1. Allez à : Généralités / Environnement / Gestion / Propriétés.
2. Accédez à l'onglet : E-mail.
3. Si à Serveur pour e-mail sortant, le nom mailserver (serveur de messagerie) est indiqué, vous utilisez le serveur de messagerie d'AFAS.

   Si un autre nom ou numéro s'y trouve, vous utilisez un autre serveur de messagerie. En cas de questions, prenez contact avec le gestionnaire de système de votre organisation.

Lisez les informations ci-dessous et exécutez les étapes.

Exigences système supplémentaires AD FD :

Dans Windows Server 2016, vous devez disposer d'Active Directory Federation Services 4.0.

Active Directory Federation Services 4.0 est disponible en tant que rôle. Vous devez toutefois activer ce rôle. Veuillez consulter la documentation Microsoft pour de plus amples informations.

Ce dont vous avez besoin sur AFAS Online :

Pendant le processus de configuration, vous devez noter les données suivantes. Vous en aurez besoin pour relier AFAS Online à votre AD FS.

• L’URL de l’AD FS que vous avec configuré.
• Identifiant client
• Secret
• (Facultatif) Déconnexion URL : l'adresse pour déconnecter InSite si vous utilisez l'authentification unique.

Configuration du fournisseur d'identité :

1. Démarrez à l'aide de Windows Server 2016 le serveur sur lequel vous voulez configurer AD FS.
2. Démarrez Server Manager.
3. Allez à Tools / AD FS Management.
4. Sélectionnez Application Groups et cliquez sur New.
5. Sélectionnez Server Application.

6. Cliquez sur Next.
7. Notez le Client identifier.
8. Saisissez https://sts.afasonline.com/signin pour Redirect Uri et cliquez sur Add.

9. Cliquez sur Next.
10. Cochez Generate a shared client.
11. Notez la valeur de Secret

    

12. Terminez l'assistant.

Paramétrage de l’application serveur :

1. Ouvrez les propriétés de la nouvelle application serveur.
2. Cliquez sur Add application.
3. Sélectionnez Web Api.

4. Cliquez sur Next.
5. Saisissez https://sts.afasonline.com pour Identifier.
6. Vous pouvez configurer Access Control Policy selon vos propres souhaits. Les paramètres de cette politique déterminent les utilisateurs qui ont accès à Profit via l'authentification unique.
7. Terminez l'assistant.

Paramétrage d'UPN :

Vous reliez les utilisateurs d'Active Directory aux utilisateurs de Profit à l'aide de l'UPN. Le paramétrage par défaut d'UPN dans Windows Server est user-principal-name (par exemple, robert@enyoi.com).

Vous pouvez paramétrer un autre UPN sur l’écran suivant.

Attention:

Ceci est une description approximative de la structure de cette partie, AFAS ne fournit pas de support pour cela. Cette description est destinée aux administrateurs système qui ont une connaissance suffisante de la configuration de cette partie. En raison de changements chez des tiers, il peut arriver que certaines données aient été modifiées à notre insu.

Pour activer l'authentification unique pour Open Azure Active Directory dans le portail, vous devez ensuite transmettre les données suivantes à l’administrateur Profit :

• OpenID Connect configuration url : il s'agit du lien adapté au document Federation Metadata
•  : il s'agit de l'Application ID qui est généré lors de la création d'une APP dans Azure.
•  : il s'agit de l'API Access Key.

Étape 1 : Configuration du fournisseur d'identité :

1. Connectez-vous sur portal.azure.com.
2. Recherchez l'enregistrement des applications et cliquez sur Enregistrements d'applications.
3. Créez un nouvel enregistrement.

   

4. À redirection URI (redirect-URI), sélectionnez le type Web et saisissez l'URL suivante :

   

5. Enregistrez l'application.
6. Copiez l'ID de l'application (client). Il s'agit du que vous devrez définir dans le portail de connexion AFAS Online.

   

7. Allez à : Vérification.
8. À redirection URL, complétez :
9. Cliquez sur Enregistrer.

   

10. Allez vers : Certificats et secrets.
11. Cliquez sur Nouveau secret client, donnez-lui un nom et sélectionnez 24 moins à Expiration le. Enregistrez dans votre calendrier ou dans votre liste de tâches quand le secret client expirera.
12. Cliquez sur Ajouter.

    

13. Copiez le nouveau secret du client et notez-le.

    Il s'agit du Client Secret que vous devrez définir dans le portail de connexion AFAS Online.

    

14. Allez dans Autorisations API et vérifiez que l'autorisation User.Read a été accordée. C'est le cas par défaut :

    

    Si aucune autorisation n'a été accordée, veuillez suivre les étapes suivantes :

    • Cliquez sur Ajouter une autorisation, puis sélectionnez le Microsoft Graph API.

      

    • Sélectionnez le type d'autorisation Autorisations déléguées.

      

    • Faites défiler vers le bas et sous le type d'autorisation User, sélectionnez l'autorisation User.Read.
    • Cliquez sur Ajouter une autorisation.

      

15. Cliquez Aperçu / End points.

    

16. Notez/copiez la valeur à Document OpenID Connect avec métadonnées. Il s’agit de l’url de configuration d’OpenID Connect que vous devrez définir dans le portail de connexion AFAS Online.
17. Créez une revendication (elle est généralement liée à "UserPrincipalName". Par conséquent, ajoutez une "revendication facultative" (optional claim) de type "Id" dans le champ "upn". Sélectionnez "Configuration du jeton" à gauche et ajoutez la revendication.

    

18. Créez une revendication (elle est généralement liée à "UserPrincipalName". Par conséquent, ajoutez une "revendication facultative" de type "SAML" dans le champ "upn". Sélectionnez "Configuration du jeton" à gauche et ajoutez la revendication.

    

Établir un lien sur un autre claim que l’UPN

Si vous souhaitez établir un lien avec un autre claim que l'UPN (qui fait partie du scope profile), créez un claim optionnel en allant dans Configuration des tokens.

La liaison de SSO sur la base d'Office 365 ressemble fortement à la liaison de SSO sur la base d'Azure AD. L'identité d'un utilisateur Office 365 est en effet définie dans un Azure Active Directory qui fait partie de votre abonnement.

Procédure :

1. Connectez-vous par https://portal.office.com/adminportal à l'Admin Center d'Office.com.
2. Vous pouvez également y accéder de la façon suivante lorsque vous êtes connecté sur Office.com :

   

3. En dessous à droite du menu, vous voyez ‘Admin centers’, ouvrez-le.
4. Cliquez sur ‘Azure AD / Azure Active Directory’.

   

5. Exécutez les étapes du lien SSO avec Ouvrir Azure AD sur la base de OpenID Connect.

La procédure ci-dessous permet de créer une application pour se connecter à AFAS Online avec le lien Okta.

Pour activer l'authentification unique pour Okta, vous devez définir par la suite les données suivantes dans le portail AFAS Online :

• ClientID
• ClientSecret
• OpenID Connect URL
• Claim où l'UPN doit être rapproché

Procédure :

1. Okta vous fournit un URL, un nom d'utilisateur et un mot de passe.
2. Créez une nouvelle application.

   

3. Cliquez sur : Add Application.

   

4. Cliquez sur : Create New App.

   

5. Sélectionnez Web à Platform.
6. Sélectionnez OpenID Connect à Sign on method.

   

7. Donnez une description à l'application.
8. Saisissez ce qui suit dans Login redirect URIs :

   https://sts.afasonline.com/signin-oidc

9. Cliquez sur Add URl à Logout redirect URIs.
10. Complétez ce qui suit dans : https://sts.afasonline.com/signout-callback-oidc

    L'écran des paramètres de l'application s'affiche.

    

    Vous y trouvez les champs ClientID et Client secret (cliquez sur Show pour voir le Client secret).

11. Notez ces champs.

    

12. Cliquez sur : Sign On.

    

    Vous trouverez ici l'URL de l'émetteur, par exemple :

    https://afas-test.okta.com

13. Cette URL est l''OpenID Connect meta data url' pour la configuration sur login.afasonline.com. Notez-la.

Champ UPN :

Le gestionnaire de Profit doit savoir ce qu'il faut compléter dans le champ UPN des utilisateurs dans Profit. Veillez par conséquent à ce qu'il soit clair pour le gestionnaire de Profit où il peut trouver ou demander les informations et la division qui est en outre utilisée. Par exemple, p.richards@enyoi.com au lieu de peter.richards@enyoi.local).

Utilisez cette procédure si vous voulez utiliser l'authentification unique par SURFconext. Après la mise en service, les utilisateurs peuvent s'inscrire par l'authentification unique à Profit Windows et InSite. SURFconext est un service de SURF / SURFnet, l'organisation de coopération TIC de l'enseignement et de la recherche aux Pays-Bas.

Pour le lien SURFconext, SURFconext intervient en tant qu'intermédiaire. Vous devez vous-même être client de SURFconext et vous entretenez par conséquent vous-même également les contacts avec SURFconext.

En cas d'authentification unique pour AFAS Online par SURFconext, un contact existant sera utilisé, à savoir entre le serveur/fournisseur d'identité du client et SURFconext ET entre SURFconext et AFAS Online. Les parties doivent uniquement encore s'entendre et s'arranger pour que le client établisse le contact par SURFconext avec AFAS Online pour l'authentification unique. Quand tout est réglé, AFAS Online est disponible pour l'utilisateur SURFconext dans le tableau de bord de SURFconext.

Plus d'informations :

• Wiki de SurfConect (documentation technique)

Étape 1 : Configuration du fournisseur d'identité :

1. L'organisation a souvent déjà elle-même établi un lien entre le fournisseur d'identité et SURFconext. Si ce n'est pas le cas, passez en revue la documentation SURFconext.

Étape 2 : Transmettre les données au gestionnaire Profit

Champ UPN :

Le gestionnaire de Profit doit savoir ce qu'il faut compléter dans le champ UPN des utilisateurs dans Profit. Veillez par conséquent à ce qu'il soit clair pour le gestionnaire de Profit où il peut trouver ou demander les informations et la division qui est en outre utilisée. Par exemple, p.richards@enyoi.com au lieu de peter.richards@enyoi.local).

Pour SURFconext, les champs UPN doivent être complétés dans Profit avec le 'Edu_person_principal_name'. Ceux-ci sont connus dans SURFconext. Si vous ne les avez pas, veuillez prendre contact avec SURFconext.

Vous configurez Active Directory Federation Services sur un Windows Server.

Lisez les informations ci-dessous et réalisez les étapes.

Configuration minimale supplémentaire :

Le Server 2012 R2 est requis pour ADFS 3.0. Pour les dernières versions de Windows Server, utilisez OpenID Connect !

Le lien est créé sur la base d'oAuth 2.0.

Veuillez consulter la documentation Microsoft pour de plus amples informations.

Exigences de configuration :

Pour activer SSO pour Active Directory Federation Services, il vous faut les données suivantes :

• L’URL de l’AD FS que vous avez configuré.

  Exemple : https://<ADFS-server>/FederationMetadata/2007-06/Federationmetadata.xml

• Il est nécessaire que le serveur externe AD FS (donc de l'extérieur du réseau d'entreprise) soit accessible par l'adresse suivante :

  https://<ADFS-server>/FederationMetadata/2007-06/Federationmetadata.xml

  Attention :

  Définissez le lien par Self-service sur le portail uniquement si cette adresse est accessible en externe. Si Federationmetadata.xml n'est pas accessible en externe, le lien ne peut pas être créé avec AFAS.

Ce dont vous avez besoin sur le portail AFAS Online :

Pendant le processus de configuration, vous devez noter les données suivantes. Vous en aurez besoin pour relier AFAS Online à votre AD FS.

OpenID Connect configuration url: Url AD FS de l’url metadata

: la valeur unique que vous donnez vous-même

Étape 1 : Créez un nouveau client oAuth 2.0 :

1. Exécutez les commandes suivantes dans PowerShell (avec les droits admin) :

   Add-AdfsClient -Name "AFAS Online" -ClientId "<my_client_id>" -RedirectUri "https://sts.afasonline.com/signin-oidc"

   Add-ADFSRelyingPartyTrust -Name "AFAS Online Trust" -Identifier "https://sts.afasonline.com"

   * remplacez <my_client_id> par une valeur unique, par exemple : 9CEDCF985C03436885E6F22E4D17236E

Étape 2 : Configurer le fournisseur d'identité pour Relying party trust :

1. Ouvrir l'outil de gestion ADFS Management tool sur le Windows Server.
2. Allez à : AD FS / Service / Endpoints.

   

3. Sous l'intitulé 'Metadata', vous trouvez le chemin d'url pour le champ OpenID Connect configuration url dans le portail pour AFAS.

   Le chemin d'URL de type ‘OpenID Connect Discovery’ combiné à l'adresse du serveur AD FS constitue l'url du fichier de configuration dont AFAS a besoin.

   Par exemple : https://<ADFS-server>/FederationMetadata/2007-06/Federationmetadata.xml

   

4. Veillez à ce que les points de terminaison sélectionnés ci-dessus soient activés et disponibles en externe (!).
5. Allez à : AD FS / Trust Relationships / Relying Party Trusts.

   

6. Sélectionnez le Trust qui vient d'être créé : AFAS Online Trust.
7. Cliquez sur l'action : Edit Claim Rules… dans le menu de droite.

   

8. Accédez à l'onglet : 'Issuance Transform Rules'.
9. Cliquez sur : 'Add rule'.

   La fenêtre 'Add Transform Claim Rule Wizard' s'affiche.

10. Sélectionnez : 'Send LDAP Attributes as Claims'.

    

11. Cliquez sur : 'Next'.
12. Définissez la claim, vous déterminez ainsi les données qui sont envoyées à AFAS Online pour une authentification réussie.
    1. Complétez une description dans 'Claim rule name'. Par exemple, UPN.
    2. Sélectionnez 'Active directory' pour 'Attribute store'.
    3. Sélectionnez un valeur pour 'LDAP attribute'.

       Vous êtes libre de choisir une valeur pour ce champ. La valeur 'User-principal-name' est recommandée.

    4. Sélectionnez '* UPN' dans la liste pour 'Outgoing claim type'.

       Vous déterminez ainsi la valeur avec laquelle l'UPN est complété. Celui-ci doit être unique pour chaque utilisateur à authentifier. Par utilisateur, vous devez également relier cette valeur dans Profit Windows. Il est conseillé d'utiliser une valeur simple ou reconnaissable, comme le code d'utilisateur ou l'adresse e-mail de l'utilisateur.

       

13. Cliquez sur : 'Finish'.

    Vous avez créé à présent une rule. Créez-en encore une.

14. Cliquez sur l'action : Add Rule...

    

15. Sélectionnez un 'Claim rule template'. Par exemple, Permit All Users afin que tous les utilisateurs ADFS puissent avoir accès à AFAS Online. C'est le plus simple. Vous pouvez cependant le configurer comme vous le souhaitez.
16. Cliquez sur Next.
17. Cliquez sur Finish.

Étape 6 : Transfert gestionnaire

Le gestionnaire de Profit doit savoir ce qui doit être complété dans le champ UPN des utilisateurs dans Profit. Veillez par conséquent à ce qu'il soit clair pour le gestionnaire de Profit où il peut trouver ou demander les informations et quelle division est en outre utilisée. (Par exemple, p.jansen@klant.nl au lieu de piet.jansen@klant.local).

L'administrateur système vous dira ce qu'il faut saisir dans le champ UPN. L'administrateur Profit saisit l'UPN en procédant comme suit.

Attention:

Le mot de passe de l'utilisateur est réinitialisé lorsque vous saisissez l'UPN. C'est pourquoi l'utilisateur doit savoir comment il se connecte à Profit via l'authentification unique.

Si l'utilisateur a également accès à OutSite, il ne peut plus se connecter au site OutSite (car son mot de passe a été réinitialisé). Lors de la connexion au site OutSite, l'utilisateur peut lui-même demander un nouveau mot de passe.

1. Allez vers : Généralités / Gestion / Outil d'autorisation.
2. Ouvrez les propriétés de l'utilisateur.
3. Saisissez l'UPN (que vous avez reçu de l'administrateur système).

   

   Si nous ne pouvez pas saisir le code, AFAS n'a pas encore traité l'incident survenu lors de l'authentification unique.

4. Cliquez sur : OK. Vous avez à présent lié l'UPN à l'utilisateur !

1. Allez à https://login.afasonline.com/12345.

   Dans cette URL, remplacez 12345 par votre numéro de participant.

2. Les programmes AFAS Online s'affichent à l'écran. Cliquez sur la tuile ‘Profit’ pour ouvrir Profit.
3. Si cela fonctionne, passez à l'étape suivante.

L'UPN des utilisateurs doit être saisi avant qu'ils ne puissent se connecter via l'authentification unique.

S'il y a peu d'utilisateurs, vous pouvez saisir manuellement les UPN. Voir l'explication ci-dessus Étape 1 Saisie UPN d'un utilisateur.

Si les utilisateurs pour qui l'UPN doit être saisi sont nombreux, vous pouvez importer les UPN via la fonction importation de 'Saisie Utilisateur'.

Voir également :

• Importer des utilisateurs.