Gérer les Authentificateurs de Connexion

Les authentificateurs de connexion contrôlent la façon dont les utilisateurs se connectent à CXone. CXone prend en charge l’authentification interne et externe en fonction de l’authentificateur de connexion attribué à l’utilisateur, du type et de la configuration de cet authentificateur de connexion.

Pour plus d’informations sur l’authentification et l’autorisation dans CXone, cliquez sur ici.

Configurer un authentificateur de connexion système

Autorisations requises : Gestion des mots de passe activée.

CXone inclut un authentificateur de connexion système par défaut, mais vous pouvez également créer le vôtre. Après avoir configuré un authentificateur de connexion pour un rôle particulier, le champ de mot de passe affiche les règles d’authentification de connexion configurées lorsqu’un utilisateur essaie de définir ou de modifier le mot de passe.

  1. Cliquez sur le sélecteur d’applications et sélectionnez Admin.
  2. Accédez à Authentificateur de connexion.

  3. Cliquez sur Créer nouveau.

  4. Saisissez un nom unique pour l’authentificateur de connexion.

  5. Entrez une description si vous en voulez une.

  6. Sélectionnez Système comme le type d’identification.

    Champ

    Détails
    Système L’authentificateur de connexion utilise le processus de connexion intégré de CXone. Il ne s’authentifie pas à l’aide d’un fournisseur d’identité d’authentification unique (SSO) externe.
    SAML SAML 2.0 vous permet de configurer une authentification unique par l’intermédiaire d’un fournisseur d’identité externe. CXone prend en charge plusieurs instances de SAML 2.0. Vous pouvez attribuer différentes instances à différents utilisateurs.
  7. Configurez la complexité du mot de passe.

    Le mot de passe de chaque utilisateur est vérifié par rapport à un référentiel de mots de passe couramment utilisés. Si leur mot de passe correspond à l’un des mots de passe couramment utilisés, ils seront obligés de créer un nouveau mot de passe. Les mots de passe rejetés comprennent :

    • Tout mot de passe comprenant le mot « password ». Par exemple, Password@1234.

    • Tout mot de passe comprenant l’adresse courriel, le nom d’utilisateur, le prénom, le nom de famille ou le nom de l’utilisateur dans le système.

    Les mots de passe sont vérifiés par rapport à ce référentiel quand :

    • Un nouvel utilisateur est activé.

    • Le mot de passe d’un utilisateur expire.

    • Un utilisateur réinitialise son mot de passe.

    ChampDétails
    Exiger des minuscules (a-z)Exige que les utilisateurs utilisent au moins une lettre minuscule dans leur mot de passe.
    Exiger des majuscules (A-Z)Oblige les utilisateurs à utiliser au moins une majuscule dans leur mot de passe.
    Exiger un chiffre (0-9)Oblige les utilisateurs à utiliser au moins un chiffre dans leur mot de passe.
    Exiger des caractères non alphanumériques (!,@,#, etc.)Oblige les utilisateurs à utiliser au moins un caractère non alphanumérique dans leur mot de passe.

  8. Si vous souhaitez activer l’authentification multifactorielle, sélectionnez Exiger l’authentification multifactorielle. Définissez votre Type MFA comme HOTP et TOTP.

    Champ Détails
    Nécessite une authentification multifacteur

    Oblige les utilisateurs à saisir un jeton d’authentification multifactorielle (MFA) en plus de leur mot de passe pour se connecter à CXone. Un jeton MFA est un mot de passe à usage unique généré par un jeton matériel ou un périphérique MFA virtuel (par exemple, une application comme Google Authenticator) que vous fournissez. Lorsque vous activez l’authentification MFA, les utilisateurs dont le profil est affecté doivent configurer une clé secrète MFA lors de la connexion suivante.

    N’activez pas l’authentification MFA pour l’administrateur principal de votre organisation. Si l’appareil ou le secret est perdu, le seul moyen de réinitialiser le secret MFA est de déposer un ticket avec NICE CXone.
    Type MFA Spécifie si vous souhaitez activer l’authentification MFA TOTP ou HOTP.

  9. Définissez votre politique en matière de mots de passe.

    Champ Détails
    Longueur du mot de passe Saisissez le nombre minimum de caractères que les utilisateurs doivent inclure dans leur mot de passe. Par exemple, si vous saisissez 12, les utilisateurs doivent inclure au moins 12 caractères au total dans chaque mot de passe. Les caractères requis dans les paramètres de complexité du mot de passe sont pris en compte dans le nombre total de caractères. Vous pouvez choisir une longueur de mot de passe comprise entre 12 et 24.
    Activer l’ancienneté du mot de passe Active une zone de texte dans laquelle vous pouvez saisir le nombre maximal de jours pendant lesquels un utilisateur peut conserver un mot de passe. Après le nombre de jours spécifié, l’utilisateur doit changer son mot de passe. Vous pouvez définir la durée de vie du mot de passe entre 14 et 365 jours.
    Activer l’historique des mots de passe Saisissez le nombre de mots de passe uniques qu’un utilisateur doit définir avant de pouvoir réutiliser un ancien mot de passe. Vous pouvez définir l’historique des mots de passe à une valeur comprise entre 4 et 50. Par exemple, si vous saisissez 10, les utilisateurs affectés à l’authentificateur de connexion ne peuvent utiliser aucun de leurs dix derniers mots de passe comme nouveau mot de passe.

  10. Cliquez sur Créer un authentificateur de connexion.

Configurer un authentificateur de connexion externe avec SAML 2.0

Vous pouvez utiliser l’authentification externe lorsque vous souhaitez que le mot de passe d’un utilisateur soit géré par un autre système ou fournisseur d’identité. CXone prend en charge actuellement les protocoles de fédération SAML 2.0 et OpenID Connect.

Vous pouvez configurer l’authentification initiée par l’IdP ou l’authentification initiée par le SP en suivant les étapes de cette section.

Authentification initiée par l’IdP : IdP signifie « fournisseur d’identité ». L’authentification initiée par IdP signifie que le fournisseur d’identité externe démarre le processus de connexion.

Authentification initiée par le SP : SP signifie « fournisseur de services ». L’authentification initiée par le SP signifie que CXone démarre le processus de connexion.

Si vous utilisez Salesforce Agent, le fournisseur d’identité externe (IdP) doit être configuré pour l’authentification initiée par le SP.

  1. Assurez-vous que vous avez accès au fournisseur d’identité externe. Vous devrez créer une intégration spécifique à CXone.
  2. Créez l’intégration dans le fournisseur d’identité externe. Différents systèmes utilisent des noms différents pour ces intégrations; voir les instructions spécifiques pour Okta ou Azure.
    1. Vous devrez fournir un identifiant d’entité que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme espace réservé.
    2. Vous devrez fournir un URL ACS que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme espace réservé.
    3. Le fournisseur d’identité générera une URL spécifique où les requêtes SAML doivent être envoyées. Copiez et enregistrez cette URL à un endroit où vous pourrez la trouver. Vous devrez entrer cette valeur dans les étapes ultérieures.
    4. Le fournisseur d’identité générera un certificat de signature public pour l’intégration. Téléchargez le certificat. Vous devrez l’utiliser dans les étapes suivantes.
  3. Créez un authentificateur de connexion externe dans CXone.
    1. Cliquez sur le sélecteur d’applications et sélectionnezAdmin.
    2. Cliquez sur Sécurité >Authentificateur de connexion.
    3. Saisissez le Nom et la Description de l’authentificateur de connexion.
    4. Sélectionnez SAML comme type d’ Authentification.
    5. Si vous sélectionnez FICAM, la réponse SAML doit comporter une seule entrée AuthnContextClassRef. En outre, le NamespaceURI du sujet de l’assertion doit être : urn:oasis:names:tc:SAML:2.0:assertion. Les champs AuthnContextClassRef et NamespaceURI sont contrôlés par le fournisseur d’identité.
    6. Entrer le terminal de requête SAML que vous avez reçu de votre fournisseur ci-dessus comme le URL du terminal.
    7. Cliquez sur Choisir un fichier et sélectionnez le certificat de signature public que vous avez reçu de votre fournisseur. Ce fichier doit être un fichier PEM. Ce sera un fichier texte et la première ligne contiendra BEGIN CERTIFICATE avec un autre texte.
    8. Cliquez sur Enregistrer et activer.
    9. Ouvrez l’authentificateur de connexion.

    10. Prenez notre de l’ID d’entité et de l’URL ACS. Vous en aurez besoin lorsque vous mettrez à jour vos paramètres IdP.

  4. Mettez à jour les paramètres de votre fournisseur d’identité, en remplaçant les espaces réservés utilisés ci-dessus par les valeurs que vous venez de noter.

  5. Assurez-vous que l’Identité externe pour chaque utilisateur qui utilise l’authentificateur de connexion est défini par la valeur correcte.

    Votre fournisseur d’identité détermine la valeur qui doit être utilisée. La valeur doit correspondre exactement à ce que vous avez mis dans le champ Identité externe dans CXone.

  6. Demandez à l’utilisateur de se connecter. Il doit utiliser la dernière URL de connexion. Après avoir entré leur nom d’utilisateur, ils seront dirigés vers le fournisseur d’identité externe si nécessaire.

Créer des authentificateurs de connexion externes avec OpenID Connect

Autorisations requises : Création d’authentificateur de connexion

Vous pouvez utiliser l’authentification externe lorsque vous souhaitez que le mot de passe d’un utilisateur soit géré par un autre système ou fournisseur d’identité. CXone prend en charge actuellement les protocoles de fédération SAML 2.0 et OpenID Connect.

Vous pouvez configurer l’authentification initiée par l’IdP ou l’authentification initiée par le SP en suivant les étapes de cette section.

Authentification initiée par l’IdP : IdP signifie « fournisseur d’identité ». L’authentification initiée par IdP signifie que le fournisseur d’identité externe démarre le processus de connexion.

Authentification initiée par le SP : SP signifie « fournisseur de services ». L’authentification initiée par le SP signifie que CXone démarre le processus de connexion.

Si vous utilisez Salesforce Agent, le fournisseur d’identité externe (IdP) doit être configuré pour l’authentification initiée par le SP.

Capture d’écran de l’onglet OpenID Connect d’une unité commerciale en mode édition

  1. Assurez-vous que vous avez accès au fournisseur d’identité externe. Vous devrez créer une intégration spécifique à CXone.
  2. Créez l’intégration dans le fournisseur d’identité externe.
    1. Vous devrez fournir une URI de redirection de connexion que vous ne connaissez pas encore à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme espace réservé.
    2. Vous devrez peut-être fournir une URI de redirection de déconnexion que vous ne connaissez pas encore à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme espace réservé.
    3. Le fournisseur d’identité génère un ID de client et un Secret client. Copiez et enregistrez ces valeurs là où vous les retrouverez. Vous devrez les saisir dans les étapes suivantes.
  3. Créez un authentificateur de connexion externe dans CXone.

    1. Cliquez sur le sélecteur d’applications et sélectionnezAdmin.

    2. Cliquez sur Authentificateur de connexion.

    3. Cliquez sur Créer nouveau ou sélectionnez l’authentificateur de connexion que vous souhaitez modifier.
    4. Saisissez un nom et une description pour l’authentificateur de connexion.
    5. Sélectionnez OIDC comme type d’authentification.
    6. Si vous disposez d’un terminal de découverte pour votre IdP, cliquez sur Paramètres de découverte. Entrez votre terminal de découverte et cliquez sur Découvrir. Les champs restants sont remplis pour vous. L’option Paramètres de découverte ne fonctionne pas avec les terminaux de découverte Salesforce.
    7. Saisissez votre identifiant de client et votre mot de passe de client. Saisissez à nouveau le mot de passe dans Confirmer le mot de passe du client. L’identifiant de client est l’identifiant de connexion attribué à votre compte par votre IdP.

    8. Si vous n’avez pas de terminal de découverte pour votre IdP, saisissez l’émetteur, le terminal JsonWebKeySet, le terminal d’autorisation, le terminal du jeton, le terminal UserInfo, le terminal de révocation et le terminal de session final fournis par votre IdP.

      Champ

      Détails

      Émetteur

      L’URL de votre IdP sans aucun paramètre.

      Terminal JsonWebKeySetL’URL de l’ensemble JWK de votre IdP.
      Terminal d’autorisationL’URL du terminal d’autorisation OAuth 2.0 de votre IdP.
      Terminal du jetonL’URL du terminal du jeton OAuth 2.0 de votre IdP.
      Terminal UserInfoL’URL du terminal UserInfo de votre IdP.
      Terminal de révocationL’URL du terminal de révocation de votre IdP.
      Terminal de session finalL’URL du terminal de session final de votre IdP. Ce champ vous permet de créer une expérience de déconnexion unique pour vos utilisateurs. Si cette option est configurée, en se déconnectant de CXone, ils seront également déconnectés de leur compte IdP. Pour que la déconnexion unique fonctionne, vous devez mettre sur liste blanche l’URI de redirection de déconnexion dans votre IdP.
    9. Sélectionnez une méthode d’authentification client. La méthode sélectionnée doit être une méthode d’authentification prise en charge par votre IdP. Si vous sélectionnez private_key_jwt, vous devez sélectionner Activer le chiffrement et saisir votre Clé de vérification de l’assertion du client.
    10. Vous pouvez sélectionner Activer le profil FICAM pour activer les paramètres spécifiques au gouvernement américain.
    11. Cliquez sur Créer l’authentificateur de connexion pour valider les informations fournies et lier votre compte CXone à votre compte IdP.
    12. Ouvrez l’authentificateur de connexion.

    13. Notez l’URI de redirection de connexion et l’URI de redirection de de déconnexion. Vous en aurez besoin lorsque vous mettrez à jour vos paramètres IdP.

  4. Mettez à jour les paramètres de votre fournisseur d’identité, en remplaçant les espaces réservés utilisés ci-dessus par les valeurs que vous venez de noter.

  5. Assurez-vous que l’Identité externe pour chaque utilisateur qui utilise l’authentificateur de connexion est défini par la valeur correcte.

    Votre fournisseur d’identité détermine la valeur qui doit être utilisée. La valeur doit correspondre exactement à ce que vous avez mis dans le champ Identité externe dans CXone. La valeur de ce champ doit avoir le format suivant : claim(email):{adresse courriel configurée par votre IdP}. Par exemple, si l’adresse courriel de l’utilisateur dans l’IdP est nick.carraway@classics.com, vous devez saisir claim(email):nickcarraway@classics.com.

  6. Demandez à l’utilisateur de se connecter. Il doit utiliser la dernière URL de connexion. Après avoir saisi son nom d’utilisateur, il sera dirigé vers le fournisseur d’identité externe si nécessaire.

  7. Lorsque votre fournisseur d’identité vous demande de vous authentifier, faites-le en tant qu’utilisateur du fournisseur d’identité que vous souhaitez associer à votre compte CXone actuellement connecté.
  8. Si vos OpenID Connect paramètres dansCXone ne s’affichent pas comme validés, utilisez vos journaux IdP pour diagnostiquer le problème.

Liaison de nouveaux utilisateurs avec des réclamationsOpenID Connect

CXone peut utiliser une valeur de revendication différente, comme une adresse e-mail, pour établir l’identité de l’utilisateur lors de sa première connexion. CXone passe alors automatiquement à l’unique OpenID Connect identifiant du sujet. Cela vous permet de préconfigurer l’identité fédérée.

PKCE pour l’authentification initiale

Il se peut que vous ayez des difficultés à utiliser le flux de code d’autorisation OpenID Connect. Ce flux nécessite un client_secret dans le cadre de l’échange de jetons. Coder le client_secret dans une application Web constitue un risque pour la sécurité. OpenID Connect permet un flux alternatif appelé PKCE (Proof Key for Code Exchange). PKCE utilise une méthode d’authentification différente. NICE CXone prend en charge les flux PKCE pour les intégrations initiales.

Affecter des utilisateurs à l’authentificateur de connexion

  1. Cliquez sur le sélecteur d’applications et sélectionnezAdmin.

  2. Cliquez sur Utilisateurs.

  3. Sélectionnez l’utilisateur que vous souhaitez affecter à l’authentificateur de connexion ou cliquez sur Créer nouveau pour créer un nouvel utilisateur.

  4. Sous l'onglet Général, cliquez sur Modifier.

  5. Dans la section Sécurité, sélectionnez l’authentificateur de connexion que vous avez créé précédemment dans la liste déroulante Authentificateur de connexion.

  6. Cliquer sur Terminé.