Configurer l’authentification unique (SSO) avec Okta, Microsoft Entra ID, Google Workspace et plus

L’authentification unique (SSO) permet à votre équipe de se connecter à RedirHub avec le fournisseur d’identité de votre entreprise au lieu d’un mot de passe RedirHub distinct. RedirHub prend en charge SAML 2.0 et fonctionne avec Okta, Microsoft Entra ID (anciennement Azure AD), Google Workspace, OneLogin, JumpCloud, PingOne, Auth0, AD FS et tout autre fournisseur d’identité SAML 2.0. Le SSO est disponible sur Pro en tant qu’option à 200 $/mois et sur Enterprise sur contrat.

Fournisseurs d’identité pris en charge#

Étape 1 : Obtenez vos détails SAML RedirHub#

Une fois le SSO activé pour votre espace de travail, RedirHub vous fournit deux valeurs à coller dans votre fournisseur d'identité. Les fournisseurs les nomment différemment :

• URL ACS : également appelée URL d'authentification unique, URL de réponse, URL de destinataire ou URL du service consommateur d'assertions.
• ID d'entité : également appelé URI d'audience, identifiant, audience ou ID d'entité SP.

Étape 2 : Créez l'application RedirHub dans votre fournisseur d'identité#

Les étapes sont les mêmes chez chaque fournisseur :

1. Créez une nouvelle application SAML 2.0 et nommez-la RedirHub.
2. Collez l’URL ACS et l’ID d’entité de l’étape 1.
3. Réglez le format du Name ID sur adresse e-mail et envoyez l’adresse e-mail principale de l’utilisateur.
4. Attribuez les personnes ou les groupes qui doivent pouvoir se connecter à RedirHub.
5. Copiez l’URL des métadonnées de l’application, ou téléchargez son XML de métadonnées.

Voici où se trouve chaque paramètre chez les fournisseurs les plus populaires.

Okta#

1. Dans la Console d’administration, accédez à Applications › Applications › Créer une intégration d’application et choisissez SAML 2.0.
2. Collez l’URL ACS dans URL de connexion unique et l’ID d’entité dans URI d’audience (ID d’entité SP).
3. Définissez le format du Name ID sur EmailAddress et le nom d’utilisateur de l’application sur Email.
4. Attribuez des personnes ou des groupes dans l’onglet Attributions, puis copiez l’URL des métadonnées depuis l’onglet Sign On.

Microsoft Entra ID (Azure AD)#

1. Dans le centre d’administration Microsoft Entra, accédez à Applications d’entreprise › Nouvelle application › Créer votre propre application et choisissez l’option sans galerie.
2. Ouvrez l’authentification unique, choisissez SAML, puis, dans la configuration SAML de base, collez l’ID d’entité dans Identifiant et l’URL ACS dans URL de réponse.
3. Sous Attributs et revendications, définissez Identifiant utilisateur unique sur l’adresse e-mail de l’utilisateur (user.mail) avec le format d’adresse e-mail.
4. Attribuez des personnes ou des groupes sous Utilisateurs et groupes, puis copiez l’URL des métadonnées de fédération de l’application depuis Certificats SAML.

Google Workspace#

1. Dans la console d’administration Google, accédez à Applications › Applications web et mobiles › Ajouter une application › Ajouter une application SAML personnalisée.
2. Sur l’écran des détails du fournisseur d’identité Google, cliquez sur Télécharger les métadonnées.
3. Sous les détails du fournisseur de services, collez l’URL ACS et l’ID d’entité, définissez le format Name ID sur EMAIL et Name ID sur Informations de base › E-mail principal.
4. Sous Accès utilisateur, activez l’application pour tout le monde ou pour les unités organisationnelles ou les groupes qui en ont besoin.

OneLogin#

1. Allez dans Applications › Ajouter une application et choisissez SAML Custom Connector (Advanced).
2. Dans l’onglet Configuration, collez l’ID d’entité dans Audience (EntityID) et l’URL ACS dans Recipient et ACS (Consumer) URL. Définissez le format SAML nameID sur Email.
3. Accordez l’accès via les rôles, puis téléchargez les métadonnées depuis Plus d’actions › Métadonnées SAML.

JumpCloud#

1. Allez dans Applications SSO › Ajouter une nouvelle application › Application personnalisée et choisissez de configurer le SSO avec SAML.
2. Collez l’ID d’entité dans SP Entity ID et l’URL ACS dans ACS URL. Définissez le SAMLSubject NameID sur email.
3. Associez les groupes d’utilisateurs qui ont besoin d’accès, puis cliquez sur Exporter les métadonnées.

PingOne (Ping Identity)#

1. Accédez à Applications, ajoutez une application et choisissez SAML Application.
2. Saisissez manuellement l’URL ACS et l’ID d’entité, puis mappez saml_subject à l’adresse e-mail sous Mappages d’attributs.
3. Accordez l’accès aux groupes appropriés, activez l’application, puis cliquez sur Download Metadata dans l’onglet Configuration.

Auth0#

1. Créez une application web régulière, ouvrez son onglet Addons et activez SAML2 Web App.
2. Collez l’URL ACS dans Application Callback URL et définissez audience sur l’ID d’entité dans les paramètres.
3. Copiez le lien des métadonnées du fournisseur d’identité depuis l’onglet Usage.

AD FS (Active Directory Federation Services)#

1. Dans la gestion AD FS, allez à Relying Party Trusts › Add Relying Party Trust, choisissez « Claims aware » et saisissez les données manuellement.
2. Activez le protocole SAML 2.0 WebSSO avec l’URL ACS, et ajoutez l’ID d’entité comme identifiant de relation de confiance de partie fiable.
3. Ajoutez des règles de revendication qui envoient les adresses e-mail comme adresse e-mail, puis transformez l’adresse e-mail en Name ID avec le format E-mail.
4. Vos métadonnées sont à l’adresse https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml.

Tout autre fournisseur SAML 2.0#

Créez une application SAML 2.0 personnalisée, collez l’URL ACS et l’ID d’entité, envoyez l’e-mail de l’utilisateur comme Name ID, puis exportez les métadonnées. Si votre fournisseur n’a pas de fichier de métadonnées, notez plutôt son URL SSO, son émetteur (ID d’entité IdP) et son certificat de signature X.509.

Étape 3 : Ajoutez les détails de votre fournisseur d’identité à RedirHub#

Fournissez à RedirHub l’URL des métadonnées ou le XML des métadonnées de l’étape 2. Si vous n’avez pas de métadonnées, indiquez l’URL SSO, l’émetteur et le certificat de signature.

Étape 4 : Testez la connexion#

Connectez-vous avec une personne qui est attribuée à l’application RedirHub dans votre fournisseur d’identité. Son adresse e-mail dans le fournisseur d’identité doit correspondre à l’adresse e-mail de son compte RedirHub. Une fois que cela fonctionne, déployez le SSO pour le reste de votre équipe.

Bon à savoir#

• Se connecter avec Google est une option de connexion disponible sur tous les plans, et non l’authentification unique SAML. Consultez Sécurisez votre compte.
• Les certificats de connexion expirent. Lorsque vous renouvelez le vôtre, fournissez à RedirHub les nouvelles métadonnées avant l’expiration de l’ancien certificat, sinon la connexion SSO cessera de fonctionner.
• Le rôle de chaque personne dans RedirHub est toujours géré dans votre espace de travail. Consultez Invitez des membres de l’équipe et choisissez leur rôle.