Connecter Keycloak

Keycloak est le seul fournisseur que nous avons testé nous-mêmes : Keycloak 26.4, connecté au moyen d’OpenID Connect, sur une installation d’essai. Ce que nous avons testé est indiqué plus bas. Voici les étapes telles que Tamaat les présente, avec les noms de Keycloak à côté. Les réglages de Keycloak sont donnés ici sous leur nom anglais.

Avant de commencer

• Vous êtes administrateur de l’organisation Tamaat, qui a le forfait Professional ou un forfait supérieur.
• Vous pouvez créer un client dans le realm Keycloak où vos gens se connectent.
• Votre Keycloak répond à une adresse https que Tamaat peut joindre.
• Les personnes qui se connecteront ont une adresse courriel dans Keycloak, et c’est la même que celle avec laquelle elles sont invitées dans Tamaat.

1. Créer le client dans Keycloak

Dans votre realm Keycloak, créez un client pour Tamaat avec ces réglages :

Réglage Keycloak	Valeur
Client type	OpenID Connect
Client ID	Un nom de votre choix, par exemple tamaat
Client authentication	On
Standard flow	On
Valid redirect URIs	Laissez de côté pour l’instant. Tamaat vous donne l’adresse à l’étape 3.

Enregistrez le client, puis copiez son secret client à partir des informations d’identification du client.

2. Ajouter la connexion dans Tamaat

1. 1

   Ouvrez Paramètres et choisissez Organisation → Authentification unique. Sous Connexion, choisissez "Ajouter une connexion".

2. 2

   Sous "Fournisseur d’identité", choisissez Keycloak.

3. 3

   Sous "Provenant de Keycloak", remplissez :

   • "Nom de la connexion" : ce que vos gens verront lorsqu’ils se connecteront, par exemple le nom de votre entreprise.
   • "Émetteur" : l’adresse de votre realm Keycloak, sous la forme https://{host}/realms/{realm}. Copiez-la depuis Keycloak plutôt que de la taper; elle doit correspondre exactement.
   • "ID client" : l’ID client que vous avez choisi à l’étape 1.
   • "Secret client" : le secret que vous avez copié à l’étape 1.
4. 4

   Choisissez "Enregistrer". Le formulaire indique "Enregistré." et affiche une nouvelle étape, "À copier dans Keycloak".

3. Copier l’adresse de redirection dans Keycloak

"À copier dans Keycloak" affiche deux valeurs, chacune avec un bouton "Copier" :

• "URI de redirection" : collez-la dans Valid redirect URIs sur le client Keycloak, puis enregistrez le client.
• "Adresse d’ouverture de session" : l’adresse qui lance une ouverture de session par cette connexion. Conservez-la pour la distribuer comme signet.

4. Tester et activer

1. 1

   Dans Tamaat, choisissez "Enregistrer et tester". Vous êtes envoyé à la page de connexion de votre Keycloak.

2. 2

   Connectez-vous comme n’importe quelle personne du realm. Vous revenez au résultat. "Le test n’a ouvert de session pour personne."

3. 3

   Sur "Réussi", vérifiez les lignes : "Identifiant permanent reçu", "Courriel reçu" et "Heure d’ouverture de session reçue" devraient toutes être présentes.

4. 4

   Choisissez "Activer la connexion". La connexion indique "Active".

5. 5

   Sous Politique d’ouverture de session, choisissez "Facultative" : "Mot de passe ou authentification unique".

Vos gens peuvent maintenant se connecter par l’entremise de Keycloak. Les mots de passe fonctionnent encore.

Adresses courriel

Tamaat accepte une adresse courriel de Keycloak sans autre vérification seulement lorsque Keycloak l’indique comme vérifiée. Nous n’avons pas testé chacun de ces cas avec Keycloak. Le résultat du test vous dit dans quel cas vous êtes :

Résultat du test	Ce qu’une nouvelle personne rencontre
"Courriel : confirmé par votre fournisseur"	Elle entre directement.
"Courriel : les personnes confirment avec un code la première fois"	Elle tape un code que Tamaat lui envoie par courriel, une seule fois.
"Le fournisseur d’identité indique que l’adresse courriel de cette personne n’est pas vérifiée. Vérifiez-la chez votre fournisseur, puis demandez-lui d’ouvrir une session de nouveau."	Elle n’entre pas tant que l’adresse n’est pas vérifiée dans Keycloak.

Groupes (facultatif)

Configurez ceci seulement si vous voulez ouvrir une carte ou un tableau de bord publié à des groupes Keycloak choisis. Les groupes ne fixent jamais un rôle dans Tamaat. Nous n’avons pas testé les groupes avec Keycloak; le test de la connexion montre s’ils arrivent.

1. Dans Keycloak, ajoutez au client un mappeur Group Membership. Donnez groups à Token Claim Name, désactivez Full group path et activez Add to ID token.
2. Dans Tamaat, choisissez "Modifier" sur la connexion. Entrez groups sous "Où votre fournisseur indique les groupes" et laissez "Les groupes sont envoyés sous forme de" à "Noms".
3. Choisissez "Enregistrer et tester", connectez-vous comme une personne qui fait partie d’un groupe, et cherchez "Groupes : reçus" avec le nombre de groupes.
4. Choisissez de nouveau "Activer la connexion" pour que la nouvelle version soit celle en service.

Keycloak envoie des noms de groupe, et les noms peuvent être modifiés. Lorsque vous restreignez une carte ou un tableau de bord publié par nom, Tamaat vous le rappelle : "Les noms de groupe peuvent être modifiés chez votre fournisseur. Toute personne qui peut y créer un groupe portant ce nom peut ouvrir ceci."

Ce que nous avons testé

Avec Keycloak 26.4, sur une installation d’essai, nous avons testé : ajouter, tester et activer une connexion; se connecter avec la politique à Facultative; lier un compte Tamaat existant; refuser une personne qui n’avait pas été invitée; exiger l’authentification unique avec une personne de secours; et refuser un mot de passe une fois l’authentification unique exigée.

Si le test échoue

Le résultat affiche une phrase qui dit quoi changer. Celles qu’on rencontre le plus souvent avec Keycloak :

Phrase	À vérifier
"Le fournisseur d’identité a rejeté notre demande. Vérifiez l’ID client, le secret client et l’URI de redirection."	L’URI de redirection figure dans Valid redirect URIs, et l’ID client et le secret sont ceux de ce client.
"Le document de découverte du fournisseur nomme un autre émetteur. Vérifiez l’adresse de l’émetteur."	L’"Émetteur" est exactement l’adresse de votre realm Keycloak, avec le même hôte que celui que vos gens utilisent.
"Le fournisseur d’identité est injoignable. Vérifiez l’adresse de l’émetteur, puis réessayez."	Votre Keycloak répond à cette adresse depuis l’extérieur de votre réseau.

Dépanner l’authentification unique énumère toutes les phrases.

Next steps

1. Montrer aux membres comment se connecter
2. Exiger l’authentification unique
3. Ouvrir une carte ou un tableau de bord à votre entreprise