Le scénario : ADFS et UAG

Techniquement, vous avez une infrastructure Active Directory, et vous avez installé (et configuré) le service ADFS de Windows 2008.

En retour, vous avez donc la possibilité de vous connecter à ce serveur via votre navigateur, de vous authentifier (sur la base de votre compte AD, et en retour, vous obtenez ce fameux « Sésame ».

Ensuite, fier possesseur de ce sésame (jeton SAML), vous pouvez le présenter aux applications compatibles ADFS, qui vont être capables de le lire, de regarder si l’émetteur est de confiance, d’en extraire votre identité, et de regarder vos assertions pour accéder aux applications.

UAG Service Pack 1, lancé en décembre 2010, est maintenant une application ADFS. Cette nouvelle version va vous permettre deux grandes choses dans ce contexte. Premièrement, vous allez pouvoir spécifier au point d’accès que l’authentification de bordure est sur la base d’un jeton SAML. Dans un second temps, vous allez de nouveau exploiter ce jeton pour les autorisations applicatives, c’est-à-dire baser vos autorisations sur la base de ces assertions.

Mais que se passe-t-il si ensuite, certaines applications publiées ne sont pas en mesure de comprendre ce jeton, par exemple si elles demandent une authentification de type « Formulaire » ou « ticket Kerberos » ?

C’est là ou UAG est stratégique. Non seulement il va continuer à fournir toutes les briques de sécurité « applicatives » nécessaires pour faire face aux risques actuels (firewall applicatif, inspection des postes et politiques de sécurité, traçabilité,..), mais dans le cadre de la fédération, il va utiliser son moteur de WebSSO pour transformer l’identité de bordure (jeton SAML) dans le format attendu par chaque application publiée : un formulaire, un jeton NTLM, … etc.

Le cœur de l’infrastructure de publication/sécurité/identité est alors composé par UAG (une simple ou machine, ou un cluster de machine). Vous pourrez alors tirer bénéfice des dernières innovations technologies, que ce soit sur votre réseau interne ou sur le cloud.

Nous verrons la semaine prochaine quelques exemples de la configuration à mettre en œuvre pour ce scénario.