Activer l’authentification unique SAML dans edoobox

Avec le Single Sign-On SAML, les administrateurs, les responsables ou, selon la configuration, les utilisateurs se connectent via un fournisseur d’identité tel que Microsoft Azure ou Google Workspace. Le fournisseur d’identité authentifie la personne et edoobox reprend la connexion à partir des données SAML transmises.

À prendre en compte : abonnement et assistance. Vérifiez que SAML (SSO) est activé dans votre compte edoobox. Les fonctions actuellement disponibles dans votre abonnement font foi. Clarifiez les questions techniques concernant votre fournisseur d’identité avec votre administration compétente.

Qu’est-ce que SAML ?

SAML signifie Security Assertion Markup Language. Le fournisseur d’identité propose une connexion sécurisée et envoie une assertion SAML à edoobox en tant que fournisseur de services. Les administrateurs n’ont ainsi pas besoin d’un mot de passe edoobox supplémentaire si le processus SAML est correctement configuré.

SAML renforce la sécurité lorsque votre organisation gère déjà les règles centrales de connexion, l’authentification multifacteur, les cycles de vie des utilisateurs et les politiques d’accès dans le fournisseur d’identité.

Clarifier les conditions préalables

L’abonnement edoobox prend en charge SAML ; vérifiez votre abonnement actuel et l’activation de la fonction SAML dans votre compte.
Vous avez accès aux paramètres edoobox pour SAML (SSO).
Vous disposez d’un accès administratif au fournisseur d’identité.
L’URL de métadonnées ou le fichier XML du fournisseur est disponible.
Vous savez si les droits doivent être gérés dans edoobox ou via le fournisseur d’identité.
Au moins un administrateur de test est disponible pour vérifier la connexion.
Vous connaissez l’identifiant abrégé de votre compte edoobox, car il est utilisé dans l’URL de connexion SSO.

Créer un fournisseur SAML dans edoobox

Ouvrez Paramètres → SAML (SSO) → Ajouter. Attribuez un nom compréhensible au futur bouton de connexion, par exemple « SSO collaborateurs ».
Sous Visibilité à la connexion, choisissez Utilisateurs & administrateurs, Administrateurs uniquement ou Utilisateurs uniquement. « Utilisateurs » désigne ici les participants dans le processus de réservation.
Choisissez le format NameID approprié : Email Address, Persistent ou Unspecified. Le format et la valeur fournie par le fournisseur doivent être cohérents.
Choisissez Remote XML URL ou Téléverser un fichier XML et enregistrez les métadonnées IdP.
Pour le périmètre administrateur, choisissez le droit de remplacement et décidez de la gestion des droits et de la liaison des administrateurs existants.
Configurez si nécessaire Auth Request Signed, les tags des participants et les filtres d’offres. Enregistrez avec Ajouter.

Après la création réussie, edoobox active le fournisseur. Pendant le déploiement, limitez l’accès aux personnes de test chez le fournisseur d’identité. Un fournisseur existant peut être désactivé sous Configuration → Statut, puis réactivé après correction.

Droits de remplacement, gestion des droits et liaison des administrateurs

Pour les administrateurs existants, activez Relier les administrateurs à SAML afin qu’edoobox relie une personne active et non supprimée à partir de la même adresse e-mail. Des adresses e-mail identiques doivent réellement désigner la même personne.

Gestion des droits via edoobox active la reprise de l’attribut SAML mappé edoobox.acl vers les droits standard edoobox. Dans ce mode, une valeur de rôle valide doit être reçue. Sans reprise ACL, vous gérez les droits des administrateurs existants dans edoobox. Un droit de remplacement seul n’autorise pas une personne quelconque jusque-là inconnue à obtenir un nouvel accès administrateur.

Planifiez l’affectation avec le guide Champs de données SAML et droits d’administrateur. Il décrit les champs obligatoires, les valeurs de rôle, les champs supplémentaires des participants et des exemples complets de mappage.

Mappage des champs et métadonnées

Ouvrez le fournisseur dans la liste. Dans l’onglet Configuration, modifiez les paramètres disponibles. Dans l’onglet Mappage des champs de données, contrôlez l’affectation des attributs SAML au prénom, au nom, à l’e-mail et, le cas échéant, à l’ACL. Modifier ouvre la présentation JSON ; enregistrez une affectation complète et valide.

Sous Informations, vous voyez la source XML distante, la Login Service URL, la Logout Service URL, la date d’expiration et la date de création. Ces informations issues des métadonnées sont en lecture seule ici. Téléchargez-y le fichier edoobox federationmetadata.xml et reprenez exactement l’Entity ID, l’Assertion Consumer Service et, le cas échéant, l’adresse de déconnexion dans le fournisseur d’identité.

Si vous modifiez le format NameID ou les AuthnRequests signées, téléchargez à nouveau les métadonnées edoobox actuelles et coordonnez-les avec votre fournisseur. Ne reprenez aucune adresse d’un autre compte ou d’un autre environnement.

Pour les administrateurs, copiez l’URL SSO de votre compte affichée sous Paramètres → SAML (SSO). Elle contient l’identifiant abrégé du compte et ouvre les fournisseurs actifs pour la connexion administrateur. L’adresse réellement affichée tient compte de votre environnement.

Conservez un accès superadministrateur indépendant qui fonctionne.
Ouvrez l’URL SSO administrateur dans une fenêtre de navigation privée.
Choisissez le fournisseur et connectez-vous au fournisseur d’identité.
Vérifiez le compte, le nom, l’e-mail et les droits attendus.
Déconnectez-vous et contrôlez le retour. Une session encore active chez le fournisseur d’identité peut faciliter une nouvelle connexion.

Les participants commencent par la connexion prévue dans le processus de réservation. Utilisez pour cela le guide SSO des participants, tags et accès aux offres. L’URL SSO administrateur ne remplace pas ce parcours participant.

NameID et périmètre de connexion

La NameID définit l’identifiant unique d’utilisateur utilisé, par exemple une adresse e-mail ou un identifiant persistant. Sans consigne précise, l’adresse e-mail constitue souvent le point de départ le plus pratique. L’essentiel est que la même personne soit reconnue de manière fiable à chaque connexion.

Selon le fournisseur, des formats NameID tels que emailAddress, persistent ou unspecified peuvent être utilisés. Ne modifiez pas ce champ sans test, car les affectations existantes entre le compte SAML et l’administrateur edoobox pourraient ne plus correspondre.

Le périmètre de connexion détermine si SAML s’applique aux administrateurs, aux utilisateurs ou aux deux rubriques. Pour le SSO administrateur, le périmètre doit prendre en charge les administrateurs ou les deux rubriques. Si le périmètre ne convient pas, la connexion donne l’impression que le fournisseur ou l’utilisateur est introuvable.

Certains fournisseurs d’identité exigent des AuthnRequests signées. N’activez cette option que si votre fournisseur en a besoin, puis testez à nouveau les métadonnées, la connexion et la déconnexion. Si les signatures, les certificats ou les métadonnées ne correspondent pas, la connexion SAML échoue généralement avant même le retour vers edoobox.

Tags, filtres d’offres et gestion des contenus

Les tags des participants enregistrés sur le fournisseur sont attribués indirectement aux participants liés via ce fournisseur. Ils s’appliquent à l’identité du participant ; les administrateurs ne reçoivent pas de tags par ce biais. Cette liste se gère dans edoobox sur le fournisseur. Elle ne convertit pas automatiquement des attributs de groupe quelconques du fournisseur d’identité.

Avec Imposer le filtrage des offres par tags, sélectionnez parmi ces tags du fournisseur ceux qui régissent l’accès aux offres. En option, les offres correspondantes peuvent être affichées en complément de la sélection ordinaire. La configuration avec des exemples de formations internes, de valeurs de tags et de conditions de widgets figure sous SSO des participants, tags et accès aux offres.

Modifier ou supprimer un fournisseur

Ouvrez le fournisseur et modifiez dans Configuration le nom, la visibilité à la connexion, le format NameID, les options de droits, la signature, les tags des participants, les filtres d’offres et le statut. Le mappage des champs possède son propre onglet et sa propre étape d’enregistrement.

L’URL de métadonnées d’origine ou le XML téléversé est affiché dans l’onglet Informations de l’interface actuelle. Il n’est pas possible de l’y remplacer directement. Si la source des métadonnées ou un certificat IdP téléversé change et que la source existante ne fournit pas de configuration actuelle valide, coordonnez le changement avec votre administration SSO ou l’assistance edoobox. Ne supprimez le fournisseur fonctionnel qu’après un test de remplacement réussi.

edoobox demande une confirmation lors de la suppression. Vérifiez auparavant quels administrateurs et participants utilisent ce fournisseur et prévoyez un autre accès.

Recherche d’erreurs lors des connexions SAML

Bouton de connexion manquant : vérifiez le statut du fournisseur, le périmètre de connexion et l’identifiant abrégé du compte dans l’URL.
Identifier ou Reply-URL incorrect : enregistrez l’Entity ID et la Reply-URL affichées par edoobox chez le fournisseur d’identité.
Administrateur introuvable : vérifiez l’e-mail, la NameID et le réglage correct de Relier l’administrateur.
Droits manquants : vérifiez les droits de remplacement, la gestion des droits et le mappage de edoobox.acl.
Seuls certains contenus sont visibles : vérifiez les tags définis automatiquement, les filtres d’offres et les conditions du Design Manager.
Métadonnées du fournisseur expirées : vérifiez la source et le certificat ; planifiez le renouvellement nécessaire avec votre administration SSO et testez le remplacement avant la désactivation.

NameID rejetée : faites fournir un identifiant permanent d’au moins cinq caractères. Vérifiez la valeur réelle en plus du format choisi ; changer le format ne complète pas une valeur manquante ou trop courte.

Exemples d'application

Gérer les droits dans le fournisseur d’identité

Le fournisseur d’identité envoie edoobox.acl. edoobox mappe cet attribut sur le champ de droits. Un administrateur de test sans droits critiques en production vérifie que le groupe de droits attendu est reçu avant la migration des administrateurs en production.