Gérer les applications et leur portée d'accès

Dans Ping64, dans la gestion des identités unifiée, les applications servent à gérer les entrées, associer un fournisseur d'authentification et définir la portée d'accès. Cette configuration est distincte de la publication d'applications Zero Trust. Créer une entrée ou associer un fournisseur ne termine pas l'intégration de l'authentification unique et ne garantit pas la connexion.

Les libellés anglais ci-dessous correspondent à l'interface vérifiée et sont expliqués en français.

Préparation

• Vérifiez les droits de consultation, création et modification des applications. La suppression peut nécessiter un droit supplémentaire.
• Avec le responsable, confirmez nom, nom interne, exigences d'authentification, utilisateurs ou groupes autorisés, configuration de l'application et réseau. Préparez un fournisseur correctement configuré et non déjà affecté à une autre application ; voir configurer un fournisseur d'authentification.
• Testez d'abord avec des comptes autorisés et un périmètre contrôlé. Avant d'élargir l'accès, changer de fournisseur ou désactiver l'application, évaluez l'effet sur utilisateurs et activité et suivez les approbations de l'organisation.

Créer et vérifier une application

1. IAM > Applications & Access > Applications: Dans la gestion des identités, ouvrez la liste des applications et choisissez Create (créer).
2. Renseignez Name (nom) et Internal Application Name (nom interne). Les deux sont obligatoires ; respectez les règles de nommage et évitez un nom interne déjà utilisé.
3. Ouvrez Provider (fournisseur), choisissez un fournisseur d'authentification adapté et confirmez. Configurez-le d'abord ; s'il est déjà affecté à une autre application, préparez un fournisseur disponible.
4. Dans Access mode (mode d'accès), choisissez Specific users/groups only (utilisateurs/groupes désignés) et sélectionnez dans Access Permissions (autorisations) les utilisateurs autorisés ou leur groupe réel, puis confirmez la sélection. Ne supposez pas qu'un groupe parent couvre tous ses sous-groupes. Pour All users (tous les utilisateurs), évaluez d'abord l'élargissement et les règles de sécurité.
5. Vérifiez l'état, ajoutez une description si nécessaire, contrôlez fournisseur et portée, puis enregistrez. Lisez le message de réussite ou d'échec ; revenir à la liste ne prouve pas le succès.
6. Rouvrez l'application et vérifiez état, fournisseur et portée. Avec le responsable, terminez la configuration d'authentification côté application et les essais d'intégration, puis testez de façon contrôlée des comptes autorisés et non autorisés. État du compte, fournisseur, configuration applicative et réseau peuvent affecter le résultat.

Changement de mode : choisir All users efface les utilisateurs et groupes sélectionnés. Pour revenir au mode désigné, sélectionnez-les de nouveau, vérifiez et enregistrez ; ne supposez pas que la liste initiale est conservée.

Restriction d’accès et sessions existantes : retirer une autorisation, modifier l’appartenance à un groupe ou réduire le périmètre d’accès d’une application ne garantit pas la fin immédiate d’une session déjà établie. Le traitement des sessions peut varier selon l’application. Évaluez les sessions existantes et les impacts métier avant la modification, puis testez séparément une session existante et une nouvelle connexion. Si l’accès doit être bloqué immédiatement, appliquez et vérifiez des mesures supplémentaires avec le responsable de l’application selon la procédure de sécurité de l’organisation. Un enregistrement réussi ne prouve pas à lui seul l’arrêt de l’accès.

Groupes d’annuaire et accès aux applications : pour une application utilisant OIDC, l’autorisation par groupe vérifie le groupe de gestion de l’utilisateur dans la gestion des identités ; elle n’utilise pas directement son appartenance aux groupes synchronisés depuis l’annuaire. Un utilisateur nouvellement créé par synchronisation n’a initialement aucun groupe de gestion. Synchroniser un groupe d’annuaire et le sélectionner dans l’application ne garantit donc pas l’accès de ses membres. Pour autoriser un groupe, vérifiez d’abord le groupe de gestion dans la gestion des utilisateurs et définissez-le selon les règles de l’organisation, puis enregistrez le périmètre d’accès spécifié de l’application. Vous pouvez aussi sélectionner directement les utilisateurs autorisés dans l’application. Évaluez les effets avant modification et vérifiez ensuite avec des comptes autorisés et non autorisés.

Modifier et supprimer

• Modifier : ouvrez ou modifiez l'entrée et ajustez les informations modifiables, l'état, le fournisseur ou la portée. Après enregistrement, rouvrez-la, vérifiez chaque résultat et retestez les comptes concernés.
• Échec du changement de fournisseur : les informations de base et la portée peuvent déjà être enregistrées malgré l'échec. Ne supposez pas une annulation complète. Rouvrez l'application, vérifiez séparément fournisseur, état et portée ; restaurez ou ajustez selon le résultat réel, puis vérifiez la connexion métier.
• Supprimer : vérifiez les dépendances des utilisateurs, systèmes métier et fournisseur et préparez un plan de migration ou restauration vérifié. La suppression affecte la configuration d'accès et celle du fournisseur associé, et peut affecter les authentifications existantes. Ne supposez pas une restauration automatique ; contrôlez l'accès réel avec le responsable.

Examiner les événements d’authentification

Un administrateur autorisé à consulter la gestion des identités peut examiner les événements d’authentification existants dans son périmètre, sans reconfigurer une application ou un fournisseur uniquement pour la recherche. Pour vérifier une nouvelle configuration, contrôlez l’application, le fournisseur et le périmètre ci-dessus, puis effectuez une connexion contrôlée avec un compte pilote par l’entrée habituelle. Enregistrement, demande d’authentification, écriture de l’événement et affichage sont des étapes distinctes.

1. Dans IAM > Event Audit, sélectionnez les dates de l’événement à examiner. La recherche initiale couvre le jour courant et les 29 jours précédents. Choisissez au besoin la source et le résultat, puis ouvrez un enregistrement pour vérifier l’heure, l’application, l’utilisateur, l’étape d’authentification et les erreurs disponibles. Protégez les données personnelles ou sensibles selon les règles de l’organisation.
2. La zone de recherche correspond à l’identifiant de connexion complet ; ce n’est pas une recherche partielle générale sur le nom d’utilisateur, l’application ou l’IP. Une saisie partielle peut ne rien trouver. D’autres filtres portent sur l’application, l’utilisateur, le client et l’IP : vérifiez leurs valeurs. Si la zone de recherche est renseignée, son identifiant prévaut sur le filtre correspondant. Tous les événements ne contiennent pas tous les champs.
3. La page récupère au maximum 50 événements correspondants ; la pagination du tableau ne parcourt que les enregistrements chargés et ne garantit pas la couverture de toute la période. Si nécessaire, réduisez les dates et ajustez source, résultat ou autres filtres. Une liste vide ne prouve pas l’absence d’authentification. Cette page ne propose pas d’export ; contactez l’administrateur ou le support pour davantage de données. En cas d’erreur de recherche, la liste peut conserver les résultats précédemment chargés. Ne les considérez pas comme le résultat des filtres actuels. Vérifiez le réseau et les droits, relancez la recherche et confirmez sa réussite.
4. Selon l’étape et le retour de l’application, vérifiez séparément l’utilisateur, l’autorisation, le fournisseur et la configuration métier. Un seul événement réussi ne prouve pas la réussite complète de la connexion. En l’absence de données, vérifiez aussi l’activation de l’audit ainsi que l’écriture et la conservation des événements dans l’environnement.

Dépannage

• Application introuvable : la recherche peut ne pas filtrer correctement le nom affiché. Effacez le mot-clé et vérifiez directement la liste et les droits.
• Enregistrement ou sélection impossible : vérifiez champs obligatoires, nom interne en double, droits et fournisseur ; il peut être déjà affecté à une autre application.
• Résultat inattendu : vérifiez le message puis rouvrez l'application et contrôlez fournisseur, état et portée. D'autres réglages peuvent avoir changé même si le fournisseur n'a pas été modifié.
• Utilisateur autorisé incapable de se connecter : vérifiez état utilisateur et groupe réel, état et portée de l'application, fournisseur, configuration applicative et réseau. L'enregistrement ne prouve pas l'intégration.
• Utilisateur inattendu autorisé : vérifiez le mode tous utilisateurs, l'étendue des utilisateurs ou groupes et les droits propres à l'application.