Après avoir migré d’un hébergement sur site vers un hébergement en nuage sur des serveurs Approach, un de nos clients a exprimé le souhait d’intégrer un login SSO dans Atlas en utilisant Microsoft Azure AD afin de simplifier le processus d’authentification.
Pourquoi mettre en place une connexion SSO avec Microsoft Azure AD ?
En passant à une authentification SSO, leurs utilisateurs pourront se connecter en toute sécurité à l’Atlas Web App à l’aide des identifiants de leur entreprise, de manière rapide et sécurisée. Le principal avantage est que les utilisateurs n’auront plus besoin d’avoir un ensemble distinct d’identifiants de connexion pour accéder à la plateforme.
Quels sont les avantages ?
L’authentification SSO permet aux organisations d’accéder facilement et rapidement à Atlas. Sans que les utilisateurs n’aient à conserver plusieurs identifiants de connexion.
En outre, la sécurité des données est renforcée car un seul point d’authentification est utilisé lors de l’envoi des informations d’identification directement à l’IDP, ce qui réduit la possibilité d’interception malveillante de ces échanges.
L’utilisation de la passerelle d’accès offre de nombreux avantages aux clients :
- Une solution simple, prête à l’emploi
- Compatible avec toutes les applications
- Compatibilité avec les nuages
- Protection totale contre l’accès externe. Le MFA fournit un jeton qui est vérifié par la passerelle d’accès afin d’accéder à l’application web.
Cas d’utilisation : comment le changement a-t-il été mis en œuvre dans ATLAS ?
ATLAS est une application web .Net hautement configurable. Elle est conçue pour permettre aux expatriés, aux cadres et aux administrateurs d’accéder à une source de données centralisée en fonction de différents niveaux d’autorisation dépendant du rôle attribué à l’utilisateur.
Conçu, détenu et maintenu par l’équipe de développement sécurisé d’Approach, la sécurité reste une priorité. Surtout en raison de la nature sensible des données stockées dans ATLAS.
Pour sécuriser correctement la base de données, une authentification est nécessaire pour tous les utilisateurs qui tentent de se connecter à la plateforme. Mais cela nécessite encore un autre ensemble d’informations d’identification.
Afin d’améliorer Atlas pour supporter un flux d’authentification SSO utilisant un protocole SAML sur Microsoft Azure AD, deux solutions ont été identifiées par nos développeurs :
- De nouveaux efforts de développement ont dû être faits dans Atlas. Afin d’inclure les configurations supplémentaires et le flux d’application pour supporter le SSO utilisant le protocole SAML
- Le client utilisait déjà le WAF Application Intelligence d’Approach pour sécuriser Atlas. Une fonctionnalité Access Gateway était disponible pour supporter le SSO utilisant le protocole SAML sur Microsoft Azure AD.
Après mûre réflexion, notre équipe a opté pour la deuxième option.
Pourquoi utiliser une passerelle d’accès pour prendre en charge le SSO ?
Bien que la première solution implique qu’Atlas garde un contrôle total sur les configurations du flux d’authentification supplémentaire. Cette proposition impliquerait des travaux de développement supplémentaires dans l’application ainsi que des configurations supplémentaires, ce qui impliquerait une augmentation des coûts de maintenance pour le flux d’authentification supplémentaire afin de prendre en charge le protocole SAML.
Pour ce client, Atlas est hébergé derrière un WAF et la passerelle d’accès associée, la deuxième solution permet de réduire le travail de développement car seule une lecture de la valeur de l’en-tête de requête supplémentaire fournie par le WAF est nécessaire pour identifier l’utilisateur.
Cela réduit l’utilisation d’un paquet tiers pour gérer le protocole d’authentification supplémentaire.
Comme toutes les requêtes web arrivant à Atlas auraient déjà été identifiées, seules de petites configurations et aucun flux d’authentification supplémentaire au sein de l’application Atlas seraient nécessaires. En même temps, l’utilisation du protocole OpenID Connect déchargerait notre authentification SSO existante.
Globalement, Atlas serait simplifié pour fournir une authentification SSO dans les organisations futures en utilisant un protocole supporté par la passerelle d’accès. Cela faciliterait la gestion des cycles de jetons d’accès, car il serait possible, par exemple, de rafraîchir automatiquement un jeton expiré.
Le jeton d’accès pourrait également être fourni dans l’en-tête de la demande avec l’adresse électronique de l’utilisateur authentifié pour être utilisé en échange d’une assertion SAML et obtenir un jeton d’accès différent de Microsoft lors de l’appel d’une API graphique.
Conclusion
L’authentification SSO est une solution efficace qui peut facilement être appliquée à la plupart des applications web. Elle améliore ainsi la sécurité tout en réduisant la complexité.
En utilisant la passerelle d’accès d’Approach, nous sommes en mesure de décharger l’authentification SSO vers une solution plus sûre et plus robuste qui serait autrement gérée par l’application web.
En outre, la passerelle d’accès ne redirigera vers l’application que si la demande est faite par un utilisateur authentifié =, ce qui réduira considérablement le trafic inutile vers l’application.
