Connecter Tailscale avec OpenID Connect

Connectez FoxIDs comme fournisseur d’identité externe pour Tailscale avec OpenID Connect (OIDC) 1.0.

Guide Tailscale Set up SSO with a custom OIDC provider. Tailscale exige une preuve de propriété du domaine via la découverte WebFinger lorsque vous utilisez un fournisseur OIDC personnalisé. Configurez une réponse WebFinger qui pointe vers l’application FoxIDs que vous créez pour Tailscale.

Configurer FoxIDs

1 - Commencez par créer une application OpenID Connect dans FoxIDs Control Client

1. Sélectionnez l’onglet Applications
2. Cliquez sur New application
3. Cliquez sur Web application (OpenID Connect) pour créer une application cliente OIDC
4. Saisissez le Name, par ex. Tailscale
5. Définissez Redirect URI sur https://login.tailscale.com/a/oauth_response
6. Dans le panneau de droite intitulé The application will have the following information
   • Copiez le Client ID et le Client Secret pour une utilisation ultérieure dans l’inscription Tailscale
7. Cliquez sur Create
8. Cliquez sur Change application pour ouvrir l’application en mode édition
9. Cliquez sur Show advanced
10. Activez Use matching issuer and authority with application specific issuer
11. Cliquez sur Update
12. Remontez en haut de l’application, trouvez la section Application information et cliquez sur Show more
    • Copiez l’Authority qui est l’URL d’émetteur FoxIDs pour Tailscale

Configurer WebFinger pour votre domaine

2 - Ensuite, configurez un endpoint WebFinger sur votre domaine

Pour permettre à Tailscale de découvrir votre émetteur FoxIDs, hébergez un endpoint WebFinger à https://<your-domain>/.well-known/webfinger. La réponse doit pointer vers l’URL d’émetteur FoxIDs. Exemple JSON pour le compte administrateur admin@contoso.com :

{
  "subject": "acct:admin@contoso.com",
  "links": [
    {
      "rel": "http://openid.net/specs/connect/1.0/issuer",
      "href": "https://foxids.com/test-corp/-/yuj52w6n(*)/"
    }
  ]
}

Assurez-vous que le domaine dans l’adresse e-mail correspond :

• au domaine où l’endpoint WebFinger est hébergé, et
• au domaine que vous utiliserez avec Tailscale.

Le compte administrateur qui configure OIDC pour Tailscale devient le propriétaire du tailnet. Lorsque d’autres utilisateurs de votre domaine se connectent à Tailscale, ils peuvent saisir leur adresse e-mail et seront redirigés pour s’authentifier avec FoxIDs.

Configurer Tailscale

3 - Démarrez la configuration OIDC personnalisée dans Tailscale

1. Ouvrez la console d’administration Tailscale et allez sur Sign up with OIDC
2. Entrez une adresse e-mail qui utilise le domaine desservi par votre endpoint WebFinger
3. Cliquez sur Get OIDC Issuer - Tailscale résout votre réponse WebFinger et affiche l’émetteur FoxIDs
4. Continuez jusqu’à l’étape de saisie des identifiants

4 - Enregistrez le client FoxIDs dans Tailscale

1. Saisissez le Client ID et le Client Secret FoxIDs
2. Confirmez la configuration pour terminer l’enregistrement
3. Authentifiez-vous via FoxIDs pour vérifier le flux de connexion et créer votre tailnet

Vous devez probablement créer votre utilisateur administrateur avec l’e-mail dans l’environnement FoxIDs pour vous connecter (selon votre configuration FoxIDs)