avertissement

Cette documentation s’applique uniquement à ThingPark Enterprise SaaS. La fédération d’authentification pour ThingPark Enterprise auto-hébergé est documentée dans :

• Fédération d’authentification pour les déploiements Appliance/VM auto-hébergés,
• Fédération d’authentification pour les déploiements Kubernetes.

Accès basé sur le domaine via un fournisseur d’identité externe (OAuth / OIDC)

Cette fonctionnalité permet aux abonnés ThingPark Enterprise ou Wireless SaaS de déléguer l’authentification de leurs utilisateurs finaux à des fournisseurs d’identité tiers, afin de prendre en charge l’authentification fédérée et l’authentification unique (SSO) entre les applications de l’utilisateur.

Exigences

Pour activer cette fonctionnalité, vous devez configurer un client OAuth 2.0 / OpenID Connect dans votre fournisseur d’identité (IdP). Ce client permet à ThingPark de déléguer l’authentification à votre IdP et de récupérer les informations d’identité de l’utilisateur.

Configuration du client OAuth

Type de client : Client confidentiel

Votre IdP doit prendre en charge au moins l’un des éléments suivants :

• Secret client dans le corps HTTP (client_secret_post)
• Secret client via l’en-tête Authorization (client_secret_basic)
• JWT signé avec le secret client (client_secret_jwt)
• JWT signé avec une clé privée (private_key_jwt)

La méthode private_key_jwt est préférée, avec l’URL suivante :

https://{your-thingpark-enterprise-domain}/auth/realms/tpw-users-actility-tpe-ope/protocol/openid-connect/certs

information

Remplacez {your-thingpark-enterprise-domain} soit par thingparkenterprise.eu.actility.com, thingparkenterprise.au.actility.com ou thingparkenterprise.us.actility.com.

URI de redirection

https://{your-thingpark-enterprise-domain}/auth/realms/tpw-users-actility-tpe-ope/broker/{identity-provider-alias}/endpoint

information

Remplacez {identity-provider-alias} par l’alias IdP que vous avez configuré (par exemple, le nom du client). Cette valeur doit être convenue et doit être unique côté ThingPark.

URI de redirection après déconnexion

https://{your-thingpark-enterprise-domain}/auth/realms/tpw-users-actility-tpe-ope/broker/{identity-provider-alias}/endpoint/logout_response

Flux OAuth / OIDC

L’IdP doit implémenter le Authorization Code Flow (type de réponse code) :

• Types d’autorisation : authorization_code et refresh_token.

Scopes requis

Les scopes suivants doivent être activés : openid, email et profile.

Claims requis

Votre IdP doit fournir les claims suivants dans l’ID token et/ou la réponse userinfo :

• sub (identifiant unique de l’utilisateur)
• email
• name
• family_name
• given_name
• middle_name (si disponible)

Informations requises pour l’intégration

Une fois le client OAuth configuré, veuillez fournir les informations suivantes :

• ID Client
• Secret client (doit être partagé de manière sécurisée, par exemple via SMS ou canal sécurisé)
• Domaine de messagerie autorisé(s) :
  • Exemple : example.com
• Point de terminaison de configuration OpenID Connect :
  • Doit se terminer par /.well-known/openid-configuration

Le support ThingPark travaillera avec vous pour tester et configurer l’intégration du fournisseur d’identité.

avertissement

Les secrets client ont généralement une durée de vie limitée (par exemple, jusqu’à deux ans dans Microsoft Entra ID). Comme leur expiration ne peut pas être surveillée par ThingPark, veuillez vous assurer que les identifiants renouvelés nous sont communiqués via un canal sécurisé avant l’expiration du secret actuel afin d’éviter toute interruption de service.