Intégration de Microsoft Entra ID avec Security Center SaaS pour SSO en utilisant OpenID Connect (OIDC)

Pour intégrer votre fournisseur d’identité d’entreprise à Security Center SaaS pour l’authentification unique, vous devez d’abord recueillir des informations sur la configuration Microsoft Entra ID de votre organisation. Contactez ensuite le Centre d’assistance technique Genetec^MC (GTAC) pour planifier un appel avec vous et l’administrateur de votre fournisseur d’identité afin de terminer l’intégration.

1. Pour préparer l’appel avec Genetec, envoyez les informations suivantes au moins un jour à l’avance :
   • Adresse e-mail de l’administrateur Microsoft Entra ID. Cette personne doit disposer des privilèges et de l'expertise nécessaires pour configurer l'intégration d'applications au sein de son fournisseur d'identité et gérer le consentement pour les applications d'entreprise.
   • Les domaines utilisés par les utilisateurs lors de la connexion. Par exemple, pour les utilisateurs qui se connectent avec myuser@company.com, le domaine est company.com.
     REMARQUE :

     Cette liste de domaines doit inclure les domaines des adresses e-mail et des noms d’utilisateur de vos utilisateurs. L’authentification unique d’entreprise ne fonctionnera pas correctement si les domaines des e-mails et les noms d’utilisateur ne sont pas configurés pour votre intégration.
2. Dans GTAC, ouvrez un ticket d’assistance pour l’authentification unique ou SCIM, et incluez les informations préparées à l’étape 1 plus tôt.
   1. L’intégrateur système initie généralement ce ticket.
   2. Genetec vérifie les informations incluses dans le ticket.
   3. Genetec planifie un appel avec l’administrateur de TI pour configurer ensemble l’authentification unique Microsoft Entra ID.
3. Participez à la conférence téléphonique d’installation avec Genetec pour configurer l’authentification unique dans Microsoft Entra ID.
   Genetec fournit un lien pour essayer la connexion à un bac à sable de test. Après cette première connexion, l'application d'entreprise Genetec Login est ajoutée à votre locataire Entra ID, et vous devez vérifier et appliquer les paramètres de consentement requis.
   1. Consultez la documentation de Microsoft pour plus d’informations sur les paramètres de consentement :
      1. Configurez la manière dont les utilisateurs consentent aux applications.
      2. Configurez le processus de consentement de l’administrateur.
      3. Examinez et prenez des mesures concernant la demande de consentement de l’administrateur .

      REMARQUE :

      L’option Autoriser le consentement de l’utilisateur pour les applications provenant d’éditeurs validés produit le même résultat que Ne pas autoriser le consentement de l’utilisateur, car la connexion Genetec n’est pas publiée sur la Place de marché Microsoft Entra ID.

      Genetec aidera votre administrateur à remplir le formulaire de consentement requis par Microsoft Entra ID.

      Si le consentement n’est pas configuré, vos utilisateurs peuvent rencontrer la boîte de dialogue suivante dans Microsoft Entra ID :

      

   2. Dans la barre latérale gauche de votre application Genetec Login Enterprise, cliquez sur Demandes de consentement d'administrateur pour consulter et configurer les paramètres de consentement administrateur.
      Une fois le bac à sable de test configuré, votre administrateur peut examiner et donner son consentement à l’aide de cet écran Microsoft Entra ID :

      

4. Testez votre intégration d'authentification unique.
   Votre connexion à l’aide du lien de test confirme que votre fournisseur d’identité renvoie les réponses attendues.
5. Déplacez votre intégration d’authentification unique hors de l’environnement de test.
   Après le test de connexion, Genetec transfère les configurations de serveur depuis le bac à sable de test pour activer l’authentification tierce pour tous les utilisateurs. Déplacer l’intégration hors de l’environnement de test active tous les produits et portails. Cela signifie que les utilisateurs des clients peuvent se connecter à l’aide de la nouvelle intégration Microsoft Entra ID pour les éléments suivants :

   • Security Center SaaS
   • Genetec ClearID^MC
   • Genetec Clearance^MC
   • Genetec Cloudrunner^MC
   • Genetec Operations Center
   • Portail Genetec (genetec.com)
   • Portail d'assistance technique de Genetec

   REMARQUE :

   Les utilisateurs doivent toujours être invités manuellement sur votre système Security Center SaaS. Pour automatiser ce processus, consultez la section « Configurer le provisionnement automatique des utilisateurs » plus loin dans cette tâche.
6. (Facultatif) Si vous prévoyez d’utiliser les stratégies d’accès conditionnel Microsoft Entra ID, choisissez l’une des options suivantes :
   • Option 1 : Mettez à jour les fichiers de configuration sur les bureaux Bureau Genetec^MC Operation et Bureau Genetec^MC Configuration pour envoyer les signaux Identifiant de l’appareil et État de l’appareil.
   • Option 2 : Mettez à jour votre configuration Microsoft Entra ID pour utiliser une règle d’accès conditionnel qui ne repose pas sur les signaux d’identifiant d’appareil et d’état d’appareil.
   Les règles d’accès conditionnel EntraID peuvent être configurées pour utiliser plusieurs types de signaux. Identifiant de l’appareil et état de l’appareil sont deux exemples de types de signaux possibles.

   Si vous avez choisi l’option 1, procédez comme suit :

   1. Sur chaque poste de travail, ouvrez le fichier generalsettings.gconfig qui se trouve dans le dossier %USERPROFILE%\AppData\Local\Programs\Genetec\Security Center SaaS\ConfigurationFiles.
   2. Dans la section <configuration>, ajoutez ce qui suit :

   <Login UseWebView2="true" />
   <WebBrowser AllowSingleSignOnUsingOsPrimaryAccount="true" />

   Le paramètre AllowSingleSignOnUsingOsPrimaryAccount permet la connexion automatique en utilisant les informations d’identification actuelles du poste de travail.

   REMARQUE :

   Les stratégies d’accès conditionnel Microsoft Entra ID ne sont pas prises en charge pour les connexions sur l’application mobile Security Center SaaS Operation.

   Si vous avez choisi l’option 2, modifiez vos stratégies d’accès conditionnel afin qu’elles ne reposent pas sur les signaux Identifiant de l’appareil ou État de l’appareil.