Fédération avec des fournisseurs d’identité SAML/WS-Fed

S’applique à : Locataires de main-d’œuvre Locataires externes (en savoir plus)

Cet article décrit comment configurer la fédération directe avec n’importe quelle organisation dont le fournisseur d’identité (IdP) prend en charge le protocole SAML 2.0 ou WS-Fed. Lorsque vous configurez la fédération avec un fournisseur d’identité partenaire, les nouveaux utilisateurs invités de ce domaine peuvent utiliser leur propre compte professionnel géré par le fournisseur d’identité pour se connecter à votre locataire Microsoft Entra et commencer à travailler avec vous. Il n’est pas nécessaire pour l’utilisateur invité de créer un compte Microsoft Entra séparé.

Quand un utilisateur invité est-il authentifié avec la fédération IdP SAML/WS-Fed ?

Après votre configuration de la fédération avec le fournisseur d’identité SAML/WS-Fed d’une organisation :

• Si le domaine avec lequel vous fédérez n’est pas un domaine vérifié Microsoft Entra ID, tous les nouveaux utilisateurs invités sont authentifiés en utilisant le fournisseur d’identité SAML/WS-Fed.

• Si le domaine est vérifié Microsoft Entra ID, vous devez également configurer les paramètres d’Ordre d’acception (préversion) dans vos paramètres d’accès multitenant pour une collaboration B2B entrante afin de classer par ordre de priorité l’acceptation avec le fournisseur d’identité fédéré. Tous les nouveaux utilisateurs que vous invitez ensuite sont authentifiés en utilisant ce fournisseur d’identité SAML/WS-Fed.

Il est important de noter que configurer la fédération ne change pas la méthode d’authentification pour les utilisateurs invités qui ont déjà utilisé une invitation de votre part. Voici quelques exemples :

• Les utilisateurs invités ont déjà accepté des invitations de votre part, puis vous configurez plus tard la fédération avec le fournisseur d’identité SAML/WS-Fed de l’organisation. Ces utilisateurs invités continuent d’utiliser la même méthode d’authentification qu’ils utilisaient avant que vous configuriez la fédération.
• Vous configurez la fédération avec le fournisseur d’identité SAML/WS-Fed d’une organisation, puis invitez des utilisateurs, puis l’organisation partenaire passe à Microsoft Entra ID. Les utilisateurs invités qui ont déjà accepté des invitations continuent d’utiliser le fournisseur d'identité SAML/WS-Fed, tant que la stratégie de fédération dans votre tenant (locataire) existe.
• Vous supprimez la fédération avec le fournisseur d’identité SAML/WS-Fed d’une organisation. Les utilisateurs invités qui utilisent actuellement le fournisseur d’identité SAML/WS-Fed ne peuvent pas se connecter.

Dans l’un de ces scénarios, vous pouvez mettre à jour la méthode d’authentification d’un utilisateur invité en réinitialisant l’état d’acceptation.

La fédération SAML/WS-Fed est liée aux espaces de noms domaine, par exemple contoso.com et fabrikam.com. Lorsque vous établissez une fédération avec AD FS ou un fournisseur d’identité tiers, les organisations associent un ou plusieurs espaces de noms domaine à ces fournisseurs d’identité.

Expérience de l’utilisateur final

Avec la fédération de fournisseur d’identité SAML/WS-Fed, les utilisateurs invités se connectent à votre client Microsoft Entra à l’aide de leur propre compte professionnel. Lorsqu’ils accèdent à des ressources partagées, puis sont invités à se connecter, les utilisateurs sont redirigés vers leur fournisseur d’identité. Après s’être connectés, ils sont renvoyés vers Microsoft Entra ID pour accéder aux ressources. Si la session Microsoft Entra expire ou devient non valide et que l’authentification unique est activée pour le fournisseur d’identité fédéré, l’utilisateur bénéficie de l’authentification unique. Si la session de l’utilisateur fédéré est valide, l’utilisateur n’est pas invité à se reconnecter. Sinon, l’utilisateur est redirigé vers son fournisseur d’identité pour se connecter.

Points de terminaison de connexion

Les utilisateurs invités de la fédération de fournisseur d’identité SAML/WS-Fed peuvent désormais se connecter à vos applications multilocataires ou à vos applications principales Microsoft à l’aide d’un point de terminaison commun (en d’autres termes, une URL d’application générale qui n’inclut pas le contexte de votre locataire). Durant le processus de connexion, l’utilisateur invité choisit Options de connexion, puis sélectionne Sign in to an organization (Se connecter à une organisation). L’utilisateur tape ensuite le nom de votre organisation et poursuit le processus de connexion à l’aide de ses propres informations d’identification.

Les utilisateurs invités de la fédération de fournisseur d’identité SAML/WS-Fed peuvent également se servir des points de terminaison d’application qui incluent les informations de votre locataire, par exemple :

• https://myapps.microsoft.com/?tenantid=<your tenant ID>
• https://myapps.microsoft.com/<your verified domain>.onmicrosoft.com
• https://portal.azure.com/<your tenant ID>

Vous pouvez également fournir aux utilisateurs invités un lien direct vers une application ou une ressource en incluant les informations de votre locataire, par exemple https://myapps.microsoft.com/signin/X/<application ID?tenantId=<your tenant ID>.

Forum aux questions

Puis-je configurer la fédération de fournisseur d’identité SAML/WS-Fed avec les domaines vérifiés Microsoft Entra ID ?

Ou, vous pouvez configurer la fédération de fournisseur d’identité SAML/WS-Fed avec d’autres domaines vérifiés Microsoft Entra ID. Cela inclut les domaines vérifiés dans lesquels le tenant est soumis à une prise de contrôle de l’administrateur. Si le domaine avec lequel vous fédérez est vérifié Microsoft Entra ID, vous devez également configurer les paramètres Ordre d’acceptation (préversion) dans vos paramètres d’accès multitenant pour une collaboration B2B entrante afin de vérifier que, lorsque des utilisateurs invités se connectent, ils acceptent leurs invitations en utilisant le fournisseur d’identité fédéré au lieu de Microsoft Entra ID.

Les paramètres d’ordre d’acceptation ne sont actuellement pas pris en charge dans les clouds. Si le domaine avec lequel vous fédérez est vérifié Microsoft Entra ID dans un autre cloud Microsoft, l’acceptation Microsoft Entra est toujours prioritaire.

Puis-je configurer la fédération de fournisseur d’identité SAML/WS-Fed avec un domaine pour lequel un client non géré (vérifié par e-mail) existe ?

Oui, vous pouvez configurer la fédération de fournisseur d’identité SAML/WS-Fed avec des domaines qui ne sont pas vérifiés par DNS dans Microsoft Entra ID, notamment les locataires Microsoft Entra non mangés (vérifiés par e-mail ou « viraux »). Ces locataires sont créés quand un utilisateur accepte une invitation B2B ou effectue une inscription en libre-service pour Microsoft Entra ID à l’aide d’un domaine qui n’existe pas actuellement.

Puis-je configurer la fédération avec plusieurs domaines du même locataire ?

Oui, nous prenons désormais en charge la fédération de fournisseur d’identité SAML/WS-Fed avec plusieurs domaines du même locataire.

Dois-je renouveler le certificat de signature quand il expire ?

Si vous spécifiez l’URL de métadonnées dans les paramètres du fournisseur d’identité, Microsoft Entra ID renouvelle automatiquement le certificat de signature à son expiration. Toutefois, si le certificat pivote avant le délai d’expiration pour une raison quelconque ou si vous ne fournissez pas d’URL de métadonnées, Microsoft Entra ID ne peut pas le renouveler. Dans ce cas, vous devez mettre à jour le certificat de signature manuellement.

Si la fédération de fournisseur d’identité SAML/WS-Fed et l’authentification par code secret à usage unique par e-mail sont activées, quelle méthode est prioritaire ?

Lorsque la fédération de fournisseur d’identité SAML/WS-Fed est établie avec une organisation partenaire, elle est prioritaire sur l’authentification par code secret à usage unique par e-mail pour les nouveaux utilisateurs invités de cette organisation. Si un utilisateur invité a accepté une invitation à l’aide de l’authentification par code secret à usage unique avant que vous configuriez la fédération de fournisseur d’identité SAML/WS-Fed, il continue d’utiliser l’authentification par code secret à usage unique.

La fédération de fournisseur d’identité SAML/WS-Fed répond-elle aux problèmes de connexion, étant une location partiellement synchronisée ?

Non, la fonctionnalité de connexion par code secret à usage unique par e-mail doit être utilisée dans ce cas. Une « location partiellement synchronisée » fait référence à un locataire Microsoft Entra ID partenaire où les identités utilisateur locales ne sont pas entièrement synchronisées avec le cloud. Un invité dont l’identité n’existe pas encore dans le cloud mais qui essaie d’utiliser votre invitation B2B ne peut pas se connecter. La fonctionnalité de code secret à usage unique permettrait à cet invité de se connecter. La fonctionnalité de fédération de fournisseur d’identité SAML/WS-Fed répond aux scénarios où l’invité a son propre compte professionnel géré par le fournisseur d’identité, mais que l’organisation n’a aucune présence sur Microsoft Entra.

Une fois que la fédération de fournisseur d’identité SAML/WS-Fed est configurée avec une organisation, faut-il envoyer une invitation individuelle à chaque invité pour qu’il l’utilise ?

Lorsque vous invitez de nouveaux invités, vous devez toujours envoyer des invitations ou fournir des liens directs afin que les invités puissent terminer les étapes d'échange. Pour les invités existants, vous n’avez pas nécessairement besoin d’envoyer de nouvelles invitations. Les invités existants continueront à utiliser la méthode d’authentification qu’ils utilisaient avant la configuration de la fédération. Si vous souhaitez que ces invités commencent à utiliser la fédération pour l'authentification, vous pouvez réinitialiser leur statut d'échange. Ensuite, la prochaine fois qu'ils accéderont à votre application ou utiliseront le lien contenu dans votre invitation, ils répéteront le processus d'échange et commenceront à utiliser la fédération comme méthode d'authentification.

Existe-t-il un moyen d’envoyer une demande signée au fournisseur d’identité SAML ?

Actuellement, la fonctionnalité de fédération Microsoft Entra SAML/WS-Fed ne prend pas en charge l’envoi d’un jeton d’authentification signé au fournisseur d’identité SAML.

Quelles sont les autorisations nécessaires pour configurer un fournisseur d’identité SAML/WS-Fed ?

Vous devez être au moins Administrateur de fournisseur d’identité externe pour configurer un fournisseur d’identité SAML/Ws-Fed.

La fédération élimine-t-elle la nécessité de créer un compte invité dans mon annuaire pour l’utilisateur B2B Collaboration ?

Non. Un compte invité est créé pour un utilisateur B2B Collaboration dans votre annuaire, quelle que soit la méthode d’authentification ou de fédération utilisée. Cet objet utilisateur vous permet d’accorder l’accès aux applications, d’attribuer des rôles et de définir l’appartenance aux groupes de sécurité.

Étape 1 : Déterminer si le partenaire doit mettre à jour ses enregistrements texte DNS

En fonction de son fournisseur d’identité, le partenaire devra peut-être mettre à jour ses enregistrements DNS pour activer la fédération avec vous. Procédez comme suit pour déterminer si des mises à jour des enregistrements DNS sont nécessaires.

1. Vérifiez l’URL d’authentification passive du fournisseur d’identité du partenaire pour déterminer si le domaine correspond au domaine cible ou à un hôte du domaine cible. En d’autres termes, lors de la configuration de la fédération pour fabrikam.com :

   • Si le point de terminaison d’authentification passive est https://fabrikam.com ou https://sts.fabrikam.com/adfs (un hôte du même domaine), aucune modification des enregistrements DNS n’est nécessaire.
   • Si le point de terminaison d’authentification passive est https://fabrikamconglomerate.com/adfs ou https://fabrikam.com.uk/adfs, le domaine ne correspond pas au domaine fabrikam.com. Le partenaire doit donc ajouter un enregistrement texte pour l’URL d’authentification à sa configuration DNS.

2. Si des modifications des enregistrements DNS sont nécessaires en fonction de l'étape précédente, demandez au partenaire d'ajouter un enregistrement TXT aux enregistrements DNS de son domaine, comme dans l'exemple suivant :

   fabrikam.com.  IN   TXT   DirectFedAuthUrl=https://fabrikamconglomerate.com/adfs

Étape 2 : Configurer le fournisseur d’identité de l’organisation partenaire

Votre organisation partenaire doit ensuite configurer son fournisseur d’identité avec les revendications requises et les approbations de partie de confiance.

Configuration SAML 2.0

Vous pouvez configurer Microsoft Entra B2B pour la fédération avec des fournisseurs d’identité qui utilisent le protocole SAML en respectant certaines exigences spécifiques indiquées dans cette section. Si vous souhaitez en savoir plus sur la configuration d’une confiance entre votre fournisseur d’identité SAML et Microsoft Entra ID, veuillez consulter la rubrique Utiliser un fournisseur d’identité SAML 2.0 pour l’authentification unique.

Attributs SAML 2.0 et revendications requises

Les tableaux suivants présentent la configuration requise pour les attributs spécifiques et les revendications qui doivent être configurés au niveau du fournisseur d’identité tiers. Pour configurer la fédération, les attributs suivants doivent être reçus dans la réponse SAML 2.0 à partir du fournisseur d’identité. Ces attributs peuvent être configurés en liant le fichier XML du service d’émission de jeton de sécurité en ligne ou en les entrant manuellement.

Attributs requis pour la réponse SAML 2.0 du fournisseur d’identité :

Revendications requises pour le jeton SAML 2.0 émis par le fournisseur d’identité :

Configuration WS-Fed

Vous pouvez configurer Microsoft Entra B2B pour la fédération avec des fournisseurs d’identité qui utilisent le protocole WS-Fed. Cette section traite des exigences. Actuellement, les deux fournisseurs WS-Fed testés pour assurer la compatibilité avec Microsoft Entra ID incluent AD FS et Shibboleth. Pour plus d’informations sur l’établissement d’une partie de confiance entre un fournisseur compatible WS-Fed avec Microsoft Entra ID, consultez le document « Intégration STS à l’aide des protocoles WS » disponible dans Compatibilité des fournisseurs d’identité Microsoft Entra.

Attributs WS-Fed et revendications requises

Les tableaux suivants présentent la configuration requise pour les attributs spécifiques et les revendications qui doivent être configurés au niveau du fournisseur d’identité SAML/WS-Fed tiers. Pour configurer la fédération, les attributs suivants doivent être reçus dans le message WS-Fed à partir du fournisseur d’identité. Ces attributs peuvent être configurés en liant le fichier XML du service d’émission de jeton de sécurité en ligne ou en les entrant manuellement.

Attributs requis dans le message WS-Fed du fournisseur d’identité :

Revendications requises pour le jeton WS-Fed émis par le fournisseur d’identité :

Étape 3 : Configurer la fédération de fournisseur d’identité SAML/WS-Fed dans Microsoft Entra ID

Ensuite, configurez la fédération avec le fournisseur d’identité configuré à l’étape 1 dans Microsoft Entra ID. Vous pouvez utiliser le centre d'administration Microsoft Entra ou l'API Microsoft Graph. La stratégie de la fédération prend effet au bout de 5 à 10 minutes. Pendant ce temps, n’essayez pas d’utiliser une invitation pour le domaine de la fédération. Les attributs suivants sont requis :

• URI de l’émetteur du fournisseur d’identité du partenaire
• Point de terminaison de l’authentification passive du fournisseur d’identité du partenaire (https uniquement est pris en charge)
• Certificat

Pour configurer la fédération dans le centre d'administration Microsoft Entra

1. Connectez-vous au centre d’administration Microsoft Entra au moins en tant qu’administrateur de fournisseur d’identité externe.

2. Accédez à Identité>External Identities>Tous les fournisseurs d’identité.

3. Sélectionnez l’onglet Personnalisé, puis sélectionnez Ajouter un nouveau>SAML/WS-Fed.

   

4. Sur la page Nouveau fournisseur d’identité SAML/WS-Fed, entrez les éléments suivants :

   • Nom complet : entrez un nom pour vous aider à identifier le fournisseur d’identité du partenaire.
   • Protocole du fournisseur d’identité : sélectionnez SAML ou WS-Fed.
   • Nom de domaine du fournisseur d’identité de fédération : entrez le nom de domaine cible du fournisseur d’identité de votre partenaire pour la fédération. Pendant cette configuration initiale, entrez un seul nom de domaine. Vous pouvez ajouter d’autres domaines plus tard.

   

5. Sélectionnez une méthode pour renseigner les métadonnées. Si vous avez un fichier qui contient les métadonnées, vous pouvez remplir automatiquement les champs en sélectionnant fichier de métadonnées d’analyse et en accédant au fichier. Vous pouvez également sélectionner Entrer manuellement les métadonnées et entrer les informations suivantes :

   • L’URI d’émetteur du fournisseur d’identité SAML du partenaire ou ID d’entité du fournisseur d’identité WS-Fed du partenaire.
   • Le point de terminaison d’authentification passif du fournisseur d’identité SAML du partenaire ou point de terminaison du demandeur passif du fournisseur d’identité WS-Fed du partenaire.
   • Certificat : ID du certificat de signature.
   • URL de métadonnées : emplacement des métadonnées du fournisseur d’identité pour le renouvellement automatique du certificat de signature.

   

   Notes

   L’URL des métadonnées est facultative, mais fortement recommandée. Si vous fournissez l’URL des métadonnées, Microsoft Entra ID peut renouveler automatiquement le certificat de signature lorsqu’il arrive à expiration. Si le certificat pivote avant le délai d’expiration pour une raison quelconque, ou si vous ne fournissez pas une URL de métadonnées, Microsoft Entra ID ne pourra pas le renouveler. Dans ce cas, vous devez mettre à jour le certificat de signature manuellement.

6. Sélectionnez Enregistrer. Le fournisseur d’identité est ajouté à la liste des fournisseurs d’identité SAML/WS-Fed.

   

7. (Facultatif) Pour ajouter d’autres noms de domaine à ce fournisseur d’identité fédérateur :

   1. Sélectionnez le lien dans la colonne Domaines.

      

   2. En regard de Nom de domaine du fournisseur d’identité fédérateur, tapez le nom de domaine, puis sélectionnez Ajouter. Répétez cette opération pour chaque domaine que vous souhaitez ajouter. Quand vous avez terminé, cliquez sur Terminé.

      

Pour configurer la fédération à l’aide de l’API Microsoft Graph

Vous pouvez utiliser le type de ressource samlOrWsFedExternalDomainFederation de l’API Microsoft Graph pour configurer la fédération avec un fournisseur d’identité qui prend en charge le protocole SAML ou WS-Fed.

Étape 4 : configurer l’ordre d’acceptation pour des domaines vérifiés Microsoft Entra ID

Si le domaine est vérifié Microsoft Entra ID, configurez les paramètres d’Ordre d’acception dans vos paramètres d’accès multitenant pour une collaboration B2B entrante. Déplacez les fournisseurs d’identité SAML/WS-Fed en haut de la liste Fournisseurs d’identité principaux pour classer par ordre de priorité l’acceptation avec le fournisseur d’identité fédéré.

Étape 5 : tester une fédération de fournisseur d’identité SAML/WS-Fed dans Microsoft Entra ID

Testez maintenant la configuration de votre fédération en invitant un utilisateur invité B2B. Pour plus d’informations, consultez Ajoutez des utilisateurs de collaboration B2B Microsoft Entra dans le Centre d’administration Microsoft Entra.

Comment faire pour mettre à jour les détails du certificat ou de la configuration ?

Sur la page Tous les fournisseurs d’identité, vous pouvez afficher la liste des fournisseurs d’identité SAML/WS-Fed que vous avez configurés et la date d’expiration de leurs certificats. Dans cette liste, vous pouvez renouveler des certificats et modifier d’autres détails de configuration.

1. Connectez-vous au centre d’administration Microsoft Entra au moins en tant qu’administrateur de fournisseur d’identité externe.

2. Accédez à Identité>External Identities>Tous les fournisseurs d’identité.

3. Cliquez sur l’onglet Personnalisée.

4. Faites défiler la liste jusqu'à un fournisseur d'identité ou utilisez la zone de recherche.

5. Pour mettre à jour le certificat ou les détails de la configuration :

   • Dans la colonne Configuration du fournisseur d’identité, sélectionnez le lien Modifier.
   • Sur la page de configuration, modifiez l’un des détails suivants :
     • Nom complet : nom complet de l’organisation du partenaire.
     • Protocole du fournisseur d’identité : sélectionnez SAML ou WS-Fed.
     • Point de terminaison d’authentification passive : point de terminaison de demandeur passif du fournisseur d’identité du partenaire.
     • Certificat : ID du certificat de signature. Pour le renouveler, entrez un nouvel ID de certificat.
     • URL de métadonnées : URL contenant les métadonnées du partenaire, utilisée pour le renouvellement automatique du certificat de signature.
   • Sélectionnez Enregistrer.

   

6. Pour modifier les domaines associés au partenaire, sélectionnez le lien dans la colonne Domaines. Dans le volet des détails du domaine :

   • Pour ajouter un domaine, tapez le nom de domaine en regard de Nom de domaine du fournisseur d’identité fédérateur, puis sélectionnez Ajouter. Répétez cette opération pour chaque domaine que vous souhaitez ajouter.
   • Pour supprimer un domaine, sélectionnez l’icône supprimer en regard du domaine.
   • Quand vous avez terminé, cliquez sur Terminé.

   

   Remarque

   Pour supprimer la fédération avec le partenaire, supprimez tous les domaines sauf un et suivez les étapes de la section suivante.

Comment supprimer une fédération ?

Vous pouvez supprimer la configuration de votre fédération. Dans ce cas, les utilisateurs invités par fédération qui ont déjà accepté leurs invitations ne pourront plus se connecter. Toutefois, vous pouvez autoriser de nouveau l’accès à vos ressources en réinitialisant l’état d’acceptation. Pour supprimer une configuration pour un IdP dans le centre d'administration Microsoft Entra :

1. Connectez-vous au centre d’administration Microsoft Entra au moins en tant qu’administrateur de fournisseur d’identité externe.

2. Accédez à Identité>External Identities>Tous les fournisseurs d’identité.

3. Sélectionnez l’onglet Personnalisé, puis faites défiler la liste jusqu’au fournisseur d’identité ou utilisez la zone de recherche.

4. Sélectionnez le lien dans la colonne Domaines pour afficher les détails du domaine du fournisseur d’identité.

5. Supprimez tous les domaines, sauf un, dans la liste Nom de domaine.

6. Sélectionnez Supprimer la configuration, puis Terminé.

   

7. Sélectionnez OK pour confirmer la suppression.

Vous pouvez également supprimer la fédération à l’aide du type de ressource samlOrWsFedExternalDomainFederation de l’API Microsoft Graph.

Étapes suivantes

Découvrez-en plus sur l’expérience d’acceptation d’invitation lorsque des utilisateurs externes se connectent avec différents fournisseurs d’identité.