Tutoriel 📝 Corriger les erreurs d’intégration avec les services fédérés tiers

[Sylvain*]

Corriger les erreurs d’intégration avec les services fédérés tiers

Introduction

Les organisations utilisant Windows 10 ou Windows 11 dans un environnement hybride rencontrent parfois des problèmes lors de l’intégration avec des fournisseurs d’identité externes (comme Okta, Auth0, ou Ping Identity). Ces dysfonctionnements sont souvent causés par une mauvaise configuration de fédération, des métadonnées expirées ou des jetons incompatibles avec les services Active Directory Federation Services (ADFS). Ce tutoriel fournit plusieurs solutions pour corriger ces intégrations défaillantes.

---

Prérequis

• Connaissance de base de ADFS et des protocoles SAML 2.0 ou OIDC

• Accès aux consoles de gestion de l’IdP tiers (ex. Okta Admin Console)

• Droits d’administration sur le serveur ADFS ou Azure AD

---

Différentes Approches

• Approche #1 : Diagnostiquer avec CMD via les journaux d’événements ADFS

• Approche #2 : Réinitialiser la confiance du fournisseur via PowerShell

• Approche #3 : Script .ps1 pour réimporter et vérifier les métadonnées de fédération

---

Niveau de difficulté

• Approche #1 : Facile

• Approche #2 : Moyen

• Approche #3 : Avancé

---

Les Avantages

• Approche #1 : Permet d’identifier rapidement les erreurs SAML ou JWT

• Approche #2 : Corrige les configurations de fédération sans intervention manuelle

• Approche #3 : Automatisation du diagnostic et mise à jour des métadonnées

---

Les Inconvénients

• Approche #1 : Lecture manuelle des événements chronophages

• Approche #2 : Erreur possible si la nouvelle configuration IdP est incorrecte

• Approche #3 : Requiert un accès complet aux endpoints et un script fiable

---

Approche #1

Ouvrir CMD en mode administrateur

Lancer le visualiseur d’événements :

eventvwr.msc

Naviguer vers Applications et services > ADFS > Admin

Rechercher les erreurs liées à la fédération SAML ou OIDC (ex. Event ID 364 ou 321)

---

Approche #2

Ouvrir PowerShell en tant qu’administrateur sur le serveur ADFS

Supprimer puis recréer la confiance de fournisseur de revendications :

Remove-AdfsRelyingPartyTrust -Name "FournisseurTiers"

Add-AdfsRelyingPartyTrust -Name "FournisseurTiers" -MetadataUrl "https://fournisseur.example.com/metadata.xml"

Vérifier les jetons reçus avec :

Get-AdfsRelyingPartyTrust | ft Name, Enabled, Identifier

---

Approche #3

Créer un script .ps1 pour réimporter et diagnostiquer les métadonnées automatiquement

Exemple :

$metadataUrl = "https://fournisseur.example.com/metadata.xml"
$rpName = "FournisseurTiers"
if (Get-AdfsRelyingPartyTrust -Name $rpName) {
Remove-AdfsRelyingPartyTrust -Name $rpName
}
Add-AdfsRelyingPartyTrust -Name $rpName -MetadataUrl $metadataUrl
Write-Output "Confiance recréée pour $rpName à partir de $metadataUrl"

Exécuter le script et tester l’authentification via le navigateur ou SSO

---

Astuce

Configurer une tâche planifiée pour revalider automatiquement les métadonnées de fédération tous les 30 jours.

---

Mise en garde

Vérifiez toujours que les horloges système sont synchronisées. Une désynchronisation entre les serveurs ADFS et IdP peut provoquer le rejet des jetons pour cause de validité expirée.

---

Conseil

Utilisez Fiddler ou Wireshark pour analyser les échanges HTTP/SAML/OIDC en cas de rejet silencieux des jetons.

---

Solution alternative

• Azure AD B2C fédération tiers

• Okta SSO integration Windows ADFS

• Auth0 Azure AD integration

---

Références

• Support Microsoft

• Microsoft Learn

• Recherche Github

---

Conclusion

Les erreurs d’intégration avec les services fédérés tiers peuvent être critiques pour la gestion des identités et l’accès SSO. En utilisant les approches proposées (analyse des journaux, recréation des confiances, vérification automatique des métadonnées), vous pouvez rétablir une authentification stable et sécurisée. Il est essentiel de maintenir à jour les configurations de fédération et de prévoir une surveillance continue pour éviter les interruptions de service.