# Mise en œuvre de SAML par Duo

Cet article contient de l'aide **spécifique à Duo** pour configurer l'identifiant avec SSO via SAML 2.0. Pour obtenir de l'aide sur la configuration de l'identifiant avec SSO pour un autre IdP, reportez-vous à [Configuration SAML 2.0](https://bitwarden.com/fr-fr/help/configure-sso-saml/).

La configuration implique de travailler simultanément entre l'application web Bitwarden et le portail admin de Duo. Au fur et à mesure que vous avancez, nous vous recommandons d'avoir les deux à portée de main et de compléter les étapes dans l'ordre où elles sont documentées.

> [!NOTE]
> **Already an SSO expert?** Skip the instructions in this article and download screenshots of sample configurations to compare against your own.
> 
> ⬇️ [Download Sample](https://bitwarden.com/assets/5zTphwdGyxRww5UaF3COLP/67104e859f8fcaad2aa4b185292971eb/saml-duo-sample.zip)

## Ouvrez SSO dans l'application web

> [!NOTE]
> This article assumes that you have already set up Duo with an Identity Provider. If you haven't, see [Duo's documentation](https://duo.com/docs/sso#saml) for details.

Connectez-vous à l'application web Bitwarden et ouvrez la console Admin en utilisant le sélecteur de produit ([filter]):

![Sélecteur de produit](https://bitwarden.com/assets/2uxBDdQa6lu0IgIEfcwMPP/e3de3361749b6496155e25edcfdcf08b/2024-12-02_11-19-56.png)

Ouvrez l'écran **Paramètres** → **Connexion unique** de votre organisation :

![Configuration SAML 2.0 ](https://bitwarden.com/assets/20720mRAluo6crSdTiYJrn/1175889d7f6ab42fe7614f34cdd1dcdd/2024-12-04_09-41-15.png)

Si vous ne l'avez pas déjà fait, créez un **identifiant SSO**unique pour votre organisation et sélectionnez **SAML**dans le menu déroulant **Saisir**. Gardez cet écran ouvert pour une référence facile.

Vous pouvez désactiver l'option **Définir un ID d'entité SP unique** à ce stade si vous le souhaitez. Ce faisant, cela supprimera votre ID d'organisation de la valeur de votre ID d'entité SP, cependant dans presque tous les cas, il est recommandé de laisser cette option activée.

> [!TIP] Self-hosting, use alternative Member Decryption Options.
> Il existe des options alternatives de **décryptage des membres**. Apprenez comment commencer à utiliser [SSO avec des appareils de confiance](https://bitwarden.com/fr-fr/help/about-trusted-devices/) ou [Key Connector](https://bitwarden.com/fr-fr/help/about-key-connector/).

## Protéger une application

Avant de continuer, veuillez consulter [la documentation de Duo](https://duo.com/docs/sso#saml) pour vérifier que Duo Single Sign-On a été configuré avec votre fournisseur d'identité SAML pour l'authentification.

Dans le Portail Admin de Duo, naviguez vers l'écran **Applications** et sélectionnez **Protéger une Application**. Entrez **Bitwarden** dans la barre de recherche et sélectionnez **Configurer**pour l'application **Bitwarden 2FA avec SSO hébergé par Duo** :

![Duo Bitwarden Application](https://bitwarden.com/assets/trkKdfpokzVAwdGxg6wa6/02ae03583eae5f96e4a6fbe90e70af14/2023-12-11_15-58-21.png)

Sélectionnez **Activer et Démarrer la Configuration**pour l'application nouvellement créée:

![Duo Activation and Setup](https://bitwarden.com/assets/38UnzJq3P4zVvB8wHpK62W/ff109380215fc7d82c25c960eecd3ec3/2023-12-11_16-00-38.png)

Complétez les étapes et configurations suivantes sur l'écran de configuration de l'application, certaines d'entre elles devront être récupérées depuis l'écran de connexion unique de Bitwarden :

![DUO SAML Identity Provider Configuration](https://bitwarden.com/assets/5OMLBklde4cADIvmgypSxe/64f00b2c483c471a9a5ead8da8f982e5/2023-12-11_16-09-16.png)

### Métadonnées

Vous n'avez pas besoin d'éditer quoi que ce soit dans la section **Métadonnées**, mais vous devrez [utiliser ces valeurs plus tard](https://bitwarden.com/fr-fr/help/saml-duo/#identity-provider-configuration/) :

![URLs for Configuration ](https://bitwarden.com/assets/3ob9jp2RJRhMaxOkRrWHKa/8a9b7c3cc3aa077e323353c8c0cab0ed/duo-urls.png)

### Téléchargements

Sélectionnez le bouton **Télécharger le certificat** pour télécharger votre certificat X.509, car vous devrez l'utiliser [plus tard dans la configuration](https://bitwarden.com/fr-fr/help/saml-duo/#identity-provider/).

### Fournisseur de service

| **Champ** | **Description** |
|------|------|
| ID de l'entité | Définissez ce champ sur l'**ID d'entité SP** pré-généré. Cette valeur générée automatiquement peut être copiée à partir de l'écran **Paramètres** → **Connexion unique** de l'organisation et variera en fonction de votre configuration. |
| URL du Service de Consommation d'Assertion (ACS) | Définissez ce champ sur l'URL du **Service de Consommation d'Assertion (ACS)** pré-généré. Cette valeur générée automatiquement peut être copiée à partir de l'écran **Paramètres** → **Connexion unique** de l'organisation et variera en fonction de votre configuration. |
| URL de l'identifiant du fournisseur de services | Définissez ce champ sur l'URL d'identifiant à partir de laquelle les utilisateurs accéderont à Bitwarden. Pour les clients hébergés dans le cloud, c'est `https://vault.bitwarden.com/#/sso `ou` https://vault.bitwarden.eu/#/sso.` Pour les instances auto-hébergées, cela est déterminé par votre [URL de serveur configurée](https://bitwarden.com/fr-fr/help/install-on-premise/#configure-your-domain/), par exemple `https://votre.domaine.com/#/sso`. |

### Réponse SAML

| **Champ** | **Description** |
|------|------|
| Format de l'ID de nom | Définissez ce champ sur le [format NameID SAML](https://docs.oracle.com/cd/E19316-01/820-3886/ggwbz/index.html) pour que Duo l'envoie dans les réponses SAML. |
| Attribut NameID | Définissez ce champ sur l'attribut Duo qui remplira le NameID dans les réponses. |
| Algorithme de signature | Définissez ce champ sur l'algorithme de chiffrement à utiliser pour les assertions et les réponses SAML. |
| Options de signature | Sélectionnez si vous souhaitez **Signer la réponse**, **Signer l'affirmation**, ou les deux. |
| Attributs de carte | Utilisez ces champs pour mapper les attributs IdP aux attributs de réponse SAML. Indépendamment de l'attribut NameID que vous avez configuré, associez l'attribut `Adresse de courriel` de l'IdP à `Courriel`, comme dans la capture d'écran suivante : |

![Required Attribute Mapping ](https://bitwarden.com/assets/2MQbtzmGaflBaCf0FIa2r9/914b2dec377d122deee4a65439689e2a/duo-mapping.png)

Une fois que vous avez terminé de configurer ces champs, **Enregistrez** vos modifications.

## Retour à l'application web

À ce stade, vous avez configuré tout ce dont vous avez besoin dans le contexte du portail Duo. Retournez à l'application web Bitwarden pour terminer la configuration.

L'écran de connexion unique sépare la configuration en deux sections :

- **La configuration du fournisseur de services SAML** déterminera le format des requêtes SAML.
- **La configuration du fournisseur d'identité SAML** déterminera le format attendu pour les réponses SAML.

### Configuration du fournisseur de services

Configurez les champs suivants en fonction des choix sélectionnés dans le portail admin de Duo [lors de la configuration de l'application](https://bitwarden.com/fr-fr/help/saml-duo/#protect-an-application/) :

| **Champ** | **Description** |
|------|------|
| Format d'identifiant de nom | [Format NameID](https://docs.oracle.com/cd/E19316-01/820-3886/ggvxx/index.html) à utiliser dans la requête SAML (`Politique NameID`). Définissez ce champ sur [le format NameID sélectionné](https://bitwarden.com/fr-fr/help/saml-duo/#saml-response/). |
| Algorithme de Signature Sortant | Algorithme utilisé pour signer les requêtes SAML, par défaut `rsa-sha256`. |
| Comportement de signature | Si/quand les demandes SAML seront signées. Par défaut, Duo ne nécessitera pas que les demandes soient signées. |
| Algorithme de Signature Minimum Entrant | L'algorithme de signature minimum que Bitwarden acceptera dans les réponses SAML. Par défaut, Duo signera avec `rsa-sha256`, alors choisissez cette option dans le menu déroulant à moins que vous n'ayez [sélectionné une option différente](https://bitwarden.com/fr-fr/help/saml-duo/#saml-response/). |
| Voulez des Assertions Signées | Que Bitwarden souhaite des assertions SAML signées. Cochez cette case si vous avez [sélectionné l'option de signature Signer l'assertion](https://bitwarden.com/fr-fr/help/saml-duo/#saml-response/). |
| Valider les Certificats | Cochez cette case lorsque vous utilisez des certificats fiables et valides de votre IdP via une CA de confiance. Les certificats auto-signés peuvent échouer à moins que des chaînes de confiance appropriées ne soient configurées dans l'image Docker de Bitwarden Identifiant avec SSO. |

Lorsque vous avez terminé avec la configuration du fournisseur de services, **Enregistrez** votre travail.

### Configuration du fournisseur d'Identité

La configuration du fournisseur d'Identité nécessitera souvent que vous vous référiez au Portail Admin de Duo pour récupérer les valeurs de l'application :

| **Champ** | **Description** |
|------|------|
| ID de l'entité | Entrez la valeur de l'**ID de l'entité** de votre application Duo, qui peut être récupérée dans la section [Métadonnées](https://bitwarden.com/fr-fr/help/saml-duo/#metadata/) de l'application Duo. Ce champ est sensible à la casse. |
| Type de Reliure | Définissez ce champ sur **HTTP Post**. |
| URL du service de connexion unique | Entrez la valeur de l'**URL de connexion unique** de votre application Duo, qui peut être récupérée dans la [section Métadonnées](https://bitwarden.com/fr-fr/help/saml-duo/#metadata/) de l'application Duo. |
| URL du service de déconnexion unique | Connectez-vous avec SSO actuellement **ne prend pas**en charge SLO. Cette option est prévue pour un développement futur, cependant vous pouvez pré-configurer avec la valeur de **l'URL de déconnexion unique** de votre application Duo. |
| Certificat Public X509 | Collez le [certificat](https://bitwarden.com/fr-fr/help/saml-duo/#downloads/) téléchargé, en supprimant `-----DÉBUT DU CERTIFICAT-----` et `-----FIN DU CERTIFICAT-----` La valeur du certificat est sensible à la casse, les espaces supplémentaires, les retours à la ligne et autres caractères superflus **entraîneront l'échec de la validation du certificat**. |
| Algorithme de Signature Sortant | Définissez ce champ sur l'[algorithme de signature de réponse SAML sélectionné](https://bitwarden.com/fr-fr/help/saml-duo/#saml-response/). |
| Désactiver les demandes de déconnexion sortantes | L'identification avec SSO ne prend actuellement **pas**en charge SLO. Cette option est prévue pour un développement futur. |
| Voulez-vous que les demandes d'authentification soient signées | Que Duo attende que les demandes SAML soient signées. |

> [!NOTE] X509 cert expiration
> Lors de la complétion du certificat X509, prenez note de la date d'expiration. Les certificats devront être renouvelés afin d'éviter toute interruption de service pour les utilisateurs finaux de SSO. Si un certificat a expiré, les comptes Admin et Propriétaire pourront toujours se connecter avec l'adresse de courriel et le mot de passe principal.

Lorsque vous avez terminé avec la configuration du fournisseur d'identité, **Enregistrez** votre travail.

> [!TIP] Policies for SSO Guides
> Vous pouvez exiger que les utilisateurs se connectent avec SSO en activant la politique d'authentification à connexion unique. Veuillez noter que cela nécessitera également l'activation de la politique de sécurité de l'organisation unique. [En savoir plus](https://bitwarden.com/fr-fr/help/policies/).

## Testez la Configuration

Une fois votre configuration terminée, testez-la en vous rendant sur [https://vault.bitwarden.com](https://vault.bitwarden.com), en entrant votre adresse de courriel, en sélectionnant **Continuer**, et en sélectionnant le bouton **Connexion unique de l'Entreprise** :

![Connexion unique d'entreprise et mot de passe principal ](https://bitwarden.com/assets/3BdlHeogd42LEoG06qROyQ/c68021df4bf45d72e9d37b1fbf5a6040/login.png)

Entrez l'[identifiant de l'organisation configurée](https://bitwarden.com/fr-fr/help/saml-duo/#/) et sélectionnez **Se connecter**. Si votre mise en œuvre est correctement configurée, vous serez redirigé vers l'écran d'identifiant de votre IdP source.

Après vous être authentifié avec votre identifiant IdP et Duo Two-factor, entrez votre mot de passe principal Bitwarden pour déchiffrer votre coffre !

> [!NOTE] SSO must be initiated from Bitwarden
> Bitwarden ne prend pas en charge les réponses non sollicitées, donc l'initiation de l'identifiant à partir de votre IdP entraînera une erreur. Le flux d'identifiant SSO doit être initié à partir de Bitwarden.