Configurer l’authentification unique OIDC

Lors de l’enregistrement de votre memoQ TMS en tant que client d’un service IDP, vous devez définir une URL de rappel. C’est ici que l’IDP peut accéder au serveur principal OIDC.

• Pour exécuter le serveur principal OIDC en tant que service Windows, l’URL de rappel ressemble à ceci :

  

  Le serveur principal OIDC a besoin d’un port (3) pour communiquer avec les fournisseurs d’identité. Par défaut, c’est le port 5001. Ce port devrait être ouvert pour les communications entrantes et les communications sortantes. Si nécessaire, vous pouvez configurer un port différent dans le fichier des paramètres de l’application.

• Pour exécuter le backend OIDC en tant qu’application web IIS, l’URL de rappel se présente comme suit :

  

Vous pouvez choisir la dernière partie de l’URL de rappel (4) selon les besoins, mais:

• Il ne doit pas s’agir de « connexion », « connexion » ou « authentification ».

• Si vous vous inscrivez à plus d’un IDP, cette partie doit être unique pour chacun d’eux.

Lorsque vous enregistrez le memoQ TMS comme client auprès du fournisseur d’identité, le memoQ TMS reçoit un identifiant client et un secret client. Vous en aurez besoin pour configurer votre fournisseur d’identité dans la configuration du serveur principal OIDC.

Notes pour l’enregistrement du memoQ TMS dans Azure AD:

• Vous n’avez pas besoin des options d’octroi implicite (jetons d’accès ou jetons d’identification)

• Vous avez besoin d’un droit d’accès de type utilisateur.Read

• Vous devriez définir /logout comme l’URL de déconnexion par défaut.

Assurez-vous que votre pare-feu est configuré correctement: L’IDP pourrait nécessiter l’ouverture de certains ports sur le pare-feu de l’entreprise. Pour en savoir plus, consultez la documentation de votre IDP.

Le serveur principal OIDC doit connaître le ou les noms d’hôte auxquels il doit répondre.

Configurez-les dans le fichier %PROGRAMDATA%\memoQ Server\Oidc Backend\appsettings.User.json.

Les détails de journalisation sont stockés dans un fichier distinct, %PROGRAMFILES %\Kilgray\MemoQ Server\Oidc\appsettings.json.

Hôtes autorisés à appeler le backend OIDC

Dans cet exemple, “*” représente n’importe quel nom d’hôte. Si vous voulez limiter l’accès, modifiez la valeur de la clé AutoriserHosts: Entrez un ou plusieurs domaines (par exemple, « *.mycompany.com ») ou noms d’hôtes spécifiques (par exemple, « machine1.mycompany.com »), séparés par des points-virgules (;). Sinon, laissez la valeur AllowedHosts inchangée.

Si vous avez changé le numéro de port par défaut, changez la partie après le colon ( :) dans les touches URL:

Sinon, laissez la valeur URL inchangée.

Journalisation

Le fichier %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc\appsettings.json définit les détails de journalisation.

Trouver la clé "Name": "File" sous Serilog.WriteTo. Les clés sous Args ici définissent les paramètres importants:

path: Par défaut, le journal est stocké dans le fichier %PROGRAMDATA%\memoQ Server\Oidc Backend\LogFiles\log-.txt.

rollingInterval, rollOnFileSizeLimit, fileSizeLimitBytes : Les journaux sont écrits dans des fichiers journaliers (ne changez pas cela), mais si la taille du fichier atteint la limite (100 Mo par défaut), un second fichier sera créé pour ce jour.

retainedFileCountLimit: Par défaut, les 31 derniers fichiers journaux sont conservés sur le serveur.

Par défaut, le niveau de journalisation est Information. Si vous avez besoin de plus d’informations, changez la valeur de la clé Serilog.MinimumLevel.Default en Debug ou Verbose.

Les répertories verboses tout, même les noms et les secrets – utilisez-le seulement lorsque c’est vraiment nécessaire, et seulement s’il respecte les règles de protection des données de votre organisation.

Ces paramètres ne sont pas permanentes: Lorsque vous mettez à jour memoQ TMS, tout son dossier sous %PROGRAMFILES% est écrasé. Cela signifie que tous les paramètres du fichier appsettings.json reviendront à leurs valeurs par défaut. Vous recommandez de ne pas changer les - à moins que vous en ayez vraiment besoin.

Le service principal OIDC de memoQ est un service Windows distinct qui s’exécute à côté du service du serveur memoQ. Il est installé avec memoQ TMS, mais pour le faire fonctionner, vous devez le configurer (après avoir enregistré votre memoQ TMS auprès d’un IDP).

1. Assurez-vous que l’option « Exécuter en tant que service Windows » est sélectionnée en haut.

2. Dans l’onglet Paramètres de base, remplissez les champs suivants :

   • URL de base du backend :

     

   • URL memoQweb: Utilisez la même valeur que celle de l’onglet Adresse dans la fenêtre Configurer le serveur.

   • Empreinte du certificat TLS : Cliquez sur Parcourir et sélectionnez le certificat dans la liste.

3. En bas, cliquez sur Appliquer.

4. Dans l’onglet Fournisseurs:

   1. Cliquez sur Ajouter un fournisseur.

   2. Dans la fenêtre Ajouter un fournisseur, sélectionnez un fournisseur dans le menu déroulant.

      À partir de la version 12.5, memoQ TMS prend en charge les instances Azure AD (Microsoft Entra), Google, Microsoft, Okta (standard et personnalisées) et OneLogin. Si votre entreprise utilise un autre service de fournisseur d’identité basé sur OIDC, communiquez avec les Services aux entreprises de memoQ , qui peuvent vous fournir les ressources dont vous avez besoin lorsque vous sélectionnez Personnalisé dans cette liste.

   3. Certains champs sont remplis. Remplissez ceux qui sont vides.

      Paramètres génériques

      Paramètre	Description
      Name	Le nom du fournisseur d’identité dans la base de données memoQ TMS. Change selon le besoin.
      DisplayName	Le texte sur le bouton de l’IDP que vous verrez sur la page de connexion. Change selon le besoin.
      ClientId	L’ID de client que l’IDP a généré pour votre memoQ TMS.
      ClientSecret	Le secret du client ou la clé secrète que vous avez reçue lors de l’enregistrement de votre memoQ TMS à ce PID.
      CallbackPath	La dernière partie de l’URL de rappel que vous avez enregistrée auprès de l’IDD. Vous devez changer la valeur par défaut.

      Paramètres propres à l’IDP

      Paramètre	Description
      Tenant	Votre locataire Microsoft Azure.
      TenantId	Votre locataire OneLogin.
      OktaDomain	Votre domaine Okta.
      AuthServerId	L’ID du serveur d’autorisation de votre Okta.
      OktaOrg	L’URL de base de votre organisation Okta (sans http://).

   4. Au bas de la fenêtre, collez le secret client que vous avez reçu du fournisseur d’identité.

   5. Pour utiliser une icône personnalisée pour le fournisseur d’identité sur la page de connexion memoQweb, cliquez sur Parcourir et accédez au fichier d’icône. Les formats acceptés sont PNG, SVG, JPG et ICO.

   6. Pour ajouter le fournisseur, cliquez sur Appliquer.

      Le fournisseur apparaît dans la liste.

   7. Pour ajouter un autre fournisseur, cliquez de nouveau sur Ajouter un fournisseur et répétez la procédure.

      Pour modifier les paramètres d’un fournisseur, sélectionnez-le et cliquez sur Modifier les informations.

      Pour supprimer un fournisseur de la liste, cliquez sur Supprimer le fournisseur.

5. Dans l’onglet du service principal :

   1. Cliquez sur Installer.

   2. Dans la fenêtre « Installer le service principal OIDC  », choisissez un type de compte. Ne modifiez le paramètre par défaut que si c’est nécessaire.

      Remarque : Le compte que vous choisissez pour exécuter le service doit disposer d’un accès en lecture et en écriture à la base de données memoQ TMS et d’un accès en lecture au certificat. Cela est vrai pour tous les types de comptes(LocalSystem,NetworkService,VirtualService ou ServiceUser).

   3. Une fois le service installé, cliquez sur Démarrer.

   4. En bas, cliquez sur Enregistrer.

6. À ce stade, vous devez redémarrer:

   • le memoQ TMS service

   • le groupe d’applications IIS qui exécute memoQweb.

Le serveur principal OIDC est maintenant configuré sur votre memoQ TMS. Le serveur accepte:

• Identifiants SSO: Les utilisateurs choisissent un service IDP et se connectent avec les noms d’utilisateur et les mots de passe qu’ils ont à ce service IDP.
• Identifiants SSO hérités: Les utilisateurs se connectent avec les noms d’utilisateur et les mots de passe qu’ils ont dans le Windows Active Directory de l’entreprise. Du point de vue OIDC, ces utilisateurs se comportent comme des connexions locales, et ils peuvent être changés en SSO basé sur OIDC.
• Identifiants locaux: Les utilisateurs qui n’ont ni identifiants IDP ni comptes Windows AD peuvent toujours utiliser leurs noms d’utilisateur et mots de passe memoQ.

Vous pouvez maintenant dire à un utilisateur administrateur de memoQ de commencer à créer ou à mettre à jour des utilisateurs sur le memoQ TMS (voir la partie 2 de ce document).

1. Assurez-vous que « Hôte dans IIS » est sélectionné en haut.

2. Dans l’onglet Paramètres de base, remplissez les champs suivants :

   • URL de base du backend :

     

   • URL memoQweb: Utilisez la même valeur que celle de l’onglet Adresse dans la fenêtre Configurer le serveur.

3. En bas, cliquez sur Appliquer.

4. Dans l’onglet Fournisseurs:

   1. Cliquez sur Ajouter un fournisseur.

   2. Dans la fenêtre Ajouter un fournisseur, sélectionnez un fournisseur dans le menu déroulant.

      À partir de la version 12.5, memoQ TMS prend en charge les instances Azure AD (Microsoft Entra), Google, Microsoft, Okta (standard et personnalisées) et OneLogin. Si votre entreprise utilise un autre service de fournisseur d’identité basé sur OIDC, communiquez avec les Services aux entreprises de memoQ , qui peuvent vous fournir les ressources dont vous avez besoin lorsque vous sélectionnez Personnalisé dans cette liste.

   3. Certains champs sont remplis. Remplissez ceux qui sont vides.

      Paramètres génériques

      Paramètre	Description
      Name	Le nom du fournisseur d’identité dans la base de données memoQ TMS. Change selon le besoin.
      DisplayName	Le texte sur le bouton de l’IDP que vous verrez sur la page de connexion. Change selon le besoin.
      ClientId	L’ID de client que l’IDP a généré pour votre memoQ TMS.
      ClientSecret	Le secret du client ou la clé secrète que vous avez reçue lors de l’enregistrement de votre memoQ TMS à ce PID.
      CallbackPath	La dernière partie de l’URL de rappel que vous avez enregistrée auprès de l’IDD. Vous devez changer la valeur par défaut.

      Paramètres propres à l’IDP

      Paramètre	Description
      Tenant	Votre locataire Microsoft Azure.
      TenantId	Votre locataire OneLogin.
      OktaDomain	Votre domaine Okta.
      AuthServerId	L’ID du serveur d’autorisation de votre Okta.
      OktaOrg	L’URL de base de votre organisation Okta (sans http://).

   4. Au bas de la fenêtre, collez le secret client que vous avez reçu du fournisseur d’identité.

   5. Pour utiliser une icône personnalisée pour le fournisseur d’identité sur la page de connexion memoQweb, cliquez sur Parcourir et accédez au fichier d’icône. Les formats acceptés sont PNG, SVG, JPG et ICO.

   6. Pour ajouter le fournisseur, cliquez sur Appliquer.

      Le fournisseur apparaît dans la liste.

   7. Pour ajouter un autre fournisseur, cliquez de nouveau sur Ajouter un fournisseur et répétez la procédure.

      Pour modifier les paramètres d’un fournisseur, sélectionnez-le et cliquez sur Modifier les informations.

      Pour supprimer un fournisseur de la liste, cliquez sur Supprimer le fournisseur.

5. Dans l’onglet du service principal :

   1. Remplissez les champs Nom de l ’application et Pool d ’applications. Choisissez un autre site Web au besoin.

   2. Cliquez sur Installer le backend. L’outil crée une application Web et un pool d’applications portant les noms que vous avez saisis, et leur accorde les droits d’accès nécessaires. Il démarre également le pool d’applications.

6. À ce stade, vous devez redémarrer:

   • le memoQ TMS service

   • le groupe d’applications IIS qui exécute memoQweb.