Sources d’autorisation - Présentation
Instructions générales pour configurer des fournisseurs d’identité OAuth2 tiers tels qu’Okta, GitLab, Azure AD et Google pour l’authentification des utilisateurs dans VergeOS.
Les sources d’autorisation permettent d’utiliser des systèmes tiers de gestion des identités OAuth2 (tels que : Okta, GitLab, Azure AD, Google) pour l’authentification des utilisateurs dans VergeOS.
Les liens suivants fournissent des instructions spécifiques à la source :
Authentification de connexion à l’interface utilisateur vs. jonction de domaine NAS
VergeOS possède deux fonctionnalités distinctes qui impliquent toutes deux Active Directory, et elles sont souvent confondues :
Source d’authentification (connexion UI)
Permet aux utilisateurs de l’interface VergeOS et aux utilisateurs de locataire de se connecter avec les identifiants d’un fournisseur d’identité externe
Système > Sources d’authentification
Jonction de domaine NAS
Associe le service NAS de VergeOS à un domaine AD pour le contrôle d’accès aux partages de fichiers CIFS/SMB
Paramètres du service NAS — voir Joindre un NAS à un domaine
Ces fonctionnalités sont indépendantes. Joindre un domaine NAS ne pas active la connexion à l’interface utilisateur basée sur AD, et la configuration d’une source d’authentification UI ne pas modifie pas les autorisations des partages de fichiers NAS.
Authentification des connexions à l’interface utilisateur via Windows Active Directory
Les sources d’authentification de connexion à l’interface VergeOS et au locataire sont basées sur OAuth2/OIDC plutôt que sur un pilote natif de source d’authentification LDAP — il n’existe pas d’option de liaison LDAP/AD directe pour la connexion à l’UI.
Pour permettre aux utilisateurs d’un domaine Windows de se connecter à l’interface VergeOS avec leurs identifiants AD, fédérez l’AD local via Microsoft Entra ID (Azure AD) ou un autre fournisseur d’identité compatible OIDC, puis configurez la source d’authentification correspondante dans VergeOS. L’appartenance aux groupes du fournisseur d’identité peut être mappée aux groupes VergeOS afin que les autorisations suivent l’annuaire.
Création d’une source d’autorisation - Instructions générales
Obtenir ID client et Secret client à partir du système tiers ; ces identifiants doivent être créés en fonction de l’URL du système VergeOS. Ces valeurs seront nécessaires à une étape ultérieure.
Cliquez sur Système dans le menu supérieur.
Sélectionnez Sources d’authentification.
Cliquez sur Nouveau dans le menu de gauche.
Nom : un nom pour identifier cette source d’autorisation ; ce nom apparaîtra sur le bouton de connexion de la page de connexion VergeOS.
Pilote :
Azure AD
GitLab
Google
Okta
Open ID***
Open ID (configuration bien connue)
Verge.io (Cela peut être utilisé pour permettre un accès simplifié au support ; contactez l’équipe de support VergeOS pour configurer ce type de source d’authentification.)
Le paramètre OpenID fournit une option générique qui peut fonctionner avec n’importe quelle source OpenID, tandis que des options spécifiques, telles que : Google, GitLab, Okta et Azure AD, fournissent des enveloppes avec des formulaires de configuration plus spécialisés pour cette implémentation particulière.
URI de redirection : remplie automatiquement avec l’adresse de l’interface VergeOS et ne devrait normalement pas être modifiée. Cette adresse doit être une adresse publique ou autrement accessible par la source OAuth distante.
ID client et Secret client : valeurs générées sur la source OAuth distante, en fonction de l’URL du système VergeOS.
Champs utilisateur distants : définissez un ou plusieurs champs pouvant être utilisés pour localiser des utilisateurs dans la source OAuth. Le champ est prérempli avec une liste par défaut de champs courants (sub,preferred_username,email,nickname) qui fonctionne avec diverses implémentations OAuth courantes
Pour des raisons de sécurité, il n’est pas recommandé de localiser les utilisateurs distants sur la base de champs modifiables par l’utilisateur final sur les sources OAuth.
Configuration supplémentaire :
Options recommandées (Il est recommandé d’activer ces options.)
Mettre à jour l’utilisateur distant : met à jour le nom d’utilisateur distant champ de l’utilisateur VergeOS avec l’identifiant unique de la source OAuth. L’activation de cette option permet de localiser initialement l’utilisateur à partir de champs plus lisibles (définis dans Champs utilisateur distants, ci-dessus) tout en modifiant ensuite le nom d’utilisateur distant champ VergeOS pour qu’il corresponde à un identifiant unique du système source. Cela garantit que l’enregistrement utilisateur reste constant même si des champs secondaires tels que l’adresse e-mail ou le nom d’utilisateur convivial peuvent changer au fil du temps.
Mettre à jour l’adresse e-mail de l’utilisateur : met à jour le champ d’adresse e-mail à partir de l’adresse e-mail de la source OAuth.
Mettre à jour le nom d’affichage de l’utilisateur : met à jour le nom d’affichage de l’utilisateur à partir du nom d’affichage de la source OAuth.
Champs optionnels supplémentaires
Portée : varie selon les implémentations ; consultez la documentation Oauth2 de la source, le cas échéant, pour plus d’informations. Dans la plupart des cas, la valeur par défaut « openid profile email » fonctionnera.
Portée des groupes : varie selon les implémentations ; consultez la documentation Oauth2 de la source pour plus d’informations. Dans la plupart des cas, la portée des groupes peut être définie sur le mot « groups ». La portée des groupes est requise lors de l’utilisation de Mettre à jour l’appartenance aux groupes option.
Exiger une adresse e-mail vérifiée : (pour les implémentations OAuth2 prenant en charge la vérification de l’adresse e-mail de l’utilisateur) n’autoriser l’authentification que des utilisateurs dont l’indicateur d’adresse e-mail vérifiée est activé/vrai dans la source.
Mettre à jour l’appartenance aux groupes : mettre à jour l’appartenance de l’utilisateur aux groupes (à chaque connexion) afin qu’elle corresponde à l’appartenance aux groupes de la source OAuth
Mode débogage : (case à cocher) active la journalisation détaillée pour cette source d’autorisation ; cela ne doit être activé qu’en cas de dépannage, car de grandes quantités de journaux d’authentification peuvent potentiellement affecter les performances.
Afficher dans un menu : (case à cocher) modifie l’affichage pour montrer un menu déroulant au lieu d’une liste.
Création d’utilisateurs
Créer automatiquement les utilisateurs : les utilisateurs sont créés automatiquement (à la demande, lors de la première connexion à VergeOS) en correspondance avec les utilisateurs de la source OAuth. Utilisez un seul astérisque pour l’appliquer à tous les utilisateurs.
Créer automatiquement les utilisateurs dans le groupe : seuls les utilisateurs appartenant aux groupes spécifiés de la source OAuth2 sont créés automatiquement, à la demande, lors de la première connexion. Un nom de groupe spécifique peut être saisi ou une expression régulière pour inclure les groupes correspondant au motif.
Définir nom d’utilisateur distant pour correspondre à l’un des champs définis dans Champs utilisateur distants (champs utilisés pour trouver l’utilisateur dans la source d’autorisation externe). En général, il est préférable d’utiliser le nom de connexion de l’utilisateur ou son identifiant utilisateur unique.
Style de connexion
Le style de connexion définit l’apparence du bouton de connexion sur la page de connexion VergeOS.
Couleur d’arrière-plan du bouton de connexion : couleur d’arrière-plan du bouton de connexion.
Couleur du texte du bouton de connexion : couleur du texte du bouton de connexion.
Icône Font Awesome du bouton de connexion : spécifie une icône alternative pour le bouton de connexion ; une liste des icônes Font Awesome disponibles est disponible : ici.
Couleur de l’icône Font Awesome du bouton de connexion : spécifie une couleur alternative pour le bouton de connexion ; utilisez un code HEX standard, par ex. : #FF5733.
Mis à jour
Ce contenu vous a-t-il été utile ?