Sujets commencés par Adrian

AdrianCommunity Manager

Ces manipulations sont à faire sur le serveur Access.Pour avoir les traces de Access Server Configuration, dans la base de registre, il est nécessaire :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Pour les autres : Dans [HKLM\software\ Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Vous devez alors relancer Access Server Configuration et reproduire l’erreur. Les traces se trouvent dans le dossier temporaire de l’utilisateur : « %tmp% ».

Traces de Access Server Configuration

100

AdrianCommunity Manager

Ces traces sont à créer sur le serveur d’audits Access.Afin de bénéficier des traces du serveur d’audits, dans la base de registre, il est nécessaire :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\Conf] Pour les autres : Dans [HKLM\software\Avenci\SSOX\Conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Redémarrez les services suivant sur le serveur d’audits : SSOX Audit Service SSOX Audit Server Reproduisez le problème et les traces se trouvent dans le répertoire temporaire de l’utilisateur ayant démarré le service.

Traces du serveur d'audit Access

140

AdrianCommunity Manager

Ces manipulations sont à effectuer sur le serveur Access.Afin de bénéficier des traces de SSOXAD2ADAM, dans la base de registre, il est nécessaire :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Pour les autres : Dans [HKLM\software\ Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bitsNommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Vous devez ensuite redémarrer le service SSOX AD2ADAM. Pour ce faire, vous devez ouvrir la liste des services :Ouvrir une invite de commande en mode administrateur et tapez services.msc Vous devez ensuite chercher le service qui se nomme « SSOX AD2ADAM Service » et cliquer sur « Restart »Les traces se trouvent dans le dossier temporaire de l’utilisateur exécutant le service.

Traces de SSOX AD2ADAM

150

AdrianCommunity Manager

Le Scheduler est un planificateur de tâches qui permet d’exécuter des processus à intervalle régulier (Comme le téléchargement des CRLs par exemple). afin de bénéficier des traces du Scheduler :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM \Software\Wow6432Node\Avenci\SSOXScheduler] Pour les autres : Dans [HKLM\software\Avenci\SSOXScheduler] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez-lui la valeur « 2ffff »Toujours dans la base de registre, supprimer la clé ScheduleCRLs qui se trouve dans :[HKLM\software\Wow6432Node\Avenci\SSOXScheduler\tasks] pour les postes 64 bits exécutant un SSOX 32 bits [HKLM\software \Avenci\SSOXScheduler\tasks] pour les autres Cette valeur sert à faire le Delta entre la dernière exécution du Scheduler et l’heure actuelle pour permettre d’exécuter les processus.Maintenant, il faut r

Traces de SSOX Scheduler

AdrianCommunity Manager

Afin de bénéficier des traces de Access Configuration, dans la base de registre, il est nécessaire :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOXConfig\conf] Pour les autres : Dans [HKLM\software\ Avenci\SSOXConfig\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Les traces se trouvent dans le répertoire temporaire de l’utilisateur : %tmp%

Traces de Access Configuration

AdrianCommunity Manager

Les traces du Proxy sont à créer sur le serveur d’authentification Access.Afin de bénéficier des traces du serveur d’authentification Access, dans la base de registre, il est nécessaire :Dans [HKLM\software\Wow6432Node\Avenci\SSOXSSProxy] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez-lui la valeur « 2ffff »Redémarrez le service « SSOX Authentification Server » sur le serveur d’authentification.Dans l’invite de commande, tapez « services.msc »Cherchez le service « SSOX Authentification Server » Cliquez sur « Restart »Reproduisez le problème et les traces se trouvent dans le répertoire temporaire de l’utilisateur ayant démarré le service.

Traces de SSOX Authentication Server

150

AdrianCommunity Manager

Ces manipulations sont à faire sur le serveur qui héberge l’administration Web de Systancia Access.Afin de bénéficier des traces de l’administration Web, dans la base de registre, il est nécessaire :Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bitsNommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff »Il est ensuite nécessaire de redémarrer le service IIS de votre serveur. Pour cela :Lancez une invite de commandes en mode Administrateur et tapez « iisreset »Les traces de l’administration Web se trouvent dans le dossier temporaire de Windows sur le serveur : « C:\Windows\Temp ».

Traces de Access Administration Web

530

AdrianCommunity Manager

Afin de bénéficier des traces du Session Manager, dans la base de registre, il est nécessaire :Dans [HKLM\software\Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bitsNommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Les traces du Session Manager se trouvent dans le dossier temporaire du compte générique

Mise en œuvre des traces du Session Manager

100

AdrianCommunity Manager

Afin de bénéficier des traces de l’Active X, dans la base de registre, il est nécessaire:Pour les postes 64 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Pour les postes 32 bits : Dans [HKLM\software\Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff »Les traces de l’Active X se trouvent dans le dossier temporaire de l’utilisateur exécutant l’Active X (utilisateur courant, %tmp%).

Mise en œuvre des traces pour l'Active X

AdrianCommunity Manager

Afin de bénéficier des traces de Xehll, dans la base de registre, il est nécessaire :Pour les postes 64 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Pour les postes 32 bits : Dans [HKLM\software\Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Vous devez ensuite fermer la session et reproduire le problème.Les traces de Xehll se trouvent dans le dossier temporaire de l’utilisateur (utilisateur courant, %tmp%).

Mise en œuvre des traces pour XEHLL

AdrianCommunity Manager

Afin de bénéficier des traces du Credential Provider Access, dans la base de registre, il est nécessaire :Dans [HKLM\software\Avenci\SSOX\conf] Faîtes clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff » Il est nécessaire de redémarrer la machine. Les traces du Credential Provider se trouvent dans le dossier temporaire de Windows : « C:\Windows\temp »

Mise en œuvre des traces pour le Credential Provider Access

200

AdrianCommunity Manager

Afin de bénéficier des les traces du client Access, dans la base de registre, il est nécessaire :Pour les postes 64 bits avec un client SSOX 32 bits : Dans [HKLM\software\Wow6432Node\Avenci\SSOX\conf] Pour les autres : Dans [HKLM\software\Avenci\SSOX\conf] Effectuer un clic droit dans la partie droite de la fenêtre Nouveau > Valeur DWORD 32 bits Nommez cette nouvelle valeur « Trace » et appuyez sur la touche « Entrée » Double cliquez sur « Trace » et donnez lui la valeur « 2ffff »Vous aurez besoin de relancer le client Access pour obtenir des traces. Les traces du client SSOX se trouvent dans le répertoire temporaire de l’utilisateur : « %tmp% »

Mise en œuvre des traces pour le client Access

150

AdrianCommunity Manager

Par défaut si Systancia Access n’arrive pas à récupérer le WindowsLogin au niveau du watcher ou si une fenêtre d’auto-apprentissage du compte WindowsLogin apparait il peut être nécessaire de vérifier les points ci-dessous afin de résoudre ce phénomèneDans un premier temps et afin de pouvoir récupérer le compte WindowsLogin ayant servi à l’ouverture de session il est nécessaire de vérifier que le client Systancia Access a été installé avec le Credential Manager Access ou le Credential Provider AccessAfin de vérifier cela il est nécessaire de se rendre dans le répertoire d’installation de Systancia Access et de vérifier la présence du fichier SSOXCredentialManager.dll ou SSOXCredProv.dllSi les fichiers ne sont pas présent il est nécessaire de revoir l’installation du client Systancia Access afin de rajouter le Credential Provider ou le Credential Manager dans la ligne de commande d’installation sinon si les fichiers sont présents et que la connexion s’effectue en RDP il est nécessaire de

Le compte WindowsLogin est vide au niveau du watcher Access

390

AdrianCommunity Manager

Systancia Access permet de limiter l’accès à un enrôlement applicatif sur la base de contrainte au niveau du temps avec une limite sur les jours ainsi que sur la période ainsi que du mode d’accès utilisé (authentification par login/mot de passe, carte CPS, OTP etc...)Cela se paramètre au niveau de l’enrôlement applicatif dans l’outil Access Configuration au niveau de l’onglet Actions et ensuite il est nécessaire de cliquer sur Access Control : Ensuite cliquer sur Add afin d’ajouter un contrôle d’accès en fonction des besoins : Une fois le contrôle d’accès mis en œuvre il est nécessaire de cliquer sur Ok, d’enregistrer et de déployer/mettre à jour l’enrôlement applicatif dans Access Administration WebSi l’utilisateur est en dehors des plages horaires cela affiche un message à l’utilisateur et empêche le SSO de s’effectuerSi l’utilisateur s’authentifie avec un mode d’accès non autorisé cela demande à l’utilisateur de se réauthentifier avec les modes autorisés dans la règle de contrôle d

Mécanisme de contrôle d'accès sur les enrôlements applicatifs

160

AdrianCommunity Manager

Systancia Access permet lors de l’exécution d’une cinématique applicative de forcer l’utilisateur à se réauthentifier au mode d’accès utilisé afin de pouvoir s’authentifier au niveau de la sessionSi l’utilisateur s’est authentifié par identifiant/mot de passe au niveau de la mire de session Windows cela va demander le mot de passe Windows Si l’authentification a été réalisée à l’aide d’une carte sans contact ou carte à puce cela demande le code PIN si le jeton de session n’est pas valide sinon celui-ci est pris en compte : Afin d’activer la signature il est nécessaire au niveau de Access Configuration de se rendre dans l’enrôlement et dans l’onglet Actions de cliquer sur Change Cliquer sur le compte dans la liste des services et ensuite cliquer sur Modify : Il est ensuite nécessaire de cliquer sur Sign et de répéter l’opération pour tous les comptes ou les applications sur lesquelles on souhaite rajouter le mécanisme de signature Une fois la modification effectuée et l’enrôlement mis à

Mécanisme de signature sur les enrôlements applicatifs

publié à GINA & credential provider

AdrianCommunity Manager

Autoriser de déverrouillage par login/MDP sur un poste verrouillé par carte

La non apparition du champs login / mot de passe est un comportement normal si la session a été verrouillée par carte.Les seuls moyens de pallier à ce comportement sont d'autoriser le "Fast User Switching" de Microsoft (poste non kiosque uniquement)ou d'Ajouter l'attribut de registre suivant[HKLM/Software/Avenci/SSOXGina]"AllowPwdUnlockOnSC"="yes"

Par défaut dans Systancia Access il est possible de définir un fichier de configuration des applications en fonction des groupes d’appartenances au niveau de l’annuaire Active Directory Le mécanisme AD2ADAM permet d’effectuer cela au niveau de la règle ou de manière globale en fonction de l’option qui est utilisée Permet de définir en fonction de la règle et s’applique uniquement à celle-ci Permet de définir sur toutes les règles le paramétrage Il est ensuite nécessaire de préciser le nom du groupe et le fichier de configuration qui sera associé au groupe utilisateur associé Les utilisateurs du groupe GG_Administration disposeront du fichier de configuration AdministrationLes utilisateurs du groupe GG_Pharmacie disposeront du fichier de configuration PharmacieLes utilisateurs qui ne sont pas membres du groupe GG_Administration ou GG_Pharmacie auront le fichier de configuration ALLIl y a des limitations dans ce mécanisme à prendre en compte : Les groupes imbriqués ne sont pas pris en co

AdrianCommunity Manager

publié à AD2ADAM

Définir un fichier de configuration en fonction du groupe d'appartenance AD de l'utilisateur

390

publié à Authentification forte

AdrianCommunity Manager

Ignorer les lecteurs de carte avec Systancia Access

Il est possible d’ignorer des lecteurs de carte avec Systancia Access afin que ceux-ci ne soit pas détecté lors de la connexion au niveau du posteCela peut être utile si un lecteur de carte doit être utilisé dans un cas d’usage spécifique ou si deux lecteurs de carte sont présents sur le même poste (un lecteur pour l’enrôlement des cartes et un poste afin de se connecter)Pour cela il est nécessaire de mettre en œuvre la clé de registre ci-dessous et d’effectuer un redémarrage du poste une fois la clé de registre paramétrée SCIgnoreReaderClé parente : HKEY_LOCAL_MACHINE\SOFTWARE\Avenci\SSOX\ConfType : REG_SZAjouté à l'installation : NonOption d'installation : AucuneValeur(s) possible : Le nom Windows d'un lecteurValeur si attribut non présent : AucuneDisponible depuis la version : N/ADemande à Systancia Access d'ignorer un lecteur particulier lorsqu'il surveille les lecteurs à la recherche d'une carteIl est possible d'ignorer plusieurs lecteur en séparant les différents nom par une virg

400

publié à Authentification forte

AdrianCommunity Manager

Configurer un serveur proxy pour récupérer les CRL de l'ASIP Santé au niveau du serveur Access

Pour configurer l'usage d'un serveur proxy global pour l'ensemble des CRL à télécharger sur internet :Ajouter en entête du fichier : C:\Program Files (x86)\Avencis\SSOX Proxy\crls.iniUtilisation de la configuration de proxy Internet Explorer[General]ProxyType=1LOGIN=loginPASSWORD=******************** Utilisation de la configuration de proxy spécifique [General]ProxyServer=NomOuIPDuServeurProxy:PortLOGIN=loginPASSWORD=******************** PASSWORD a pour valeur le MDP chiffré de l'utilisateur login obtenu en utilisant l'assistant de configuration unitaire du proxy des CRL : Suite à la mise en œuvre du proxy un redémarrage de Access Server Configuration et du service SSOX Scheduler est nécessaire

130

AdrianCommunity Manager

Il est possible dans Systancia Access d’exécuter un programme / une commande lors de la phase de SSO à l’aide de l’action ShellExec L’action est disponible de manière graphique dans l’outil Access Configuration en ajoutant une action et en sélectionnant Exécuter commandeIl est ensuite nécessaire de préciser l’exécutable ainsi que les arguments dans l’outil Afin d’appeler une commande il est nécessaire de préciser l’invite de commande avec l’argument /c sinon cela ne fonctionnera pas Par exemple afin de créer un enregistrement dans le gestionnaire d’identification Windows avec le compte et le mot de passe du container il a été nécessaire de définir le ShellExec de la manière suivante :ShellExecAction1=shellexec(C:\Windows\System32\cmd.exe;/c cmdkey /generic:termsrv/srvapp.fr /user:mondomaine\<login:> /pass:<passwd:>)Voici un exemple d’enrôlement utilisant la commande ShellExec lorsque l’application est détectée : [ShellExec.login]state=1GuiType=1No_Passwd=NOPWDpassword_polic

Exécuter une commande / un programme lors d'une phase de SSO

330

AdrianCommunity Manager

Par défaut et à partir de la version 11.x de Systancia Access un système de notification a été mis en œuvre afin de vérifier le paramétrage et la configuration du poste lors du démarrage de l’agentSi un élément n’est pas complété une notification Windows s’affiche Il est possible de masquer les notifications en ajoutant la valeur ComputerCheck avec la valeur ci-dessous dans l’éditeur de registre au niveau des postes Systancia Access : [HKEY_LOCAL_MACHINE\SOFTWARE\Avenci\SSOX\Conf]ComputerCheck= SIG,AS,SLOW,DIRUn redémarrage de l’agent est nécessaire afin de prendre en compte le changement en clé de registre

Gestion des notifications lors du lancement de Systancia Access

Systancia Access fournit un module self-service au niveau de la mire de connexion Windows permettant de s’authentifier au niveau du poste de travail ou de changer le mot de passe et il est possible d’utiliser comme moyen d’authentification les questions/réponsesIl s’agit d’un mode d’authentification dégradée sur lequel la sécurité peut être améliorée en respectant les prérequis ci-dessous Types de questions de sécuritéIl existe deux principaux types de questions de sécurité : Les questions définies par l’utilisateur permettent aux utilisateurs de choisir une question au sein d’une liste prédéfinie. Elles ne sont efficaces que si l’utilisateur choisit une réponse difficile à deviner. Les questions définies par l’administrateur se basent sur des listes de question que l’administrateur impose aux utilisateurs. Elles ne sont efficaces que si la réponse est trop difficile pour être devinée par un cybercriminel.Qu’est-ce qu’une bonne question de sécurité ? Les questions de sécurité doivent r

AdrianCommunity Manager

publié à Self-service

Bonnes pratiques en terme de questions/réponses avec Systancia Access

350

AdrianCommunity Manager

Pour accéder aux informations / attributs telles le nom, le prénom, le mail de l'utilisateur courant en utilisant comme source l'Active Directory, on utilise comme mot clé dans Access Configuration : : <attribute:ldap@sn><attribute:ldap@givenName><attribute:ldap@mail>

Utiliser un attribut Active Directory comme mot clé pour le E-SSO

100

publié à Authentification forte

AdrianCommunity Manager

Prendre en compte le changement de mot de passe Windows en mode kiosque avec des cartes sans contact

Par défaut sur un poste kiosque avec de l’authentification forte incluant des cartes sans contact Systancia Access ne prend pas en compte le fait que le changement de mot de passe est forcé au niveau de l’annuaire Active Directory lorsqu’un jeton de session est présentAfin de pouvoir prendre en compte ce changement de mot de passe il est nécessaire de mettre en œuvre la clé de registre ci-dessous au niveau des postes kiosques KioskCheckCredNoPinClé parente : HKEY_LOCAL_MACHINE\SOFTWARE\Avenci\SSOX\ConfType : REG_SZAjouté à l'installation : NonOption d'installation : AucuneValeur(s) possible : Yes | NoValeur si attribut non présent : NoDisponible depuis la version : N/APermet de vérifier l’état du compte Windows lorsqu’une authentification avec un jeton de session est effectuée sur un poste kiosque