Outil d'aide à la validation de la configuration de la fédération d'identité via Microsoft EntraID

Synopsis

Cette page est dédiée à l'utilisation d'un script produit par Octopus qui permet de diagnostiquer des problèmes de configuration des applications d'entreprises utilisées par Octopus. 

Si vous tentez d'établir une connexion entre Octopus et Entra ID pour l'authentification de vos utilisateurs et que vous éprouvez des difficultés, cette page décrit étape par étape ce qu'il faut faire pour obtenir un diagnostique complet de la configuration de vos applications d'entreprises. Le rapport produit peut vous aider à identifier la source du problème.

Cet article assume que vous avez déjà passé toutes les étapes de ces wikis pour la mise en place de vos applications d'entreprises : 

• https://wiki.octopus-itsm.com/fr/articles/federation-didentite-microsoft-entra-id
• https://wiki.octopus-itsm.com/fr/articles/federation-didentite-microsoft-entra-id-application-api
  • Cette application peut être facultative selon les options activées dans votre environnement Octopus

Prérequis

1. Télécharger la trousse de scripts Powershell
   • https://updates.octopus-itsm.com/tools/EntraID-ConfigurationCheck_v1.0.zip
2. Avoir un compte EntraID avec les permissions suivantes : 
   • Application.Read.All
   • Directory.Read.All
3. ​Le module Powershell Microsoft.Graph.Authentication doit être installé
   • ​​​​S'il ne l'est pas, le script tentera de l'installer automatiquement. Il aura alors besoin d'une autorisation pour NuGet
   • Assurez-vous que ces modules sont conformes aux politiques internes de votre organisation
4. Le script utilise les points de terminaisons Microsoft Graph Command Line pour exécuter les vérifications

Fonctionnement

Le script est programmé de façon à demander les informations nécessaires au moment opportum. Un fichier de log sera créé dans le même répertoire d'où il s'exécute.

Exécution

Obtention des identifiants (GUID)

Le script a besoin de quelques identifiants (GUID) et du nom de l'environnement Octopus. Les GUID se trouvent au même endroit : la fenêtre de configuration de la fédération d'identité du client Windows Octopus.

Ouvrir la fenêtre de configuration

Dans le client Windows Octopus :

• Menu Outils
• Configuration de la fédération d'identité

La fenêtre suivante s'affiche :

Repérer chaque valeur

Nom de l'environnement Octopus

C'est le <nom> dans l'adresse web d'Octopus https://<nom>.octopus-itsm.com. Par exemple, pour https://acme.octopus-itsm.com, le nom de l'environnement est acme.

Vous pouvez identifier cet URL en affichant l'adresse de la trousse d'installation 

Dans le client Windows Octopus :

• Menu Outils
• Afficher l'adresse de la trousse d'installation

Lancer le script

Option A — mode interactif (recommandé)

Aucun paramètre : le script demande chaque valeur et vérifie que les GUID sont bien formés.

Si l'exécution des scripts est bloquée par Windows :

Option B — avec les valeurs en paramètres

Pratique pour rejouer un test rapidement. Remplacez les GUID par ceux relevés à l'étape 2 et le nom de l'environnement :

Si l'application API n'est pas utilisée, omettez -ApiAppId :

Analyse du rapport et correction des anomalies identifiées

Le script produit un rapport PASS / FAIL / INFO et enregistre un journal OctopusEntra-Federation-AAAAMMJJ-HHMMSS.log à côté du script.

Les informations relevées par le script pourraient aider votre administrateur Entra ID à corriger le problème.

Ouverture de requête à notre Centre de Services.

 Si vous n'arrivez pas à corriger le problème, vous pouvez contacter notre Centre de Services pour obtenir de l'assistance supplémentaire

• Connectez-vous sur notre portail Web et ouvrez une nouvelle demande (ou demandez à un administrateur autorisé de votre organisation de le faire)
• Fournir les informations suivantes : 
  • Contact de la personne qui administre EntraID
    • Nom et Prénom
    • Adresse courriel
    • Titre
• Inclure le fichier journal produit par le script
  • Nous envoyer le fichier .log au complet, pas seulement une capture d'écran
  • Il ne contient aucun mot de passe, secret, ni jeton d'authentification

Guide de diagnostic des erreurs Entra ID lors de l'authentification à Octopus

AADSTS53003

• L’accès a été bloqué par des stratégies d’accès conditionnel.

Cause probable

• Une stratégie d'accès conditionnel bloque cette connexion.

AADSTS50126

• Erreur de validation des informations d’identification : nom d’utilisateur ou mot de passe invalide.

Cause probable

• L'utilisateur a saisi un nom d'utilisateur ou un mot de passe incorrect.
• Le mot de passe a récemment été modifié.
• Des informations d'identification mises en cache sont utilisées.
• La méthode d'authentification du compte ne permet pas la validation attendue par Entra ID.
• Entra ID a bridé (throttled) la connexion de l'utilisateur.
  • Cela et la cause la plus probable si l'erreur survient de façon sporadique et se règle sans intervention

AADSTS50011

• L’URL de redirection spécifiée dans la requête ne correspond à aucune URL configurée pour l’application.

Cause probable

• La Redirect URI configurée dans Entra ID ne correspond pas à celle utilisée lors de la connexion.
• Différence de protocole (HTTP/HTTPS).
• Différence de port.
• Différence de casse ou absence d'un caractère « / » final.

AADSTS50079

• L'utilisateur doit s'inscrire à l'authentification multifacteur (MFA).

Cause probable

• Une politique MFA ou d'accès conditionnel exige l'enregistrement MFA.
• L'utilisateur n'a pas encore configuré sa méthode MFA.
  • Cela survient souvent si le compte vient d'être créé dans Entra ID. La façon de régler ce scénario est de s'authentifier une première fois avec ce compte dans Outlook pour le web.

AADSTS7000112

• L'application est désactivée.

Cause probable

• L'application d'entreprise (Enterprise Application) a été désactivée.
• L'enregistrement d'application (App Registration) n'est plus autorisé à recevoir des demandes d'authentification.

AADSTS50105

• L'utilisateur connecté n'est attribué à aucun rôle ou n'est pas affecté à l'application.

Cause probable

• L'option User assignment required est activée.
• L'utilisateur ou son groupe n'a pas été attribué à l'application dans Entra ID.

AADSTS50053

• Le compte est verrouillé à la suite de plusieurs tentatives de connexion échouées.

Cause probable

• Le verrouillage intelligent (Smart Lockout) d'Entra ID a été déclenché.
• Plusieurs tentatives de mot de passe incorrect ont été détectées.
• Une activité suspecte a été identifiée par Entra ID.

AADSTS7000218

• Le corps de la requête doit contenir le paramètre « client_assertion » ou « client_secret ».

Cause probable

• L'application est configurée comme client confidentiel.
  • Activer l'option "Autoriser les flux clients publics" dans l'onglet Paramètres de la sectio Authentification de l'enregistrement de l'application d'entreprise