Comprendre l'authentification unique (SSO) dans Clevera
Ce que fait l'authentification unique dans Clevera : quel forfait l'inclut, SAML 2.0 vs OpenID Connect, qui peut se connecter avec, l'option Exiger le SSO, et ce qu'il advient des membres et mots de passe existants.
L'authentification unique (SSO) permet à votre équipe de se connecter à Clevera avec son compte d'entreprise via Okta, Microsoft Entra ID, Google Workspace ou tout fournisseur SAML 2.0 ou OpenID Connect. Cet article explique ce que fait le SSO dans Clevera, qui peut le configurer et ce qui change pour vos membres.
Avant de commencer
- Forfait : Le SSO fait partie des forfaits personnalisés. Sur les autres forfaits, le propriétaire voit Forfait personnalisé requis dans Paramètres de l'équipe → Sécurité, avec un lien Contactez-nous. Voir Choisir un forfait.
- Qui peut le configurer : uniquement le Propriétaire de l'espace de travail. Les administrateurs ne peuvent ni voir ni modifier les paramètres SSO.
- Votre fournisseur d'identité : une personne capable de créer une application dans votre fournisseur d'identité (IdP) ou de vous en transmettre les valeurs.
- Vos domaines d'e-mail : chaque domaine d'entreprise avec lequel vos collaborateurs se connectent, tel que
acme.example.
Ce que fait le SSO dans Clevera
| Ce qui se passe | |
|---|---|
| Connexion | Les utilisateurs saisissent leur e-mail professionnel sur la page de connexion Clevera et cliquent sur Continuer avec votre fournisseur. Ils se connectent via votre IdP et reviennent connectés à votre espace de travail. |
| Nouvelles personnes | Avec l'option Créer des comptes lors de la première connexion activée, une personne sans compte Clevera en obtient un lors de sa première connexion et rejoint votre espace de travail avec le rôle par défaut que vous avez choisi (en tant qu'Éditeur si ce rôle nécessite une place de créateur et qu'aucune n'est disponible). |
| Membres existants | Les membres dont le domaine d'e-mail figure sur votre liste peuvent se connecter immédiatement avec le SSO. Rien ne change concernant leurs vidéos ou leur rôle. |
| Exiger le SSO | Avec Exiger le SSO activé, les membres de vos domaines ne peuvent plus se connecter avec un mot de passe ou Google, et les nouvelles personnes de vos domaines ne peuvent plus s'inscrire avec un mot de passe. |
| Propriétaire | Le propriétaire peut toujours se connecter avec son mot de passe, afin que vous ne puissiez pas vous retrouver bloqué. |
Le SSO fonctionne par espace de travail : la connexion, ses domaines et ses règles appartiennent à l'espace de travail dans lequel vous l'avez configuré.
SAML 2.0 ou OpenID Connect
Clevera prend en charge les deux. Choisissez celui que votre administrateur IdP préfère ; le résultat pour vos membres est identique.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Ce que vous saisissez dans Clevera | ID d'entité IdP, URL de connexion SSO, certificat X.509, URL de déconnexion facultative | ID client, secret client et une URL de découverte (ou les points de terminaison manuellement) |
| Ce que vous donnez à votre IdP | ID d'entité / URI d'audience et URL ACS (URL de réponse) | URI de redirection (URL de rappel) |
| Déconnexion unique depuis l'IdP | Prise en charge, si vous ajoutez une URL de déconnexion | Non pris en charge |
| Guide | Configurer le SSO avec SAML | Configurer le SSO avec OpenID Connect |
Guides des fournisseurs : Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML ou OIDC) et JumpCloud (SAML uniquement) figurent également dans la liste des fournisseurs ; suivez le guide SAML ou OIDC général pour ceux-ci.
Comment fonctionne la configuration
Créer une application dans votre IdP
Utilisez les valeurs que Clevera affiche à la première étape de la boîte de dialogue de configuration, chacune avec un bouton de copie : l'ID d'entité et l'URL ACS pour SAML, ou l'URI de redirection pour OIDC.
Connecter le tout dans Clevera
Ouvrez le menu de l'espace de travail en haut de la barre latérale, choisissez Paramètres de l'équipe, puis Sécurité. Sous Authentification unique, cliquez sur Configurer le SSO et suivez les quatre étapes : Fournisseur, Fournisseur d'identité, Domaines et rôles, Examiner. Cliquez sur Enregistrer la configuration.
Tester la configuration
Cliquez sur Exécuter le test, puis connectez-vous avec un membre test dans une fenêtre de navigation privée.
Activer le SSO
Activez Activer le SSO. Lorsque tout le monde peut se connecter, activez Exiger le SSO si vous souhaitez que le SSO soit le seul moyen d'accès.
L'enregistrement n'active jamais le SSO de lui-même, vous pouvez donc préparer la connexion sans affecter personne.
Comment les utilisateurs se connectent ensuite
- Sur la page de connexion Clevera, ils saisissent leur e-mail professionnel.
- Clevera reconnaît le domaine et affiche "Votre organisation utilise Okta" (le nom de votre fournisseur) avec un bouton Continuer avec Okta. Avec un Fournisseur SAML/OIDC personnalisé, il est indiqué "Votre organisation utilise le SSO" et le bouton affiche Continuer avec le SSO. Avec Exiger le SSO activé, il ajoute "Les membres de cette organisation se connectent avec Okta."
- Ils cliquent sur le bouton, se connectent à votre IdP et arrivent sur leur page d'accueil Clevera dans votre espace de travail. S'ils ouvraient un lien Clevera au moment où ils ont été invités à se connecter, ils arrivent sur cette page à la place.
Ils restent connectés sur ce navigateur jusqu'à ce qu'ils se déconnectent. Se déconnecter de Clevera ne les déconnecte pas de votre IdP.
Application de bureau : l'application de bureau se connecte via votre navigateur. Sur la page de connexion du navigateur, saisissez votre e-mail professionnel et cliquez sur Continuer avec votre fournisseur. Après vous être connecté à votre IdP, le navigateur vous renvoie vers l'application de bureau, qui termine la connexion. Voir Se connecter à l'application de bureau.
Qui peut utiliser le SSO
| Personne | Peut se connecter avec le SSO ? |
|---|---|
| Un membre de l'espace de travail dont le domaine d'e-mail est sur votre liste | Oui |
| Quelqu'un sur votre domaine sans compte Clevera | Oui, si Créer des comptes lors de la première connexion est activé. Sinon, invitez-les d'abord. |
| Quelqu'un sur votre domaine qui a déjà un compte Clevera mais n'est pas membre de cet espace de travail | Non. Invitez-les, et une fois qu'ils auront accepté, le SSO fonctionnera pour eux. |
| Le propriétaire | Oui, s'il a enregistré la configuration SSO lui-même. Il peut toujours utiliser son mot de passe également. |
| Toute personne dont le domaine d'e-mail ne figure pas sur votre liste | Non. Ils continuent de se connecter comme ils le font actuellement. |
Les troisième et quatrième lignes sont des mesures de sécurité : comme les domaines d'e-mail dans Clevera ne sont pas vérifiés, le SSO ne prend jamais le contrôle d'un compte qui n'est pas déjà dans votre espace de travail, et ne connecte jamais le propriétaire via une connexion enregistrée par quelqu'un d'autre.
Places de créateur
Une personne créée par le SSO obtient le Rôle par défaut pour les nouveaux membres SSO que vous avez choisi. Si c'est Créateur de contenu et que chaque place de créateur de votre forfait est occupée, ils rejoignent en tant qu'Éditeur, ce qui n'utilise aucune place. Ajoutez une place et modifiez leur rôle dans Paramètres de l'équipe → Membres. Voir Comprendre les espaces de travail, les rôles et les places de créateur.
Ce qu'il advient des mots de passe
- Les membres existants conservent leur mot de passe. Tant que Exiger le SSO est désactivé, ils peuvent utiliser l'un ou l'autre. Lorsqu'il est activé, un membre qui se connecte avec le bon mot de passe voit "Votre organisation exige l'authentification unique. Utilisez le bouton SSO pour continuer."
- Les nouvelles personnes sur vos domaines ne peuvent pas créer de compte avec un mot de passe tant que Exiger le SSO est activé. Le formulaire d'inscription répond "Votre organisation se connecte avec l'authentification unique (SSO). Allez sur Se connecter, saisissez cet e-mail et choisissez Continuer avec le SSO." Leur compte est créé lors de la première connexion avec le SSO (avec Créer des comptes lors de la première connexion activé ; sinon, invitez-les).
- Les comptes créés par le SSO n'ont pas de mot de passe connu de l'utilisateur. Si le SSO est désactivé ou supprimé ultérieurement, ils utilisent Mot de passe oublié ? sur la page de connexion pour en définir un.
- La connexion Google est bloquée pour les membres de vos domaines tant que Exiger le SSO est activé.
Supprimer l'accès de quelqu'un
Clevera ne synchronise pas les utilisateurs depuis votre IdP. Désaffecter quelqu'un dans votre IdP arrête les nouvelles connexions SSO, mais un navigateur déjà connecté le reste. Pour couper l'accès immédiatement, supprimez-les également dans Paramètres de l'équipe → Membres.