Ce guide concerne BIG-IP sur TMOS. Vérifiez les noms et les options dans la documentation de votre version.
Exemple APM Service Provider, Identity Provider externe et assertion transportée par HTTP POST. Le navigateur suit la demande d’authentification puis remet la réponse à l’ACS du SP. APM valide la relation de confiance et les contraintes de l’assertion avant sa session locale et l’autorisation configurée. Une assertion ne contient pas un mot de passe à retransmettre au backend. Les flux IdP-initiated, Artifact et SLO ne sont pas représentés.
Télécharger le schéma en SVG · version claireIdentifier les rôles
Le Service Provider demande une identité pour donner accès à son service. L’Identity Provider authentifie et produit une assertion. APM peut remplir l’un ou l’autre rôle dans les scénarios documentés. Les connectors et services locaux décrivent ces relations.
Entity ID, endpoints, certificats, attributs et horodatages doivent être cohérents. Une signature valide ne dispense pas de vérifier audience et destination attendues ; l’assertion doit appartenir à la relation de confiance prévue.
Sources : F5 TechDocs, SAML configuration ; F5 TechDocs, Access profiles and sessions.
Session et déconnexion
SP-initiated et IdP-initiated commencent le parcours à des endroits différents. Le navigateur transporte les échanges selon les bindings retenus, puis le SP établit sa session locale. Le NameID et les attributs doivent permettre l’autorisation attendue.
Fermer une session locale ne ferme pas automatiquement toutes les sessions de la fédération. Si SLO est utilisé, vérifiez sa prise en charge et ses endpoints des deux côtés. Testez renouvellement de certificat, expiration et connexion depuis chacun des points d’entrée prévus.
Sources : F5 TechDocs, SAML configuration ; F5 TechDocs, Access profiles and sessions.
Repères pour lire une configuration
Ces repères permettent de relier le besoin à la configuration et aux observations. Comparer les objets réellement attachés au service avant de modifier un réglage.
| Élément | À comprendre | À vérifier |
|---|---|---|
| IdP | Produit l’identité | Certificat et attributs |
| SP | Consomme l’assertion | Audience et endpoint |
| Logout | Fin des sessions | Local ou SLO documenté |
Sources : F5 TechDocs, SAML configuration ; F5 TechDocs, Access profiles and sessions.
Une situation à expliquer
Après renouvellement du certificat IdP, le login échoue sur le SP. Comparez les métadonnées et le certificat de vérification avant de modifier les groupes. La confiance de l’assertion et l’autorisation de la ressource sont deux étapes distinctes.
Sources : F5 TechDocs, SAML configuration ; F5 TechDocs, Access profiles and sessions.
Pour poursuivre les révisions
Expliquez la décision du schéma, puis recherchez dans la référence les objets qui la produisent. Pour APM, justifiez aussi ce qui changerait si un prérequis échouait : une réponse DNS, une décision WAF et une autorisation d’accès ne se vérifient pas au même endroit.
Revenir au parcours F5 APM pour lire les guides voisins et leurs exemples.
Sources : F5 TechDocs, SAML configuration ; F5 TechDocs, Access profiles and sessions.
Sources et portée
Les dates de consultation et les versions applicables sont précisées pour chaque référence ci-dessous. Les exemples utilisent des noms et adresses de documentation à remplacer. Les commandes de lecture affichent l’existant ; les captures et requêtes de diagnostic sont à limiter au périmètre autorisé.
- F5 TechDocs — SAML configuration · BIG-IP TMOS ; vérifier la liste Applies To de la référence · consulté le 2 octobre 2026.
- F5 TechDocs — Access profiles and sessions · BIG-IP TMOS ; vérifier la liste Applies To de la référence · consulté le 2 octobre 2026.
Retrouver le parcours de lecture F5 APM