Activer l’authentification SAML sur un site ou sur TCM

Cette rubrique explique comment activer SAML sur le site ou sur Tableau Cloud Manager (TCM) et sélectionner des utilisateurs SSO. Elle décrit également les étapes permettant de passer d’une authentification SAML à l’authentification Tableau par défaut. Avant d’activer SAML, nous vous recommandons de lire la section Configuration SAML requise pour Tableau Cloud, y compris Effets de la modification du type d’authentification sur Tableau Bridge.

Cette rubrique part du principe que vous êtes déjà familier avec les informations des rubriques Authentification et Fonctionnement de SAML.

Informations de configuration spécifiques à l’IdP

Les étapes décrites plus loin dans les section ultérieures de cette rubrique décrivent la procédure de base que vous pouvez utiliser avec la documentation de votre IdP pour configurer SAML pour votre Tableau Cloud site ou TCM. Vous pouvez obtenir des étapes de configuration spécifiques à l’IdP pour les IdP suivants :

Activer SAML

Pour Tableau Cloud

  1. Connectez-vous à votre site Tableau Cloud en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.

  2. Sur l’onglet Authentification, cliquez sur le bouton Nouvelle configuration, sélectionnez SAML dans la liste déroulante Authentification, puis entrez un nom pour la configuration.

    Capture d’écran des paramètres d’authentification du site Tableau Cloud -- Page Nouvelle configuration

    Remarque : Les configurations créées avant novembre 2024 (Tableau 2024.3) ne peuvent pas être renommées.

Pour TCM

Sinon, dans TCM, procédez comme suit :

  1. Connectez-vous à TCM en tant qu’administrateur Cloud et sélectionnez Paramètres > Authentification.

  2. Cochez la case Activer une méthode d’authentification supplémentaire et sélectionnez SAML dans le menu déroulant Authentification.

  3. Cliquez sur la flèche déroulante Configuration (obligatoire).

Étapes de configuration SAML

Cette section vous guide dans chaque étape de la procédure de configuration qui s’affiche dans l’onglet Authentification de la page Tableau Cloud ou TCM.

Remarque : Pour terminer ce processus,vous aurez également besoin de la documentation fournie par votre IdP. Cherchez des sujets traitant de la configuration ou de la définition d’un fournisseur de services en vue d’une connexion SAML, ou de l’ajout d’une application.

Étape 1 : Exporter les métadonnées depuis l’IdP

Accédez à votre IdP, connectez-vous à votre compte IdP et utilisez les instructions fournies par la documentation de votre IdP pour télécharger les métadonnées de votre IdP. Les métadonnées de l’IdP permettent à Tableau Cloud ou TCM de se connecter à votre IdP.

Pour l’étape 1, la documentation de l’IdP vous expliquera également comment fournir des métadonnées à un fournisseur de services. Elle vous indiquera comment télécharger un fichier de métadonnées SAML ou affichera un code XML. Si du code XML s’affiche, copiez et collez le code dans un nouveau fichier texte et enregistrez le fichier avec une extension .xml.

Étape 2 : Charger les métadonnées sur Tableau

Pour Tableau Cloud, dans la page Nouvelle configuration de Tableau Cloud, importez le fichier de métadonnées (.xml) que vous avez téléchargé depuis l’IdP ou configuré manuellement à partir du fichier XML, s’il est fourni.

Pour TCM, dans la page Authentification de TCM, importez le fichier de métadonnées (.xml) que vous avez téléchargé depuis l’IdP ou configuré manuellement à partir du fichier XML, s’il est fourni.

Remarques : 

  • Une fois que vous avez téléchargé les métadonnées IdP, les deux champs ID de l’entité IdP et URL du service SSO de l’IdP sont automatiquement renseignés.
  • Si vous modifiez la configuration, vous devrez charger le fichier de métadonnées pour que Tableau sache qu’il doit utiliser l’ID de l’entité IdP et l’URL du service SSO de l’IdP corrects.
  • Vous pouvez utiliser le bouton Effacer les métadonnées de l’IdP si vous devez charger un nouveau fichier de métadonnées.
Étape 3 : Mapper les attributs

Les attributs contiennent des informations d’authentification, d’autorisation et autres informations sur un utilisateur.

Remarque : Tableau Cloud ou TCM a besoin de l’attribut NameID dans la réponse SAML. Vous pouvez fournir d’autres attributs pour mapper les noms d’utilisateur dans Tableau, mais le message de réponse doit inclure l’attribut NameID.

  • Nom d’utilisateur : (Obligatoire) Saisissez le nom de l’attribut qui enregistre les noms d’utilisateur (adresses e-mail) des utilisateurs.

  • Adresse e-mail : (Facultatif) Saisissez le nom de l’attribut qui contient l’adresse e-mail utilisée par l’IdP pendant le processus d’authentification pour permettre aux utilisateurs de recevoir des notifications à une adresse e-mail différente du nom d’utilisateur. L’attribut d’adresse e-mail est utilisé uniquement à des fins de notifications, et non pour la connexion.

  • Nom à afficher : (Facultatif mais recommandé) Certains IdP utilisent des attributs séparés pour les prénoms et noms, tandis que d’autres stockent le nom complet dans un seul attribut.

    Sélectionnez le bouton qui correspond à la manière dont votre IdP stocke les noms. Par exemple, si l’IdP associe le prénom et le nom dans un attribut, sélectionnez Nom à afficher, puis entrez le nom de l’attribut.

    Capture d’écran de l’Étape 3 de la configuration de SAML pour le site dans Tableau Cloud - Mapper les attributs

Étape 4 : Choisir la valeur par défaut pour les vues intégrées

Remarque : s’applique à Tableau Cloud uniquement.

Sélectionnez la méthode selon laquelle les utilisateurs se connectent aux vues intégrées. Les options consistent à ouvrir une fenêtre contextuelle séparée affichant le formulaire de connexion de l’IdP ou à utiliser un cadre en ligne (iframe).

Important : les iframes pouvant être vulnérables aux attaques par détournement de clic, les IdP ne prennent pas tous en charge l’authentification via un iframe. Dans le cas d’une attaque par détournement de clic, l’intrus tente d’inciter les utilisateurs à cliquer ou à entrer un contenu. Il affiche la page d’attaque dans une couche transparente sur une page isolée. Dans le contexte de Tableau Cloud, un intrus pourrait tenter de capturer les informations d’identification d’un utilisateur ou d’inciter un utilisateur authentifié à modifier des paramètres. Pour plus d’informations, consultez Clickjacking(Le lien s’ouvre dans une nouvelle fenêtre) (Détournement de clic) sur le site Web OWASP (Open Web Application Security Project).

Si votre IdP ne prend pas en charge la connexion depuis un iframe, sélectionnez S’authentifier dans une fenêtre contextuelle séparée.

Étape 4 : Obtenir les métadonnées Tableau (TCM)

Pour créer une connexion SAML entre TCM et votre IdP, vous devez échanger les métadonnées requises entre les deux services. Pour obtenir des métadonnées de TCM, choisissez l’une des méthodes suivantes. Consultez la documentation de configuration SAML de l’IdP pour confirmer l’option correcte.

  • Cliquez sur le bouton Exporter les métadonnées pour télécharger un fichier XML contenant l’ID d’entité SAML Tableau Cloud, l’URL de l’ACS (Assertion Consumer Service) et le certificat X.509.

  • Sélectionnez Télécharger le certificat si votre IdP attend les informations requises sous une autre forme. Par exemple, si vous êtes invité à entrer l’entité Tableau Cloud ID, ACS URL et le certificat X.509 dans des emplacements séparés.

Étape 5 : Obtenir les métadonnées Tableau (Tableau Cloud)

Pour créer une connexion SAML entre Tableau Cloud et votre IdP, vous devez échanger les métadonnées requises entre les deux services. Pour obtenir des métadonnées de Tableau Cloud, suivez l’une des méthodes suivantes. Consultez la documentation de configuration SAML de l’IdP pour confirmer l’option correcte.

  • Cliquez sur le bouton Exporter les métadonnées pour télécharger un fichier XML contenant l’ID d’entité SAML Tableau Cloud, l’URL de l’ACS (Assertion Consumer Service) et le certificat X.509.

  • Sélectionnez Télécharger le certificat si votre IdP attend les informations requises sous une autre forme. Par exemple, si vous êtes invité à entrer l’entité Tableau Cloud ID, ACS URL et le certificat X.509 dans des emplacements séparés.

    Directives pour l’exportation ou la copie de métadonnées depuis Tableau Cloud.

Étape 5 : Configurer l’IdP (TCM)

Pour l’Étape 5, utilisez les instructions fournies par la documentation de l’IdP pour soumettre les métadonnées TCM.

Étape 6 : Configurer l’IdP (Tableau Cloud)

Pour l’Étape 6, utilisez les instructions fournies par la documentation de l’IdP pour soumettre les métadonnées Tableau Cloud.

Étape 6 : Tester la configuration et résoudre les problèmes SAML (TCM)

Nous vous recommandons fortement de tester la configuration SAML pour éviter tout scénario de verrouillage. Ce test vous permettra de vérifier que vous avez correctement configuré SAML avant de modifier le type d’authentification de vos utilisateurs sur SAML. Pour tester la configuration avec succès, assurez-vous qu’il existe au moins un utilisateur sous l’identité duquel vous pouvez vous connecter. Il doit être déjà activé dans l’IdP et ajouté à Tableau Cloud ou TCM avec configuration du type d’authentification SAML.

Si vous ne parvenez pas à vous connecter à TCM, commencez par les étapes de dépannage suggérées dans la page Authentification. Si ces étapes ne résolvent pas ces problèmes, consultez Résoudre les problèmes liés à SAML.

Étape 7 : Tester la configuration et résoudre les problèmes SAML (Tableau Cloud)

Nous vous recommandons fortement de tester la configuration SAML pour éviter tout scénario de verrouillage. Ce test vous permettra de vérifier que vous avez correctement configuré SAML avant de modifier le type d’authentification de vos utilisateurs sur SAML. Pour tester la configuration avec succès, assurez-vous qu’il existe au moins un utilisateur sous l’identité duquel vous pouvez vous connecter. Il doit être déjà activé dans l’IdP et ajouté à Tableau Cloud ou TCM avec configuration du type d’authentification SAML.

Si vous ne parvenez pas à vous connecter à Tableau Cloud, commencez par les étapes de dépannage suggérées dans la page Nouvelle configuration. Si ces étapes ne résolvent pas ces problèmes, consultez Résoudre les problèmes liés à SAML.

Gérer les utilisateurs

Sélectionnez des utilisateurs Tableau Cloud ou TCM existants, ou ajoutez de nouveaux utilisateurs pour lesquels vous souhaitez approuver l’authentification unique (SSO).

Lorsque vous ajoutez ou importez des utilisateurs, spécifiez également leur type d’authentification. Sur la page Utilisateurs, vous pouvez modifier le type d’authentification des utilisateurs à tout moment après leur ajout.

Pour plus d’informations, consultez l’un des articles suivants :

Type d’authentification par défaut pour les vues intégrées

Remarque : s’applique à Tableau Cloud uniquement.

  • Permettre aux utilisateurs de choisir leur type d’authentification

    Lorsque cette option est sélectionnée, seule une fenêtre contextuelle est prise en charge. Dans cette fenêtre contextuelle, deux options de connexion apparaissent là où une vue est intégrée : un bouton de connexion qui utilise l’authentification unique (SSO) et un lien permettant d’utiliser les identifiants Tableau comme alternative.

    Conseil : avec cette option, les utilisateurs ont besoin de savoir quelle de connexion choisir. Dans le cadre de la notification que vous envoyez à vos utilisateurs après les avoir ajoutés au site d’authentification unique, faites-leur savoir quel type d’authentification utiliser pour divers scénarios d’authentification. Par exemple, les vues intégrées, Tableau Desktop, Tableau Bridge, Tableau Mobile, etc.

  • Tableau et l’authentification multifacteur (MFA)

    Cette option exige que les utilisateurs s’authentifient avec des identifiants Tableau avec l’authentification multifacteur même si SAML est activé sur le site. Pour se connecter à Tableau avec MFA, les utilisateurs doivent définir une méthode de vérification pour confirmer l'identité chaque fois que l’utilisateur se connecte à Tableau Cloud. Pour plus d’informations, consultez Authentification multifacteur et Tableau Cloud.

  • Liste des configurations d’authentification

    Lorsqu’une option de configuration spécifique est sélectionnée, la manière dont les utilisateurs se connectent aux vues intégrées est déterminée par le paramètre que vous avez configuré à l’étape 6 ci-dessus pour la configuration nommée.

Utiliser l’authentification Tableau

Si un site ou un locataire est configuré pour SAML, vous pouvez modifier les paramètres de manière à demander à des utilisateurs précis ou à tous les utilisateurs de se connecter à l’aide de leurs informations d’identification Tableau.

  • Si vous ne voulez plus qu’un fournisseur d’identité gère l’authentification ou pour demander à tous les utilisateurs de se connecter à l’aide de leurs informations d’identification Tableau, vous pouvez modifier le type d’authentification au niveau du site ou du locataire. Consultez la section Modifier le type d’authentification du site ci-dessous.

  • Si vous souhaitez que SAML reste activé pour certains utilisateurs seulement et demander aux autres d’utiliser Tableau, vous pouvez modifier le type d’authentification au niveau utilisateur. Pour plus d’informations, voir Définir le type d’authentification utilisateur.

Modifier le type d’authentification du site

Pour Tableau Cloud

Depuis novembre 2024 (Tableau 2024.3), vous pouvez configurer plusieurs types et méthodes d’authentification sur un site. Pour modifier l’authentification que vous souhaitez rendre disponible sur le site, activez ou désactivez les configurations d’authentification.

  1. Connectez-vous au site Tableau Cloud en tant qu’administrateur de site.

  2. Sélectionnez Paramètres > Authentification.

  3. Désactivez ou activez les configurations d’authentification pour le site en cliquant sur le menu Actions et en sélectionnant Désactiver ou Activer.

Après désactivation de la configuration SAML, les métadonnées et les informations d’IdP sont préservées. De cette manière, si vous souhaitez la réactiver, vous n’avez pas besoin de paramétrer à nouveau la connexion entre SAML et l’IdP.

Pour TCM

  1. Connectez-vous à TCM en tant qu’administrateur Cloud.

  2. Sélectionnez Paramètres > Authentification.

  3. Désélectionnez la case à cocher Activer une méthode d’authentification supplémentaire.

Mettre à jour le certificat SAML

Le certificat utilisé pour les métadonnées du site Tableau est fourni par Tableau et n’est pas configurable. Pour mettre à jour le certificat pour SAML spécifique , vous devez télécharger un nouveau certificat sur votre IdP et rééchanger les métadonnées avec Tableau Cloud.

Pour Tableau Cloud

  1. Connectez-vous au site en tant qu’administrateur de site et sélectionnez ParamètresAuthentification.

  2. Sous Types d’authentification, accédez à la configuration SAML que vous souhaitez mettre à jour, cliquez sur le menu Actions et sélectionnez Modifier.

  3. Ouvrez un nouvel onglet ou une nouvelle fenêtre, et connectez-vous au compte de votre IdP.

  4. Suivez les instructions fournies par la documentation de l’IdP pour télécharger un nouveau certificat SAML.

  5. Téléchargez le nouveau fichier de métadonnées XML à fournir à Tableau Cloud.

  6. Revenez à la page Modifier la configuration dans Tableau Cloud et à l’étape 2, chargez le fichier de métadonnées que vous avez téléchargé depuis l’IdP.

  7. Faites défiler la page et cliquez sur le bouton Enregistrer et continuer.

Pour TCM

  1. Connectez-vous à TCM en tant qu’administrateur Cloud et sélectionnez Paramètres > Authentification.

  2. Dans la liste déroulante Authentification, sélectionnez SAML > Configuration (obligatoire).

  3. Ouvrez un nouvel onglet ou une nouvelle fenêtre, et connectez-vous au compte de votre IdP.

  4. Suivez les instructions fournies par la documentation de l’IdP pour télécharger un nouveau certificat SAML.

  5. Téléchargez le nouveau fichier de métadonnées XML à fournir à TCM.

  6. Revenez à la page Authentification dans TCM et, à l’étape 2, chargez le fichier de métadonnées que vous avez téléchargé depuis l’IdP.

  7. Faites défiler la page et cliquez sur le bouton Enregistrer et continuer.

Voir également

Accéder à des sites depuis des clients connectés

Merci de vos commentaires !Avis correctement envoyé. Merci