SSO et SCIM
Configuration de la connexion avec le compte d'entreprise (IdP) et de la synchronisation automatique des utilisateurs, étape par étape.
Lorsque l'IdP de votre entreprise (Okta, Microsoft Entra ID, Google Workspace, etc.) est relié à Keural, les collaborateurs se connectent avec leur compte d'entreprise et rejoignent automatiquement l'organisation lors de leur première connexion.
Pour la spécification destinée au responsable IdP et aux développeurs, voir Spécification SSO et SCIM.
Prérequis
| Élément | Pourquoi |
|---|---|
| Compte propriétaire de l'organisation sur Keural | Seuls les propriétaires peuvent modifier les paramètres SSO. |
| Des droits d'administrateur sur l'IdP | Vous créez une application Keural dans l'IdP. |
| Les droits de gestion DNS du domaine de l'entreprise | Vous prouvez la propriété du domaine avec un enregistrement TXT. |
Méthodes prises en charge
| Méthode | Usage |
|---|---|
| OpenID Connect (OIDC) | Connexion avec un compte d'entreprise |
| SAML 2.0 | Connexion avec un compte d'entreprise. Les requêtes d'authentification utilisent Redirect et les réponses sont reçues en HTTP-POST. |
| SCIM 2.0 | Reflète automatiquement dans les comptes Keural les ajouts et désactivations d'utilisateurs effectués dans l'IdP |
Choisissez OIDC ou SAML. Si votre IdP prend en charge les deux, OIDC est recommandé car sa configuration est plus simple.
Ordre de configuration
- Vérifiez le domaine de l'entreprise
- Créez une application dans votre IdP
- Saisissez les valeurs dans Keural et enregistrez
- Activez SSO et testez la connexion
- Connectez SCIM (facultatif)
Tous les paramètres se trouvent dans Gestion de l'organisation → Paramètres SSO.
1. Vérifiez le domaine de l'entreprise
Vous devez d'abord prouver que vous êtes propriétaire du domaine d'e-mail qui servira au SSO. Un domaine non vérifié ne peut pas être enregistré à l'étape 3.
Saisissez le domaine de votre entreprise (par exemple, acme.com) dans Domaines de l'organisation, puis cliquez sur Ajouter un domaine.
Dans la ligne de ce domaine de la liste, cliquez sur Vérifier. La fenêtre Vérifier le domaine affiche la Valeur de l'enregistrement TXT (keural-verify=…). Copiez cette valeur.
Dans la page de gestion DNS, ajoutez un enregistrement TXT à ce domaine et collez la valeur copiée. L'hôte (nom) est le domaine lui-même (généralement @).
Revenez à Keural et cliquez sur Confirmer la vérification. Lorsque Vérifié s'affiche sur la ligne, c'est terminé. La propagation DNS peut prendre plusieurs dizaines de minutes. En cas d'échec, patientez un peu puis cliquez à nouveau.
Si vous avez plusieurs domaines d'entreprise, ajoutez et vérifiez chacun d'eux. Les domaines d'e-mail publics, comme gmail.com, ne peuvent pas être utilisés.
2. Créez une application dans votre IdP
En haut de Paramètres SSO, choisissez OpenID Connect (OIDC) ou SAML 2.0 dans Protocole : l'écran affiche alors les valeurs Keural à enregistrer dans votre IdP. Saisissez-les dans l'application de l'IdP, puis notez les valeurs fournies par l'IdP.
| Sens | Élément | Détails |
|---|---|---|
| Keural → IdP | URI de rappel | À saisir tel quel dans l'URI de redirection de votre application IdP. |
| IdP → Keural | URL de l'émetteur (Issuer URL) | L'adresse de l'émetteur de votre IdP. |
| IdP → Keural | Client ID · Client Secret | Valeurs attribuées lors de la création de l'application IdP. |
La connexion n'aboutit que si l'IdP transmet l'e-mail de l'utilisateur.
| IdP | Où le créer | Champ pour l'URI de rappel | URL de l'émetteur |
|---|---|---|---|
| Okta | Applications → Create App Integration → OIDC · Web Application | Sign-in redirect URIs | https://<domaine Okta> |
| Microsoft Entra ID | App registrations → New registration | Redirect URI (Web) | https://login.microsoftonline.com/<ID du locataire>/v2.0 |
| Google Workspace | Console Google Cloud → API et services → Identifiants → ID client OAuth (application Web) | URI de redirection autorisés | https://accounts.google.com |
- Microsoft Entra ID : le Client Secret est la Value d'un secret créé dans Certificates & secrets. Dans Token configuration, ajoutez la revendication facultative
emailà l'ID token. - Okta : dans Assignments de l'application, indiquez les utilisateurs ou groupes qui utiliseront Keural.
3. Saisissez les valeurs dans Keural et enregistrez
- Saisissez les valeurs de l'IdP reçues à l'étape 2.
- Dans Domaines e-mail, saisissez les domaines vérifiés à l'étape 1, séparés par des virgules. Lorsqu'une personne se connecte avec un e-mail de l'un de ces domaines, elle est redirigée vers la page de connexion de l'entreprise.
- Décidez si vous activez Créer automatiquement les utilisateurs lors de la première connexion (JIT). Si c'est activé, les collaborateurs qui n'ont pas encore de compte Keural en reçoivent un lors de leur première connexion SSO. Si c'est désactivé, seules les personnes disposant déjà d'un compte peuvent se connecter.
- Cliquez sur Enregistrer.
Pour OIDC, si l'IdP ne fournit pas les adresses standard (discovery), saisissez les endpoints manuellement dans Afficher les paramètres avancés. Pour la plupart des IdP, laissez ces champs vides.
4. Activez SSO et testez la connexion
- Activez Activer SSO, puis cliquez sur Enregistrer.
- Cliquez sur Tester la connexion. La page de connexion de l'entreprise s'ouvre dans une nouvelle fenêtre.
- Connectez-vous avec votre compte d'entreprise, puis revenez sur Keural. La connexion est alors terminée.
Le test de connexion ne fonctionne que si SSO est activé. En cas de problème, désactivez Activer SSO et enregistrez. En attendant, les collaborateurs de ce domaine se connectent par lien envoyé par e-mail.
Connexion des collaborateurs
- Saisissez votre e-mail d'entreprise sur la page de connexion de Keural : vous êtes redirigé vers la page de connexion de l'entreprise, puis, après connexion, vous revenez sur Keural.
- Dans l'application de bureau, connectez-vous par lien envoyé par e-mail au lieu de passer par la page de l'entreprise.
- Les collaborateurs qui se connectent pour la première fois par SSO rejoignent l'organisation en tant que membres. Les rôles d'administrateur se définissent dans Gestion de l'organisation.
Dans les cas suivants, la connexion fonctionne, mais la personne ne rejoint pas automatiquement l'organisation :
- Tous les sièges achetés par l'organisation sont occupés
- Le compte appartient déjà à une autre organisation
5. Connectez SCIM (facultatif)
Lorsque SCIM est connecté, les utilisateurs que vous ajoutez ou désactivez dans l'IdP sont reflétés immédiatement dans les comptes Keural. Configurez-le après avoir terminé la connexion SSO.
Dans Provisionnement SCIM, activez Activer le provisionnement SCIM.
Cliquez sur Émettre un jeton, puis copiez le jeton. Il n'est affiché qu'à ce moment-là.
Saisissez l'URL de base SCIM (URL du locataire) et le jeton dans les paramètres de provisionnement de votre IdP. La méthode d'authentification est un jeton Bearer.
| IdP | Où le saisir |
|---|---|
| Okta | Application → Provisioning → SCIM connector base URL ; Authentication Mode sur HTTP Header |
| Microsoft Entra ID | Enterprise application → Provisioning → Automatic → Tenant URL · Secret Token |
Ce que vous faites dans l'IdP se reflète dans Keural de la manière suivante :
| Dans l'IdP | Dans Keural |
|---|---|
| Affecter un utilisateur | Crée un compte et l'ajoute à l'organisation. Le nom d'utilisateur est l'e-mail. |
| Désactiver un utilisateur ou retirer l'affectation | Suspend le compte et bloque la connexion. Les données ne sont pas supprimées. |
| Réactiver | Lève la suspension. |
| Ajouter ou retirer du groupe Keural Admins | Passe l'utilisateur administrateur ou le rétrograde en membre. Le propriétaire ne change pas. |
Si vous perdez le jeton, cliquez sur Réémettre le jeton, puis saisissez le nouveau jeton dans l'IdP. L'ancien jeton est immédiatement invalidé.
Résolution des problèmes
| Symptôme | Action |
|---|---|
| Les domaines e-mail ne sont pas enregistrés | Vérifiez que la vérification de domaine de l'étape 1 est terminée et que le domaine n'est pas un domaine d'e-mail public. |
| La vérification du domaine échoue | Vérifiez que vous avez saisi la valeur TXT complète, à partir de keural-verify=. Attendez la propagation DNS puis cliquez à nouveau. |
| Tester la connexion n'ouvre pas la page de l'entreprise | Vérifiez que Activer SSO est activé et que vous avez enregistré. |
| Après la connexion entreprise, vous revenez à la page de connexion Keural | Pour OIDC, vérifiez l'URI de rappel, l'URL de l'émetteur, le Client Secret et la revendication e-mail. Pour SAML, vérifiez l'EntityID du SP, l'URL ACS, le certificat et l'attribut e-mail. |
| La connexion est refusée car le compte n'existe pas | Créer automatiquement les utilisateurs lors de la première connexion (JIT) est désactivé. Activez-le ou invitez d'abord le collaborateur. |
| La connexion fonctionne, mais l'espace de travail de l'organisation n'apparaît pas | Vérifiez qu'il reste des sièges et que le compte n'appartient pas à une autre organisation. |
| L'ouverture de l'application depuis le portail IdP échoue (SAML) | Commencez par la page de connexion Keural avec votre e-mail d'entreprise. |
| Le test de connexion SCIM échoue | Saisissez à nouveau la Base URL et le jeton. Si vous avez réémis le jeton, remplacez-le par le nouveau. |