et les propriétés SCIM. Une de ces propriétés est externalId, qui représente un identifiant unique depuis un système externe, donc elle doit être opaque pour WorkflowGen. Vous avez changé cette correspondance de displayName dans ME-ID en objectId. Dans WorkflowGen, externalId correspond à la propriété systemIdentifier d'un utilisateur, donc la valeur objectId de ME-ID est approvisionnée dans la valeur systemIdentifier dans WorkflowGen.

Deuxièmement, ME-ID commence la synchronisation en interrogeant le connecteur SCIM pour trouver les utilisateurs existants. D'abord, il envoie des requêtes GET avec ses valeurs objectId. Puisque WorkflowGen n'a pas de Id qui correspond à objectId de ME-ID, il retournera toujours une erreur 404 NOT FOUND. Ensuite, il envoie des requêtes GET mais avec un filtre sur externalId; cette fois, il trouve les utilisateurs dans WorkflowGen si leurs systemIdentifier correspondent à un objectId d'un utilisateur dans ME-ID.

Comment migrer les utilisateurs et les groupes à Microsoft Entra ID

1. Désactivez le connecteur d'Active Directory classique.

2. Créez un nouveau connecteur d'annuaire Azure SCIM v2.

3. Déplacez les utilisateurs et les groupes déjà dans Active Directory depuis d'autres annuaires WorkflowGen existants à l'annuaire SCIM.

4. Créez un script qui mettra à jour les utilisateurs et les groupes dans l'annuaire SCIM avec leurs propriétés

L'exemple ci-dessous inclut un algorithme qui associe les utilisateurs et les groupes à ME-ID :

L'exemple ci-dessous inclut un algorithme qui associe seulement les utilisateurs à ME-ID :

Résolution des problèmes

Les utilisateurs et les groupes sont marqués comme ignorés dans les journaux de synchronisation de ME-ID

Si vous rencontrez ce problème, cela peut être dû au fait que les utilisateurs et les groupes sont hors de portée de la synchronisation. La raison peut être que vous n'avez pas affecté d'utilisateurs à l'application d'entreprise et que vous avez sélectionné une portée d'utilisateurs affectés uniquement. Pour résoudre ce problème, affectez des utilisateurs à l'application d'entreprise en accédant à sa section Utilisateurs et groupes. Vous pouvez également modifier la portée de la synchronisation pour tous les utilisateurs et groupes de l'annuaire en modifiant les paramètres de synchronisation de l'application d'entreprise.

Une autre cause possible peut être liée à d'autres configurations dans votre ME-ID. Pour des instructions sur comment résoudre ce problème, consultez l'article Microsoft .

Ce guide fournit des informations et des instructions détaillées sur :

Comment configurer la synchronisation des utilisateurs et des groupes avec Microsoft Entra ID

Comment configurer l'authentification WorkflowGen avec OpenID Connect et Microsoft Entra ID

Comment autoriser l'accès aux applications mobiles avec OpenID Connect et Microsoft Entra ID

Comment autoriser WorkflowGen pour accéder aux scripts côté serveur avec OpenID et Microsoft Entra ID

Comment autoriser WorkflowGen pour accéder aux applications monopage avec OpenID Connect et Microsoft Entra ID

Comment configurer Microsoft Entra ID pour une utilisation avec l'interface de ligne de commande WorkflowGen

Comment configurer le service d'Approbation à distance de WorkflowGen pour s'intégrer à Exchange Online à l'aide de l'authentification moderne.

Comment configurer la base de données WorkflowGen avec la base de données SQL Azure

Comment configurer la fonctionnalité facultative de lecture du Scale-Out

Comment configurer l'équilibreur de charge d'Azure pour une plus haute disponibilité et une infrastructure plus évolutive

Comment configurer un partage Azure Files pour utilisation avec WorkflowGen

Comment configurer un SMTP Azure SendGrid avec WorkflowGen

Comment générer un lien universel pour simplifier la connexion des utilisateurs à l'application mobile WorkflowGen Plus

Comment configurer et gérer un cluster Kubernetes adapté à WorkflowGen dans Azure

Aperçu

Cette section fournit des instructions sur la façon de configurer Microsoft Entra ID (ME-ID) avec une application monopage afin que les utilisateurs puissent s'authentifier via celle-ci et envoyer des requêtes à l'API WorkflowGen GraphQL. Cette configuration se fait en trois étapes : l'enregistrement de votre application monopage, l'octroi de l'accès à l'API et la définition de certaines URLs de redirection.

Prérequis

• Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur Web IIS en mode de connexion sécurisé HTTPS.

• Assurez-vous d'avoir un accès administratif à ME-ID pour pouvoir le configurer correctement.

• Assurez-vous d'avoir approvisionné un utilisateur ME-ID existant avec lequel vous pouvez vous authentifier auprès de WorkflowGen afin de pouvoir utiliser l'application par la suite.

Configuration de Microsoft Entra ID

Étape 1 : Inscrivez une nouvelle application Web

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Services Azure.

2. Cliquez sur Nouvelle inscription, puis entrez les propriétés :

   • Nom : Mon nom SPA

Vous avez maintenant inscrit avec succès votre application dans ME-ID.

Étape 2 : Autorisez le flux d'octroi implicite sur l'inscription de l'application monopage

1. Cliquez sur Authentification.

2. Naviguez à la sous-section Octroi implicite et flux hybrides.

3. Cochez les cases Jetons d'accès et Jetons d'ID.

Étape 3 : Accordez l'accès à l'API GraphQL

Maintenant que vous avez enregistré avec succès votre application monopage, vous devez lui accorder l'accès à l'application WorkflowGen GraphQL API, qui devrait déjà être inscrite si vous avez rempli les conditions préalables.

1. Cliquez sur API autorisées.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis sélectionnez l'application WorkflowGen GraphQL API dans la liste.

Aperçu

Cette section contient les instructions sur comment configurer la fonctionnalité facultative de la lecture du Scale-Out, qui permet l'équilibrage des charges de travail en utilisant un réplica en lecture-seule au lieu d'un réplica en lecture écriture. Pour plus d'informations sur cette fonctionnalité, voir l'article Microsoft .

Prérequis

Aperçu

Cette section contient les instructions sur comment configurer un SMTP Azure SendGrid avec WorkflowGen.

Créez le compte SendGrid dans le portail Azure

Aperçu

Dans certains cas, vous voudrez effectuer une tâche spécifique qui peut être automatisée mais qui doit pouvoir accéder à l'API GraphQL de WorkflowGen; ce cas d'usage est souvent sous forme d'un script ou d'une application côté serveur (p.ex. : background service, daemon, curl , Postman, etc.). Pour ceci, OAuth2 fournit un type d'octroi appelé Client Credentials (informations d'identification du client) qui échange tout simplement un ID client et une clé secrète client pour un jeton d'accès. Il n'y a aucun jeton ID car ceci ne fait pas partie du standard OpenID Connect et aucun utilisateur n'est impliqué.

Cette section fournit des instructions sur la façon de configurer Microsoft Entra ID (ME-ID) pour qu'un script ou une application côté serveur ait accès à l'API WorkflowGen GraphQL. Tout d'abord, vous devez inscrire une nouvelle application Web dans ME-ID; ensuite, vous devrez configurer une nouvelle application dans votre serveur Web WorkflowGen.

Prérequis

• Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur Web IIS en mode de connexion sécurisé HTTPS.

• Assurez-vous d'avoir un accès administratif à WorkflowGen.

• Assurez-vous d'avoir un accès administratif à ME-ID pour pouvoir le configurer correctement.

Configuration de Microsoft Entra ID

Étape 1 : Inscrivez une nouvelle application Web

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Services Azure.

2. Cliquez sur Nouvelle inscription, puis entrez les propriétés :

   • Nom : Nom de votre script, service ou application

Vous avez maintenant inscrit avec succès votre application dans Azure Active Directory.

Étape 2 : Accordez l'accès à l'API GraphQL WorkflowGen

1. Cliquez sur Afficher les autorisation de l'API.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis sélectionnez l'application WorkflowGen GraphQL API dans la liste.

Étape 3 : Générez une clé secrète client pour l'application

1. Dans le menu de l'inscription de l'application, cliquez sur Certificats & secrets.

2. Dans la section Secrets client, cliquez sur Nouveau secret client.

   • Description : Mon secret, ou quelque chose qui l'identifie comme clé secrète client

Vérifiez l'inscription

Voici un aperçu des informations dont vous aurez besoin :

• Un ID client : Ceci est l'ID d'application (client) dans la section d'aperçu de votre inscription d'application.

• Une clé secrète client : Ceci est la valeur que vous avez générée dans la section Certificates & secrets.

• Un ID locataire : Ceci est l'ID de répertoire (locataire) dans la section d'aperçu de votre inscription d'application.

Vous avez maintenant enregistré avec succès votre script ou application côté serveur dans Microsoft Entra ID.

Configuration de WorkflowGen

Comme pour l'approvisionnement des utilisateurs, WorkflowGen a besoin de savoir quelle application accède à l'API GraphQL. Par conséquent, vous devez enregistrer l'application dans WorkflowGen, qui se compose de votre script ou application côté serveur.

Inscrivez une nouvelle application

1. Dans la page Applications du module d'administration WorkflowGen, cliquez sur Nouvelle application.

2. Renseignez le formulaire :

   • Nom : Mon application serveur

Votre application devrait maintenant apparaître dans la liste des applications WorkflowGen.

Utilisation du jeton d'accès

Pour que votre script ou application côté serveur envoie des requêtes à l'API WorkflowGen GraphQL, vous devez d'abord obtenir un jeton d'accès à partir de votre point de terminaison de jeton ME-ID OAuth2. Voici des exemples de la façon d'obtenir un jeton d'accès pour votre application et de faire une demande à l'API GraphQL.

Récupérer le jeton d'accès de ME-ID pour votre application

Requête cURL

Réponse JSON

Requête de l'API GraphQL avec le jeton d'accès

Requête cURL pour obtenir le nom d'utilisateur du visionneur de WorkflowGen

Réponse JSON de l'API GraphQL

Prérequis

• Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur Web IIS en mode de connexion sécurisé HTTPS.

• Assurez-vous d'avoir un accès administrateur Microsoft Entra ID (ME-ID) pour pouvoir configurer Azure AD.

• Assurez-vous d'avoir approvisionné un utilisateur ME-ID existant avec lequel vous pouvez vous authentifier auprès de WorkflowGen afin de pouvoir utiliser l'application par la suite.

Mode interactif

Configuration de Microsoft Entra ID

Cette configuration se fait dans plusieurs étapes. D'abord, vous devez inscrire une nouvelle application native dans ME-ID. Ensuite, vous devez donner les permissions requises à l'application pour accéder à l'API GraphQL de WorkflowGen. Enfin, vous devez inscrire les URLs de rappel qui redirigeront dans l'application native.

Étape 1 : Inscrivez une nouvelle application native

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Services Azure.

2. Cliquez sur Nouvelle inscription, puis entrez les propriétés :

   • Nom : WorkflowGen CLI

Vous avez maintenant enregistré avec succès votre application native WorkflowGen CLI dans ME-ID.

Étape 2 : Accordez l'accès à l'API GraphQL

1. Cliquez sur API autorisées.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis sélectionnez l'application WorkflowGen GraphQL API dans la liste.

Vérifiez l'inscription

Prenez note des informations dont vous aurez besoin plus tard :

• Un ID client : Ceci est l'ID d'application (client) dans la section d'aperçu de votre inscription d'application.

• Un ID locataire : Ceci est l'ID de répertoire (locataire) dans la section d'aperçu de votre inscription d'application.

Vous devrez fournir ces informations aux utilisateurs qui utiliseront la CLI WorkflowGen.

Mode non interactif

La configuration du mode non interactif est la même que dans la section

Aperçu

Cette section contient les instructions sur comment créer et configurer la fonctionnalité Azure Load Balancer (équilibreur de charge). Voici une citation de l'article Qu’est-ce qu’Azure Load Balancer ? de Microsoft :

Azure Load Balancer vous permet de mettre à l’échelle vos applications et de créer une haute disponibilité pour vos services. Load Balancer prend en charge les scénarios entrants et sortants, offre une latence faible et un débit élevé, et peut augmenter l’échelle jusqu’à des millions de flux pour toutes les applications TCP et UDP.

Load Balancer distribue les nouveaux flux entrants qui arrivent sur son frontend vers des instances de pool backend en fonction de règles et de sondes d’intégrité.

De plus, un équilibreur de charge public peut fournir des connexions sortantes pour des machines virtuelles à l’intérieur de votre réseau virtuel en traduisant leurs adresses IP privées en adresses IP publiques.

Étape 1 : Créez l'Azure Load Balancer

Via le portail Azure

Créez un équilibreur de charge de base en suivant les instructions dans l'article Microsoft . Lorsque vous aurez complété les étapes, vous devriez avoir :

• Un équilibreur de charge avec ses ressources configurés : un pool d'adresses « back-end », une sonde d'intégrité (« health probe ») et une règle d'équilibrage de charge. ✏️ Note : Lorsque vous créez la règle d'équilibrage de charge, vous pouvez configurer la « sticky-session » dans la liste déroulante Persistance de session. Si l'état de session est activé dans les formulaires Web (voir l'article dans la base de connaissances de WorkflowGen, disponible en anglais uniquement), la « sticky-session » est obligatoire.

• Un réseau virtuel

• Deux machines virtuelles avec IIS installé sur chacune

Via Azure CLI

Pour créer un équilibreur de charge et ses composants via l'interface de ligne de commande Azure, , puis suivez les étapes ci-dessous :

1. .

2. avec ses ressources (pool d'adresses principal, sonde d'intégrité et règle d'équilibreur de charge). ✏️ Note: Vous pouvez configurer la « sticky-session » en utilisant le paramètre --load-distribution dans le script. Pour plus de détails sur tous les paramètres supportés, voir l'article de Microsoft. Si l'état de session (Session State) est activé dans les formulaires Web, la « sticky-session » est obligatoire (voir l'article sur le forum WorkflowGen pour plus d'informations).

Étape 2 : Configurez WorkflowGen

1. Installez WorkflowGen sur les deux machines virtuelles en suivant les instructions dans la section du .

   ✏️ Note : Une fois que WorkflowGen est installé, il est obligatoire de configurer le mode d'authentification anonyme pour le site Web de WorkflowGen. L'application wfgen et ses sous-applications pourraient avoir de différentes méthodes d'authentification configurées.

2. Assurez-vous que les deux instances de WorkflowGen pointent vers la même base de données. Votre base de données peut être :

Pour les deux instances de WorkflowGen, remplacez <adresse IP publique de l'équilibreur de charge> ci-haut par l'adresse IP publique de l'équilibreur de charge.

Étape 3 : Configurez le « web farm »

Configurez votre WorkflowGen dans une architecture de batterie de serveurs Web (« web farm ») en suivant les instructions dans la section du . Lorsque vous aurez complété les instructions, vous aurez :

• Un dossier WebForms partagé.

• Les services du moteur et de la synchronisation des annuaires de WorkflowGen en fonctionnement sur une instance unique de WorkflowGen.

Aperçu

Cette section fournit des instructions sur la façon de configurer l'authentification déléguée WorkflowGen avec l'authentification Microsoft Entra ID (ME-ID) via les fournisseurs Microsoft Identity Platform v2.0 ou API endpoint v1, et vous montrera comment configurer une instance WorkflowGen fonctionnelle qui utilise ME-ID pour authentifier vos utilisateurs.

Prérequis

• Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur Web IIS en mode de connexion sécurisé HTTPS.

• Vous devez être un administrateur WorkflowGen.

• Assurez-vous d'avoir un accès administrateur ME-ID pour pouvoir configurer Azure AD.

• Assurez-vous d'avoir provisionné un utilisateur Azure AD existant que vous pouvez authentifier avec WorkflowGen et que l'utilisateur dispose des permissions d'

Configuration de Microsoft Entra ID

La configuration de ME-ID se fait en deux parties. D'abord, vous devez enregistrer l'application Web WorkflowGen et la lier à votre instance de WorkflowGen; ensuite, vous devez enregistrer l'API GraphQL de WorkflowGen afin de pouvoir enregistrer d'autres applications personnalisées pour y accéder.

Étape 1 : Créez une nouvelle inscription d'application pour WorkflowGen

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Azure Active Directory.

2. Cliquez sur Nouvelle inscription et entrez les propriétés :

   • Nom : WorkflowGen Web app

Vous devriez maintenant voir la page d'aperçu de l'enregistrement de l'application Web WorkflowGen.

Étape 2 : Générez une clé secrète client pour l'application

Maintenant, vous devez générer une clé secrète client à utiliser par le module d'authentification OIDC de WorkflowGen.

1. Cliquez sur Ajouter un certificat ou un secret.

2. Dans la section Secrets client, cliquez sur Nouveau secret client.

   • Description : Mon secret, ou quelque chose de semblable pour rappeler que ceci est la clé secrète client.

Étape 3 : Ajoutez un URI de redirection

Pour que la communication entre WorkflowGen et ME-ID fonctionne, vous devez ajouter un autre URI de redirection autorisé à l'application Web WorkflowGen Web app enregistrée.

1. Cliquez sur Authentification.

2. Dans la section URI de redirection, cliquez sur Ajouter l'URI.

3. Entrez les informations suivantes :

   • URI de redirection : https://<url workflowgen>/auth/logout/return

Étape 4 : Créez une nouvelle inscription d'application pour l'API GraphQL de WorkflowGen

Pour exposer l'API GraphQL, vous devez ajouter une nouvelle application qui la représentera. Pour ce faire :

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Services Azure.

2. Cliquez sur Nouvelle inscription et renseignez le formulaire des propriétés :

   • Nom : WorkflowGen GraphQL API

Vous avez maintenant correctement enregistré l'application WorkflowGen GraphQL API dans Azure AD.

Étape 5 : Exposez l'API dans l'inscription d'application de l'API WorkflowGen GraphQL

1. Cliquez sur Exposer une API.

2. À droite de URI ID d'application, cliquez sur Définir et entrez l'URI https://<url workflowgen>/graphql. 📌 Exemple : https://macompagnie.com/wfgen/graphql

3. Cliquez sur Enregistrer.

Étape 6 : Accordez à WorkflowGen l'accès à l'API WorkflowGen GraphQL

1. Dans la page d'inscription de l'application WorkflowGen Web app, cliquez sur Autorisations de l'API.

2. Cliquez sur Ajouter une autorisation, puis sélectionnez l'onglet Mes API.

3. Cliquez sur l'application WorkflowGen GraphQL API dans la liste.

Vérifiez les inscriptions

Vous devriez maintenant avoir toutes les informations dont vous aurez besoin pour configurer WorkflowGen pour déléguer l'authentification à ME-ID. Voici un résumé :

• Un ID client. Ceci est l'ID d'application (client) de l'inscription de l'application WorkflowGen Web app dans Azure AD. Vous pouvez le trouver sur sa page d'aperçu.

• Une clé secrète client. Ceci est la clé secrète client précédemment générée à l'étape 2 pour l'application WorkflowGen Web app.

• Une audience. Ceci est la propriété Application ID URI (p.ex. : https://<url workflowgen>/graphql

Vous devriez maintenant avoir toutes les informations requises pour lier votre instance de WorkflowGen à ME-ID.

Configuration de WorkflowGen

Vous devez maintenant configurer WorkflowGen pour déléguer l'authentification à ME-ID.

Étape 1 : Ajoutez les valeurs Microsoft Entra ID au web.config de WorkflowGen

1. Ouvrez le fichier web.config de WorkflowGen et ajoutez et / ou mettez à jour les propriétés suivantes sous <appSettings>: Pour Microsoft Identity Platform v2.0 (recommandé) :

   Pour Azure v1 :

   ✏️ Note : Check session iFrame (p.ex. ApplicationSecurityAuthCheckSessionUrl) n'est pas supporté dans Microsoft Identity Platform v2.0.

2. Remplacez <CLIENT ID>

Tableau des options web.config

WorkflowGen devrait maintenant être lié à votre ME-ID. La dernière chose qui reste à faire est de configurer quelques options supplémentaires afin de terminer le « câblage interne » de WorkflowGen afin qu'il puisse déléguer son authentification.

Étape 2 : Ajoutez des valeurs de sécurité pour la génération de session

WorkflowGen utilise un jeton de session interne pour gérer la session utilisateur et identifier l'utilisateur actuel pour toutes les requêtes HTTP adressées à l'application Web une fois que l'utilisateur s'est connecté à ME-ID. Pour générer un jeton de session, vous devez ajouter quelques paramètres supplémentaires au fichier web.config.

1. Ouvrez le fichier web.config de WorkflowGen et ajoutez et / ou mettez à jour la propriété suivante sous <appSettings> :

2. Remplacez <SECRET> par une valeur personnalisée qui ne peut pas être devinée, telle qu'un UUID ou un mot de passe complexe.

Le secret ne sera accessible qu'à l'intérieur de votre instance de WorkflowGen, donc lors de la génération d'un jeton de session, WorkflowGen le signera avec ce secret afin de vérifier la validité de tous les jetons de session qui lui sont transmis.

Étape 3 : Activez le module de délégation d'authentification

Vous devez maintenant activer la délégation en remplaçant le système d'authentification dans IIS et faire pointer les modules de WorkflowGen au module d'authentification correct.

Configurez IIS

1. Dans Gestionnaire IIS, cliquez sur le site Web WorkflowGen dans l'arborescence.

2. Cliquez sur le bouton Authentification.

3. Activez Authentification anonyme et désactivez toutes les autres authentifications.

4. Répétez ces étapes pour toutes les sous-applications.

Ajouter des propriétés aux fichiers web.config des sous-applications

Certaines sous-applications doivent faire vérifier leur authentification par le module d'authentification spécial Advantys.Security.JWTAuthenticationModule WorkflowGen, mais certaines autres sous-applications (telles que /wfgen/auth, /wfgen/hooks et /wfgen/scim) ne devraient pas le faire car elles sont publics ou ne font pas partie du système d'authentification global.

1. Ajoutez la propriété suivante au fichier web.config de WorkflowGen :

2. Si vous avez développé des formulaires Web personnalisés avec leurs propres dossiers \bin, vous devez copier les assemblies .NET et les bibliothèques de dépendances suivants de \wfgen\bin dans le dossier \bin de chaque formulaire Web personnalisé (\wfgen\wfapps\webforms\bin) :

Appel des API tierces avec le jeton d'accès

Par défaut, le seul destinataire du jeton d'accès est l'application WorkflowGen GraphQL API. Cela signifie que le jeton d'accès ne peut être utilisé que pour envoyer des requêtes à l'API GraphQL uniquement. Afin d'utiliser le même jeton d'accès pour appeler vos propres API à partir de WorkflowGen (par exemple, des formulaires Web), vous devrez effectuer les étapes suivantes dans votre portail Azure, puis modifier le fichier web.config de WorkflowGen.

Dans votre portail Azure :

Étape 1 : Ajoutez une nouvelle inscription d'application qui représente toutes vos API

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Services Azure.

2. Cliquez sur Nouvelle inscription et renseignez le formulaire des propriétés :

   • Nom : Mes API

Étape 2 : Exposez vos API dans l'inscription

1. Cliquez sur Exposer une API.

2. À droite de URI ID d'application, cliquez sur Définir et entrez l'URI api://mes-api.

3. Cliquez sur Enregistrer.

Étape 3 : Ajoutez un rôle d'application

1. Cliquez sur Manifeste.

2. Recherchez la propriété JSON appRoles et ajoutez l'objet JSON suivant au tableau JSON :

   ✏️ Note : Remplacez<NEW ID> par la valeur générée par la commande PowerShell[guid]::NewGuid().ToString() ou utilisez n'importe quel générateur de GUID.

Étape 4 : Accordez à WorkflowGen l'accès à l'application Mes API

1. Dans la page d'inscription de l'application WorkflowGen Web app, cliquez sur API autorisées.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis choisissez l'application Mes API dans la liste.

Étape 5 (facultatif) : Accordez à vos applications automatisées dans Azure (flux d'informations d'identification client) l'accès à l'application Mes API

Pour chacune de vos applications automatisées dans Azure (par exemple, un script côté serveur, un service en arrière-plan ou une application) qui nécessite un accès à l'application Mes API, procédez comme suit :

1. Accédez à la page d'inscription de l'application, puis cliquez sur API autorisées.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis sélectionnez l'application Mes API dans la liste.

Dans le fichier web.config de WorkflowGen :

Ouvrez le fichier web.config de WorkflowGen, ajoutez et / ou mettez à jour les paramètres d'application suivants, puis enregistrez le fichier :

Assistant de jeton d'accès des formulaires Web .NET

La classe WorkflowPage de la bibliothèque WorkflowGen.My fournit une méthode publique CurrentUserAccessToken pour récupérer facilement le jeton d'accès partagé de l'utilisateur actuel qui peut être utilisé pour interroger l'API GraphQL et vos API tierces. Voir l'extrait de code ci-dessous.

Informations supplémentaires

Support des services SOAP

WorkflowGen supporte seulement les requêtes à l'API SOAP en utilisant les méthodes d'authentification classiques. Si vous devez toujours utiliser cette API, vous devez effectuer quelques étapes additionnelles pour la configurer correctement. Pour ce faire :

1. Créez un nouvel annuaire WorkflowGen (utilisateurs et groupes) séparé pour les utilisateurs de l'API SOAP.

2. Approvisionnez-le avec des utilisateurs et des groupes au besoin.

3. Dans Gestionnaire IIS, cochez la méthode d'authentification De base pour l'application \wfgen\ws.

À propos de la gestion de session

Microsoft Entra ID supporte la , un standard de « extension draft », en plus du standard principal de OpenID Connect. Ce standard définit les règles pour gérer la session SSO du fournisseur depuis le client. Par exemple, si un utilisateur se déconnecte de sa session ME-ID depuis n'importe quel appareil, un client Web régulier recevra un message qui lui permettra d'enlever la session locale de cet utilisateur. WorkflowGen supporte cette fonctionnalité quand l'authentification déléguée est activée avec ME-ID.

Options configurables

Le tableau ci-dessous liste toutes les options configurables dans WorkflowGen que vous pouvez utiliser pour personnaliser votre expérience d'authentification; elles se trouvent dans le fichier web.config de WorkflowGen.

Limitations courantes

Si le portail utilisateur ou le module d'administration de WorkflowGen est affiché sans le menu d'en-tête principal, cette fonctionnalité ne fonctionnera pas. Par exemple, ce scénario pourrait se produire lorsque la page d'accueil du portail ou un formulaire de suivi de demande est affiché dans une iFrame dans une solution externe.

Configuration de l'authentification sans l'API GraphQL

Si, pour une raison quelconque, vous ne pouvez pas enregistrer l'application WorkflowGen GraphQL API et que vous n'avez pas besoin de l'authentification API GraphQL configurée avec le fournisseur, vous pouvez éviter de créer l'enregistrement et configurer WorkflowGen avec l'API Microsoft Graph, qui est incluse par défaut dans toutes les inscriptions d'applications. Pour ce faire, il vous suffit de modifier certaines options de configuration dans le fichier web.config :

1. Remplacez la clé ApplicationSecurityAuthAudience par l'URL de l'API Microsoft Graph, par exemple https://graph.microsoft.com.

2. Définissez l'option ApplicationSecurityAuthDecodeAccessToken sur N.

Aperçu

Azure Files est un service dans le cloud qui offre un service de sauvegarde de stockage pour les instances de WorkflowGen hébergées dans le cloud Azure ou sur place via un partage de fichiers utilisant le procotole SMB standard. Ce service fournit plusieurs bonnes options pour L'accès au données, le partage, la synchronisation et la redondance pour usage dans des scénarios d'une ou de plusieurs instances de WorkflowGen.

Pour plus d'informations sur les avantages ou des cas d'usage d'Azure Files, voir l'article Microsoft .

La section suivante contient des instructions et des recommandations sur la configuration d'un partage Azure Files pour utiliser dans WorkflowGen.

Aperçu

Cette section fournit les instructions sur comment créer et configurer votre base de données SQL Azure.

Création de la base de données SQL Azure

L'instance de la base de données SQL Azure doit être créée dans le . Consultez l'article Microsoft pour des informations sur comment créer la base de données. Une fois que vous avez complété les instructions, vous aurez :

• Le nom du serveur SQL Azure

• Les informations d'identification du compte administrateur

• Une règle de pare-feu au niveau du serveur pour le serveur de votre adresse IP

• Le nom de votre base de données SQL Azure

Étape 1 : Configurez la base de données SQL Azure

Via le portail Azure

1. Connectez-vous à votre instance de base de données SQL Azure depuis le compte d'administrateur que vous avez créé dans ou dans .

2. Vous devez créer un compte utilisateur SQL Server avec les permissions db_datareader et db_datawriter. Consultez l'article Microsoft ou bien exécutez le script dans l'éditeur de requête de la base de données SQL ou dans SQL Management Studio (la base de données master doit être sélectionnée) :

Via Azure CLI

La base de données SQL Azure peut également être créée via des scripts Azure CLI (interface de ligne de commande Azure). Pour ce faire :

1. .

2. Copiez le script create.sql de la base de données WorkflowGen dans le dossier C:\Azure\setup\sql. Si vous souhaitez modifier le chemin, vous devez également modifier la variable $sqlScriptPath dans le script suivant.

Les scripts suivants créent le serveur SQL et la base de données SQL. La variable de mot de passe de l'administrateur de la base de données SQL ($sqlAdminPassword) doit être mise à jour; le nom du groupe de ressources ($resourceGroup), le niveau tarifaire ($sqlServiceObjective) et le chemin du script SQL ($sqlScriptPath) doivent également être mis à jour. (Pour plus d'informations sur le niveau tarifaire, voir .)

• Option A : Mode base de données autonome Le script suivant crée l'utilisateur de la base de données (wfgen_user) dans une base de données autonome. La variable de mot de passe de l'utilisateur de la base de données SQL ($sqlUserPassword) doit être mise à jour.

  ✏️ Note : N'exécutez pas le script Remove my public IP si vous devez accéder à la base de données à partir de votre bureau ou si votre serveur WorkflowGen n'est pas hébergé par Azure.

• Option B : Mode base de données standard Le script suivant crée l'utilisateur de la base de données (wfgen_user

Étape 2 : Configurez WorkflowGen

Ouvrez le fichier web.config de WorkflowGen et ajouter le nœud suivant sous <connectionStrings> :

• Remplacez <server name> par le nom du serveur (p.ex. workflowgen.database.windows.net).

• Remplacez <database name> par le nom de la base de données (p.ex. WFGEN).

• Remplacez

Aperçu

Cette section présente quelques indications sur la configuration et la gestion d'un cluster (groupement) Kubernetes adapté à WorkflowGen dans Azure.

Création d'un nouveau cluster

Pour créer un nouveau cluster qui supporte les charges de travail Linux et Windows, consultez l'article Microsoft , qui comprend des instructions étape par étape sur la façon de créer le cluster. Suivez toutes les instructions, y compris la création d'un pool de nœuds Windows. À la fin, vous devez avoir au moins deux nœuds : un nœud Linux et un nœud Windows.

Vous pouvez utiliser Microsoft Entra ID (anciennement Azure Active Directory) pour authentifier et autoriser les utilisateurs du cluster. Consultez l'article Microsoft pour plus d'informations.

Gestion des nœuds Windows et Linux

Par défaut, AKS ne restreint pas d'autres nœuds Windows d'empêcher le déploiement de Linux sur eux. Il est recommandé d'utiliser des taches (« taints ») et tolérances pour éviter les problèmes d'ordonnancement de déploiement Linux sur les nœuds Windows (voir l'article Kubernetes pour plus d'informations). Voici un exemple de la façon dont vous pouvez utiliser les taches et les tolérances pour gérer les déploiements hybrides.

Appliquez des taches à tous les nœuds Windows

L'application de taches à tous les nœuds Windows empêchera tout déploiement sur les nœuds Windows, sauf lorsque le déploiement a la tolérance requise. Par conséquent, pour de nombreux cartes (« charts ») Linux Helm qui n'ont pas de sélecteur de nœud, les déploiements seront automatiquement ordonnancés sur les nœuds Linux. Google Kubernetes Engine le fait par défaut. Exécutez la commande suivante pour appliquer une tache à un nœud Windows :

Ajoutez des tolérances aux déploiements Windows

Pour pouvoir déployer des modules Windows sur des nœuds Windows, vous devez utiliser une combinaison de tolérances et de sélecteurs de nœuds dans votre spécification de déploiement. Par exemple, considérez ce déploiement WorkflowGen :

Pour qu'il soit ordonnancé sur un nœud Windows, vous devez ajouter ce qui suit au spec du template :

Cela ajoute une tolérance à la tache que vous venez d'ajouter au nœud et indique à l'ordonnanceur Kubernetes de sélectionner un nœud Windows lors de l'ordonnancement des pods (capsules) WorkflowGen.

Vous pouvez également simplifier cela en créant un objet RuntimeClass qui contient ces informations et en référençant la classe d'exécution dans vos déploiements Windows :

Appliquez ce fichier :

Ensuite, ajoutez ce qui suit à la spécification du pod :

Comme vous pouvez le voir, cet objet RuntimeClass garantit également que le déploiement se fera sur un nœud Windows LTSC 2019 (1809).

Gestion des mises à jour des nœuds

Il y a deux choses que vous devez considérer pour la gestion des mises à jour : la version de Kubernetes et la mise à jour du système d'exploitation. Pour plus d'informations sur la mise à jour du cluster vers une version Kubernetes spécifique, consultez l'article Microsoft . (Ne vous inquiétez pas du titre de l'article, il contient un paragraphe sur les mises à jour Windows.)

Mise à l'échelle automatique des pools de nœuds

Vous pouvez utiliser un « autoscaler » dans AKS pour mettre à l'échelle automatiquement le nombre de nœuds dans votre cluster en fonction des règles pour répondre aux demandes. Consultez l'article Microsoft pour plus d'informations. Cette fonctionnalité se marie bien avec l'autoscaler horizontal de pod Kubernetes. Consultez l'article Kubernetes pour plus d'informations.

Vous pouvez également utiliser des instances de conteneur Azure pour faire évoluer rapidement votre cluster pendant une courte période. Consultez l'article Microsoft pour plus d'informations.