Windows SSO

Prise en charge de l'authentification unique Windows pour PowerShell Universal.

L'authentification Windows, également connue sous le nom d'authentification Negotiate, utilise Kerberos ou NTLM pour authentifier les utilisateurs sans leur demander de mot de passe. Elle est principalement prise en charge dans les domaines Windows, mais peut être configurée sous Linux et Mac OS.

appsettings.json

L'authentification Windows offre une prise en charge de l'authentification unique pour les navigateurs et les environnements qui la supportent. Pour activer l'authentification Windows, définissez le paramètre WindowsAuthentication enabled sur true dans appsettings.json.

"Windows": {
  "Enabled": "true"
},

Authentication.ps1

Vous pouvez activer l'authentification Windows en ajoutant un nouveau fournisseur d'authentification dans Sécurité \ Authentification. Sélectionnez Windows et activez l'authentification.

Une fois Windows défini comme authentifié, l'authentification Windows peut désormais être utilisée avec Universal. Vous devrez vous déconnecter pour utiliser l'authentification Windows.

Authentification Windows dans IIS

Pour activer l'authentification Windows dans IIS, assurez-vous d'activer l'authentification Windows et de désactiver l'authentification anonyme.

Dans le fichier web.config inclus avec PowerShell Universal, assurez-vous d'avoir défini forwardWindowsAuthToken à true.

<aspNetCore processPath="Universal.Server.exe" arguments="" forwardWindowsAuthToken="true" stdoutLogEnabled="true" stdoutLogFile=".\logs\log" hostingModel="OutOfProcess"/>

Authentification Windows hors de IIS

L'authentification Windows est prise en charge hors de IIS, mais nécessite la configuration du compte exécutant le service Universal.

Windows

Sous Windows, vous devez installer PowerShell Universal en tant que service Windows. Une fois le service installé, vous devrez créer un compte de service utilisateur et configurer le service pour qu'il s'exécute avec ce compte. Le paramètre d'authentification Windows doit être défini à true.

"Windows": {
  "Enabled": "true"
},

Le compte de service doit avoir un nom de principal du service (SPN) configuré pour le compte d'ordinateur. Vous pouvez effectuer cette opération à l'aide de la commande setspn. Le nom d'ordinateur doit correspondre au nom complet qualifié de la machine exécutant Universal.

setspn -S HTTP/myservername.mydomain.com myuser

Pour plus d'informations, vous pouvez consulter la documentation Microsoft sur la configuration de l'authentification Windows ASP.NET Core : Configuring a Windows machine for Windows Authentication

Linux

Configuring a Linux or Mac OS machine for Windows Authentication

Revendications mises en cache

PowerShell Universal mettra en cache les revendications d'appartenance aux groupes lors de l'utilisation de l'authentification Windows. Les revendications sont mises en cache pour la durée du délai d'expiration de session configuré (25 minutes par défaut).

Pour effacer le cache manuellement, accédez à Sécurité \ Rôles et cliquez sur le bouton Effacer les revendications mises en cache.

Configuration du navigateur

Selon votre environnement local, vous devrez peut-être configurer votre navigateur pour qu'il transmette correctement les informations d'identification à PowerShell Universal.

• Google Chrome
• Microsoft Edge