Configurer le SSO avec Microsoft Entra ID

Configurez l'authentification unique entre Microsoft Entra ID (anciennement Azure AD) et Clevera afin que votre équipe puisse se connecter avec son compte professionnel Microsoft. Vous pouvez vous connecter via SAML 2.0 ou OpenID Connect (OIDC) ; ce guide couvre les deux méthodes, tant du côté d'Entra que des champs correspondants dans Clevera.

Le centre d'administration Microsoft Entra évolue régulièrement. Si une étiquette ci-dessous ne correspond pas, recherchez le paramètre ayant la même signification et utilisez les guides généraux pour obtenir la liste complète des valeurs : SAML, OIDC.

Avant de commencer#

• Vous êtes le Propriétaire d'un espace de travail Clevera sur un Plan personnalisé.
• Vous pouvez créer des applications d'entreprise ou des enregistrements d'application dans Entra (par exemple, en tant qu'administrateur d'application).
• Vous connaissez les domaines d'e-mail utilisés par vos collaborateurs, tels que acme.example.

Ouvrez d'abord la boîte de dialogue de configuration de Clevera pour pouvoir copier les valeurs : ouvrez le menu de l'espace de travail en haut de la barre latérale, choisissez Paramètres de l'équipe, puis Sécurité, et cliquez sur Configurer le SSO. Choisissez Microsoft Entra ID (Azure AD) comme Fournisseur d'identité.

Se connecter avec SAML 2.0#

1. Créer une application d'entreprise#

   Dans le centre d'administration Microsoft Entra, accédez à Applications d'entreprise et cliquez sur Nouvelle application, puis sur Créer votre propre application. Nommez-la Clevera, choisissez Intégrer toute autre application que vous ne trouvez pas dans la galerie (Hors galerie) et cliquez sur Créer.

2. Choisir SAML#

   Dans la nouvelle application, ouvrez Authentification unique et choisissez SAML.

3. Saisir les valeurs de Clevera#

   Dans Configuration SAML de base, cliquez sur Modifier et remplissez les champs :

   Champ Entra	Valeur depuis Clevera
   Identifiant (ID d'entité)	ID d'entité / URI d'audience (copiez-le depuis la boîte de dialogue Clevera ; il se termine par l'ID de votre espace de travail)
   URL de réponse (URL du service consommateur d'assertion)	https://app.clevera.ai/sso/saml/callback
   URL de connexion	Laisser vide
   État de relais	Laisser vide
   URL de déconnexion	Uniquement si vous utilisez la déconnexion unique : https://app.clevera.ai/sso/saml/slo

   Cliquez sur Enregistrer.

4. Vérifier les revendications#

   Dans Attributs et revendications, ouvrez Identifiant unique de l'utilisateur (ID de nom). Définissez le Format de l'identifiant de nom sur Adresse e-mail et l'attribut source sur l'attribut contenant l'e-mail des utilisateurs : user.mail, ou user.userprincipalname si leur nom de connexion est leur e-mail. Conservez les revendications par défaut givenname, surname et emailaddress : Clevera les lit.

5. Signer la réponse et l'assertion#

   Dans Certificats SAML, cliquez sur Modifier à côté du certificat de signature. Définissez l'Option de signature sur Signer la réponse et l'assertion SAML et l'Algorithme de signature sur SHA-256. Cliquez sur Enregistrer.

   Par défaut, Entra ne signe que l'assertion, ce que Clevera rejette.

6. Copier les valeurs d'Entra dans Clevera#

   Dans Certificats SAML, téléchargez le Certificat (Base64) et ouvrez-le dans un éditeur de texte. Dans Configurer Clevera, copiez les URL. Dans Clevera, définissez le Protocole sur SAML 2.0, cliquez sur Continuer et collez :

   Valeur Entra	Champ Clevera
   Identifiant Microsoft Entra	ID d'entité IdP
   URL de connexion	URL de connexion SSO
   URL de déconnexion	URL de déconnexion (optionnel)
   Le contenu du Certificat (Base64)	Certificat X.509

7. Assigner des utilisateurs#

   Dans Utilisateurs et groupes, cliquez sur Ajouter un utilisateur/groupe et ajoutez les personnes ou groupes devant utiliser Clevera.

Terminez ensuite dans Clevera : domaines et rôles.

Se connecter avec OpenID Connect#

1. Enregistrer l'application#

   Dans la boîte de dialogue de configuration de Clevera, définissez le Protocole sur OpenID Connect et copiez l'URI de redirection (URL de rappel) depuis la zone grise. Dans Entra, accédez à Enregistrements d'applications et cliquez sur Nouvelle inscription. Nommez-la Clevera, choisissez Comptes dans cet annuaire organisationnel uniquement (locataire unique), et sous URI de redirection, choisissez Web et collez https://app.clevera.ai/sso/oidc/callback. Cliquez sur Enregistrer.

2. Copier les ID#

   Sur la Vue d'ensemble de l'application, copiez l'ID d'application (client) et l'ID de répertoire (locataire).

3. Créer un secret client#

   Ouvrez Certificats et secrets, cliquez sur Nouveau secret client, choisissez une date d'expiration et cliquez sur Ajouter. Copiez immédiatement la Valeur du secret (pas l'ID du secret) ; Entra ne l'affiche qu'une seule fois.

4. Ajouter la revendication d'e-mail#

   Ouvrez Configuration du jeton, cliquez sur Ajouter une revendication facultative, choisissez ID, cochez email et cliquez sur Ajouter. Acceptez l'invite pour ajouter l'autorisation d'e-mail Microsoft Graph. Sans cela, Clevera revient au nom de connexion (preferred_username), ce qui ne fonctionne que si celui-ci est l'e-mail de la personne.

5. Remplir dans Clevera#

   Dans Clevera, cliquez sur Continuer et saisissez :

   Champ Clevera	Valeur
   ID client	ID d'application (client)
   Secret client	Valeur du secret
   URL de découverte	https://login.microsoftonline.com/ votre ID de répertoire (locataire) /v2.0/.well-known/openid-configuration

   Utilisez votre ID de locataire dans l'URL, pas common ou organizations : Clevera vérifie l'émetteur, et ces URL partagées ne correspondent pas.

6. Limiter les accès (optionnel)#

   Par défaut, toute personne de votre locataire peut utiliser l'application. Pour limiter cela, ouvrez Applications d'entreprise → Clevera → Propriétés, définissez Affectation requise ? sur Oui, et ajoutez des personnes ou des groupes dans Utilisateurs et groupes.

Terminer dans Clevera#

1. Dans Domaines et rôles, ajoutez chaque domaine d'e-mail utilisé par vos collaborateurs, y compris les domaines vérifiés supplémentaires dans votre locataire. Choisissez Créer des comptes lors de la première connexion et le Rôle par défaut pour les nouveaux membres SSO.
2. Dans Examiner, cliquez sur Enregistrer la configuration.
3. Cliquez sur Exécuter le test, activez Activer le SSO, et connectez-vous en tant qu'utilisateur de test dans une fenêtre privée, en commençant par la page de connexion Clevera.
4. Une fois que cela fonctionne pour tout le monde, activez Exiger le SSO si vous souhaitez que le SSO soit le seul moyen d'accès.

Les membres saisissent leur e-mail professionnel sur la page de connexion Clevera et cliquent sur Continuer avec Microsoft Entra ID (Azure AD).

Dépannage#

Plus de messages : Résoudre les problèmes de connexion SSO.

Connexe#