Configurer l’authentification unique (SSO)

Avec l’authentification unique, les personnes de votre organisation se connectent à Polzy via votre propre fournisseur d’identité plutôt qu’avec un mot de passe. Vous la configurez une seule fois pour toute l’organisation, tous les espaces de travail compris, en SAML 2.0 ou en OpenID Connect (OIDC). Ce guide vous mène de zéro à une connexion testée et opérationnelle : dans Polzy, chez votre hébergeur DNS et dans votre fournisseur d’identité, avec une section par fournisseur.

Comment ça marche

• Vos domaines. L’authentification unique s’applique aux adresses e-mail des domaines que vous vérifiez, et de leurs sous-domaines. Une organisation relie un seul fournisseur d’identité et vérifie autant de domaines que ses équipes en utilisent.
• La connexion. Quiconque saisit une adresse de votre domaine sur la page de connexion de Polzy voit Continuer avec suivi du nom de votre bouton de connexion, par exemple Okta, à la place de Google et Microsoft.
• Les nouveaux venus. Vous choisissez ce qui se passe la première fois qu’une personne de votre domaine se connecte : Polzy en fait aussitôt un membre, ou ne laisse entrer que les personnes déjà invitées ou synchronisées.
• Imposer le SSO. Si vous le souhaitez, les personnes de vos domaines ne peuvent ensuite se connecter que via votre fournisseur d’identité.

La déconnexion unique SAML (single logout) et plusieurs fournisseurs d’identité par organisation ne sont pas proposés.

Avant de commencer

Il vous faut :

• Une organisation au forfait Enterprise, dont vous êtes le propriétaire.
• Un accès au DNS de votre domaine, pour ajouter un enregistrement TXT. Voir Ajouter l’enregistrement TXT chez votre hébergeur DNS.
• Un compte administrateur chez votre fournisseur d’identité, pour y ajouter Polzy comme application.

Gardez deux onglets ouverts, l’un sur Polzy, l’autre sur votre fournisseur d’identité : vous copierez des valeurs dans les deux sens.

Confier la configuration à votre équipe IT

Si quelqu’un d’autre gère votre fournisseur d’identité, envoyez-lui un lien de configuration plutôt que de partager votre propre accès.

1. Ouvrez Paramètres de l'organisation → Sécurité. Dans la section Authentification unique, repérez Liens de configuration IT et choisissez Envoyer un lien.
2. Sous Envoyer un lien de configuration, saisissez Son adresse e-mail et la Langue de l’e-mail et de la page, puis choisissez Envoyer le lien.

Le lien ouvre les étapes de la configuration (fournisseur, domaine, connexion, personnes et connexion de test) et le jeton SCIM, rien d’autre dans Polzy. Il ne demande aucun compte Polzy et n’utilise aucune place, et tout ce qui est fait par son biais est consigné dans le journal d’audit. Activer l’authentification unique et l’imposer restent entre vos mains.

• Un lien fonctionne 7 jours, jusqu’à ce que vous choisissiez Révoquer, ou jusqu’à l’activation de l’authentification unique. Jusqu’à 5 liens peuvent fonctionner en même temps, et jusqu’à 20 peuvent être envoyés par jour.
• Une fois l’authentification unique activée au moins une fois, un nouveau lien affiche la configuration et peut créer le jeton SCIM ; vous seul pouvez encore modifier les domaines et la connexion.
• Un lien peut créer le jeton SCIM, mais pas le remplacer. Révoquer un lien arrête aussi un jeton SCIM créé par son biais.

Lancer la configuration

1. Ouvrez le menu du compte en bas de la barre latérale, choisissez Paramètres de l'organisation, puis Sécurité.
2. Dans la section Authentification unique, choisissez Configurer l’authentification unique. La configuration s’ouvre en six étapes : Fournisseur, Domaine, Connexion, Personnes, Test et Activation. Ce que vous saisissez est enregistré à chaque étape : fermez la configuration quand vous voulez, Reprendre la configuration vous ramène à la première étape où il reste quelque chose à faire.
3. Choisissez votre fournisseur d’identité : Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Ping Identity, Autre fournisseur SAML 2.0 ou Autre fournisseur OpenID Connect. Ce choix fixe le protocole et les noms de champs des étapes suivantes. Okta, Microsoft Entra ID et Google Workspace démarrent en SAML ; choisissez Utiliser OpenID Connect à la place pour les relier en OIDC.
4. Sous Nom sur le bouton de connexion, gardez le nom de votre fournisseur ou saisissez-en un autre, celui de votre organisation par exemple. Les personnes de vos domaines voient Continuer avec suivi de ce nom.

Authentification unique

Quel fournisseur d’identité utilisez-vous ?

1. 1Fournisseur
2. 2Domaine
3. 3Connexion
4. 4Personnes
5. 5Test
6. 6Activation

Choisissez le fournisseur avec lequel votre équipe se connecte. Il détermine les noms de champs des étapes suivantes, et vous pourrez le changer plus tard.

OktaSAML ou OpenID ConnectMicrosoft Entra IDSAML ou OpenID ConnectGoogle WorkspaceSAML ou OpenID ConnectOneLoginSAMLJumpCloudSAMLPing IdentitySAMLAutre fournisseur SAML 2.0SAMLAutre fournisseur OpenID ConnectOpenID Connect

Connexion via SAML.Utiliser OpenID Connect à la placeGuide pas à pas pour Okta

Nom sur le bouton de connexion

Les personnes de votre domaine verront « Continuer avec Okta » sur la page de connexion.

Suivant

Guide pas à pas pour votre fournisseur, à côté de chaque étape, ouvre la section de ce fournisseur sur cette page.

Vérifier votre domaine

Polzy ne fait confiance à votre fournisseur d’identité que pour les adresses d’un domaine dont vous avez prouvé qu’il vous appartient.

1. À l’étape Domaine, saisissez le domaine des adresses de vos équipes, par exemple acme.com, et choisissez Ajouter le domaine.
2. Polzy affiche l’enregistrement à ajouter : type TXT, nom @ (ou le domaine complet, si votre hébergeur DNS le demande), et une valeur qui commence par polzy-domain-verification=. Copiez la valeur.
3. Ajoutez l’enregistrement chez votre hébergeur DNS, à la racine du domaine, pas sur un sous-domaine. Voir Ajouter l’enregistrement TXT chez votre hébergeur DNS.
4. De retour dans Polzy, choisissez Vérifier maintenant. Le domaine passe de En attente du DNS à Vérifié. Un nouvel enregistrement peut mettre de quelques minutes à une heure pour être visible ; vérifiez plus tard s’il n’est pas encore trouvé.

Vous pouvez passer aux étapes suivantes pendant que le DNS se met à jour : seule l’activation attend un domaine vérifié. Ajoutez chaque domaine utilisé par vos équipes, comme acme.com et acme.eu ; chacun a son propre enregistrement. Un domaine vérifié couvre aussi ses sous-domaines, comme eu.acme.com.

Ajouter l’enregistrement TXT chez votre hébergeur DNS

Votre hébergeur DNS est l’endroit où sont gérés les enregistrements de votre domaine : souvent la société auprès de laquelle vous l’avez acheté, parfois un service distinct. Tous demandent les trois mêmes choses : le type (TXT), le nom ou hôte (@ pour la racine du domaine) et la valeur affichée par Polzy. Laissez la durée de vie (TTL) à sa valeur par défaut.

Relier votre fournisseur d’identité

La connexion se fait des deux côtés : votre fournisseur d’identité a besoin des adresses de Polzy, et Polzy de celles de votre fournisseur.

Le côté de Polzy, en SAML. Sous Collez ces valeurs dans votre fournisseur d’identité, Polzy affiche deux valeurs à copier, chacune sous le nom que votre fournisseur donne à ce champ, et les attributs qu’il doit envoyer.

Le côté de votre fournisseur d’identité. Sous Informations de votre fournisseur d’identité, donnez ses réglages à Polzy de l’une de trois façons :

• URL des métadonnées : collez l’adresse de ses métadonnées et choisissez Importer. Une fois l’authentification unique activée, Polzy la relit chaque jour, si bien qu’un nouveau certificat de signature lui parvient tout seul.
• Importer un fichier : le fichier XML de métadonnées qu’il propose, jusqu’à 1 Mo.
• Saisir manuellement : son ID d’entité du fournisseur d’identité (parfois appelé l’émetteur), son URL de connexion et son Certificat de signature, lignes BEGIN et END comprises.

Les attributs que Polzy lit (SAML). Les noms sont comparés sans tenir compte des majuscules.

Si votre fournisseur d’identité utilise d’autres noms, modifiez-les à l’étape Personnes, sous Avancé : noms des attributs. L’assertion doit être signée en SHA-256 ou plus robuste : une réponse signée en SHA-1 est refusée.

En OpenID Connect, copiez l’URI de redirection de Polzy dans votre fournisseur d’identité, puis saisissez dans Polzy son URL de l’émetteur, l’ID client et le Secret client. Le secret client est stocké chiffré ; laissez le champ vide par la suite pour le conserver. Polzy demande les scopes openid, email et profile, et lit email, given_name, family_name et, si vous utilisez des règles de groupe, groups.

Les sections ci-dessous indiquent où va chaque valeur chez chaque fournisseur d’identité, avec un lien vers le guide officiel de ce fournisseur. Les menus des fournisseurs sont cités en anglais.

Okta

1. Dans l’Okta Admin Console, allez dans Applications → Applications et choisissez Create App Integration. Si Okta demande quel assistant utiliser, choisissez Classic experience. Sélectionnez SAML 2.0 et choisissez Next.
2. Nommez l’application Polzy et choisissez Next.
3. Collez la Single sign-on URL de Polzy dans Single sign-on URL et laissez Use this for Recipient URL and Destination URL coché. Collez son Audience URI (SP Entity ID) dans Audience URI (SP Entity ID).
4. Réglez Name ID format sur EmailAddress et Application username format sur Email.
5. Sous Attribute Statements, ajoutez email avec la valeur user.email, firstName avec user.firstName et lastName avec user.lastName. Pour placer les personnes par groupe, ajoutez une Group Attribute Statement nommée groups avec un filtre comme Starts with polzy.
6. Choisissez Next, sélectionnez I'm an Okta customer adding an internal app et choisissez Finish.
7. Dans l’onglet Sign On de l’application, copiez la Metadata URL, collez-la dans Polzy sous URL des métadonnées et choisissez Importer.
8. Dans l’onglet Assignments, choisissez Assign et affectez les personnes ou les groupes qui utilisent Polzy.

En OpenID Connect, créez l’intégration avec OIDC - OpenID Connect et Web Application, collez l’adresse de Polzy dans Sign-in redirect URIs, et donnez à Polzy le Client ID, le Client secret et votre adresse Okta, par exemple https://acme.okta.com, comme émetteur.

Guides d’Okta : Create SAML app integrations, Create OpenID Connect app integrations et Assign an app integration to a group.

Microsoft Entra ID

1. Dans le centre d’administration Microsoft Entra, allez dans Entra ID → Enterprise apps → All applications, choisissez New application, puis Create your own application.
2. Nommez-la Polzy, choisissez Integrate any other application you don't find in the gallery (Non-gallery) et choisissez Create.
3. Ouvrez Single sign-on et choisissez SAML.
4. Sous Basic SAML Configuration, choisissez Edit. Collez l’Identifier (Entity ID) de Polzy dans Identifier (Entity ID) et sa Reply URL (Assertion Consumer Service URL) dans Reply URL (Assertion Consumer Service URL), puis enregistrez.
5. Sous Attributes & Claims, les revendications par défaut transmettent déjà les noms et envoient le nom d’utilisateur principal (UPN) comme Name ID, que Polzy utilise comme adresse e-mail. Si les UPN de vos équipes ne sont pas leurs adresses e-mail, choisissez Add new claim, nommez-la email et prenez l’attribut source user.mail : Polzy lit en premier une revendication nommée email. Pour placer les personnes par groupe, choisissez Add a group claim et Groups assigned to the application.
6. Sous SAML Certificates, copiez l’App Federation Metadata Url, collez-la dans Polzy sous URL des métadonnées et choisissez Importer.
7. Sous Users and groups, choisissez Add user/group et affectez les personnes ou les groupes qui utilisent Polzy.

Entra envoie chaque groupe sous forme d’ID d’objet, sauf si vous choisissez un autre format : une règle de groupe dans Polzy nomme donc le groupe exactement comme Entra l’envoie. La connexion de test vous le montre.

En OpenID Connect, inscrivez une application sous App registrations avec le type de compte réservé à votre propre locataire, ajoutez l’adresse de Polzy comme URI de redirection Web, et créez un secret client sous Certificates & secrets. L’émetteur est https://login.microsoftonline.com/<tenant ID>/v2.0, avec l’ID de votre locataire.

Guides de Microsoft : Enable SAML single sign-on for an enterprise application, Customize SAML token claims, Configure group claims, Manage users and groups assignment to an application, Register an application, Add a redirect URI et Add credentials.

Google Workspace

1. Dans la console d’administration Google, allez dans Apps → Web and mobile apps et choisissez Add App → Add custom SAML app.
2. Nommez l’application Polzy et continuez.
3. Sur Google Identity Provider details, choisissez Download IDP metadata et gardez le fichier pour Polzy.
4. Sur Service Provider Details, collez l’ACS URL de Polzy dans ACS URL et son Entity ID dans Entity ID. Réglez Name ID format sur EMAIL et Name ID sur Basic Information > Primary email.
5. Sous Attribute mapping, associez First name à firstName et Last name à lastName. Pour placer les personnes par groupe, ajoutez les groupes sous Group membership avec l’attribut d’application groups ; Google en envoie jusqu’à 75.
6. Choisissez Finish, puis importez le fichier de métadonnées dans Polzy sous Importer un fichier.
7. Ouvrez User access pour l’application et activez-la pour tout le monde, ou pour les unités organisationnelles ou les groupes qui utilisent Polzy. Google peut mettre jusqu’à 24 heures à l’appliquer.

En OpenID Connect, créez un client OAuth de type Web application dans la console Google Cloud, ajoutez l’adresse de Polzy sous Authorized redirect URIs, et donnez à Polzy l’ID client et le secret avec l’émetteur https://accounts.google.com. Seuls les comptes de votre Google Workspace, sur l’un de vos domaines vérifiés, peuvent se connecter ainsi.

Guides de Google : Set up your own custom SAML app, Manage OAuth clients et OpenID Connect.

OneLogin

1. Dans OneLogin, allez dans Applications → Applications et choisissez Add App. Cherchez SAML Custom Connector (Advanced), nommez-la Polzy et enregistrez.
2. Dans l’onglet Configuration, collez l’Entity ID de Polzy dans Audience (EntityID), et son ACS URL dans Recipient et ACS (Consumer) URL. Pour ACS (Consumer) URL Validator, saisissez l’ACS URL précédée de ^ et suivie de $.
3. Réglez SAML nameID format sur Email et SAML signature element sur Assertion, puis enregistrez.
4. Dans l’onglet Parameters, ajoutez email, firstName et lastName avec les valeurs Email, First Name et Last Name, chacun inclus dans l’assertion SAML. Pour placer les personnes par groupe, ajoutez groups avec la valeur User Roles comme paramètre à valeurs multiples.
5. Dans l’onglet SSO, copiez l’Issuer URL, collez-la dans Polzy sous URL des métadonnées et choisissez Importer.
6. Donnez accès à l’application aux personnes qui utilisent Polzy, par leurs rôles ou sous Users.

Guide de OneLogin : Advanced SAML Custom Connector.

JumpCloud

1. Dans le JumpCloud Admin Portal, allez dans Access → SSO Applications, choisissez Add New Application, puis Custom Application, et choisissez Manage Single Sign-On (SSO) avec Configure SSO with SAML. Nommez-la Polzy.
2. Saisissez un IdP Entity ID unique, votre domaine par exemple. Collez l’Entity ID de Polzy dans SP Entity ID et son ACS URL sous ACS URLs.
3. Réglez SAMLSubject NameID sur email et SAMLSubject NameID Format sur urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress, et signez l’assertion.
4. Sous User Attributes, ajoutez email, firstName et lastName, associés à l’adresse e-mail, au prénom et au nom de l’utilisateur. Pour placer les personnes par groupe, cochez Include Group Attribute ; Polzy lit le nom par défaut de JumpCloud, memberOf, aussi bien que groups.
5. Activez l’application, choisissez Export Metadata et importez le fichier dans Polzy sous Importer un fichier. Ou choisissez Copy Metadata URL et importez-la.
6. Dans l’onglet User Groups, ajoutez les groupes qui utilisent Polzy.

Guides de JumpCloud : SSO using custom SAML application connectors et SSO application connector fields.

Ping Identity

1. Dans PingOne, allez dans Applications → Applications et ajoutez une application. Nommez-la Polzy, choisissez SAML Application, puis Configure.
2. Choisissez Manually Enter : collez l’ACS URL de Polzy sous ACS URLs et son Entity ID dans Entity ID. Ou choisissez Import from URL avec l’URL des métadonnées de Polzy. Enregistrez.
3. Dans l’onglet Attribute Mappings, associez saml_subject à Email Address, et ajoutez email (Email Address), firstName (Given Name) et lastName (Family Name). Pour placer les personnes par groupe, ajoutez groups, associé à Group Names.
4. Dans l’onglet Overview de l’application, copiez l’IDP Metadata URL, collez-la dans Polzy sous URL des métadonnées et choisissez Importer.
5. Activez l’application et, dans son onglet Access, donnez accès aux groupes qui utilisent Polzy.

Dans PingFederate, créez une connexion SP à partir de l’URL des métadonnées de Polzy, avec l’adresse e-mail comme sujet, et donnez à Polzy les métadonnées de cette connexion.

Guides de Ping Identity : Adding an application, Editing a SAML application, IdP metadata for SAML applications et Accessing SP connections.

Un autre fournisseur SAML 2.0

Tout fournisseur d’identité compatible SAML 2.0 fonctionne. Choisissez Autre fournisseur SAML 2.0 à la première étape, puis, dans votre fournisseur d’identité :

• Ajoutez une application SAML avec l’ACS URL et l’Entity ID de Polzy, ou laissez-la lire l’URL des métadonnées de Polzy.
• Envoyez l’adresse e-mail comme NameID, au format adresse e-mail, ou dans un attribut email.
• Signez l’assertion en SHA-256 ou plus robuste. Polzy accepte plusieurs certificats de signature à la fois, pour qu’un certificat puisse être remplacé sans interruption.
• Ajoutez les attributs firstName et lastName et, pour placer les personnes par groupe, groups.

Donnez ensuite ses métadonnées à Polzy, par URL ou en fichier XML, ou saisissez ses réglages à la main.

OpenID Connect

Utilisez OpenID Connect avec tout fournisseur d’identité qui le propose. Choisissez Autre fournisseur OpenID Connect à la première étape, ou Utiliser OpenID Connect à la place pour Okta, Microsoft Entra ID ou Google Workspace.

1. Dans votre fournisseur d’identité, créez une application web qui se connecte avec le flux authorization code et dispose d’un secret client.
2. Ajoutez l’URI de redirection de Polzy comme URI de redirection de connexion.
3. Autorisez les scopes openid, email et profile. Une revendication groups dans le jeton d’identité est facultative, pour placer les personnes par groupe.
4. Dans Polzy, saisissez l’URL de l’émetteur : l’adresse sous laquelle se trouve le /.well-known/openid-configuration de votre fournisseur. Puis l’ID client et le Secret client de l’application.

Une adresse que votre fournisseur d’identité marque comme non vérifiée est refusée. Avec Microsoft Entra ID, l’émetteur doit désigner votre locataire : https://login.microsoftonline.com/<tenant ID>/v2.0. Les émetteurs partagés common, organizations et consumers sont refusés, car n’importe quel compte Microsoft pourrait se connecter par leur biais.

Guides : OpenID Connect Discovery (la spécification de l’OpenID Foundation sur l’adresse de l’émetteur) et Microsoft: OpenID Connect on the Microsoft identity platform.

Choisir qui peut entrer

L’étape Personnes décide de ce qui se passe la première fois qu’une personne de votre domaine se connecte via votre fournisseur d’identité.

• Créer un membre automatiquement. Choisissez l’Espace de travail qu’elle rejoint et son Rôle, Lecteur pour commencer. Un nouveau membre occupe une place ; tant qu’aucune n’est libre, sa connexion est refusée.
• Seulement les personnes déjà invitées ou synchronisées. Une personne qui n’est pas encore membre est refusée et invitée à contacter un administrateur, même avec une connexion valide chez votre fournisseur d’identité.

Les personnes déjà membres gardent leurs espaces de travail et leurs rôles. Leur première connexion via votre fournisseur d’identité y relie leur compte Polzy. Un membre désactivé reste désactivé.

Les Règles de groupe (facultatives) placent les personnes par groupe : ajoutez une règle par groupe, avec le nom du groupe tel que votre fournisseur d’identité l’envoie, un espace de travail et un rôle. À la première connexion d’une personne, Polzy lit l’attribut des groupes : le nouveau membre rejoint l’espace de travail que nomme chacun de ses groupes, avec le rôle de la règle. Les connexions suivantes ne changent ni espace ni rôle : sans SCIM, une règle n’atteint les personnes qu’à leur arrivée. Votre fournisseur d’identité doit envoyer l’attribut des groupes.

Sous Avancé : noms des attributs, modifiez les noms d’où Polzy lit l’adresse e-mail, le prénom, le nom et les groupes. Sous Champs de l’espace de travail, un attribut envoyé par votre fournisseur, comme un service ou un pays, remplit un champ de l’espace de travail : il est écrit à l’arrivée de la personne et mis à jour à chaque connexion.

Si vous utilisez aussi le provisionnement SCIM, il place les personnes avec le même espace de travail, le même rôle et les mêmes règles de groupe : SCIM n’a pas de règles à lui, et son bouton Modifier les règles de groupe ouvre cette étape. Avec SCIM, les groupes viennent de votre annuaire et non de la connexion, et les règles s’appliquent chaque fois qu’il ajoute quelqu’un à un groupe ou l’en retire, y compris les personnes arrivées en se connectant.

Tester la connexion

1. À l’étape Test, choisissez Tester la connexion. Votre fournisseur d’identité s’ouvre dans un nouvel onglet ; si votre navigateur le bloque, choisissez Ouvrir la connexion de test.
2. Connectez-vous chez votre fournisseur d’identité avec une personne d’un domaine vérifié.
3. De retour dans Polzy, le résultat s’affiche tout seul ; sinon, choisissez Vérifier le résultat.

Polzy montre exactement ce que votre fournisseur d’identité a envoyé : sous Ce qu’une connexion utiliserait, l’adresse e-mail, les noms et les groupes, chacun Reçu ou Non envoyé ; et sous Tout ce que votre fournisseur a envoyé, chaque attribut avec sa valeur.

Quand le test échoue, Polzy dit pourquoi en termes simples et où corriger. Modifiez le réglage chez votre fournisseur d’identité et choisissez Tester à nouveau.

Un test ne connecte personne et ne crée aucune session. Chaque test s’ouvre par une adresse valable une seule fois, pendant 10 minutes, et la page attend la réponse jusqu’à deux minutes. Un test réussi compte pendant 7 jours : activer l’authentification unique et l’imposer demandent un test des 7 derniers jours.

L’activer

L’étape Activation liste ce qu’il manque encore : un domaine vérifié, votre fournisseur d’identité relié, la première connexion réglée, et une connexion de test réussie au cours des 7 derniers jours. Quand tout est coché, choisissez Activer l’authentification unique.

Dès lors, les personnes de vos domaines vérifiés se connectent via votre fournisseur d’identité :

• Sur la page de connexion, elles saisissent leur adresse e-mail et choisissent Continuer avec suivi du nom de votre bouton.
• Un lien vers l’un de vos espaces de travail, et la tuile Polzy de votre fournisseur d’identité, les font passer par la même connexion.
• Pour un favori, utilisez app.polzy.ai/login?sso= suivi de l’adresse de votre espace de travail, par exemple app.polzy.ai/login?sso=acme.

Tant que vous n’imposez pas l’authentification unique, chacun peut aussi se connecter comme avant. L’activation met fin à tous les liens de configuration IT encore valides.

Tant que l’authentification unique est active, vos domaines restent à vous : une inscription à Polzy avec une adresse de ces domaines, par le formulaire ou avec Google ou Microsoft, est refusée, et la page propose à la place la connexion de votre organisation.

Votre fournisseur d’identité ne se porte garant que des personnes des espaces de travail de votre organisation. Quelqu’un qui s’est connecté par son biais puis ouvre un espace de travail d’une autre organisation Polzy doit d’abord saisir son propre code de validation en deux étapes, s’il l’a activée, sauf s’il a choisi Faire confiance à cet appareil pendant 30 jours sur cet appareil.

Imposer le SSO

Avec Imposer l’authentification unique activé, les personnes de vos domaines vérifiés ne peuvent se connecter que via votre fournisseur d’identité. Un mot de passe, un lien de connexion envoyé par e-mail et la connexion avec Google ou Microsoft leur sont refusés.

1. Ouvrez Gérer dans la section Authentification unique. La dernière étape s’appelle désormais Gérer l’authentification unique.
2. Activez Imposer l’authentification unique. Polzy indique combien de membres ne se connecteront plus que via votre fournisseur d’identité.
3. Choisissez L’imposer. Les sessions des membres connectés autrement prennent fin aussitôt, jamais la vôtre.

• Il faut un domaine vérifié, une connexion de test réussie au cours des 7 derniers jours, et un moyen de revenir pour vous : être vous-même connecté par authentification unique, ou avoir activé la validation en deux étapes.
• Si votre forfait n’inclut plus l’authentification unique, l’obligation cesse et les membres se reconnectent par les autres moyens. Personne n’est bloqué dehors.
• Elle ne s’applique qu’aux adresses de vos domaines vérifiés. Un membre sur un autre domaine, un prestataire par exemple, se connecte toujours avec un mot de passe, un lien, ou Google ou Microsoft.

Qui peut encore se connecter sans. Pour que l’organisation ne soit jamais bloquée pendant une panne de votre fournisseur d’identité, le propriétaire peut toujours se connecter autrement, tout comme chaque administrateur que vous ajoutez avec Ajouter un administrateur. Chacun d’eux doit avoir activé la validation en deux étapes pour s’en servir : la liste montre qui l’a. Retirer quelqu’un de la liste pendant que l’authentification unique est imposée met fin aussitôt à ses autres sessions.

Gérer, désactiver ou supprimer

Les administrateurs voient où en est l’authentification unique dans Paramètres de l'organisation → Sécurité : vos domaines vérifiés, le fournisseur d’identité et sa dernière connexion, si l’authentification unique est imposée, les liens de configuration IT et SCIM. Seul le propriétaire voit Gérer.

Dans Zone de danger, sous Gérer l’authentification unique :

• Désactiver l’authentification unique (Désactiver) : chacun se reconnecte avec son mot de passe ou un lien de connexion, et l’obligation cesse aussi. Les réglages sont conservés, pour la réactiver plus tard.
• Supprimer la connexion (Supprimer) : retire la connexion et tous ses réglages ; vos domaines vérifiés restent. Une connexion active ne peut pas être supprimée : désactivez-la d’abord. Passer de SAML à OpenID Connect, ou l’inverse, demande aussi qu’elle soit désactivée.

Certificats

Un certificat de signature SAML a une date d’expiration, affichée avec votre connexion dans Paramètres de l'organisation → Sécurité. Polzy prévient les administrateurs de l’organisation, dans l’application et par e-mail, 30, 7 et 1 jours avant l’expiration du plus proche, puis à nouveau dès que tous les certificats enregistrés ont expiré. Plusieurs certificats peuvent être actifs en même temps : ajoutez le nouveau chez votre fournisseur d’identité, donnez à Polzy les métadonnées à jour, et ne retirez l’ancien qu’ensuite.

Si vous avez donné une URL des métadonnées à Polzy, Polzy la relit chaque jour tant que l’authentification unique est active et enregistre tout seul un nouveau certificat. Si l’adresse ne répond plus, les certificats déjà enregistrés continuent de fonctionner ; l’onglet Sécurité indique depuis combien de jours, et les administrateurs sont prévenus après trois jours d’affilée.

Polzy ne désactive jamais l’authentification unique à cause d’un certificat, mais dès que votre fournisseur d’identité signe avec un certificat que Polzy n’a pas, les connexions échouent jusqu’à ce que vous lui donniez les métadonnées à jour.

Dépannage

Lancez d’abord une connexion de test : elle montre ce que votre fournisseur d’identité a envoyé, et le message dit quoi corriger.

Deux autres causes que le test ne nomme pas :

• La mauvaise adresse arrive. Dans Okta, le nom d’utilisateur de l’application est le nom d’utilisateur Okta, sauf si vous réglez Application username format sur Email. Dans Entra, le Name ID est le nom d’utilisateur principal. Quand ce n’est pas l’adresse que les gens utilisent dans Polzy, envoyez la bonne dans un attribut email.
• Les règles de groupe sont sans effet. Le nom du groupe dans la règle doit correspondre à ce qu’envoie votre fournisseur d’identité : Entra envoie des ID d’objet, sauf si vous changez le format. Copiez la valeur depuis Tout ce que votre fournisseur a envoyé dans le test.

Liens utiles

• Okta: Create SAML app integrations
• Microsoft: Enable SAML single sign-on for an enterprise application
• Google: Set up your own custom SAML app
• OneLogin: Advanced SAML Custom Connector
• JumpCloud: SSO using custom SAML application connectors
• Ping Identity: Adding an application
• Ensuite : Provisionner les membres avec SCIM, et Sécurité de l’organisation pour la durée de session et la validation en deux étapes.