Contexte de validation de la session

Utilisez le contexte de validation de session comme couche supplémentaire de protection contre le détournement de session ou de cookie.

Vous pouvez utiliser le contexte de validation de session avec le cadre de travail des Authentification adaptative politiques. Le cadre de travail utilise des politiques d’authentification pour évaluer les demandes d’authentification, puis refuse ou autorise l’accès en fonction des entrées et des conditions de la politique.

La politique de contexte de validation de session peut être utilisée conjointement avec la politique de post-authentification, où un administrateur peut appliquer des restrictions IP à certains ou à tous les utilisateurs pendant la session connectée.

La fonctionnalité Contexte de validation de session évalue les adresses IP en fonction des conditions que vous définissez et autorise l’accès à l’instance au sein d’une session. Les résultats du contexte de validation de la session sont les suivants :

• Refuser la politique : sélectionner la politique de refus d’accès comme politique par défaut permet aux utilisateurs de poursuivre la session par défaut. La session n’est interrompue que lorsque l’une des conditions de politique définies dans la politique de refus d’accès est évaluée comme vraie.
• Autoriser la politique : sélectionner la politique d’accès comme politique par défaut met fin immédiatement à la session utilisateur, sauf si l’une des conditions de politique définies dans la politique d’autorisation d’accès est évaluée comme vraie.

Remarque :

• Le contexte de validation de session pour une politique d’authentification est défini sur Autoriser la politique par défaut.
• Le contexte de validation de session est implémenté via la politique d’autorisation. Il n’est pas recommandé de définir le contexte sur refuser la politique.

Le contexte de validation de session fonctionne selon le mécanisme suivant :

• Capture l’adresse IP de l’utilisateur lors de la création de session à partir de la demande de l’utilisateur et la stocke dans la session et la base de données.
• Rejette une demande lorsque son adresse IP diffère de celle de la session ou en dehors des plages IP valides définies par le client que vous avez définies.

Remarque :

Le contexte de validation de la session est le suivant :

• Disponible uniquement pour les utilisateurs authentifiés.
• Ne s’applique pas aux sessions d’utilisateurs invités ou aux applications mobiles natives.
• Facultative et basée sur l’exigence qu’elle puisse être configurée.
• Exécuté uniquement pour les demandes post-connexion.

Avantages de la validation de session

Le contexte de validation de session présente les avantages suivants :

• Restreint l’accès lorsque ServiceNow® les pirates de l’air copient les cookies de session d’un utilisateur d’un appareil à un autre pour emprunter l’identité de la session.
• Restreint l’accès à la session de l’utilisateur s’il utilise un réseau non sécurisé.
• Configure les différentes règles et plages d’adresses IP par groupe d’utilisateurs ou par rôle pour les connexions des utilisateurs.

Enregistrement de contexte de validation de session

Les politiques dans le contexte de validation de session exécutent des demandes post-connexion.

Utilisez les champs de l’enregistrement de contexte de la politique de validation de session pour définir la façon dont votre instance utilise votre politique.

Tableau 1. Formulaire de contexte de validation de session

Champ	Description
Nom	Nom du contexte de la politique. Ce champ est statique et ne peut pas être modifié.
Description	Description du contexte.
Politique par défaut	Définit le comportement par défaut de ce contexte lors de l’évaluation de la politique. Sélectionnez l’une des options suivantes. Autoriser la politique Refuse l’accès à tous les utilisateurs par défaut et n’autorise l’accès que lorsque les conditions du champ Politique d’autorisation sont évaluées comme vraies. Refuser la politique Permet l’accès à tous les utilisateurs par défaut et refuse l’accès uniquement lorsque les conditions du champ Politique de refus sont évaluées comme vraies.
Autoriser la politique	Politique utilisée pour ce contexte. Ce champ s’affiche uniquement lorsque le champ Politique par défaut est défini sur Autoriser la politique.
Refuser la politique	Politique utilisée pour ce contexte. Ce champ s’affiche uniquement lorsque le champ Politique par défaut est défini sur Refuser la politique.

Vous pouvez choisir la politique de validation de session en tant que politique d’autorisation ou refuser la politique en fonction de l’entrée et des conditions de la politique.

Remarque :

Vous ne pouvez utiliser que les critères de filtre d’adresse IP, de rôle et de groupe pour la politique de validation de session.

Entrées et conditions de la politique

Les onglets Entrée de politique et Conditions de politique affichent les entrées et conditions de la politique sélectionnées dans le champ Autoriser la politique ou Refuser la politique . Ces onglets servent de référence ; mais ils ne peuvent pas être utilisés pour modifier les entrées ou les conditions de politique. Pour modifier votre politique, accédez à la politique à l’aide de l’icône de référence ( ) en regard du champ Autoriser la politique ou Refuser la politique .