Contexte de validation de la session

Utilisez le contexte de validation de session comme couche supplémentaire de protection contre le détournement de session ou de cookie.

Vous pouvez utiliser le contexte de validation de session avec le cadre de travail des Authentification adaptative politiques. Le cadre de travail utilise des politiques d’authentification pour évaluer les demandes d’authentification, puis refuse ou autorise l’accès en fonction des entrées et des conditions de la politique.

La stratégie de contexte de validation de session peut être utilisée conjointement avec la stratégie de post-authentification, où un administrateur peut appliquer des restrictions IP à certains ou à tous les utilisateurs pendant la session connectée.

La fonctionnalité de contexte de validation de session évalue les adresses IP en fonction des conditions que vous définissez et autorise l’accès à l’instance au sein d’une session. Les résultats du contexte de validation de la session sont les suivants :

• Refuser la stratégie : sélectionner la stratégie Refuser l’accès comme stratégie par défaut permet aux utilisateurs de poursuivre la session par défaut. La session n’est interrompue que lorsque l’une des conditions de politique définies dans la politique de refus d’accès est évaluée comme vraie.
• Autoriser la politique : sélectionner la politique d’accès par défaut met immédiatement fin à la session utilisateur, sauf si l’une des conditions de politique définies dans la politique d’accès est évaluée comme vraie.

Remarque :

• Le contexte de validation de session pour une politique d’authentification est défini par défaut sur Autoriser la politique .
• Le contexte de validation de session est implémenté via la politique Autoriser. Il n’est pas recommandé de définir le contexte pour refuser la politique.

Le contexte de validation de session fonctionne selon le mécanisme suivant :

• Capture l’adresse IP de l’utilisateur lors de la création de session à partir de la demande utilisateur et la stocke dans la session et la base de données.
• Rejette une demande lorsque son adresse IP diffère de celle de la session ou en dehors des plages IP valides définies par le client que vous avez définies.

Remarque :

Le contexte de validation de la session est le suivant :

• Disponible uniquement pour les utilisateurs authentifiés.
• Non applicable pour les sessions d’utilisateurs invités ou les applications Mobile natives.
• Facultative et basée sur l’exigence qu’elle peut être configurée.
• Exécuté uniquement pour les demandes postérieures à la connexion.

Avantages de la validation de session

Le contexte de validation de session présente les avantages suivants :

• Limite l’accès au ServiceNow® moment où les pirates de l’air copient les cookies de session d’un utilisateur d’un appareil à un autre pour usurper l’identité de la session.
• Limite l’accès à la session de l’utilisateur s’il utilise un réseau non sécurisé.
• Configure les différentes règles et plages IP par groupe d’utilisateurs ou par rôle pour les connexions des utilisateurs.

Enregistrement de contexte de validation de session

Les politiques dans le contexte de validation de session exécutent des demandes après la connexion.

Utilisez les champs dans l’enregistrement de contexte de politique de validation de session pour définir comment votre instance utilise votre politique.

Tableau 1. Formulaire de contexte de validation de session

Champ	Description
Nom	Nom du contexte de la politique. Ce champ est statique et ne peut pas être modifié.
Description	Description du contexte.
Politique par défaut	Définit le comportement par défaut de ce contexte lors de l’évaluation de la politique. Sélectionnez une option parmi les suivantes. Autoriser la politique Refuse l’accès à tous les utilisateurs par défaut et n’autorise l’accès que lorsque les conditions du champ Autoriser la politique sont évaluées comme vraies. Refuser la politique Autorise l’accès à tous les utilisateurs par défaut et refuse l’accès uniquement lorsque les conditions du champ Politique de refus sont évaluées comme vraies.
Autoriser la politique	Politique utilisée pour ce contexte. Ce champ s’affiche uniquement lorsque le champ Politique par défaut est défini sur Autoriser la politique.
Refuser la politique	Politique utilisée pour ce contexte. Ce champ s’affiche uniquement lorsque le champ Politique par défaut est défini sur Refuser la politique.

Vous pouvez choisir la politique de validation de session comme Autoriser la politique ou Refuser la politique en fonction de l’entrée et des conditions de la politique.

Remarque :

Vous ne pouvez utiliser que les critères de filtrage IP, Rôle et Groupe pour la politique de validation de session.

Entrées et conditions de la politique

Les onglets Entrée de politique et Conditions de politique affichent les entrées et conditions de la politique sélectionnée dans le champ Autoriser la politique ou Refuser la politique . Ces onglets servent de référence ; mais ils ne peuvent pas être utilisés pour modifier les entrées ou les conditions de la politique. Pour modifier votre politique, accédez à la politique à l’aide de l’icône de référence ( ) en regard du champ Autoriser la politique ou Refuser la politique .