Règles et authentification unique

Les policyRègles de l'organisation fixent des règles qui s'appliquent à toutes les personnes que vous faites entrer. vpn_keyAuthentification unique permet à vos employés de se connecter avec le compte que votre entreprise leur fournit déjà, et de rejoindre automatiquement l'organisation.

Les deux se trouvent dans l'espace Enterprise : businessEnterprise > policyRègles et vpn_keyAuthentification unique.

Les règles de l'organisation#

Modifiez les options ci-dessous, puis appuyez sur saveEnregistrer en haut de la page. Un nouveau rôle par défaut s'applique aux personnes qui arrivent à partir de ce moment ; il ne change pas le rôle des membres existants.

Domaines e-mail autorisés#

Seules les personnes ayant ces domaines e-mail peuvent être invitées ou liées. Laissez vide pour autoriser tous les domaines.

1. Sous Domaines e-mail autorisés, saisissez un domaine dans Ajouter un domaine, par exemple acme.com. Saisissez uniquement le domaine, pas une adresse e-mail ni une adresse web.
2. Appuyez sur addAjouter (ou sur Enter). Le domaine apparaît sous forme de pastille.
3. Appuyez sur saveEnregistrer.

Appuyez sur close sur une pastille pour retirer ce domaine. Quand la liste ne contient aucun domaine, la page indique « Aucune restriction — tout domaine e-mail peut être invité. »

Une fois la liste définie, une invitation vers tout autre domaine est refusée, aussi bien sur la page groupUtilisateurs que par le serveur, tout comme une demande d'adhésion envoyée à un compte existant. Les membres ne peuvent pas non plus remplacer leur adresse de connexion par une adresse d'un autre domaine.

Valeurs par défaut#

• Rôle par défaut des nouveaux membres : le rôle attribué à toute personne qui arrive : les personnes que vous invitez, les comptes existants qui acceptent une demande d'adhésion, les personnes qui arrivent par l'authentification unique et les membres créés via l'API. Au départ, c'est Membre. Seul le propriétaire peut le passer à Administrateur. Voir les rôles.
• Marquer les membres inactifs après (jours) : un membre qui ne s'est pas connecté depuis plus longtemps que ce nombre de jours est compté comme inactif sur la page groupUtilisateurs, signe que sa place pourrait revenir à quelqu'un d'autre. N'importe quel nombre de 1 à 3650 ; la valeur de départ est 60.

Garde-fous#

• Exiger le transfert des projets avant qu'un membre ne ferme son compte : Les membres ne peuvent pas supprimer leur propre compte tant qu'ils possèdent des projets. Les membres que vous supprimez laissent toujours leurs projets à l'organisation. Si cette option est activée, appuyer sur delete_foreverSupprimer l'utilisateur pour un membre qui possède des projets affiche Transférez d'abord les projets et propose plutôt Transférer des projets. La suppression de plusieurs membres à la fois est bloquée de la même façon quand l'un d'eux possède des projets. Voir transférer les projets d'un membre.

L'authentification unique#

Avec l'authentification unique, vos employés se connectent à Measure Map Online avec le compte que votre entreprise leur donne déjà (Microsoft, Okta, Google et d'autres), via le fournisseur d'identité de votre entreprise, en SAML ou en OpenID Connect (OIDC). Toute personne de votre entreprise qui se connecte par ce biais rejoint automatiquement votre organisation.

Vous en faites la demande sur la page vpn_keyAuthentification unique : elle indique ce qu'il faut saisir dans votre fournisseur d'identité et ce qu'il faut nous envoyer. Nous vérifions la demande et activons l'authentification unique. Le propriétaire de l'organisation et ses administrateurs peuvent envoyer la demande.

Comment ça marche#

1. Vous nous envoyez ci-dessous les informations de votre fournisseur d’identité et les domaines de votre équipe.
2. Nous les vérifions et activons l’authentification unique. Vous recevez un e-mail et cette page affiche le lien de connexion.
3. Votre équipe se connecte avec son compte d’entreprise. Les nouveaux rejoignent votre organisation et apparaissent dans Utilisateurs, où vous définissez leur rôle.

Ce qu'il vous faut avant de commencer#

• Un accès administrateur à votre fournisseur d'identité, par exemple au centre d'administration Microsoft Entra, à l'Okta Admin Console ou à la console d'administration Google, ou quelqu'un de votre service informatique qui l'a. Vous y ajoutez Measure Map Online comme application.
• Tous les domaines de messagerie de votre équipe, par exemple acme.com et acme.co.uk. Seules les personnes dont l'adresse est sur ces domaines peuvent rejoindre l'organisation par l'authentification unique.
• Un contact technique : le nom et l'adresse e-mail de la personne que nous pouvons interroger sur la connexion.
• Trois informations de votre fournisseur d'identité, que vous copiez une fois Measure Map Online ajouté chez lui (étape 1 ci-dessous) :
  • en SAML : URL d’authentification unique (URL de connexion), Entity ID du fournisseur d’identité (émetteur) et Certificat de signature ;
  • en OpenID Connect : URL de l’émetteur (issuer), ID client et Secret client.

Étape 1 : ajouter Measure Map Online à votre fournisseur d'identité#

1. Ouvrez businessEnterprise > vpn_keyAuthentification unique.

2. Sous Protocole, choisissez SAML 2.0, que la page recommande, ou OpenID Connect si votre service informatique le préfère.

3. Sous Fournisseur d’identité, choisissez le vôtre : Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud ou Autre fournisseur.

4. Sous Saisissez ces valeurs dans votre fournisseur d’identité, la page affiche les valeurs de Measure Map Online. Copiez chacune depuis la page avec content_copy plutôt que de la retaper.

   En SAML :

   • Identifiant (Entity ID) : https://app.measuremaponline.com
   • URL de réponse (ACS URL) : https://measuremaponline.com/__/auth/handler
   • Name ID : L’adresse e-mail de l’utilisateur
   • Attributs : email (obligatoire) ; prénom et nom, ou nom d’affichage (facultatif)

   En OpenID Connect :

   • URI de redirection : https://measuremaponline.com/__/auth/handler
   • Portées (scopes) : openid email profile

5. En dessous, la page donne les étapes pour le fournisseur choisi. Elles figurent aussi ici, avec l'endroit où trouver chaque information demandée à l'étape 2.

Où les trouver dans votre fournisseur d'identité#

Microsoft Entra ID, Okta et Google Workspace ont leurs propres étapes. OneLogin, JumpCloud et les autres fournisseurs suivent les étapes générales.

Microsoft Entra ID, en SAML#

1. Dans le centre d'administration Microsoft Entra, ouvrez Applications d'entreprise > Nouvelle application > Créer votre propre application. Nommez-la « Measure Map Online » et choisissez d'intégrer une application absente de la galerie.
2. Dans la nouvelle application, ouvrez Authentification unique et choisissez SAML. Dans Configuration SAML de base, saisissez Identifiant (Entity ID) et URL de réponse (ACS URL).
3. Dans Attributs et revendications, réglez l'Identificateur d'utilisateur unique (Name ID) sur user.mail et gardez la revendication d'adresse e-mail.
4. Dans Utilisateurs et groupes, attribuez les personnes ou groupes qui doivent se connecter.
5. De retour dans Authentification unique, copiez les trois informations :
   • URL d’authentification unique (URL de connexion) : l'URL de connexion, sous Configurer Measure Map Online.
   • Entity ID du fournisseur d’identité (émetteur) : l'Identificateur Microsoft Entra, au même endroit.
   • Certificat de signature : téléchargez le Certificat (Base64) sous Certificats SAML.

Okta, en SAML#

1. Dans la console d'administration Okta, ouvrez Applications > Applications > Create App Integration, choisissez SAML 2.0 et nommez l'app « Measure Map Online ».
2. Saisissez URL de réponse (ACS URL) comme Single sign-on URL et Identifiant (Entity ID) comme Audience URI (SP Entity ID). Réglez Name ID format sur EmailAddress et Application username sur Email.
3. Dans Attribute Statements, ajoutez email avec la valeur user.email (et firstName et lastName si vous le souhaitez).
4. Dans l'onglet Assignments, attribuez les personnes ou groupes qui doivent se connecter.
5. Dans l'onglet Sign On, ouvrez View SAML setup instructions et copiez :
   • URL d’authentification unique (URL de connexion) : Identity Provider Single Sign-On URL.
   • Entity ID du fournisseur d’identité (émetteur) : Identity Provider Issuer.
   • Certificat de signature : X.509 Certificate.

Google Workspace, en SAML#

1. Dans la console d'administration Google, ouvrez Applications > Applications Web et mobiles > Ajouter une application > Ajouter une application SAML personnalisée, et nommez-la « Measure Map Online ».
2. Sur la page des informations du fournisseur d'identité Google, copiez les trois informations, puis continuez :
   • URL d’authentification unique (URL de connexion) : l'URL SSO.
   • Entity ID du fournisseur d’identité (émetteur) : l'ID d'entité.
   • Certificat de signature : téléchargez le certificat.
3. Sur la page suivante, saisissez URL de réponse (ACS URL) comme URL ACS et Identifiant (Entity ID) comme ID d'entité. Réglez le format d'ID de nom sur EMAIL et l'ID de nom sur Informations de base > Adresse e-mail principale.
4. Dans Accès utilisateur, activez l'application pour les unités organisationnelles ou groupes qui doivent se connecter.

OneLogin, JumpCloud et autres fournisseurs, en SAML#

1. Créez une application SAML 2.0 nommée « Measure Map Online ».
2. Saisissez Identifiant (Entity ID) et URL de réponse (ACS URL), envoyez l'adresse e-mail de l'utilisateur comme Name ID et attribuez les personnes qui doivent se connecter.
3. Copiez les trois informations, en général sur la page SAML ou métadonnées de l'application :
   • URL d’authentification unique (URL de connexion) : l'URL d'authentification unique du fournisseur d'identité.
   • Entity ID du fournisseur d’identité (émetteur) : son entity ID, aussi appelé émetteur (issuer).
   • Certificat de signature : son certificat de signature.

Microsoft Entra ID, en OpenID Connect#

1. Dans le centre d'administration Microsoft Entra, ouvrez Inscriptions d'applications > Nouvelle inscription. Nommez-la « Measure Map Online », choisissez Web comme plateforme et saisissez l'URI de redirection.
2. Dans Certificats et secrets, créez un secret client et copiez sa valeur tout de suite : elle n'est affichée qu'une fois.
3. Dans Configuration du jeton, ajoutez la revendication facultative email au jeton d'ID.
4. Copiez les trois informations :
   • URL de l’émetteur (issuer) : https://login.microsoftonline.com/<ID de locataire>/v2.0, avec l'ID de répertoire (locataire) de la page Vue d'ensemble.
   • ID client : l'ID d'application (client).
   • Secret client : la valeur du secret de l'étape 2.

Autres fournisseurs, en OpenID Connect#

1. Créez une application web OpenID Connect nommée « Measure Map Online », avec l'URI de redirection.
2. Autorisez les portées openid, email et profile, et attribuez les personnes qui doivent se connecter.
3. Copiez les trois informations : URL de l’émetteur (issuer), ID client et Secret client.

Étape 2 : nous envoyer les informations#

Sous Envoyez-nous les informations, remplissez :

• En SAML : URL d’authentification unique (URL de connexion), Entity ID du fournisseur d’identité (émetteur) et Certificat de signature. Collez le texte du certificat (Base64 ou PEM, avec ses lignes BEGIN et END), ou appuyez sur upload_fileChoisir un fichier et choisissez le fichier .cer, .crt ou .pem que vous avez téléchargé.
• En OpenID Connect : URL de l’émetteur (issuer), ID client et Secret client.
• Domaines de messagerie : saisissez un domaine, par exemple acme.com, et appuyez sur addAjouter (ou Entrée). Ajoutez tous les domaines de votre équipe : seules les personnes dont l'adresse est sur ces domaines peuvent rejoindre l'organisation par l'authentification unique.
• Contact technique et E-mail de contact : la personne que nous contactons au sujet de la demande. Tout le reste va dans Ce que nous devrions savoir (facultatif).

Appuyez sur sendEnvoyer la demande. Les informations sont vérifiées à l'envoi et, si elles ne sont pas acceptées, le formulaire indique tout de suite ce qu'il faut corriger :

• « Ce certificat de signature n’a pas pu être lu. Collez le certificat entier, avec ses lignes BEGIN et END, ou choisissez le fichier. »
• « Ces informations n’ont pas été acceptées. Vérifiez l’URL d’authentification unique, l’Entity ID et le certificat (ou l’émetteur, l’ID client et le secret), puis réessayez. »

Pendant que nous vérifions#

Une fois la demande envoyée, le statut en haut de la page indique schedule En attente de notre part, avec les informations envoyées et le numéro du ticket d'assistance ouvert pour elle. Nous vérifions la demande, avant tout que les domaines de messagerie appartiennent bien à votre organisation, puis nous activons l'authentification unique. Le propriétaire reçoit un e-mail, et la page affiche check_circle Activé avec le lien de connexion.

Tant qu'elle est en attente, vous pouvez :

• Appuyer sur editModifier la demande pour la corriger, puis sur sendMettre à jour la demande. Laissez Certificat de signature ou Secret client vide pour garder celui envoyé auparavant.
• Appuyer sur undoRetirer la demande pour l'annuler. Vous pouvez en envoyer une nouvelle à tout moment.

Si nous avons besoin d'une modification, le statut indique error Modification nécessaire, avec notre note sur ce qu'il faut changer. Corrigez le formulaire et appuyez sur sendMettre à jour la demande.

Une fois activée#

La page affiche votre fournisseur d'identité, les domaines de messagerie approuvés et le Lien de connexion, par exemple https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Appuyez sur content_copy pour le copier, et partagez-le avec votre équipe : il ouvre la page de connexion prête pour le fournisseur de votre entreprise. Le même lien avec ?saml= à la place de ?sso= fonctionne aussi.

• Qui rejoint : les personnes qui se connectent par ce lien rejoignent automatiquement votre organisation la première fois, si leur adresse est sur l'un des domaines approuvés. Elles reçoivent le rôle par défaut de l'organisation, comme les personnes invitées, et chacune occupe une place. S'il n'y a pas de place libre, la personne ne peut pas rejoindre l'organisation, et le propriétaire reçoit un e-mail à ce sujet (une fois par jour au plus).
• Modifications : pour changer de fournisseur ou désactiver l'authentification unique, appuyez sur support_agentNous contacter. Le formulaire d'assistance s'ouvre, avec le message déjà commencé. Le propriétaire reçoit un e-mail chaque fois que l'authentification unique est activée ou désactivée : un changement que personne n'attendait ne passe donc pas inaperçu.
• Certificat : en SAML, la page indique jusqu'à quand le certificat de signature de votre fournisseur d'identité est valide, et vous avertit à partir d'un mois avant son expiration. Une fois expiré, plus personne ne peut se connecter par l'authentification unique : créez un nouveau certificat dans votre fournisseur d'identité et envoyez-le-nous avec support_agentNous contacter.
• Problèmes : si le fournisseur cesse de fonctionner, le statut indique error Ne fonctionne pas et votre équipe ne peut plus se connecter avec lui. Renvoyez le formulaire de demande qui apparaît sous l’avertissement, comme aux étapes 1 et 2, et nous le reconnectons après vérification. Vous pouvez aussi appuyer sur support_agentNous contacter.