Installez CXone Authentification à l'aide d'un fournisseur d'identité externe

Cette page vous guide, étape par étape, dans la configuration de l'authentification pour votre CXone système à l'aide d'un fournisseur d'identité externe (IdP).

Avant de commencer

• Acquérir une compréhension de base des concepts et de la terminologie d'authentification et d'autorisation si vous n'avez jamais mis en place un processus comme celui-ci auparavant.
• Revoir le CXone-processus spécifique si c'est la première fois que vous travaillez avec l'authentification dans CXone.
• Tenez compte de vos utilisateurs humains et des niveaux d'accès dont ils ont besoin. Décidez si les personnes ayant un plus grand accès devraient avoir des niveaux de sécurité plus élevés.
• Décidez si vous utiliserez des exigences de mot de passe personnalisées, une authentification multifacteur (MFA) ou les deux à appliquer.
• En fonction de vos décisions, dressez une liste des authentificateurs de connexion. La liste doit inclure les exigences de mot de passe et le statut MFA que vous souhaitez utiliser pour chaque authentificateur de connexion. Vous n'avez pas besoin de créer des authentificateurs de connexion personnalisés si l'authentificateur de connexion par défaut répond à vos besoins de gestion des mots de passe.
• Déterminez si vous devez inclure l'authentification et l'autorisation pour des applications telles que des bots ou des assistants virtuels intelligents (IVA). Si c'est le cas, vous devrez créer des clés d'accès.
• Identifiez votre fournisseur d'identité externe. CXone prend en charge les fournisseurs d'identité de services hébergés et cloud. Si nécessaire, impliquez les experts en authentification de votre entreprise dans ce processus. Il existe peut-être déjà des processus établis pour l'intégration de systèmes tels que CXone avec votre fournisseur d'identité externe. Le respect de ces processus et la satisfaction de vos besoins de sécurité spécifiques relèvent en fin de compte de votre responsabilité.
• Définissez votre protocole d'authentification. CXone prend en charge SAML 2.0etOpenID Connect.
• Évaluer la combinaison d'IdP et de protocole pour vous assurer que vos cas d'utilisation et vos flux d'utilisateurs sont pris en charge, et pour identifier les problèmes potentiels. Cela devrait inclure des tests réels.

Votre NICE CXone peut vous soutenir et vous guider dans ce processus de planification. Une bonne planification permet une mise en œuvre plus fluide. La mise en œuvre de l'authentification et de l'autorisation lorsque des besoins immédiats se présentent est plus susceptible d'entraîner des problèmes.

Création d’authentificateurs de connexion externe avec SAML 2.0

Autorisations requises:Authentificateur de connexion - Créer

Pour créer des authentificateurs de connexion externes avec OpenID Connect, passez cette section. Les authentificateurs de connexion sont utilisés pour gérer les critères de mot de passe. Vous pouvez créer différents authentificateurs de connexion pour différents employés.

Vous pouvez utiliser l'authentification externe lorsque vous souhaitez que le mot de passe utilisateur soit géré par un autre système ou fournisseur d'identité. CXone prend actuellement en charge les protocoles de fédération SAML 2.0 et OpenID Connect.

Vous pouvez configurer l'authentification initiée par l'IdP ou l'authentification initiée par le SP en appliquant les étapes de cette section.

Authentification initiée par IdP : IdP signifie fournisseur d'identité. L'authentification initiée par IdP signifie que le fournisseur d'identité externe démarre le processus de connexion.

Authentification initiée par SP : SP signifie fournisseur de services. L'authentification initiée par le SP signifie que CXone démarre le processus de connexion.

1. Assurez-vous que vous avez accès au fournisseur d'identité externe. Vous devrez créer une intégration propre à CXone.
2. Créez l'intégration depuis le fournisseur d'identité externe. Différents systèmes utilisent différents noms pour ces intégrations, voir les instructions spécifiques pour Okta ou Azure.
   1. Vous devrez fournir un ID d'entité que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme emplacement réservé.
   2. Vous devrez fournir une URL ACS que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme emplacement réservé.
   3. Le fournisseur d'identité va générer une URL spécifique à laquelle les demandes SAML doivent être envoyées. Copiez et enregistrez cette URL à un endroit où vous pourrez la trouver. Vous devrez entrer cette valeur au cours des étapes suivantes.
   4. Le fournisseur d'identité générera un certificat de signature public pour l'intégration. Téléchargez ce certificat. Ce certificat vous sera demandé au cours d'étapes ultérieures.
3. Créez un authentificateur de connexion externe dans CXone
   1. Cliquez sur le sélecteur d'applications et sélectionnezAdministrateur.
   2. Cliquez sur Sécurité > Authentificateur de connexion.
   3. Entrez le Nom et la description de l'authentificateur de connexion.
   4. Sélectionnez SAML comme le type d'identification.
   5. Si vous sélectionnez FICAM, la réponse SAML doit comporter une entrée AuthnContextClassRef unique. D'autre part, le paramètre NamespaceURI du sujet de l'assertion doit prendre la forme : urn:oasis:names:tc:SAML:2.0:assertion. Les champs AuthnContextClassRef et NamespaceURI sont contrôlés par le fournisseur d'identité.
   6. Entrez le point de terminaison de la requête SAML que votre fournisseur ci-dessus vous a transmis comme URL du point de terminaison.
   7. Cliquez sur Choisir fichier et sélectionnez le certificat de signature publique que votre fournisseur vous a envoyé. Ce fichier doit être de type PEM. Il s'agit d'un fichier texte et la première ligne doit contenir BEGIN CERTIFICATE suivi d'un texte.

   8. Sélectionnez l’onglet Utilisateurs affectés. Sélectionnez les utilisateurs que vous souhaitez affecter à l'authentificateur de connexion que vous créez. Vous pouvez également affecter des utilisateurs directement à l’authentificateur de connexion dans leur profil d’employé.

   9. Cliquez sur Enregistrer et activer.
   10. Ouvrez l'authentificateur de connexion.

   11. Notez l’ID d’entité et l’URL ACS. Vous en aurez besoin lors de la mise à jour de vos paramètres IdP.

4. Mettez à jour les paramètres de votre fournisseur d'identité, et entrez les valeurs que vous avez notées dans les emplacements réservés ci-dessus.

5. Assurez-vous que l'Identité externe de tout utilisateur exécutant l'authentificateur de connexion est définie sur la valeur correcte. Ce champ est accessible dans la section sécurité du profil de l'employé.

   La valeur exacte à utiliser dépend de votre fournisseur d'identité. Cette valeur doit correspondre exactement à ce que vous avez entré dans le champ Identité externe dans CXone.

6. Demandez à l'utilisateur de se connecter. Il doit pour cela disposer de l'URL de connexion la plus récente. Une fois son nom d'utilisateur entré, il est dirigé vers le fournisseur d'identité externe si nécessaire.

Création d’authentificateurs de connexion externe avec OpenID Connect

Autorisations requises:Authentificateur de connexion - Créer

Vous pouvez utiliser l'authentification externe lorsque vous souhaitez que le mot de passe utilisateur soit géré par un autre système ou fournisseur d'identité. CXone prend actuellement en charge les protocoles de fédération SAML 2.0 et OpenID Connect.

Vous pouvez configurer l'authentification initiée par l'IdP ou l'authentification initiée par le SP en appliquant les étapes de cette section.

Authentification initiée par IdP : IdP signifie fournisseur d'identité. L'authentification initiée par IdP signifie que le fournisseur d'identité externe démarre le processus de connexion.

Authentification initiée par SP : SP signifie fournisseur de services. L'authentification initiée par le SP signifie que CXone démarre le processus de connexion.

1. Assurez-vous que vous avez accès au fournisseur d'identité externe. Vous devrez créer une intégration propre à CXone.
2. Créez l'intégration depuis le fournisseur d'identité externe.
   1. Vous devrez fournir un URI de redirection de connexion, que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme emplacement réservé.
   2. Vous pouvez être invité à fournir un URI de redirection de déconnexion, que vous ne connaissez pas à ce stade. Utilisez https://cxone.niceincontact.com/need_to_change comme emplacement réservé.
   3. Le fournisseur d'identité génère un identifiant de client et un secret de client. Copiez et enregistrez ces valeurs à un endroit où vous pourrez les retrouver facilement. Vous devrez les entrer au cours des étapes suivantes.
3. Créez un authentificateur de connexion externe dans CXone

   1. Cliquez sur le sélecteur d'applications et sélectionnezAdmin.

   2. Accédez à Paramètres de sécurité > Authentificateur de connexion.

   3. Cliquez sur Nouvel authentificateur de connexion ou sélectionnez l’authentificateur de connexion à modifier.
   4. Entrez le nom et la description de l'authentificateur de connexion.
   5. Sélectionnez OIDC comme le type d'authentification.
   6. Si vous disposez d'un point de sortie de découverte pour votre IdP, cliquez surParamètres de découverte. Entrez votre point de terminaison de découverte et cliquez sur Découvrir. Les champs restants sont renseignés pour vous. Paramètres de découverte ne fonctionne pas avec les points de sortie de découverte Salesforce .
   7. Entrez votre Identifiant du client et Mot de passe du client. Retapez le mot de passe dans Client Confirmer le mot de passe. L’identifiant client est l’ID de connexion affecté à votre compte par votre fournisseur d’identité.

   8. Si vous ne disposez pas d'un point de sortie de découverte de votre fournisseur d’identité, entrez l’émetteur, l’extrémité JsonWebKeySet, l’extrémité d'autorisation, l’extrémité de jeton, l’extrémité d'informations utilisateur, l’extrémité de révocation et le point de terminaison de session de fin. Toutes ces informations sont fournies par le fournisseur d’identité.

      En savoir plus sur les champs de cette étape

      Champs	Détails
      Émetteur	L’URL de votre fournisseur d’identité, sans paramètre.
      Extrémité JsonWebKeySet	L’URL de l’ensemble JWK de votre fournisseur d’identité.
      Extrémité d'autorisation	L’URL de l’extrémité d'autorisation OAuth 2.0 de votre fournisseur d’identité.
      Extrémité de jeton	L’URL de l’extrémité de jeton OAuth 2.0 de votre fournisseur d’identité.
      Extrémité d’informations utilisateur	L’URL de l’extrémité d'informations utilisateur de votre fournisseur d’identité.
      Extrémité de révocation	L’URL de l’extrémité de révocation de votre fournisseur d’identité.
      Point de terminaison de session de fin	L’URL du point de terminaison de session de fin de votre fournisseur d’identité. Ce champ vous permet de créer une expérience de déconnexion unique pour vos utilisateurs. S’il est configuré, lorsque les utilisateurs se déconnectent de CXone, ils sont également déconnectés de leur compte de fournisseur d’identité. Pour que la déconnexion unique fonctionne, vous devez mettre sur liste blanche l'URI de redirection de déconnexion dans votre fournisseur d’identité.

   9. Sélectionnez une méthode d'authentification du client. La méthode que vous sélectionnez doit être prise en charge par votre fournisseur d’identité. Si vous sélectionnez private_key_jwt, vous devez entrer la clé privée du client.
   10. Vous pouvez sélectionner Activer le profil FICAM pour activer les paramètres propres à la législation américaine.

   11. Sélectionnez l’onglet Utilisateurs affectés. Sélectionnez les utilisateurs que vous souhaitez affecter à l'authentificateur de connexion que vous créez. Vous pouvez également affecter des utilisateurs directement à l’authentificateur de connexion dans leur profil d’employé.

   12. Cliquez sur Enregistrer et activer pour valider les informations fournies et pour lier votre compte CXone à votre compte fourni par le fournisseur d’identité.
   13. Ouvrez l'authentificateur de connexion.

   14. Notez l'URI de redirection de connexion et l'URI de redirection de déconnexion. Vous en aurez besoin lors de la mise à jour de vos paramètres IdP.

4. Mettez à jour les paramètres de votre fournisseur d'identité, et entrez les valeurs que vous avez notées dans les emplacements réservés ci-dessus.

5. Assurez-vous que l'Identité externe de tout utilisateur exécutant l'authentificateur de connexion est définie sur la valeur correcte. Ce champ est accessible dans la section sécurité du profil de l'employé.

   La valeur exacte à utiliser dépend de votre fournisseur d'identité. Cette valeur doit correspondre exactement à ce que vous avez entré dans le champ Identité externe dans CXone. La valeur de ce champ doit être au format claim(email):{e-mail configuré par votre fournisseur d’identité}. Par exemple, si l’e-mail de l’utilisateur est nick.carraway@classics.com pour le fournisseur d’identité, vous devez entrer claim(email):nickcarraway@classics.com.

6. Demandez à l'utilisateur de se connecter. Il doit pour cela disposer de l'URL de connexion la plus récente. Une fois son nom d'utilisateur entré, il est dirigé vers le fournisseur d'identité externe si nécessaire.

7. Lorsque votre fournisseur d'identité vous demande de vous authentifier, faites-le en tant qu'utilisateur du fournisseur d'identité que vous souhaitez associer au compte CXone actuellement connecté.
8. Si vos paramètres OpenID Connect, dans CXone, ne sont pas validés, utilisez les fichiers journaux créés par le fournisseur d’identité pour diagnostiquer le problème.

Liaison de nouveaux utilisateurs avec des réclamationsOpenID Connect

CXonepeut utiliser une valeur de revendication différente, comme une adresse e-mail, pour établir l'identité de l'utilisateur lors de sa première connexion. CXonepasse alors automatiquement à l'uniqueOpenID Connect identifiant du sujet. Cela vous permet de préconfigurer leidentité fédérée.

PKCE pour l’authentification front-end

Il est possible que vous rencontriez des difficultés dans l’utilisation du flux de code d’autorisation OpenID Connect. Ce flux exige un client_secret dans le cadre de l’échange de jetons. Le codage du client_secret dans une application web présente un risque de sécurité. OpenID Connect permet d’utiliser un autre flux appelé PKCE, de l’anglais Proof Key for Code Exchange (clé de vérification pour l’échange de code). PKCE utilise une méthode d’authentification différente. NICE CXone prenden charge les flux PKCE pour les intégrations front-end.

Créer ou modifier des employés

Autorisations requises : Employés – créer

Vous pouvez ajouter un compte d'employé en utilisant :

• Créer un employé : créer un compte individuel depuis la fenêtre Créer un employé.

• Importer des employés : permet d'importer plusieurs comptes d'employés.

Les instructions qui figurent ici servent à créer un compte d'employé dans l'application. Si votre entreprise utilise ACD, vous devrez également configurer les paramètres utilisateur ACD pour cet employé.

Pour ajouter un employé :

1. Cliquez sur le sélecteur d'applications et sélectionnezAdmin.

2. Cliquez sur Employés > Créer des employés.

3. Saisissez le Prénom et le Nom de l'employé. L'option Deuxième prénom est facultative.

4. Saisissez une adresse e-mail valide. CXone envoie des e-mails tels que des invitations d'activation et des codes de vérification de mot de passe ici. Vous pouvez utiliser la même adresse e-mail pour plusieurs employés. Lorsque vous modifiez l'adresse e-mail d'un employé, un e-mail de vérification est envoyé à la nouvelle adresse e-mail.

5. Saisissez le nom d'utilisateur à affecter à un employé. Le nom d'utilisateur doit prendre la forme d'une adresse e-mail. Ce champ est rempli automatiquement depuis le champ Adresse e-mail. Vous pouvez le modifier si vous le souhaitez.

6. Affectez un rôle principal à un employé depuis la liste déroulante.

7. Complétez les champs de l'onglet Général.

   En savoir plus sur les champs de l'onglet Général

   champs	Détails
   Configuration du compte	Saisissez le nom à afficher que vous souhaitez associer à un employé. Les utilisateurs d'autres équipes peuvent afficher le nom d'affichage. Ils ne peuvent voir des informations supplémentaires sur l'employé que s'ils disposent de l'autorisation Voir l'employé.
   Type	Utilisez Type pour organiser un employé en dehors de son Rôle et son Équipe affectés. Le type n'est pas lié aux autorisations ou aux codes Indisponible. Cela facilite la création de rapports. Vous pouvez sélectionner des types créés précédemment dans la liste déroulante. Vous pouvez également créer de nouveaux types en saisissant du texte dans la barre de recherche et en cliquant sur Créer.
   Date d'Embauche	La date à laquelle vous avez embauché un employé. Ce champ est donné uniquement à des fins d'information. CXone n'utilise pas ces informations.
   Fuseau Horaire	Le salarié est automatiquement affecté au fuseau horaire du tenant Regroupement organisationnel de haut niveau utilisé pour gérer le support technique, la facturation et les paramètres globaux de votre CXone environnement à moins que vous ne le changiez.
   Connexion au système d'exploitation	Le système d'exploitation utilisé par l'employé. La CXone Recording application nécessite ces informations pour l'enregistrement d'écran. Le champ accepte du texte libre et peut contenir une chaîne de texte liée à un système d'exploitation tel que Windows 10.
   Rang	Ce champ n'apparaît que si vous disposez de CXone WFM dans votre environnement. Il détermine la priorité lors de la création d'un programme.
   Assigné à l’équipe	Affectez l'employé à une équipe en la sélectionnant dans le menu déroulant. Si vous n'avez pas encore créé d'équipes, ou si l'employé appartiendra à une nouvelle équipe, vous pouvez simplement accepter le réglage Équipe par défaut, puis modifiez-le ultérieurement.
   Attribué à des groupes	Affecter l'employé à un ou plusieurs groupes en les sélectionnant dans le menu déroulant.
   Affecté à l'unité de planification	Ce champ n'apparaît que si votre système inclut CXone WFM. Il précise launité de planification pour le salarié.
   Numéro de portable	Le numéro de portable de l'employé. Ce champ est donné uniquement à des fins d'information. CXone n'utilise pas ces informations.
   Attributs	Dans cette liste déroulante, sélectionnez les attributs en relation avec l'employé : Peut être évalué/coaché : cet attribut s'affiche uniquement si votre système inclut CXone QM. Il permet d'évaluer l'employé et vous sera facturéCXone QM pour cet employé. La valeur par défaut est sélectionnée pour les nouveaux employés. Si vous ajoutez CXone QM à un système qui a des utilisateurs existants, vous devez activer manuellement ce paramètre pour ces utilisateurs. Peut être enregistré (écran) : cet attribut n'apparaît que si votre système inclut CXone Recording Advanced. Cela permet d'enregistrer l'écran de l'employé et vous serez facturé pour l'enregistrement d'écran de cet employé. La valeur par défaut est sélectionnée pour les nouveaux employés. Si vous ajoutez CXone Recording Avancé vers un système qui a des utilisateurs existants, vous devez activer manuellement ce paramètre pour ces utilisateurs. Peut être enregistré (voix) : cet attribut n'apparaît que si votre système inclut CXone Recording/CXone Recording Advanced. Cela permet d'enregistrer la voix de l'employé. Vous serez facturé pour l'enregistrement vocal de cet employé. La valeur par défaut est sélectionnée pour les nouveaux employés. Si vous ajoutez CXone Recording/CXone Recording Avancé vers un système qui a des utilisateurs existants, vous devez activer manuellement ce paramètre pour ces utilisateurs. Peut être programmé : cet attribut n'apparaît que si votre système inclut CXone WFM. Il permet à l'employé d'être planifié. Vous serez facturé CXone WFM pour cet employé. La valeur par défaut est sélectionnée pour les nouveaux employés. Si vous ajoutez CXone WFM à un système qui a des utilisateurs existants, vous devez activer manuellement ce paramètre pour ces utilisateurs. Les utilisateurs qui n'ont pas sélectionné cet attribut n'apparaîtront pas dans les listes d'employés lors de la création de règles hebdomadaires ou de modèles d'équipe. La suppression de cet attribut d'un utilisateur supprime cet utilisateur des règles hebdomadaires ou des modèles d'équipe auxquels l'utilisateur est affecté. Peut être analysé : cet attribut s'affiche uniquement si votre système inclut Interaction Analytics. Lorsque cet attribut est sélectionné, les interactions enregistrées de l'employé sont analysées par Interaction Analytics. Vous serez facturé Interaction Analytics pour cet employé. La valeur par défaut est effacée pour les nouveaux employés. Peut modifier les rapports BI : les employés pour lesquels cet attribut est sélectionné peuvent modifier n'importe quel rapport BI dans l'application Reporting, tant qu'ils disposent également des autorisations appropriées. La valeur par défaut est effacée pour tous les employés, existants et nouveaux. Peut voir les rapports de BI : les employés peuvent ouvrir les rapports de BI avec cet attribut. Les rapports sont dans l'application Reporting, mais les employés doivent disposer d'autorisations pour les y consulter. Les rapports BI n'ont pas de frais d'utilisation jusqu'à 10 % de vos utilisateurs simultanés ou configurés, selon votre modèle de tarification. Une fois le seuil de 10 % dépassé, vous serez facturé pour chaque employé supplémentaire avec cette case cochée. La valeur par défaut est effacée pour tous les employés, qu'ils aient de l'ancienneté ou soient nouveaux. Carte client : cet attribut permet aux employés qui ne travaillent pas avec des contacts numériques d'accéder aux fiches clients disponibles pour la voix, le chat, les e-mails et les contacts Messagerie SMS CXone. La valeur par défaut est effacée pour les nouveaux employés. Engagement numérique : cet attribut n'apparaît que si votre système inclut Digital Experience. Lorsque cet attribut est sélectionné, l'enregistrement de l'employé est synchronisé avec Digital Experience et cet employé peut travailler sur des contacts numériques. Vous serez facturé Digital Experience pour cet employé. La valeur par défaut est effacée pour les nouveaux employés.

8. Cliquez sur Créer pour créer le profil de l'employé et poursuivre sa configuration. Cliquez sur Créer et inviter si vous êtes prêt à ce que l'utilisateur active son compte et configure son mot de passe.

Authentifier les applications

Les utilisateurs et les applications sont authentifiés de manière très similaire. La principale différence est que les applications sont authentifiées avec une clé d'accès tandis que les utilisateurs sont authentifiés avec un nom d'utilisateur et un mot de passe. Contrairement aux utilisateurs, les applications ne sont pas obligées d'interagir via un navigateur. Les applications sont généralement des fonctionnalités de back-office ou des agents virtuels intelligents Chatbot ou application similaire qui interagit avec un utilisateur basé sur l'intelligence artificielle (IVA).

Pour configurer une application avec laquelle interagirCXone, créer un profil d'employé et nommez le profil d'après l'application. Créez ensuite une clé d'accès pour l'utilisateur de l'application comme suit :

Autorisations requises : Employés - Modifier

1. Cliquez sur le sélecteur d'applications et sélectionnez Admin.
2. Cliquez sur Des employés puis cliquez sur le profil de l'employé que vous modifiez pour l'ouvrir.

3. Clique la languette Sécurité.

4. Cliquez sur Ajouter une clé d'accès.
5. Copiez l'ID de clé d'accès en lieu sûr.
6. Cliquez sur Afficher la clé secrète et copiez la clé secrète dans un emplacement sécurisé.
7. Cliquez sur Sauvegarder.

Autorisation en CXone

L'autorisation est le processus de vérification des ressources auxquelles un utilisateur est autorisé à accéder. Les ressources peuvent inclure des applications, des fichiers et des données. Vous pouvez définir l'accès des utilisateurs aux ressources avec un contrôle d'accès basé sur les rôles. CXone gère automatiquement l'autorisation lors de l'authentification. Lorsqu'un utilisateur est authentifié, il n'a accès qu'aux ressources pour lesquelles il est autorisé.

La méthode d'authentification d'un utilisateur n'a pas d'incidence sur l'autorisation. CXone utilise le même processus d'autorisation pour tous les utilisateurs. Peu importe qu'ils soient authentifiés avec des clés d'accès ou des mots de passe.