Ce document explique comment configurer L2L pour utiliser les services SAML Azure de Microsoft afin de se connecter à L2L EXPÉDITION.

Étape 1 : Créer la configuration SAML L2L

Nous créons d'abord une nouvelle configuration SAML qui définit la relation de confiance SAML entre Expédition et Azure. Connectez-vous à [customer].leading2lean.com, puis accédez à Configuration → Configuration informatique → Configuration SSO SAML. Cliquez sur le lien Ajouter nouveau.

Dans la page Ajouter une nouvelle configuration SAML, saisissez les informations suivantes :

• Code : il doit s'agir d'un code unique parmi toutes les configurations SAML d'Expédition et il est utilisé dans les URL SAML d'Expédition.
• Nom d'affichage : il s'agit du texte visible par l'utilisateur sur la page de connexion d'Expédition.
• Attribut de nom d'utilisateur IdP : vous devez choisir la manière dont les utilisateurs se connecteront à Expédition. Le choix de e-mail nécessite que les comptes utilisateur d'Expédition aient leur adresse e-mail définie sur la même adresse e-mail que celle définie pour les comptes Azure des utilisateurs, tandis que le choix de nom d'utilisateur nécessite que le nom d'utilisateur d'Expédition corresponde au nom d'utilisateur Azure.
• Laissez tous les autres champs vides pour le moment et cliquez sur Enregistrer. Les champs restants seront configurés à l'aide des valeurs de l'application Azure à l'étape 3 ci-dessous.
• Cliquez maintenant sur la nouvelle configuration SAML que vous venez de créer. Nous utiliserons SP Initiate, l'URL SSO SP, l'URL SLO SP et l'ID d'entité SP à l'étape suivante.

Étape 2 : Créer une nouvelle application dans Azure

2. Créer une nouvelle application
   1. Accédez à Toutes les applications → Nouvelle application. Cliquez sur Nouvelle application. Sélectionnez Application hors galerie. Nommez votre nouvelle application et cliquez sur Ajouter.
3. Sélectionnez Configurer l'authentification unique et sélectionnez SAML.
Section 1 : Saisissez les URL L2L suivantes dans l'application Azure. Veillez à inclure la barre oblique finale.


URL L2L	Paramètre de l'application Azure
ID d'entité SP	Identificateur (ID d'entité)
URL SSO	URL de réponse
URL SSO	URL de connexion
URL SLO	URL de déconnexion

4. Section 2 : Définissez l'identificateur utilisateur unique.
   1. Si vous avez choisi e-mail pour l'attribut de nom d'utilisateur IdP dans L2L, sélectionnez user.mail.
   2. Si vous avez choisi nom d'utilisateur pour l'attribut de nom d'utilisateur IdP dans L2L, sélectionnez user.userprincipalname.

Remarque concernant le SSO initié par l’IdP : Pour les applications qui prennent en charge le SSO initié par l’IdP, Microsoft Azure/Entra permet de s’authentifier dans une application enregistrée via le portail web « My Apps ». L2L ne prend pas en charge nativement le SSO initié par l’IdP ; cependant, cette fonctionnalité peut être émulée en configurant l’URL de connexion dans Azure/Entra afin d’utiliser l’URL d’initiation SP L2L au lieu de l’URL SSO IdP.

Étape 3 : Mettre à jour la configuration SAML L2L

Téléchargez le certificat (Base 64) depuis la Section 3 de l’application Azure et copiez-collez-le dans le champ Informations du certificat IdP de l’écran Détail de la configuration SAML L2L, sous l’onglet Certificat public x509 au format PEM.

URL Azure	Détail de la configuration SAML L2L
URL de connexion	URL SSO IdP
Identificateur Azure AD	ID d’entité IdP
URL de déconnexion	URL SLO IdP

Étape 4 : Configurer les utilisateurs dans L2L

Il est maintenant temps d’associer les utilisateurs à une configuration SAML. Vous ne pourrez pas utiliser SAML tant que vous n’aurez pas configuré un utilisateur pour utiliser la nouvelle configuration SAML. Vous pouvez procéder de deux manières différentes.

Sélectionnez le paramètre Configuration SAML approprié dans l’écran Modifier l’utilisateur. Vous ne pouvez sélectionner qu’un seul paramètre Configuration SAML par utilisateur.Si tous les utilisateurs enregistrés sur un site utilisent SAML pour s’authentifier, vous pouvez utiliser l’outil de migration SAML. Celui-ci se trouve en bas de l’écran Détail de la configuration SAML. Cliquez simplement sur le bouton Migrer les comptes et suivez les instructions.

Étape 5 : Tester

Accédez à https://[customer].leading2lean.com et cliquez sur le nouveau bouton SSO. Le titre de ce bouton proviendra du nom d’affichage indiqué dans la configuration L2L ci-dessus.

1. Si vous y êtes invité, saisissez vos identifiants.
2. Vous devriez être connecté à L2L EXPÉDITION

1. Vous devriez être déconnecté de L2L EXPÉDITION

Dépannage

https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

Impossible de se connecter

En cas de divergence entre les méthodes d’authentification attendues par Azure et L2L, cette erreur peut apparaître :

"AADSTS75011: La méthode d’authentification 'X509, MultiFactor, X509Device' par laquelle l’utilisateur s’est authentifié auprès du service ne correspond pas à la méthode d’authentification demandée "Password, ProtectedTransport". Contactez le propriétaire de l’application Leading2Lean."

Par défaut, L2L impose la méthode d’authentification Password, ProtectedTransport via le champ requestedAuthnContext dans la demande SP-Init. Si Azure est configuré pour autoriser l’authentification X509, Multifactor, X509Device et qu’un utilisateur s’authentifie avec cette méthode, puis tente de se connecter à L2L avec le SSO, L2L ne l’acceptera pas et Azure affichera cette erreur. 

Deux nouveaux paramètres facultatifs sont disponibles dans la page Configuration SAML et permettent de modifier le champ equestedAuthnContext . Ils se trouvent sous l’onglet Paramètres avancés dans la nouvelle section Paramètres de comportement  de la page Configuration SAML. Ces paramètres facultatifs sont les suivants :
- Désactiver requestedAuthnContext
- Inclure "Unspecified" dans requestedAuthnContext (expérimental)




Remarque importante : Ces deux options donneront une autonomie complète au fournisseur d’identité pour appliquer ses propres méthodes d’authentification. Ces options s’excluent également mutuellement ; n’en activez donc qu’une seule à la fois.

Il existe une certaine flexibilité inhérente dans la mise en œuvre de SAML entre différents fournisseurs d’identité (IdP). Certains IdP ignorent la valeur requestedAuthnContext  et poursuivent avec leur méthode d’authentification par défaut. Certains peuvent considérer Unspecified comme une demande explicite d’utiliser toute méthode d’authentification disponible. D’autres peuvent utiliser par défaut une méthode d’authentification préconfigurée, telle que Password, ProtectedTransport ou l’authentification multifacteur (MFA). 

En raison de cette flexibilité inhérente, il est essentiel de tester ces options de manière approfondie en tentant d’accéder à L2L via l’authentification unique (SSO) après vous être authentifié auprès de votre IdP avec toute méthode prise en charge par votre organisation, qu’il s’agisse d’un nom d’utilisateur et d’un mot de passe, de l’authentification multifacteur (MFA), d’une authentification basée sur un certificat ou d’autres méthodes.