IBM Maximo Application Suite est une plate-forme puissante pour la gestion des actifs, et lors du déploiement de Maximo dans votre organisation, la sécurité doit toujours être une priorité absolue. Un élément clé de la sécurité consiste à choisir le bon mécanisme d'authentification pour votre instance Maximo. Maximo prend en charge plusieurs types d'authentification, et le meilleur choix dépend des besoins, de l'infrastructure et des politiques de sécurité de votre organisation. Dans ce blog, nous allons explorer les types d'authentification disponibles dans Maximo, leurs avantages et leurs inconvénients, ainsi que des conseils utiles pour les administrateurs.

Types d'authentification dans Maximo

Maximo propose plusieurs méthodes d'authentification qui peuvent être configurées en fonction du modèle de sécurité de votre entreprise. Les trois types d'authentification pris en charge dans Maximo sont les suivants :

1. Authentification native ou locale maximale
2. Authentification LDAP (Lightweight Directory Access Protocol)
3. Authentification SAML (Security Assertion Markup Language)

Examinons chacun d'eux en profondeur.

Authentification native ou locale maximale

L'authentification native Maximo est la méthode d'authentification par défaut dans laquelle les informations d'identification des utilisateurs sont stockées directement dans la base de données de Maximo. Lors de la connexion, les utilisateurs fournissent leur nom d'utilisateur et leur mot de passe directement à Maximo et le système les valide par rapport à la valeur cryptée de la base de données Maximo.

Avantages :

• Simplicité: Il est facile à configurer et ne nécessite pas d'intégration avec des systèmes externes.
• Contrôle: les administrateurs ont un contrôle total sur les informations d'identification des utilisateurs et les politiques relatives aux mots de passe au niveau du système par système.
• Configuration minimale: Idéal pour les petits environnements où la base d'utilisateurs est limitée.

Inconvénients :

• Évolutivité limitée: À mesure que le nombre d'utilisateurs augmente, la gestion des informations d'identification au sein de chaque Maximo devient fastidieuse.
• Redondance: elle introduit la redondance si d'autres systèmes de l'organisation utilisent le protocole LDAP ou d'autres services d'authentification.
• Sécurité: Le stockage des informations d'identification dans Maximo peut présenter un risque de sécurité, en particulier pour les déploiements à grande échelle où la prise en charge de l'authentification unique (SSO) et de l'authentification multifactorielle est préférée.

Conseils d'administration :

• Configurez des politiques de mots de passe robustes dans Maximo pour atténuer les risques de sécurité.
• Auditez régulièrement les utilisateurs pour vous assurer que l'accès est limité à ceux qui en ont besoin.
• Les utilisateurs de démonstration, de test et d'assurance qualité peuvent facilement être configurés pour des cas d'utilisation ponctuels.

Authentification LDAP

Le protocole LDAP (Lightweight Directory Access Protocol) est une méthode d'authentification largement utilisée qui intègre Maximo à des services d'annuaire externes tels que Microsoft Active Directory ou Open LDAP. Avec LDAP, Maximo délègue l'authentification des utilisateurs à un service externe plutôt que de gérer les utilisateurs localement. Lors de la connexion, les utilisateurs fournissent leur nom d'utilisateur et leur mot de passe directement à Maximo, et le système les valide par rapport au service d'annuaire externe.

Avantages :

• Gestion centralisée des utilisateurs: les utilisateurs sont stockés et gérés dans un service d'annuaire central (tel qu'Active Directory), ce qui facilite la maintenance et l'évolutivité.
• Authentification unique (SSO): prend en charge le SSO, ce qui réduit le nombre d'informations d'identification que les utilisateurs doivent mémoriser.
• Sécurité améliorée: réduit le risque de stockage des informations d'identification dans Maximo, car l'authentification s'effectue en dehors de l'application.

Inconvénients :

• Complexité: La configuration de l'intégration LDAP avec Maximo peut s'avérer plus complexe et peut nécessiter une expertise en matière de services d'annuaire.
• Fiabilité: Si le serveur LDAP tombe en panne, les utilisateurs peuvent ne pas être en mesure de s'authentifier. La redondance de la configuration LDAP est donc essentielle.
• Accès au réseau: Maximo doit avoir accès au serveur LDAP. Si Maximo est dans le cloud, vous devez exposer le serveur LDAP à Internet ou activer la connectivité via un VPN.
• Contrôle: L'administrateur Maximo n'a généralement pas accès à la création de nouveaux utilisateurs dans le répertoire externe, ce qui crée une dépendance vis-à-vis d'une autre équipe.
• Multifacteur : LDAP ne prend pas en charge l'authentification multifactorielle.

Conseils d'administration :

• Assurez-vous que votre annuaire LDAP est hautement disponible pour éviter les problèmes d'authentification.
• Utilisez les filtres LDAP pour restreindre l'accès en fonction de groupes ou de rôles afin d'améliorer la sécurité.
• La connectivité LDAP permet d'utiliser les processus de synchronisation LDAP prêts à l'emploi.
• Lien vers le guide de configuration IBM : https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-ldap-authentication

Authentification SAML

Le SAML (Security Assertion Markup Language) est une norme ouverte basée sur XML pour le transfert de données d'identité. SAML permet l'authentification fédérée, ce qui signifie que Maximo peut déléguer l'authentification à un fournisseur d'identité (IdP) tiers, tel qu'Okta ou Azure Active Directory. Une fois authentifié, l'IdP envoie une assertion SAML signée à Maximo, qui accorde l'accès à l'utilisateur. Lors de la connexion, les utilisateurs sont redirigés vers l'IdP pour s'authentifier, et une fois authentifiés, ils sont redirigés vers Maximo en tant qu'utilisateur authentifié.

Avantages :

• Authentification unique (SSO): SAML active le SSO, permettant aux utilisateurs d'accéder à Maximo ainsi qu'à d'autres applications d'entreprise avec un seul ensemble d'informations d'identification.
• Authentification fédérée: Permet à Maximo de s'intégrer aux fournisseurs d'identité au niveau de l'entreprise pour une expérience d'authentification fluide sur plusieurs systèmes.
• Sécurité renforcée: L'authentification est déléguée à un IdP, qui peut mettre en œuvre des mesures de sécurité plus strictes et centralisées, telles que l'authentification multifactorielle (MFA).
• Accès au réseau: Maximo ne nécessite pas d'accès direct à l'IdP comme l'exige LDAP.

Inconvénients :

• Configuration complexe: La configuration SAML nécessite de configurer à la fois Maximo et l'IdP, ce qui peut s'avérer difficile pour les administrateurs qui ne sont pas familiarisés avec les protocoles SSO.
• Dépendance vis-à-vis de l'IdP: Si l'IdP n'est pas disponible, les utilisateurs ne pourront peut-être pas se connecter à Maximo.
• Assistance tierce : La prise en charge du SAML augmente, mais toutes les applications tierces ne le prennent pas en charge.
• Contrôle: L'administrateur Maximo n'a généralement pas accès à la création de nouveaux utilisateurs dans l'IdP, ce qui crée une dépendance vis-à-vis d'une autre équipe.

Conseils d'administration :

• Les redirections automatiques peuvent offrir une expérience utilisateur fluide, mais elles peuvent également être difficiles à résoudre. Une extension de navigateur telle que SAML-Tracer peut apporter de la clarté.
• Configurez une méthode d'authentification de secours au cas où l'IdP serait en panne. Cela peut impliquer de donner à quelques administrateurs sélectionnés l'accès pour s'authentifier avec Local et SAML dans MAS.
• Lien vers le guide de configuration IBM : https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-saml-authentication

Quelle authentification choisir ?

Le choix de la méthode d'authentification appropriée dépend des besoins et de l'infrastructure de votre organisation. Voici quelques conseils pour vous aider à faire votre choix :

• L'authentification native/locale est l'authentification par défaut et vous permettra d'obtenir la valeur le plus rapidement possible. Cela fonctionne particulièrement bien pour les petites équipes et les environnements de démonstration.
• Le LDAP est une norme largement acceptée et est prise en charge par la plupart des équipes informatiques et des produits tiers. Les environnements sur site nécessitent probablement un accès réseau, mais les implémentations dans le cloud nécessitent généralement un VPN, ce qui présente des risques, une dépendance supplémentaire et potentiellement des coûts.
• SAML est la seule authentification qui prend en charge l'authentification multifactorielle. Il s'agit également d'une norme largement utilisée et reconnue comme la méthode d'authentification la plus sécurisée par la plupart des équipes informatiques.

Les administrateurs de Maximo doivent toujours donner la priorité à des pratiques de gestion des utilisateurs sécurisées et efficaces. Lorsque vous choisissez la méthode d'authentification, veillez à prévoir l'évolutivité, la sécurité et la facilité de maintenance. En sélectionnant avec soin la méthode d'authentification appropriée et en la configurant correctement, vous pouvez garantir une expérience utilisateur sécurisée et fluide à tous les utilisateurs de Maximo.

Conseils techniques pour Maximo Application Suite

Sources d'authentification multiples

Le MAS permet aux administrateurs de mélanger et de faire correspondre les sources d'authentification utilisateur par utilisateur. Vous devez d'abord configurer les sources d'authentification, puis activer ou désactiver la méthode d'authentification que chaque utilisateur peut utiliser lors de la création ou de la modification de l'enregistrement utilisateur.

‍

Comportement de connexion par défaut

MAS permet de sélectionner un comportement de connexion par défaut. Cette configuration est accessible dans l'application utilisateur du MAS sous l'onglet Authentification. À partir de là, vous pouvez contrôler la méthode d'authentification disponible en haut de l'écran de connexion. Si vous utilisez SAML, vous pouvez également rediriger les utilisateurs vers le fournisseur d'identité par défaut pour qu'ils s'authentifient plutôt que vers la page de connexion de la suite. Si vous configurez la connexion transparente, veillez à prendre note des itinéraires dédiés pour toutes les autres méthodes d'authentification que vous pourriez souhaiter utiliser. Cela sera essentiel si vous devez utiliser une méthode d'authentification non SAML.

Exemple d'itinéraire local dédié : https://auth.demo.maximo.app/idplogin/loginpage?idp=local
Lien vers la documentation IBM : https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=authentication-streamlined-login

‍

Prolonger les délais d'expiration SAML

Lorsque vous utilisez SAML dans MAS, vous souhaiterez peut-être prolonger le délai d'expiration de votre session HTTP et l'expiration LTPA. La rédaction de deux articles d'IBM s'est révélée être la recette du succès.

Ajoutez ces propriétés supplémentaires à votre ensemble de serveurs d'interface utilisateur :
‍<httpSession CookieName="JSessionIDui » cookieSecure="True »
InvalidateOnUnauthorizedSessionRequestException="true » InvalidationTimeout="12h »
CookiesAmesite="LAX »
<ltpa expiration="480" />

Lien vers la documentation IBM :

https://www.ibm.com/support/pages/node/7116228
https://www.ibm.com/support/pages/updating-ltpa-timeout-manage‍