Configurer la connexion SAML SSO

Avant de commencer 

À propos de la connexion SAML SSO  

La connexion SAML SSO (Single Sign-On) permet à vos utilisateurs de se connecter à votre compte en utilisant leur identité Microsoft Entra ID (anciennement Azure AD) ou tout autre fournisseur compatible avec le protocole SAML 2.0, sans avoir à gérer un mot de passe distinct. 

Cette méthode offre une gestion centralisée et sécurisée des accès à votre compte. Elle réduit les risques liés aux mots de passe, simplifie l’accès aux outils internes et permet d’appliquer automatiquement vos politiques de sécurité (MFA, restrictions, etc.). En cas de départ, vous coupez l’accès depuis Entra ID : la personne ne peut plus se connecter à votre compte (son profil n’est toutefois pas supprimé automatiquement).

Dans cet article, nous vous présentons les étapes à suivre pour configurer SAML SSO avec Microsoft Entra ID. Si vous utilisez un autre fournisseur SAML, n’hésitez pas à contacter notre équipe de support pour obtenir la procédure adaptée. 

Prérequis 

• Vous devez avoir un compte au forfait Pro. 
• Chaque utilisateur a une adresse courriel valide comme nom d’utilisateur.
• Cette adresse doit correspondre à celle utilisée dans votre fournisseur d’identité (IdP), comme Microsoft Entra ID. 

• Vous devez disposer de droits d’administrateur sur votre tenant Microsoft Entra ID pour créer/configurer l’application SAML. 

• Pour activer la connexion SAML SSO sur votre compte, veuillez contacter notre équipe de support. Il n’est pas encore possible de gérer la configuration SSO directement depuis votre compte . 

• La demande doit être faite par un administrateur de compte ou par le contact principal du compte. 

• Nous vous fournirons : 

  • L’URL de retour (ACS - Assertion Consumer Service URL), 

  • L’ID d’entité (Entity ID ou Identifiant unique de notre plateforme).

• De votre côté, vous devrez nous envoyer les informations suivantes afin que nous puissions compléter la configuration :

  • IdP Entity ID (identifiant unique de votre fournisseur d’identité (IdP))

  • IdP Login URL (adresse de connexion SSO de l’IdP)

  • IdP Logout URL (adresse de déconnexion SSO de l’IdP) (facultatif)

  • Certificat IdP x509 en format Base64 (Certificate (Base64))

• Notez que l'attribut requis à envoyer par votre IdP est l'adresse courriel de l’utilisateur (obligatoire) (via NameID au format emailAddress ou attribut « email »).

À savoir 

• Compatibilité SAML 2.0: vous pouvez utiliser Microsoft Entra ID (ex-Azure AD) ou tout fournisseur compatible SAML 2.0 qui permet une configuration manuelle.
• L'activation du SSO n'ajoute pas automatiquement des utilisateurs de votre fournisseur d'identité (IdP) vers votre compte. Un administrateur doit créer les utilisateurs dans votre compte sur notre plateforme et leur attribuer les rôles et permissions.
• Pour qu'une personne se connecte au moyen du SSO, elle doit être assignée à l'application SAML dans votre fournisseur d'identité (IdP), par exemple Microsoft Entra ID.
• Dès qu'un utilisateur se connecte une première fois via le SSO, son nom d'utilisateur et son mot de passe ne fonctionnent plus. Il doit dorénavant se connecter uniquement via le SSO.
• Si vous retirez l'accès d'un utilisateur dans l'IdP (par exemple lors d'un départ), il ne pourra plus se connecter via SSO. S'il s'était déjà connecté au moins une fois via SSO, son nom d'utilisateur et son mot de passe demeurent désactivés et il ne pourra donc plus se connecter à votre compte du tout. Son profil n'est toutefois pas supprimé automatiquement ; vous pouvez le désactiver ou le supprimer dans l'application si nécessaire.
• Les utilisateurs de votre compte qui ne sont pas assignés à l'application SAML dans votre fournisseur d'identité, et qui ne se sont jamais connectés via SSO, peuvent continuer de se connecter avec leur nom d'utilisateur et mot de passe.
• Il est possible de rendre la connexion SSO obligatoire pour votre compte ; dans ce cas, seuls les utilisateurs assignés dans le fournisseur d'identité et dont l'adresse courriel correspond à l'attribut envoyé par ce fournisseur pourront se connecter (via SSO). Tous les autres utilisateurs ne pourront pas se connecter.
• Les utilisateurs externes ne sont pas concernés par l'option « SSO obligatoire ». Si le SSO n'est pas configuré pour eux sur leur compte principal, ils continuent d'y accéder avec nom d'utilisateur et mot de passe, et peuvent ensuite accéder directement à votre compte. Si vous souhaitez leur imposer le SSO, retirez leur accès en tant qu'utilisateurs externes, créez-les comme utilisateurs de votre compte, puis assignez-les à l'application SAML dans votre IdP.
• Si votre organisation possède plusieurs comptes sur notre plateforme, il est possible de configurer le SSO pour l'ensemble de ces comptes à partir d'une seule application SSO dans votre fournisseur d'identité. Notez que tous les comptes concernés doivent être au forfait Pro pour permettre la connexion via SSO.
• Si un utilisateur a accès à plusieurs comptes de votre organisation, il doit être créé comme utilisateur régulier sur son compte principal, puis ajouté comme utilisateur externe sur les autres comptes. Il se connectera alors via SSO uniquement sur son compte principal ; sur les autres comptes, il continuera d'y accéder via son statut d'utilisateur externe.

À propos de la validation en deux étapes (2FA) 

Après s’être connecté via SSO, l’utilisateur devra toujours entrer son code de validation en deux étapes (2FA), car cette mesure de sécurité est obligatoire. Ce code à 6 chiffres peut être reçu par courriel (par défaut) et/ou généré par une application d’authentification. Si l’utilisateur choisit d’enregistrer son appareil comme appareil de confiance, il n’aura pas à saisir le code 2FA à nouveau pendant une période de 30 jours. 

Étapes de configuration dans Microsoft Entra ID 

Créer une application d’entreprise non-galerie 

1. Accédez à Microsoft Entra ID > Applications d’entreprise > Nouvelle application (Microsoft Entra ID > Enterprise applications > New application). 
   
   
   
2. Cliquez sur Créer votre propre application (Create your own application).
   
   

3. Donnez un nom à l'application.  

4. Sélectionnez Intégration avec n’importe quelle autre application (non galerie) (Integrate any other application you don't find in the gallery (Non-gallery)).
   
   

5. Cliquez sur Créer (Create).
   
   

Configurer l’authentification unique (SSO) 

1. Dans la fiche de l’application > Authentification unique (Single sign-on).
   
   
2. Choisissez le mode SAML.
   
   

3. Dans la section Configuration de base SAML (Set up Single Sign-On with SAML), remplissez les champs suivants avec les valeurs fournies par notre équipe : 

   • Identificateur (Entity ID)
   • URL de réponse (Assertion Consumer Service URL / Reply URL) 
   • Vous pouvez laisser le champ Index vide. 
     
     
4. Cliquez sur Enregistrer (Save). 

Configurer les revendications (attributs) 

Par défaut, Microsoft Entra ID envoie certains attributs comme user.userprincipalname, mais vous devrez les modifier afin que nous puissions effectuer le lien entre l’utilisateur dans Microsoft Entra ID et son équivalent dans votre compte.

Pour ce faire : 

1. Toujours dans l’application, ouvrez Attributs et revendications (Attributes & Claims). 
2. Cliquez sur Modifier (Edit). 
3. Modifiez le Unique User Identifier (Name ID) pour qu’il corresponde à user.mail.