Configurer le SSO avec SAML 2.0
Connectez Clevera à votre fournisseur d'identité avec SAML 2.0 : l'ID d'entité et l'URL ACS à fournir à votre IdP, les paramètres de signature et de Name ID, les attributs lus par Clevera, chaque champ de configuration, ainsi que les étapes pour tester et activer le SSO.
Connectez Clevera à votre fournisseur d'identité (IdP) avec SAML 2.0 afin que votre équipe puisse se connecter avec son compte professionnel. Cet article répertorie chaque champ de la boîte de dialogue de configuration de Clevera, les valeurs exactes dont votre IdP a besoin, ainsi que la marche à suivre pour tester et activer la fonctionnalité.
Pour savoir ce que le SSO modifie pour vos membres, lisez d'abord Comprendre l'authentification unique. Pour des guides étape par étape par écran d'IdP, consultez les guides pour Okta, Microsoft Entra ID et Google Workspace.
Avant de commencer
- Vous êtes le Propriétaire d'un espace de travail sur un Plan personnalisé.
- Vous pouvez créer une application SAML dans votre IdP, ou vous travaillez avec une personne qui peut le faire.
- Vous connaissez tous les domaines d'e-mail utilisés par votre équipe, tels que
acme.exampleeteu.acme.example.
Valeurs à fournir à votre IdP
Clevera affiche ces informations dans la boîte de dialogue de configuration sous « Pour la personne configurant votre fournisseur d'identité », chacune accompagnée d'un bouton de copie. Copiez-les depuis cet emplacement : l'ID d'entité contient l'ID propre à votre espace de travail.
| Libellé Clevera | Ce que c'est dans votre IdP | Valeur |
|---|---|---|
| ID d'entité / URI d'audience | URI d'audience, ID d'entité SP, Identifiant | https://app.clevera.ai/sso/metadata/ suivi de votre ID d'espace de travail |
| URL ACS (URL de réponse) | URL du service Assertion Consumer, URL d'authentification unique, URL de réponse | https://app.clevera.ai/sso/saml/callback |
| URL de métadonnées SP | Métadonnées du fournisseur de services | Même adresse que l'ID d'entité. Elle sert les métadonnées SAML de Clevera au format XML, pour les IdP capables de les importer. |
Configurez l'application dans votre IdP comme suit :
| Paramètre IdP | Définir sur |
|---|---|
| Format du Name ID | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Valeur du Name ID | L'e-mail professionnel de la personne |
| Signature | Signer à la fois la réponse SAML et l'assertion. SHA-256 est recommandé. |
| Chiffrement de l'assertion | Désactivé. Clevera n'accepte pas les assertions chiffrées. |
| Requêtes d'authentification signées | Non requis. Clevera envoie des requêtes non signées. |
| Liaison pour l'URL ACS | HTTP POST |
| RelayState par défaut, connexion initiée par l'IdP | Laisser vide. La connexion doit commencer sur la page de connexion de Clevera. |
Attributs lus par Clevera
L'e-mail provient du Name ID. Si le Name ID n'est pas une adresse e-mail, Clevera recherche le premier de ces attributs :
| Usage | Noms d'attributs acceptés par Clevera, dans l'ordre |
|---|---|
email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
|
| Prénom | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Nom de famille | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Nom d'affichage (utilisé en l'absence de prénom ou de nom) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
Les noms ne sont utilisés que lorsque Clevera crée un nouveau compte. En l'absence totale d'attributs de nom, le compte est nommé d'après la partie de l'e-mail située avant le @. Clevera ne lit aucun attribut de groupe ou de rôle : toute personne créée via le SSO reçoit le rôle par défaut que vous choisissez ci-dessous.
Connecter votre IdP dans Clevera
Ouvrir l'onglet Sécurité
Ouvrez le menu de l'espace de travail en haut de la barre latérale, choisissez Paramètres de l'équipe, puis Sécurité. Sous Authentification unique, cliquez sur Configurer le SSO. La boîte de dialogue Configurer l'authentification unique s'ouvre.
Fournisseur
Choisissez votre Fournisseur d'identité (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud ou Fournisseur SAML/OIDC personnalisé) et réglez le Protocole sur SAML 2.0. Copiez les valeurs dans la zone grise vers votre IdP, puis cliquez sur Continuer.
Le nom du fournisseur est ce que les membres voient sur le bouton de connexion, par exemple Continuer avec Okta. Avec Fournisseur SAML/OIDC personnalisé, le bouton indique Continuer avec le SSO.
Fournisseur d'identité
Collez les valeurs provenant de la page de configuration SAML de votre IdP. Consultez la référence des champs. Cliquez sur Continuer.
Domaines et rôles
Saisissez chaque domaine d'e-mail sous Domaines d'e-mail autorisés et cliquez sur Ajouter (ou appuyez sur Entrée). Choisissez ensuite s'il faut Créer des comptes lors de la première connexion et sélectionnez le Rôle par défaut pour les nouveaux membres SSO. Consultez Domaines et rôles.
Révision
Vérifiez le résumé et cliquez sur Enregistrer la configuration. Vous verrez le message « Configuration SSO enregistrée. Exécutez un test, puis activez-la. ». L'enregistrement n'active pas le SSO.
Champs du fournisseur d'identité
| Champ | Requis | Ce qu'il faut coller | Comment votre IdP l'appelle |
|---|---|---|---|
| ID d'entité IdP | Oui | L'émetteur de l'IdP, exactement tel qu'affiché par votre IdP | Émetteur du fournisseur d'identité, ID d'entité, Identifiant Microsoft Entra |
| URL de connexion SSO | Oui | L'URL vers laquelle Clevera redirige les utilisateurs pour la connexion (liaison HTTP Redirect) | URL d'authentification unique du fournisseur d'identité, URL de connexion, URL SSO |
| URL de déconnexion | Non | L'URL de déconnexion unique de votre IdP. « Laisser vide sauf si votre fournisseur nécessite une déconnexion unique. » | URL de déconnexion unique, URL de déconnexion |
| Certificat X.509 | Oui | Le certificat de signature de votre IdP | Certificat X.509, Certificat (Base64) |
Le certificat
- Collez le certificat complet. Les lignes
-----BEGIN CERTIFICATE-----et-----END CERTIFICATE-----sont facultatives ; les espaces et les sauts de ligne sont ignorés. - Utilisez le texte Base64 (PEM), pas un fichier binaire
.cer. Si vous avez téléchargé un fichier, ouvrez-le dans un éditeur de texte et copiez son contenu. - Clevera le stocke de manière chiffrée et ne l'affiche plus jamais. Lorsque vous modifiez la connexion plus tard, le champ indique « Un certificat est stocké. Laisser vide pour le conserver. »
- Exécuter le test vous indique si le certificat ne peut pas être lu ou a expiré.
Domaines et rôles
| Paramètre | Ce qu'il fait | Par défaut |
|---|---|---|
| Domaines d'e-mail autorisés | Seules les personnes possédant ces domaines d'e-mail peuvent utiliser la connexion. Les domaines déterminent également quand la page de connexion propose le SSO. Au moins un est requis. | Aucun |
| Créer des comptes lors de la première connexion | « Un compte Clevera est créé la première fois qu'une personne se connecte avec le SSO. » Le nouveau compte rejoint cet espace de travail. | Activé |
| Rôle par défaut pour les nouveaux membres SSO | Le rôle attribué aux nouveaux comptes : Éditeur, Créateur de contenu ou Administrateur. Administrateur n'est proposé que lorsque Créer des comptes lors de la première connexion est désactivé : « Les comptes créés automatiquement ne deviennent jamais Administrateur. » | Éditeur |
À propos des domaines :
- Un domaine doit correspondre exactement.
acme.examplene couvre paseu.acme.example; ajoutez-les chacun. - Saisissez uniquement le domaine (
acme.example), pas un e-mail. Un@au début est supprimé. - Un domaine ne peut appartenir qu'à un seul espace de travail Clevera. Si un autre espace de travail l'utilise déjà, l'enregistrement affichera « Le domaine acme.example est déjà attribué à une autre équipe. » Contactez le support s'il s'agit de votre domaine.
Les Créateurs de contenu utilisent une licence de créateur ; les Éditeurs non. Si le rôle par défaut est Créateur de contenu et que toutes les licences de créateur sont occupées, une personne rejoignant via le SSO devient Éditeur à la place, afin que le SSO ne dépasse jamais votre nombre de licences. Ajoutez une licence et modifiez leur rôle dans Paramètres de l'équipe → Membres quand vous êtes prêt. Consultez Comprendre les espaces de travail, les rôles et les licences de créateur.
Tester la connexion
Exécuter la vérification
De retour sur l'onglet Sécurité, cliquez sur Exécuter le test à côté de Tester la connexion. Cela vérifie les paramètres enregistrés : que l'ID d'entité, l'URL de connexion et le certificat sont présents, que l'URL est valide et que le certificat est lisible et non expiré.
Vous verrez « La configuration SSO est valide et prête à l'emploi. » ou « La configuration SSO présente des problèmes qui doivent être résolus. » avec une liste. Consultez Résoudre les problèmes de connexion SSO.
Exécutez le test avant d'activer le SSO. Activer le SSO
Activez Activer le SSO. Vous verrez « SSO activé. ». Le badge d'état passe de Désactivé à Actif.
Se connecter en tant que membre test
Ouvrez une fenêtre de navigation privée, accédez à la page de connexion Clevera et saisissez l'adresse e-mail d'un membre (ou d'une nouvelle personne, si les comptes sont créés lors de la première connexion). Cliquez sur Continuer avec votre fournisseur et connectez-vous à votre IdP. Vous devriez arriver sur la page d'accueil Clevera de cette personne dans votre espace de travail.
Votre propre session n'est pas affectée et, en tant que propriétaire, vous pouvez toujours vous connecter avec votre mot de passe.
Exécuter le test ne contacte pas votre IdP, la connexion réelle à l'étape 3 est donc le seul test complet. Lancez-le depuis la page de connexion Clevera : un test lancé depuis le tableau de bord de votre IdP sera refusé.
Exiger le SSO
Lorsque tout le monde peut se connecter, activez Exiger le SSO (« Les membres correspondants doivent se connecter avec le SSO. »). Vous verrez « Le SSO est désormais requis » et le badge indiquera Actif · imposé.
À partir de ce moment, les membres de vos domaines ne peuvent plus utiliser de mot de passe ou Google, et une nouvelle personne sur vos domaines ne peut pas créer de compte Clevera avec un mot de passe : elle obtient son compte en se connectant avec le SSO. Vous ne pouvez l'activer que si Activer le SSO est activé, et désactiver Activer le SSO le désactive également.
Déconnexion unique
Si vous remplissez l'URL de déconnexion, les métadonnées de Clevera listent également une adresse de déconnexion : https://app.clevera.ai/sso/saml/slo (liaison de redirection HTTP). Lorsque votre IdP y envoie une demande de déconnexion, Clevera déconnecte la personne et la renvoie vers votre IdP.
Se déconnecter de Clevera ne déconnecte pas les utilisateurs de votre IdP.
Modifier ou supprimer la connexion
- Modifier : cliquez sur Modifier à côté de Fournisseur. La boîte de dialogue s'ouvre avec vos valeurs enregistrées ; laissez le certificat vide pour le conserver.
- Désactiver temporairement : désactivez Activer le SSO. Les paramètres restent enregistrés.
- Supprimer : ouvrez le menu à côté du badge d'état et choisissez Supprimer la configuration SSO, puis Supprimer le SSO. « Les membres qui se connectent avec le SSO devront réinitialiser leur mot de passe pour continuer à se connecter. »
La ligne Fournisseur affiche le protocole et le nombre de domaines dont vous disposez. Une fois que les utilisateurs utilisent le SSO, une ligne telle que « 12 connexions SSO · dernière le 12 oct. » apparaît en bas de la section.