Aller au contenu principal
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons passer en revue les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID SAML enterprise SSO (authentification utilisateur) avec Android (Kotlin / Java) et Logto.

Prérequis

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée Authentification unique (SSO).

Pour créer votre application Native app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Native app" ou filtrez tous les frameworks "Native app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Android (Kotlin)" / "Android (Java)" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Android (Kotlin) / Android (Java) SDK​

astuce:

Installation​

remarque:

Le niveau API Android minimal pris en charge par Logto Android SDK est le niveau 24.

Avant d'installer Logto Android SDK, assurez-vous que mavenCentral() est ajouté à votre configuration de dépôt dans le fichier de construction du projet Gradle :

settings.gradle.kts
dependencyResolutionManagement {
  repositories {
    mavenCentral()
  }
}

Ajoutez Logto Android SDK à vos dépendances :

build.gradle.kts
dependencies {
  implementation("io.logto.sdk:android:1.1.3")
}

Étant donné que le SDK nécessite un accès à Internet, vous devez ajouter la permission suivante à votre fichier AndroidManifest.xml :

AndroidManifest.xml
<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
  xmlns:tools="http://schemas.android.com/tools">

  <!-- ajouter la permission internet -->
  <uses-permission android:name="android.permission.INTERNET" />

  <!-- autres configurations... -->
</manifest>

Init LogtoClient​

Créez un LogtoViewModel.kt et initialisez LogtoClient dans ce modèle de vue :

LogtoViewModel.kt
//...avec d'autres imports
import io.logto.sdk.android.LogtoClient
import io.logto.sdk.android.type.LogtoConfig

class LogtoViewModel(application: Application) : AndroidViewModel(application) {
    private val logtoConfig = LogtoConfig(
          endpoint = "<votre-point-de-terminaison-logto>",
          appId = "<votre-id-app>",
          scopes = null,
          resources = null,
          usingPersistStorage = true,
    )

    private val logtoClient = LogtoClient(logtoConfig, application)

    companion object {
        val Factory: ViewModelProvider.Factory = object : ViewModelProvider.Factory {
            @Suppress("UNCHECKED_CAST")
            override fun <T : ViewModel> create(
                modelClass: Class<T>,
                extras: CreationExtras
            ): T {
                // Obtenez l'objet Application à partir des extras
                val application = checkNotNull(extras[APPLICATION_KEY])
                return LogtoViewModel(application) as T
            }
        }
    }
}

ensuite, créez un LogtoViewModel pour votre MainActivity.kt :

MainActivity.kt
//...avec d'autres imports
class MainActivity : AppCompatActivity() {
    private val logtoViewModel: LogtoViewModel by viewModels { LogtoViewModel.Factory }
    //...autres codes
}

Configurer l'URI de redirection​

Passons à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection io.logto.android://io.logto.sample/callback et cliquez sur "Enregistrer les modifications".

URI de redirection dans Logto Console

Implémenter la connexion et la déconnexion​

remarque:

Avant d'appeler logtoClient.signIn, assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

Vous pouvez utiliser logtoClient.signIn pour connecter l'utilisateur et logtoClient.signOut pour déconnecter l'utilisateur.

Par exemple, dans une application Android :

LogtoModelView.kt
//...avec d'autres imports
class LogtoViewModel(application: Application) : AndroidViewModel(application) {
    // ...autres codes

    // Ajouter une donnée en direct pour observer le statut d'authentification
    private val _authenticated = MutableLiveData(logtoClient.isAuthenticated)
    val authenticated: LiveData<Boolean>
        get() = _authenticated

    fun signIn(context: Activity) {
        logtoClient.signIn(context, "io.logto.android://io.logto.sample/callback") { logtoException ->
            logtoException?.let { println(it) }
            // Mettre à jour la donnée en direct
            _authenticated.postValue(logtoClient.isAuthenticated)
        }
    }

    fun signOut() {
        logtoClient.signOut { logtoException ->
            logtoException?.let { println(it) }
            // Mettre à jour la donnée en direct
            _authenticated.postValue(logtoClient.isAuthenticated)
        }
    }
}

Ensuite, appelez les méthodes signIn et signOut dans votre activité :

MainActivity.kt
class MainActivity : AppCompatActivity() {
    override fun onCreate(savedInstanceState: Bundle?) {
        //...autres codes

        // Supposons que vous ayez un bouton avec l'identifiant "sign_in_button" dans votre mise en page
        val signInButton = findViewById<Button>(R.id.sign_in_button)
        signInButton.setOnClickListener {
            logtoViewModel.signIn(this)
        }

        // Supposons que vous ayez un bouton avec l'identifiant "sign_out_button" dans votre mise en page
        val signOutButton = findViewById<Button>(R.id.sign_out_button)
        signOutButton.setOnClickListener {
            if (logtoViewModel.authenticated) { // Vérifiez si l'utilisateur est authentifié
                logtoViewModel.signOut()
            }
        }

        // Observez le statut d'authentification pour mettre à jour l'interface utilisateur
        logtoViewModel.authenticated.observe(this) { authenticated ->
            if (authenticated) {
                // L'utilisateur est authentifié
                signInButton.visibility = View.GONE
                signOutButton.visibility = View.VISIBLE
            } else {
                // L'utilisateur n'est pas authentifié
                signInButton.visibility = View.VISIBLE
                signOutButton.visibility = View.GONE
            }
        }

    }
}

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Microsoft Entra ID SAML enterprise SSO connector​

To simplify access management and gain enterprise-level safeguards for your big clients, connect with Android (Kotlin) / Android (Java) as a federated identity provider. The Logto enterprise SSO connector helps you establish this connection in minutes by allowing several parameter inputs.

To add an enterprise SSO connector, simply follow these steps:

  1. Navigate to Logto console > Enterprise SSO.

SSO page

  1. Click "Add enterprise connector" button and choose your SSO provider type. Choose from prebuilt connectors for Microsoft Entra ID (Azure AD), Google Workspace, and Okta, or create a custom SSO connection using the standard OpenID Connect (OIDC) or SAML protocol.
  2. Provide a unique name (e.g., SSO sign-in for Acme Company).

Select your SSO provider

  1. Configure the connection with your IdP in the "Connection" tab. Check the guides above for each connector types.

SSO connection

  1. Customize the SSO experience and enterprise’s email domain in the "Experience" tab. Users sign in with the SSO-enabled email domain will be redirected to SSO authentication.

SSO experience

  1. Save changes.

Set up Application SSO Azure AD​

Étape 1 : Créer une application Azure AD SSO​

Initiez l'intégration SSO Azure AD en créant une application SSO du côté Azure AD.

  1. Accédez au portail Azure et connectez-vous en tant qu'administrateur.
  2. Sélectionnez le service Microsoft Entra ID.
  3. Naviguez vers les Applications d'entreprise à l'aide du menu latéral. Cliquez sur Nouvelle application, et sélectionnez Créer votre propre application.

Azure AD create application.webp

  1. Entrez le nom de l'application et sélectionnez Intégrer toute autre application que vous ne trouvez pas dans la galerie (Non-galerie).
  2. Sélectionnez Configurer l’authentification unique > SAML.

Azure AD set up SSO.webp

  1. Suivez les instructions, comme première étape, vous devrez remplir la configuration SAML de base en utilisant les informations suivantes fournies par Logto.

Azure AD SP config

  • URI d’audience (ID d’entité SP) : Il représente un identifiant globalement unique pour votre service Logto, fonctionnant comme l'EntityId pour SP lors des requêtes d’authentification vers le fournisseur d’identité (IdP). Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et à consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Cliquez sur Enregistrer pour continuer.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées du fournisseur d’identité (IdP) à Logto. Revenons du côté de Logto et naviguons vers l'onglet Connection de votre connecteur Azure AD SSO.

Logto propose trois manières différentes de configurer les métadonnées du fournisseur d’identité (IdP). La méthode la plus simple consiste à fournir l'URL des métadonnées de l'application Azure AD SSO.

Copiez l'URL des métadonnées de fédération de l'application à partir de la section Certificats SAML de votre application Azure AD SSO et collez-la dans le champ Metadata URL dans Logto.

Azure AD Metadata URL.webp

Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.

Étape 3 : Configurer le mappage des attributs utilisateur​

Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) aux attributs utilisateur dans Logto. Logto synchronisera par défaut les attributs utilisateur suivants depuis l'IdP :

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameID de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur. Logto lira la revendication email de la réponse SAML comme e-mail principal de l'utilisateur par défaut.
  • name : Le nom de l'utilisateur.

Vous pouvez gérer la logique de mappage des attributs utilisateur soit du côté Azure AD, soit du côté Logto.

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté Logto.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Copiez les noms d'attributs suivants (avec le préfixe de l'espace de noms) et collez-les dans les champs correspondants dans Logto.

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Recommandation : mettez à jour cette carte de valeur d'attribut à user.displayname pour une meilleure expérience utilisateur)

Azure AD default attribute mapping.webp

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté AzureAD.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Cliquez sur Edit, et mettez à jour les champs Additional claims en fonction des paramètres des attributs utilisateur Logto :

    • mettez à jour la valeur du nom de revendication en fonction des paramètres des attributs utilisateur Logto.
    • supprimez le préfixe de l'espace de noms.
    • cliquez sur Save pour continuer.

    Vous devriez obtenir les paramètres suivants :

Azure AD_Logto attribute mapping.webp

Vous pouvez également spécifier des attributs utilisateur supplémentaires du côté Azure AD. Logto conservera un enregistrement des attributs utilisateur originaux renvoyés par l'IdP sous le champ sso_identity de l'utilisateur.

Étape 4 : Assigner des utilisateurs à l'application Azure AD SSO​

Visitez la section Users and groups de votre application Azure AD SSO. Cliquez sur Add user/group pour attribuer des utilisateurs à l'application Azure AD SSO. Seuls les utilisateurs attribués à votre application Azure AD SSO pourront s'authentifier via le connecteur Azure AD SSO.

Azure AD assign users.webp

Étape 5 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet SSO experience du connecteur de Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Veuillez consulter la documentation officielle d'Azure AD pour plus de détails sur l'intégration SSO d'Azure AD.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID SAML enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID SAML enterprise SSO connector in Sign-in Experience​

You don’t need to configure enterprise connectors individually, Logto simplifies SSO integration into your applications with just one click.

  1. Navigate to: Console > Sign-in experience > Sign-up and sign-in.
  2. Enable the "Enterprise SSO" toggle.
  3. Save changes.

Once enabled, a "Single Sign-On" button will appear on your sign-in page. Enterprise users with SSO-enabled email domains can access your services using their enterprise identity providers (IdPs).

Auto detect SSO sign-in via email domain Navigate to SSO sign-in via manually click link button

To learn more about the SSO user experience, including SP-initiated SSO and IdP-initiated SSO, refer to User flows: Enterprise SSO.

Testing and Validation​

Retournez à votre application Android (Kotlin / Java). Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.