Créer un compte Single Sign-On (SSO)

• La fonctionnalité Stormshield Data Extension Carte doit être installée sur les postes de travail des utilisateurs, avec les autres fonctionnalités de l'agent SDS Enterprise. Pour plus d'informations, reportez-vous aux sections Déployer le package d'installation des agents SDS Enterprise et une politique de sécurité personnalisée sur les postes des utilisateurs et Configurer les middleware nécessaires aux comptes Carte ou token USB.

• Les certificats des clés de chiffrement et de signature des utilisateurs doivent avoir été stockés au préalable sur les postes de travail dans le magasin de certificats Personnel via le Gestionnaire de certificats Microsoft.

  Ces certificats doivent avoir été émis par les autorités de certification déclarées dans la politique de sécurité, lors du paramétrage des comptes SSO, comme indiqué dans les deux sections suivantes.

• Les utilisateurs doivent disposer d'une clé privée pour chacun de leurs certificats stocké dans le Magasin de certificats Windows.

• Deux certificats doivent avoir été ajoutés au préalable dans la Bibliothèque de certificats de SDMC :

  • Le certificat de l’autorité certification qui a émis les certificats des utilisateurs,

  • Le certificat du compte de recouvrement.

  Pour plus d'informations, reportez-vous à la section Ajouter des certificats d'autorité de certification.

• Votre annuaire LDAP doit avoir été ajouté au préalable dans la Bibliothèque LDAP de SDMC.
  Pour plus d'informations, reportez-vous à la section Gérer les annuaires LDAP dans SDMC.

Pour paramétrer le type de compte SSO et faire en sorte que les comptes SDS Enterprise des utilisateurs soient associés à leur compte utilisateur Windows, paramétrez les options suivantes dans SDMC :

1. Allez dans le menu Comptes de la politique de sécurité concernée.

2. Dans l'onglet Paramètres, sélectionnez :

   • Type de compte : Single Sign-on (SSO),
   • Compte carte ou token USB : Middleware Stormshield Data Security.
   
   Pour plus d'informations, reportez-vous à la section Définir les paramètres génériques des comptes.

3. Dans l'onglet Création, sélectionnez :

   Gestion des clés : Compte avec deux clés (clé de chiffrement et clé de signature).

   Filtrer les autorités lors de la création automatique : Autorités de certification ayant émis les clés de chiffrement et signature des utilisateurs.
   Pour plus d'informations, reportez-vous à la section Définir les paramètres de création de comptes.

4. Dans l'onglet Recouvrement de données, ajoutez le certificat du compte de recouvrement.

5. Dans le menu Politiques > Fonctionnalités, conservez le paramétrage par défaut ou configurez les différentes fonctionnalités selon vos besoins.
   Pour plus d'informations, reportez-vous à la section Configurer les fonctionnalités.

6. Dans le menu Politiques > Autorités, ajoutez le chemin vers le fichier *.crl de la liste de révocation, généré par l'autorité de certification ayant émis les certificats des utilisateurs.

7. Dans le menu Politiques > Diffusion, ajoutez le chemin vers le point de distribution du fichier Policy.jwt. Ce fichier correspond au format de votre politique de sécurité après signature par le compte signataire de politique.
   Pour plus d'informations, reportez-vous à la section Configurer les points de distribution de politiques.

8. Lorsque la politique de sécurité est prête, déployez-la sur les postes des utilisateurs comme indiqué à la section Installer les agents SDS Enterprise sur les postes des utilisateurs et déployer les politiques de sécurité ou à la section Mettre à jour la politique de sécurité sur les agents SDS Enterprise.

Consultez ensuite la section Utiliser le compte SSO.

Pour paramétrer manuellement le type de compte SSO directement dans le fichier .json d'une politique de sécurité, vous devez compléter les champs suivants :

1. Indiquez le type SSO dans le paramètre "AccountMode" :
   

   "accountPolicy": {
   	"parameters": {				
     		"accountMode": "SSO"
   	}			 
   }

2. Indiquez le nombre de clés dans le paramètre "accountKeyMode" ("dualKey", "singleKeyEncryption" ou "singleKeySignature") :
   

   "accountPolicy": {
   	"creation": {				
     		"accountKeyMode": "dualKey"
   	}			 
   }

3. Indiquez l'identifiant du certificat de l'autorité ayant émis les clés à utiliser pour créer les comptes dans les paramètres "encryptionKeyAuthorityId" et "signatureKeyAuthorityId" :

   "accountPolicy": {
   	"creation": {				
     		"automatic": {

   "encryptionKeyAuthorityId": "0123456789ab-cdef-0123-4567-89abcdef",
   "signatureKeyAuthorityId": "0123456789ab-cdef-0123-4567-89abcdef"
                   }
   

   	}			 
   }

4. Indiquez les données des certificats mentionnés à l'étape 3 dans le paramètre "certificateData" au format "base 64" :

   "certificateData": [
   	{
              "id": "0123456789ab-cdef-0123-4567-89abcdef",
              "data": "LS0tLS1CRUdJTiBDR [...] GSUNBVEUtLS0tLQ0K"
   	 }			 
   ]

5. Lorsque la politique de sécurité est prête, déployez la sur les postes des utilisateurs comme indiqué à la section Installer les agents SDS Enterprise sur les postes des utilisateurs et déployer les politiques de sécurité ou à la section Mettre à jour la politique de sécurité sur les agents SDS Enterprise.

Pour configurer la politique de sécurité au format .json, consultez le Guide de configuration avancée de SDS Enterprise.

Consultez ensuite la section Utiliser le compte SSO.

Une fois la politique déployée sur les postes, le compte SDS Enterprise SSO des utilisateurs est automatiquement créé lors de leur prochaine connexion à leur compte Windows. Ils peuvent alors utiliser SDS Enterprise sans passer par sa fenêtre de connexion.

Pour spécifier un emplacement pour les fichiers du compte SDS Enterprise sur le poste de l'utilisateur, utilisez les paramètres "RootPath1" et "RootPath2" dans le fichier de configuration SBox.ini. Les fichiers sont stockés dans un sous-dossier nommé avec le nom de l'utilisateur courant de la session Windows. Ce sous-dossier se trouve lui-même dans un sous-dossier "SSO" du chemin spécifié par les paramètres "RootPath1" et "RootPath2".

Pour configurer le fichier SBox.ini, reportez-vous à la section Configurer les paramètres avancés dans le fichier SBox.ini.

La connexion et la déconnexion du compte SDS Enterprise sont automatiques à chaque ouverture et fermeture de la session Windows de l'utilisateur. Il en est de même pour le verrouillage et déverrouillage du compte.

Les particularités suivantes s'appliquent au type de compte SSO :

• Les menus de connexion et verrouillage restent visibles en cliquant sur l'icône SDS Enterprise de la barre des tâches Windows, mais ils sont grisés.

• L'utilisateur peut cependant choisir dans les propriétés de son compte SDS Enterprise> Paramètres de connexion > onglet Écran de veille de verrouiller la session SDS Enterprise lors du déclenchement de l'écran de veille Windows ou sur verrouillage de la session Windows, et de ne pas déverrouiller au réveil ou à la reprise. Dans ce cas, il peut utiliser le menu Déverrouiller en cliquant sur l'icône SDS Enterprise de la barre des tâches.

• Dans le porte-clés de l'utilisateur, accessible depuis l'icône SDS Enterprise de la barre des tâches Windows, le bouton Opérations n'est pas visible dans les onglets Chiffrement et Signature.