Plus d’informations sur l’authentification unique basée sur OIDC

Dans ce cas, il vous suffit de démarrer le service du serveur principal OIDC. Exécutez la commande services.msc, faites un clic droit sur le service MemoQ OIDC Backend dans la liste, et dans le menu, cliquez sur Démarrer.

Pour ce faire, exécutez toute commande avec le MemoQ.Security.Oidc.ConfigTool. Le plus sûr est GetBackendBaseUrl, car cela ne change rien dans la configuration.

Dans une invite de commande avec des droits d’administrateur, exécutez ces commandes:

cd "%PROGRAMFILES%\Kilgray\MemoQ Server\Oidc"

MemoQ.Security.Oidc.Backend.ConfigTool.exe GetBackendBaseUrl

Après que l’invite de commande a retourné, la mise à jour de la base de données est terminée.

Cela est causé par un problème connu du cadre .NET. Les fichiers exe dans le dossier %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc sont des archives auto-extractibles. Leurs contenus (les programmes réels) sont extraits dans (et exécutés à partir de) un sous-dossier du dossier %TEMP% de l’utilisateur. Il peut arriver que quelque chose (par exemple, un logiciel antivirus, une mise à jour de .NET, etc.) nettoie le dossier %TEMP % , après quoi le serveur principal OIDC et son outil de configuration ne peuvent plus s’exécuter.

Pour éviter cela: Créez une variable d’environnement appelée DOTNET_BUNDLE_EXTRACT_BASE_DIR, avec une étendue Machine ou Système. Définissez sa valeur à %PROGRAMDATA %\Temp\.net. Redémarrez ensuite le service principal OIDC0 : Exécutez la commande services.msc, faites un clic droit sur le service MemoQ OIDC Backend dans la liste, et dans le menu, cliquez sur Démarrer.

S’il y a un problème avec votre connexion OIDC, parcourez cette liste avant de contacter le soutien de memoQ.

• Exécutez MemoQ.Security.Oidc.Backend.ConfigTool.exe, situé dans le dossier %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc pour vous assurer que la partie OIDC dans la base de données de memoQ TMSest à jour (l’exécution du ConfigTool effectue automatiquement la mise à jour).

• Exécutez MemoQ.Security.Oidc.Backend.ConfigTool.exe avec la commande GetIdProvider pour lister les fournisseurs d’identité configurés. C’est très utile si la page de connexion de memoQwebne montre pas les boutons OIDC ou si l’option Utiliser un fournisseur d’identité externe est désactivée dans l’application de bureau memoQ. Ces éléments ne devraient pas se produire si vous avez au moins un fournisseur d’identité configuré.

• S’il y a des problèmes avec la page de connexion de memoQweb, exécutez MemoQ.Security.Oidc.Backend.ConfigTool.exe avec la commande GetMemoQWebBaseUrls. Vérifiez si l’URL de base de memoQweb est configurée correctement.

• Ouvrez la base de données du memoQ TMSdans Microsoft SQL Server Management Studio et vérifiez si elle a une table appelée dbo.__EFMigrationsHistory. Si ce n’est pas le cas, vous devez installer la partie OIDC de la base de données: exécutez MemoQ.Security.Oidc.Backend.ConfigTool.exe avec la commande GetMemoQWebBaseUrls. Cela est nécessaire pour éviter les problèmes de CORS sur le serveur principal OIDC lorsqu’il est utilisé à partir de memoQweb. Vous devez ensuite configurer OIDC (en tant que service Windows), comme décrit dans la documentation concernant la fenêtre « Configurer l’authentification unique OIDC  ». Notez que vous pouvez avoir plusieurs URL de base configurées ici.

• Vérifier quels fournisseurs d’identité OIDC sont configurés sur memoQ TMS : Ouvrez https://<lenom d’hôte du serveurprincipalOIDC>:<le port du serveur principalOIDC>/auth/id_providers (par exemple, https://memoqserver.mycompany.com:5001/auth/id_providers) dans un navigateur. memoQ TMS renvoie un fichier JSON contenant les données de base des fournisseurs d’identité configurés.

• Vérifier les possibilités de signature OIDC sur memoQ TMS : Ouvrez https://<nom d’hôtedu serveur principalOIDC>:<portdu serveur principal OIDC>/login (par exemple, https://memoqserver.mycompany.com:5001/login) dans un navigateur. memoQ TMS renvoie la partie OIDC de la page de connexion.

1. Dans memoQ, l’utilisateur choisit de se connecter avec un fournisseur d’identité externe (Okta, Azure AD, etc.)
2. L’application de bureau memoQ demande et obtient l’URL de la page de connexion du serveur principal OIDC (pour choisir un fournisseur d’identité).
3. L’application de bureau memoQ génère un identifiant de connexion aléatoire pour identifier la session de connexion. Il ouvre l’URL de connexion (reçue à l’étape 2) dans le navigateur par défaut de la machine et transmet le hachage de l’ID de connexion généré à la page de connexion. Cette page est diffusée par le serveur principal OIDC sur HTTPS.
4. Sur la page de connexion, l’utilisateur choisit un fournisseur d’identité. La fonction de connexion du serveur principal OIDC transmet le hachage de l’identifiant de connexion et le nom du fournisseur d’identité. En réponse, il reçoit une réorientation vers la page de connexion du fournisseur d’identité, avec le hachage d’identifiant de connexion et un chemin de rappel comme paramètres.
5. Le navigateur est redirigé vers le fournisseur d’identité, transmettant le hachage de connexion et le chemin de rappel en tant que paramètres.
6. Le fournisseur d’identifiant authentifie l’utilisateur et génère un code d’authentification. Ensuite, il redirige le navigateur vers le chemin de rappel et transmet le code d’authentification généré.
7. Le navigateur est redirigé vers le chemin de rappel et transmet le hachage de l’identifiant de connexion ainsi que le code d ’authentification au serveur principal OIDC en tant que paramètres.
8. Le backend OIDC appelle le fournisseur d’identité pour échanger le code d’autorisation reçu contre un jeton d’identité. Cela se fait par une communication back-canal plus sûre.
9. Le serveur principal OIDC reçoit et valide le jeton d’identification reçu, qui contient les revendications de l’utilisateur (les détails de l’utilisateur authentifié), puis l’enregistre dans la base de données de memoQ en utilisant le jeton d’identification comme clé de l’enregistrement.
10. L’application de bureau memoQ envoie l’ID de connexion au memoQ TMS, et demande une session memoQ.
11. Le memoQ TMS crée un hachage à partir de l’ID de connexion et essaie d’obtenir le jeton d’ID basé sur ce hachage. S’il réussit, il crée une session memoQ pour l’utilisateur authentifié du jeton d’identité.

Le flux de connexion de memoQweb suit la même logique que le bureau:

1. L’utilisateur ouvre memoQweb (pratiquement, le module de connexion central sur le Web) pour travailler dans webtrans ou webPM. L’écran de connexion affiche la liste des fournisseurs d’identité enregistrés sous le formulaire de connexion traditionnel de memoQ.
2. Sur la page de connexion, l’utilisateur choisit un fournisseur d’identité. Le client web génère un identifiant de connexion aléatoire pour identifier la session de connexion.
3. Le navigateur est redirigé vers le fournisseur d’identité, transmettant le hachage de connexion et le chemin de rappel en tant que paramètres.
4. Le fournisseur d’identifiant authentifie l’utilisateur et génère un code d’authentification. Ensuite, il redirige le navigateur vers le chemin de rappel et transmet le code d’authentification généré.
5. Le navigateur est redirigé vers le chemin de rappel et transmet le hachage de l’identifiant de connexion ainsi que le code d ’authentification au serveur principal OIDC en tant que paramètres.
6. Le backend OIDC appelle le fournisseur d’identité pour échanger le code d’autorisation reçu contre un jeton d’identité. Cela se fait par une communication back-canal plus sûre.
7. Le serveur principal OIDC reçoit et valide le jeton d’identification reçu, qui contient les revendications de l’utilisateur (les détails de l’utilisateur authentifié), puis l’enregistre dans la base de données de memoQ en utilisant le jeton d’identification comme clé de l’enregistrement.
8. L’ memoQweb interface envoie l’ID de connexion au memoQ TMS, et demande une session memoQ.
9. Le memoQ TMS crée un hachage à partir de l’ID de connexion, et essaie d’obtenir le jeton d’ID basé sur ce hachage. S’il réussit, il crée une session memoQ pour l’utilisateur authentifié du jeton d’identité.

Dans un environnement de test, vous pouvez utiliser un certificat auto-signé au lieu d’un certificat commercial.

1. Téléchargez, décompressez et exécutez le fichier script CreateAndInstallSelfSignedCert.ps1 en mode administrateur. Cette étape créera un certificat auto-signé, l’enregistrera en tant que certificat approuvé et l’exportera dans un fichier .pfx protégé par mot de passe dans le dossier actuel.
2. Ouvrez l’application Gérer les certificats d’ordinateur et dans les nœuds Certificats - Ordinateur local/Personnel/Certificat et Certificats - Ordinateur local/Autorités de certification racines de confiance/Certificat, vous devriez voir le certificat nouvellement créé.
3. Modifiez le fichier appsettings.json, définissez la propriété Kestrel.Certificates.Default.Subject sur la valeur utilisée précédemment comme <nom dns pour le certificat>.

Sur chaque ordinateur client où quelqu’un utilisera l’application de bureau memoQ ou memoQweb, vous devez enregistrer le certificat comme étant de confiance:

1. Copiez le fichier de certificat créé sur l’ordinateur de serveur vers l’ordinateur client.
2. Double-cliquez sur le fichier et l’assistant d’importation de certificat s’ouvrira.
3. Sélectionnez utilisateur actuel comme emplacement de stockage et cliquez sur Suivant.
4. Cliquez sur Suivant de nouveau.
5. Entrez le mot de passe du fichier de certificat (celui que vous avez défini lors de l’exportation du certificat), puis cliquez sur Suivant.
6. Cliquez sur Suivant de nouveau.
7. Cliquez sur Terminer.

Si vous devez utiliser le serveur principal OIDC sur la machine serveur avec des certificats autosignés, vous devez également effectuer cette procédure sur la machine serveur à partir de l’étape 2.

Dans un environnement de test, vous pouvez utiliser un fichier de certificat au lieu d’un magasin de certificat.

"Kestrel": {
  "Certificates": {
    "Default": {
      "Path": "<absolute-path-of-certificate-file>",
      "Password": "",
      },
    },
  },

Accordez au serveur principal OIDC un accès en lecture à ce certificat :

1. Ouvrez le dossier qui contient le fichier PFX.
2. Faites un clic droit sur le certificat. Dans le menu contextuel, choisissez Propriétés.
3. Dans la fenêtre des propriétés du<certificat> , cliquez sur l’onglet Sécurité, puis cliquez sur le bouton Modifier.
4. Dans la fenêtre des droits d’accès pour <certificat>, cliquez sur le bouton Ajouter.
5. Dans la fenêtre Sélectionner des utilisateurs..., entrez le nom du service Gestionnaire d’authentification (si nécessaire, exécutez services.msc pour voir la liste de tous les services), et cliquez sur le bouton Vérifier les noms.
6. Lorsque Windows reconnaît le nom du service, cliquez sur le bouton OK.
7. Dans la fenêtre des droits d’accès pour les clés privées de <certificat> , cliquez sur le nom du service. Assurez-vous que le service n’a que le droit d’accès en lecture, puis cliquez sur le bouton OK.