PingID

Configurer PingID avec Specops Authentication étendra le système d'authentification à deux facteurs de PingID aux utilisateurs de Specops Authentication.

Prérequis

Avant de configurer le service d'identité, vous devez disposer des éléments suivants :

• Des privilèges administrateur pour votre compte PingID.

Configuration de PingID

1. Connectez-vous au Web Specops Authentication : https://login.specopssoft.com/authentication/admin
2. Sélectionnez Services d’identité dans la navigation de la barre latérale gauche, puis sélectionnez PingID.
3. Sélectionnez Activer, puis dans la fenêtre contextuelle, cliquez à nouveau sur Activer. Cela rendra le service disponible pour une utilisation dans les services Specops.
4. Dans les pages administrateur de PingID, recherchez le fichier de propriétés pour l'intégration avec PingFederate et d'autres clients. Cliquez sur Générer si vous avez besoin d'un nouveau fichier pour Specops Authentication, ou utilisez un fichier existant. Cliquez sur Télécharger pour enregistrer le fichier.

5. Retournez dans Specops Authentication Web et configurez les paramètres de PingID :

   1. Cliquez sur le champ Sélectionner le fichier des propriétés et accédez à l'emplacement où vous avez enregistré le fichier de propriétés.
   2. Sélectionnez le fichier et cliquez sur Ouvrir.
   3. Cliquez sur Importer pour remplir les champs avec les valeurs du fichier de propriétés.

   OU

   1. Ouvrez le fichier de propriétés dans un éditeur. Copiez chaque valeur répertoriée ci-dessous depuis le fichier et collez-la dans le champ correspondant sur la page des paramètres PingID dans Specops Authentication Web :

      Valeur dans le fichier de propriétés	Champ dans Specops Authentication Web
      idp_url	PingID URL de l'API
      org_alias	Alias de l'organisation
      use_base64_key	Clé Base64
      token	Jeton

6. Cliquez sur Test de connexion. Si la connexion a réussi, le message Test de connexion réussi apparaît.

7. Sélectionnez le paramètre souhaité pour Inscrire automatiquement les utilisateurs dans Specops Authentication. En le définissant sur Oui, tous les utilisateurs seront automatiquement inscrits.
8. Sélectionnez le paramètre souhaité pour Appliquer les politiques PingID. Pour plus d'informations, voir Appliquer les politiques PingID.
9. Si le nom d'utilisateur PingID est stocké dans un attribut Active Directory autre que userPrincipalName, saisissez le nom de cet attribut dans le champ Attribut utilisateur dans Active Directory contenant le nom d'utilisateur PingID.
10. Cliquez sur Enregistrer.

Appliquer les politiques PingID

Les politiques PingID déterminent la manière dont les utilisateurs s'authentifient avec PingID. Par exemple, une politique peut exiger la correspondance de nombres, autoriser uniquement certaines méthodes d'authentification ou refuser ou approuver des demandes en fonction de l'emplacement de l'utilisateur.

Définissez Appliquer les politiques PingID sur l'une des options suivantes :

• Oui : PingID applique les politiques à Specops Authentication, à condition que votre configuration PingID impose leur application. Votre Default Policy s'applique, sauf si une politique propre à l'application est configurée. Les exigences de la politique applicable, telles que la correspondance de nombres, s'appliquent lors de la connexion, de l'inscription, de la réinitialisation du mot de passe et des vérifications Secure Service Desk. Aucune configuration supplémentaire dans PingID n'est nécessaire pour appliquer la Default Policy.
• Non : PingID n'applique pas vos politiques à Specops Authentication, même si votre configuration PingID impose leur application. Les utilisateurs vérifient leur identité avec leur appareil PingID, mais les règles des politiques n'exigent pas la correspondance de nombres et n'approuvent ni ne refusent automatiquement les demandes.

Configurer des politiques uniquement pour Specops Authentication (facultatif)

Si vous souhaitez des règles PingID pour Specops Authentication différentes de celles de votre Default Policy, vous pouvez appliquer une politique à l'application Specops Authentication concernée. Par exemple, vous pouvez exiger la correspondance de nombres uniquement pour les vérifications Secure Service Desk. Sans politique propre à l'application, votre Default Policy s'applique.

Specops Authentication s'identifie auprès de PingID avec l'un de deux ID d'application, selon l'endroit où l'utilisateur vérifie son identité. Les ID sont affichés dans les paramètres PingID suivants dans Specops Authentication Web :

Paramètre dans Specops Authentication Web	ID d'application	Utilisation
Connexion, inscription et réinitialisation du mot de passe	specops-authentication-sign-in	Connexion, inscription et réinitialisation du mot de passe, lorsque les utilisateurs vérifient leur propre identité.
Vérification du service d’assistance	specops-authentication-service-desk	Vérifications Secure Service Desk : depuis Secure Service Desk, via l'API Secure Service Desk et via un lien de navigateur envoyé par l'agent du service d'assistance.

Cliquez sur l'icône de copie dans le presse-papiers à côté d'un ID d'application pour le copier.

Pour appliquer une politique à Specops Authentication, ajoutez une application personnalisée dans PingID avec l'un de ces ID d'application, puis configurez la politique pour qu'elle s'applique à cette application. Pour utiliser des politiques différentes pour la connexion et les vérifications Secure Service Desk, créez une politique distincte pour chaque ID d'application.

Exiger la correspondance de nombres

Avec la correspondance de nombres, Specops Authentication affiche un nombre lorsque PingID envoie une notification push. Pour approuver la demande, l'utilisateur doit sélectionner ou saisir le même nombre dans l'application mobile PingID. Cela permet d'éviter que les utilisateurs approuvent des notifications push inattendues, par exemple lors d'une attaque par fatigue MFA.

Le nombre est affiché :

• Lors de la connexion, de l'inscription et de la réinitialisation du mot de passe : sur la page où l'utilisateur attend la notification push.
• Dans Secure Service Desk : à l'agent du service d'assistance, qui lit le nombre à l'utilisateur.
• Via l'API Secure Service Desk : dans la réponse, pour que l'application appelante l'affiche.

Pour exiger la correspondance de nombres, définissez Appliquer les politiques PingID sur Oui dans Specops Authentication Web et autorisez la correspondance de nombres comme méthode d'authentification dans votre Default Policy ou dans la politique configurée pour l'application Specops Authentication concernée.

Remarque

Sélectionnez explicitement la correspondance de nombres parmi les méthodes d'authentification autorisées par la politique. Une politique qui autorise toutes les méthodes n'exige pas la correspondance de nombres.

Selon votre configuration PingID, l'utilisateur sélectionne le nombre correspondant parmi trois options ou le saisit. Un utilisateur qui sélectionne une option au hasard a une chance sur trois d'approuver la demande. Pour les vérifications Secure Service Desk, où l'agent lit le nombre à l'utilisateur, exiger que l'utilisateur saisisse le nombre offre une meilleure protection.

Prévoir suffisamment de temps pour lire le nombre

Lors d'une vérification Secure Service Desk, l'utilisateur doit attendre que l'agent lise le nombre avant de répondre à la notification push. Par défaut, PingID accorde environ 40 secondes pour une demande. Si les demandes expirent avant que l'utilisateur puisse répondre, augmentez le délai d'expiration des demandes dans votre configuration PingID.

Traitement des résultats des politiques par Specops Authentication

Une politique PingID peut renvoyer l'un de trois résultats :

• Authenticate: PingID envoie une notification push et, si la correspondance de nombres est requise, Specops Authentication affiche un nombre. L'utilisateur approuve la demande dans l'application mobile PingID. Si l'utilisateur sélectionne ou saisit le mauvais nombre, la vérification échoue et l'utilisateur ou l'agent du service d'assistance en est informé.
• Deny: La vérification échoue. L'utilisateur ou l'agent du service d'assistance est informé que la politique PingID de l'organisation n'autorise pas la demande.
• Approve: PingID approuve la demande sans interaction de l'utilisateur. Lors de la connexion, de l'inscription et de la réinitialisation du mot de passe, l'utilisateur est vérifié sans notification push. Les vérifications Secure Service Desk n'acceptent pas ce résultat, la vérification échoue donc. Dans Secure Service Desk, l'agent est invité à demander à l'administrateur PingID d'exiger une authentification pour l'application specops-authentication-service-desk. Voir Configurer des politiques uniquement pour Specops Authentication.

Avertissement

Lorsqu'un agent du service d'assistance vérifie un utilisateur depuis Secure Service Desk, la demande provient de l'ordinateur de l'agent. PingID évalue donc l'emplacement et l'adresse IP de l'agent plutôt que ceux de l'utilisateur. Une règle qui approuve automatiquement les demandes provenant du réseau de votre entreprise approuverait toutes les vérifications issues de ce réseau. Les vérifications Secure Service Desk rejettent donc les approbations automatiques. Si votre Default Policy inclut une telle règle, configurez une politique pour specops-authentication-service-desk qui exige l'authentification de l'utilisateur.