Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Loading...
Vous pouvez accéder à la configuration du gestionnaire d’utilisateurs dans JMap Admin en appuyant sur Utilisateurs / Groupes à partir de la section JMap Server. Sélectionnez l’onglet Gestionnaire.
Le gestionnaire d’utilisateurs permet de définir comment JMap gère les comptes d’utilisateur et les groupes. Il existe deux façons de gérer ces informations avec JMap :
En utilisant la base de données de comptes d’utilisateurs de JMap, vous créez et supprimez les comptes d’utilisateurs directement à partir de JMap Admin;
En vous connectant à une base de données de comptes d’utilisateurs existante telle qu’un système Windows Active Directory, un système compatible avec LDAP ou une base de données relationnelle ou en se connectant à un gestionnaire d’identités utilisant des protocoles tels que SAML2 ou Open Id Connect.
Il est aussi possible de combiner plusieurs systèmes pour les utiliser simultanément (p. ex. la base de données de JMap et Windows Active Directory). Les différents systèmes sont alors utilisés comme un seul système. Quand JMap Server se connecte à une base de données existante, la gestion des comptes d’utilisateurs est simplifiée car aucun compte ni groupe d’utilisateurs n’ont besoin d’être créés et gérés dans JMap.
Les sections décrivent chacune des options disponibles.
Lorsque vous vous connectez à un gestionnaire d’utilisateurs externe à JMap (Active Directory, LDAP, OIDC, SAML2 ou une base de données relationnelle externe), il est utile de synchroniser JMap Server avec la base de données pour 2 raisons :
Lorsque des utilisateurs ou groupes sont supprimés de la base de données du gestionnaire externe et que ceux-ci détenaient des permissions dans JMap (p. ex. ouverture d’un projet ou permission de visualiser certaines couches), les permissions ne sont pas supprimées des listes de permissions dans JMap Server. Cette situation peut se produire parce que JMap Server n’est pas au courant de la suppression des utilisateurs et des groupes de la base de données. En effectuant la synchronisation, JMap Server supprime toutes les permissions qui existent pour les utilisateurs et groupes supprimés. Toutefois, même si vous n’effectuez pas de synchronisation, cette situation n’entraîne pas de problèmes de sécurité car les utilisateurs supprimés ne seront pas en mesure de s’authentifier.
Lorsque la composition des groupes d’utilisateurs est modifiée (membres ajoutés ou enlevés) pour que JMap Server charge à nouveau la liste des membres des groupes. JMap Server conserve la liste des membres en mémoire pour des raisons de performances.
Vous pouvez automatiser la synchronisation en activant l’option Synchronisation automatique à chaque et en spécifiant une période de temps.
Vous pouvez permettre à vos utilisateurs disposant déjà d’un compte dans un gestionnaire d’identités qui utilise SAML2 de se connecter aux applications JMap Web et JMap NG à l’aide de ce compte.
SAML est un standard ouvert qui permet d’établir une authentification unique entre un gestionnaire d’identités et un serveur d’applications tel que JMap. Ce site offre les détails sur SAML2.
La configuration d’un gestionnaire d’utilisateurs SAML2 est complexe. Le service TI de votre organisation vous fournit les paramètres propres à SAML2. Ce tableau décrit les paramètres concernant JMap.
Nom convivial
Nom pour identifier facilement le gestionnaire d’utilisateurs SAML2 dans JMap Server et pouvoir identifier les utilisateurs qui proviennent de ce gestionnaire.
Mot de passe de l’administrateur
Un administrateur est créé automatiquement lors de l’utilisation de ce gestionnaire. Vous devez entrer le mot de passe de ce compte dans cette plage.
Groupes
À différence de Active Directory et de LDAP, les comptes utilisateurs provenant du gestionnaire SAML2 ne sont pas connus à l’avance car ils se créent à mesure que les utilisateurs se connectent à une application JMap Web ou JMap NG. Comment octroyer alors les permissions sur les ressources de JMap à des utilisateurs qui ne sont pas connus à l’avance? Les groupes définis à l’avance permettent d’octroyer des permissions sur les ressources de JMap. Lors de la première connexion d’un utilisateur, SAML2 assigne l’utilisateur à un ou à plusieurs groupes définis dans Attribut du groupe selon les informations de son profil. Comme le gestionnaire d’utilisateurs SAML2 est en lecture seule vous ne pouvez pas créer des utilisateurs ni de groupes dans les sections Utilisateurs et Groupes de JMap. Ce paramètre vous permet de créer les groupes en entrant leurs noms. Vous pouvez par la suite octroyer des permissions à ces groupes auxquels appartiennent les utilisateurs provenant de SAML2. Il doit avoir une correspondance exacte entre les noms des groupes en SAML2 et les groupes que vous créez dans ce paramètre. Si un utilisateur se connecte pour la première fois via SAML2 et son profil indique un groupe qui n’existe pas dans JMap, le groupe se créé automatiquement et vous pouvez le visualiser dans la section Groupes.
Groupe par défaut
Sélectionnez le groupe où sont assignés tous les utilisateurs qui n’ont pas de groupe assigné dans SAML2 (dans Attribut du groupe).
Exemple
Vous pouvez créer un groupe Guests auquel vont être assignés les utilisateurs qui se connectent par la première fois à une application JMap Web ou JMap NG et dont le profil dans SAML2 n’indique aucun groupe. Vous pouvez octroyer au groupe Guests des permissions pour accéder à un projet en particulier.
Image du bouton
Image qui apparaît dans la page d’accueil de l’application JMap Web ou JMap NG et qui identifie l’accès au gestionnaire SAML2 pour s’authentifier.
Appuyez sur Sélectionner pour sélectionner l’image.
L’image doit avoir une taille maximale de 100*100 pixels.
Étiquette du bouton
Texte qui apparaît dans le bouton d’identification avec l’image.
URL de retour SSO
Votre service TI vous fournit cette information.
Nom du client
C’est le nom que JMap donne au gestionnaire SAML2. Ce nom intègre et complète l’URL du gestionnaire SAML2.
Métadonnées IdP
Votre service TI vous fournit cette information.
Id d’entité du SP
Votre service TI vous fournit cette information.
Attribut du nom d’utilisateur / ID
Paramètre optionnel. Indique l’attribut qui contient le nom d’utilisateur dans SAML2. Votre service TI vous fournit cette information.
Attribut du courriel
Paramètre optionnel. Indique l’attribut qui contient l’adresse de courrier électronique dans SAML2. Votre service TI vous fournit cette information.
Attribut du prénom
Paramètre optionnel. Indique l’attribut qui contient le prénom de l’utilisateur dans SAML2. Votre service TI vous fournit cette information.
Attribut du nom de famille
Paramètre optionnel. Indique l’attribut qui contient le nom de famille de l’utilisateur dans SAML2. Votre service TI vous fournit cette information.
Attribut du groupe
Paramètre optionnel. Indique l’attribut personnalisable qui permet de définir des groupes dans SAML2 auxquels les utilisateurs sont assignés. Ces groupes sont visibles dans les sections Utilisateurs et Groupes de JMap. Votre service TI vous aidera avec ce paramètre.
Ce type de gestion des comptes d’utilisateurs enregistre les utilisateurs et groupes directement dans la base de données System de JMap Server, ou dans une base de données externe qui comporte les tables et champs requis. L’administrateur JMap doit créer et gérer tous les comptes et groupes d’utilisateurs.
À partir de la section Utilisateurs / Groupes, cliquez sur l’onglet Gestionnaire. Sélectionnez Gestionnaire d’utilisateurs JMap DB afin d’indiquer que les comptes d’utilisateurs seront gérés à l’intérieur d’une base de données relationnelle. Pour stocker les informations dans la base de données System de JMap Server, sélectionnez l’option Base de données de JMap Server.
Vous pouvez aussi utiliser toute base de données relationnelle qui contient au moins les tables et champs requis, en sélectionnant l’option Base de données externe. Lorsque vous le faites, une interface s’affiche, vous permettant de spécifier les paramètres de configuration. En utilisant l’interface de configuration, sélectionnez la base de données à utiliser. Sélectionnez ensuite les tables et champs qui contiennent les diverses informations relatives aux utilisateurs et aux groupes. Au besoin, vous pouvez sélectionner le mode lecture seule pour empêcher les informations des comptes d’être modifiées par JMap Admin.
Une fois cette configuration définie, vous pouvez créer, modifier et supprimer des comptes d’utilisateurs directement à partir de JMap Admin.
Vous pouvez vous connecter à Windows Active Directory (en lecture seulement). Pour que l’option Gestionnaire d’utilisateurs Active Directory soit disponible dans l’onglet Gestionnaire de la section Utilisateurs / Groupes de JMap Admin, vous devez inclure la ligne suivante dans le fichier JMAP_HOME/conf/jmapserver.properties :
usermanager.ad=com.kheops.jmap.server.security.ActiveDirectoryUserManager
Nous vous recommandons d’utiliser le Gestionnaire d’utilisateurs composite plutôt que d’utiliser seulement le Gestionnaire d’utilisateurs Active Directory, afin de garder un accès à JMap Admin même en cas d’erreurs de configuration d’Active Directory.
Dans la section Gestionnaire d’utilisateurs, sélectionnez donc le Gestionnaire d’utilisateurs composite et ajoutez le Gestionnaire d’utilisateurs Active Directory. Une nouvelle interface s’ouvre, vous permettant de spécifier les paramètres de configuration de la connexion au serveur Active Directory.
Nom convivial
Nom pour identifier facilement le gestionnaire d’utilisateurs Active Directory.
Adresse du serveur
Adresse du serveur contrôleur de domaine Windows configuré avec Active Directory. Vous pouvez ajouter plusieurs serveurs Active Directory en les séparant par un espace.
Exemple
ldap://host1 ldap://host2
Où host1 et host2 sont les urls des serveurs Active Directory. Active Directory est basé sur le protocole LDAP.
DN
Identifiant unique (Distinguished Name) permettant de définir la racine de l’annuaire. Composé d’une liste d’entrées DC (Domain Component).
Exemple
dc=k2,dc=com
Domaine
Nom du domaine Windows.
Exemple
k2.com
Utilisateur / SPN
Nom de l’utilisateur que JMap Server utilisera pour se connecter au Active Directory. Il est conseillé de créer un utilisateur spécialement pour les besoins de JMap. Son mot de passe ne devrait jamais expirer. Si vous souhaitez utiliser l’authentification unique, vous devrez créer un SPN (Service Principal Name) associé à cet utilisateur. Voir pour plus de détails.
Mot de passe
Mot de passe de l’utilisateur que JMap Server utilisera pour se connecter au Active Directory.
Mot de passe admin.
Un utilisateur nommé administrator doit toujours exister dans JMap. S’il n’existe pas d’utilisateur administrator dans l’Active Directory, JMap se chargera d’en simuler un. Dans un tel cas, fournir le mot de passe associé à cet utilisateur. Si jamais l’utilisateur administrator existe dans l’Active Directory et qu’un mot de passe est saisi, ce dernier sera ignoré.
Activer l’authentification unique
Permet d’activer l’authentification unique. Voir pour plus de détails.
Configuration LDAP (paramètres suivants)
Active Directory est basé sur le protocole LDAP. Les paramètres LDAP qui sont configurés par défaut sont ceux qui sont le plus souvent en application avec Active Directory. Par contre, si ces paramètres ne correspondent pas à ceux utilisés, il est possible de modifier les valeurs. Les paramètres sont décrits dans la section suivante, .
Taille maximale de la page
Active Directory limite la taille de transactions à un nombre maximal d’enregistrements à la fois (taille de la page). La valeur de ce paramètre ne doit pas dépasser la taille maximale autorisée par Active Directory (1000 est la valeur par défaut dans Active Directory). Une taille trop petite peut réduire les performances. Une taille plus grande que la limite autorisée causera des données manquantes dans la liste des utilisateurs.
Vous pouvez vous connecter à tout annuaire compatible avec LDAP (en lecture seulement). Il existe de nombreux annuaires compatibles avec LDAP sur les systèmes Unix, Linux et Windows.
Pour que l’option Gestionnaire d’utilisateurs LDAP soit disponible dans l’onglet Gestionnaire de la section Utilisateurs / Groupes de JMap Admin, vous devez inclure la ligne suivante dans le fichier JMAP_HOME/conf/jmapserver.properties :
usermanager.ldap=com.kheops.jmap.server.security.LDAPUserManager
Nous vous recommandons d’utiliser le Gestionnaire d’utilisateurs composite plutôt que d’utiliser seulement le Gestionnaire d’utilisateurs LDAP, afin de garder un accès à JMap Admin même en cas d’erreurs de configuration de LDAP.
Dans la section Gestionnaire d’utilisateurs, sélectionnez donc le Gestionnaire d’utilisateurs composite et ajoutez le Gestionnaire d’utilisateurs JMap LDAP. Une nouvelle interface s’ouvre, vous permettant de spécifier les paramètres de configuration de la connexion au serveur LDAP.
Nom convivial
Nom pour identifier facilement le gestionnaire d’utilisateurs LDAP.
URL du serveur
Adresse du serveur LDAP. Vous pouvez ajouter plusieurs serveurs LDAP en séparant les adresses par un espace.
Exemple
ldap://host1 ldap://host2
où host1 et host2 sont les URL des serveurs LDAP.
SSL
DN
Identifiant unique (Distinguished Name) permettant de définir la racine de l’annuaire. Composé d’une liste d’entrées DC (Domain Component).
Exemple
dc=k2geospatial,dc=com
donne un DN k2geospatial.com.
Utilisateur
Nom de l’utilisateur que JMap Server utilisera pour se connecter à l’annuaire LDAP. Il est conseillé de créer un utilisateur spécialement pour les besoins de JMap. Son mot de passe ne devrait jamais expirer. L’utilisateur doit être accompagné du domain auquel il appartient.
Exemple
cn=admin,dc=k2geospatial,dc=com
Mot de passe
Mot de passe de l’utilisateur que JMap Server utilisera pour se connecter à l’annuaire LDAP.
Mot de passe admin.
Un utilisateur nommé administrator doit toujours exister dans JMap. S’il n’existe pas d’utilisateur administrator dans l’annuaire LDAP, JMap se chargera d’en créer un. Dans un tel cas, fournir le mot de passe associé à cet utilisateur. Si jamais l’utilisateur administrator existe dans l’annuaire LDAP et qu’un mot de passe est saisi, ce dernier sera ignoré.
Utilise le préfixe et le suffixe
Cochez cette option si le serveur LDAP utilise un préfixe et un suffixe pour l’authentification de l’utilisateur.
Préfixe d’authentification
Certains serveurs LDAP utilisent nécessitent qu’un préfixe soit ajouté au nom de l’utilisateur pour effectuer l’authentification.
Exemple
Préfixe : un_domaine\
Utilisateur : un_utilisateur
Résultat : un_domaine\un_utilisateur
Suffixe d’authentification
Certains serveurs LDAP nécessitent qu’un suffixe soit ajouté au nom de l’utilisateur pour effectuer l’authentification.
Exemple
Suffixe=@un_domaine
Utilisateur=un_utilisateur
Résultat : un_utilisateur@un_domaine
Classe des utilisateurs
Ce paramètre et les suivants dépendent de la structure interne du serveur LDAP, c’est-à-dire de la manière que les utilisateurs sont organisés en groupes. Les informations servent à identifier les utilisateurs et les groupes de LDAP. Vous devez indiquer les paramètres correspondant dans le serveur LDAP auquel vous vous connectez. Nom de la classe d’objets LDAP à utiliser pour identifier un utilisateur dans le serveur LDAP.
Classe des groupes
Nom de la classe d’objets LDAP à utiliser pour identifier un groupe dans l’annuaire LDAP.
Filtre d’utilisateur
Filtre de recherche à utiliser pour extraire les utilisateurs de l’annuaire LDAP. Ce filtre doit être formaté selon la syntaxe standard LDAP.
Filtre de groupe
Filtre de recherche à utiliser pour extraire les groupes de l’annuaire LDAP. Ce filtre doit être formaté selon la syntaxe standard LDAP.
Attribut utilisateur
Attribut d’un utilisateur LDAP pour définir l’identité de celui-ci.
Attribut groupe
Attribut d’un groupe LDAP pour définir l’identité de celui-ci.
Attribut d’authentification
Attribut d’un utilisateur LDAP utilisé pour son authentification.
Attribut membre
Attribut d’un groupe LDAP pour définir quels utilisateurs sont membres de celui-ci.
Attribut nom complet
Attribut d’un utilisateur LDAP pour définir le nom complet de celui-ci.
Attribut courriel
Attribut d’un utilisateur LDAP pour définir l’adresse de courriel de celui-ci.
Taille maximale de la page
Dans les annuaires LDAP, la taille de transactions est limitée à un nombre maximal d’enregistrements à la fois (taille de la page). La valeur de ce paramètre ne doit pas dépasser la taille maximale autorisée par l’annuaire (1000 est la valeur par défaut dans les annuaires LDAP). Une taille trop petite peut réduire les performances. Une taille plus grande que la limite autorisée causera des données manquantes dans la liste des utilisateurs.
Pour plus de détails sur le protocole LDAP, consultez http://en.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol.
Cochez cette case pour vous connecter à LDAP sur Secure Socket Layer (SSL) en utilisant un certificat client. Vous devez installer le certificat dans le keystore de JMap. Cet détaille la procédure à suivre.
Ce type de gestion d’utilisateurs permet de combiner plusieurs gestionnaires ensemble. Vous pouvez ajouter autant de gestionnaires que nécessaire. Tous les gestionnaires fonctionneront comme un seul et unique gestionnaire d’utilisateurs. Consultez les sections suivantes pour la configuration des autres gestionnaires d’utilisateurs.
Il est recommandé d’utiliser un gestionnaire d’utilisateurs composite si vous intégrez plusieurs gestionnaires ou si vous souhaitez effectuer une transition vers un système d’authentification unique web (SSO web).
Vous pouvez permettre à vos utilisateurs disposant déjà d’un compte dans des gestionnaires d’identité OpenID Connect (OIDC) de se connecter aux applications JMap Web et JMap NG à l’aide de ce compte.
Le site OpenID Connect 1.0 offre l’information détaillée sur ce protocole.
La configuration d’un gestionnaire d’utilisateurs OIDC est complexe. Le service TI de votre organisation vous fournit les paramètres propres à OIDC. Ce tableau décrit les paramètres concernant JMap.
Nom convivial
Nom pour identifier facilement le gestionnaire d’utilisateurs OIDC dans JMap Server et pouvoir identifier les utilisateurs qui proviennent de ce gestionnaire.
Mot de passe de l’administrateur
Un administrateur est créé automatiquement lors de l’utilisation de ce gestionnaire. Vous devez entrer le mot de passe de ce compte dans cette plage.
Groupes
À différence de Active Directory et de LDAP, les comptes utilisateurs provenant du gestionnaire OIDC ne sont pas connus à l’avance car ils se créent à mesure que les utilisateurs se connectent à une application JMap Web ou JMap NG. Comment octroyer alors les permissions sur les ressources de JMap à des utilisateurs qui ne sont pas connus à l’avance? Les groupes définis à l’avance permettent d’octroyer des permissions sur les ressources de JMap. Lors de la première connexion d’un utilisateur, OIDC assigne l’utilisateur à un ou à plusieurs groupes définis dans Attribut du groupe selon les informations de son profil. Comme le gestionnaire d’utilisateurs OIDC est en lecture seule vous ne pouvez pas créer des utilisateurs ni de groupes dans les sections Utilisateurs et Groupes de JMap. Ce paramètre vous permet de créer les groupes en entrant leurs noms. Vous pouvez par la suite octroyer des permissions à ces groupes auxquels appartiennent les utilisateurs provenant de OIDC. Il doit avoir une correspondance exacte entre les noms des groupes en OIDC et les groupes que vous créez dans ce paramètre. Si un utilisateur se connecte pour la première fois via OIDC et son profil indique un groupe qui n’existe pas dans JMap, le groupe se créé automatiquement et vous pouvez le visualiser dans la section Groupes.
Groupe par défaut
Sélectionnez le groupe où sont assignés tous les utilisateurs qui n’ont pas de groupe assigné dans OIDC (dans Attribut du groupe).
Exemple
Vous pouvez créer un groupe Guests auquel vont être assignés les utilisateurs qui se connectent par la première fois à une application JMap Web ou JMap NG et dont le profil dans OIDC n’indique aucun groupe. Vous pouvez octroyer au groupe Guests des permissions pour accéder à un projet en particulier.
Image du bouton
Image qui apparaît dans la page d’accueil de l’application JMap Web ou JMap NG et qui identifie l’accès au gestionnaire OIDC pour s’authentifier.
Appuyez sur Sélectionner pour sélectionner l’image.
L’image doit avoir une taille maximale de 100*100 pixels.
Étiquette du bouton
Texte qui apparaît dans le bouton d’identification avec l’image.
URL de retour SSO
Votre service TI vous fournit cette information.
Nom du client
C’est le nom que JMap donne au gestionnaire OIDC. Ce nom intègre et complète l’URL du gestionnaire OIDC.
URI de l’émetteur
Votre service TI vous fournit cette information.
ID client
Votre service TI vous fournit cette information.
Secret client
Votre service TI vous fournit cette information.
Étendue
Votre service TI vous fournit cette information.
Type de réponse
Votre service TI vous fournit cette information.
Mode de réponse
Votre service TI vous fournit cette information.
Utiliser nonce
Votre service TI vous fournit cette information.
Avec état
Votre service TI vous fournit cette information.
Désactiver PKCE
Votre service TI vous fournit cette information.
Attribut du nom d’utilisateur / ID
Paramètre optionnel. Indique l’attribut qui contient le nom d’utilisateur dans OIDC. Votre service TI vous fournit cette information.
Attribut du courriel
Paramètre optionnel. Indique l’attribut qui contient l’adresse du courrier électronique dans OIDC. Votre service TI vous fournit cette information.
Attribut du prénom
Paramètre optionnel. Indique l’attribut qui contient le prénom de l’utilisateur dans OIDC. Votre service TI vous fournit cette information.
Attribut du nom de famille
Paramètre optionnel. Indique l’attribut qui contient le nom de famille de l’utilisateur dans OIDC. Votre service TI vous fournit cette information.
Attribut du groupe
Paramètre optionnel. Indique l’attribut personnalisable qui permet de définir des groupes dans OIDC auxquels les utilisateurs sont assignés. Ces groupes sont visibles dans les sections Utilisateurs et Groupes de JMap. Votre service TI vous aidera avec ce paramètre.