Authentification unique via SAML dans Google Workspace pour les entreprises et l'enseignement
Condition préalable : le Single Sign-On SAML nécessite un abonnement edoobox adapté. Planifiez la configuration avec votre administration Google Workspace et conservez pendant le test un accès superadministrateur indépendant.
En tant que fournisseur d’identité, Google Workspace authentifie les personnes qui se connectent à edoobox. Selon la Visibilité à la connexion, vous utilisez le même fournisseur pour les administrateurs, les participants ou les deux groupes. Google confirme l’identité ; edoobox détermine ensuite l’accès selon le périmètre de connexion, le mappage, les droits et les tags.
Une adresse e-mail identique seule n’accorde pas automatiquement de droits à un nouvel administrateur. Les administrateurs existants ne sont repris que si la liaison est activée ; les nouveaux administrateurs ont besoin d’un mappage ACL valide ou doivent déjà être autorisés.
Conditions préalables et plan de test
Superadministrateur Google Workspace pour une application SAML personnalisée.
Superadministrateur edoobox ayant accès à la gestion des fournisseurs SAML.
Au moins un compte de test avec une adresse e-mail principale connue.
Décision de rendre le fournisseur visible aux administrateurs, aux utilisateurs ou aux deux.
Un accès de secours documenté indépendant du nouveau fournisseur.
1. Créer une application SAML personnalisée dans Google
Dans la console d’administration Google, ouvrez Applications > Applications Web et mobiles, ajoutez une application SAML personnalisée et attribuez-lui un nom unique tel que « edoobox SSO ». Google exige un superadministrateur à cet effet.
Dans Google Workspace, l’application SAML personnalisée reçoit un nom interne. Ce nom est distinct du libellé du bouton de connexion edoobox.
- A
- Assistant d’ajout d’une application SAML personnalisée.
- B
- Nom interne de l’application dans Google Workspace, par exemple « edoobox SAML ».
Téléchargez les métadonnées IdP de l’application Google au format XML. Ce fichier est ensuite utilisé lors de la création du fournisseur SAML edoobox.
- C
- « Télécharger les métadonnées » enregistre les métadonnées IdP pour la configuration dans edoobox.
Téléchargez les métadonnées IdP au format XML. Pour le processus Google, utilisez le fichier XML téléchargé comme source de métadonnées dans edoobox.
2. Créer le fournisseur SAML dans edoobox
Créez un fournisseur dans les paramètres globaux SAML.
Choisissez Utilisateurs & administrateurs, Administrateurs uniquement ou Utilisateurs uniquement.
Choisissez le format NameID. Pour les adresses e-mail principales Google, Email Address est le point de départ naturel.
Choisissez le téléversement XML et importez le fichier de métadonnées téléchargé depuis Google à l’étape précédente.
Pour le périmètre administrateur, choisissez un droit de remplacement délibérément restreint.
Terminez la création avec l’action d’enregistrement et attendez sa réussite. Ouvrez ensuite le fournisseur enregistré ; ses informations et les métadonnées edoobox à télécharger ne sont disponibles qu’à cet endroit.
3. Reprendre les métadonnées edoobox dans Google
Après la création du fournisseur, téléchargez federationmetadata.xml depuis edoobox. Utilisez son Entity ID et son Assertion Consumer Service URL pour les champs Google Entity ID et ACS URL. Ne copiez aucune adresse d’exemple d’un autre compte ou d’un autre environnement.
Les paramètres du fournisseur de services utilisent les valeurs de votre fournisseur edoobox. Reprenez l’URL ACS et l’identifiant d’entité depuis ses métadonnées ; la capture ne contient délibérément aucune valeur de compte à copier.
- 1
- Reprendre l’URL ACS depuis l’attribut Location de l’AssertionConsumerService edoobox.
- 2
- Reprendre l’identifiant d’entité depuis entityID dans les métadonnées edoobox.
- 3
- URL de démarrage facultative ; elle appartient à l’environnement souhaité et n’est pas dérivée des métadonnées.
- 4
- Harmoniser le format Name-ID EMAIL pour la connexion via l’adresse e-mail principale Google.
Testez la connexion démarrée depuis edoobox. L’URL SSO affichée dans edoobox sert à la connexion administrateur ; pour les participants, utilisez la connexion du processus de réservation. L’adresse de l’hôte peut varier selon l’environnement ; les valeurs générées font donc davantage foi qu’un lien APP1 ou APP2 fixe.
4. Harmoniser les attributs et le mappage des champs
Dans Google, affectez l’adresse e-mail principale, le prénom et le nom aux attributs de l’application. Les noms standard edoobox actuels pour Google ou SAML générique sont les suivants :
| Données Google | Attribut de l’application | Champ edoobox |
|---|---|---|
| Adresse e-mail principale | email | email |
| Prénom | givenName | first_name |
| Nom | sn | last_name |
Les noms d’attributs doivent être exacts. Si vous attribuez d’autres noms d’attributs d’application dans Google, adaptez le mappage des champs dans edoobox en conséquence. Au minimum, l’identité unique et les champs nécessaires au périmètre choisi doivent être reçus.
5. Choisir délibérément les options actuelles d’edoobox
| Option | Effet |
|---|---|
| Visibilité à la connexion | Le fournisseur apparaît pour les utilisateurs, les administrateurs ou les deux types de connexion. |
| Droit de remplacement | Autorisation de remplacement configurée pour le périmètre administrateur. Elle ne permet pas à elle seule à une personne inconnue d’obtenir un nouvel accès administrateur. |
| Gestion des droits via edoobox | Permet de mapper edoobox.acl vers les droits edoobox. |
| Relier les administrateurs à SAML | Relie un administrateur existant ayant la même adresse e-mail lors de sa première connexion SAML. |
| Auth Request Signed | Signe l’AuthnRequest avec le certificat edoobox enregistré pour le fournisseur. N’activer que si Google l’attend ainsi. |
| Tags des participants | Attribue indirectement des tags aux participants connectés via ce fournisseur ; les administrateurs ne sont pas concernés. |
| Filtrage des offres par tags | Affiche uniquement les offres ayant les tags du fournisseur sélectionnés, ou les affiche en complément en mode additif. |
Gérer les participants et les offres avec les tags du fournisseur
Les tags du fournisseur s’appliquent uniquement aux participants connectés via ce fournisseur SAML. Un filtre d’offres ne peut utiliser que des tags précédemment sélectionnés comme tags du fournisseur.
Filtre imposé : seules les offres portant tous les tags de filtre sélectionnés restent visibles dans l’aperçu ordinaire.
Additif : les offres ayant les tags sélectionnés deviennent accessibles en complément. Cela permet d’afficher des offres internes portant ces tags pour ce groupe SAML.
Testez toujours une offre correspondante et une non correspondante. Le nom du tag et, le cas échéant, sa valeur ou son statut doivent être cohérents.
6. Affecter l’application, activer le fournisseur et tester
Activez d’abord l’application Google uniquement pour un groupe de test ou une unité organisationnelle.
Contrôlez le statut du fournisseur dans edoobox. Après une création réussie, il est actif ; pour les fournisseurs existants, le statut peut être modifié dans Configuration.
Ouvrez l’URL SSO générée dans une fenêtre de navigation privée.
Vérifiez l’identité, le nom, l’e-mail, le droit d’administrateur ou l’accès participant et la déconnexion.
Pour le périmètre participant, vérifiez les offres visibles, les tags du fournisseur, les références promotionnelles et le retour au processus de réservation.
Recherche d’erreurs
Application invisible : vérifiez l’affectation Google à la personne ou à l’unité organisationnelle.
Réponse rejetée : comparez Entity ID, ACS URL, le format NameID, le certificat et l’heure.
Champs manquants : comparez exactement les noms d’attributs de l’application Google et le mappage des champs edoobox.
Administrateur sans accès : vérifiez la liaison des administrateurs, le droit de remplacement ou
edoobox.acl.Offres incorrectes : contrôlez les tags du fournisseur, les tags des offres, le mode de filtrage et le périmètre de connexion.
Exemples d'application
Exemple d’utilisation : l’administration scolaire se connecte via Google
Une école définit le périmètre sur Administrateurs uniquement, active l’application pour l’unité organisationnelle « Administration des cours » et relie les administrateurs existants grâce à des adresses e-mail identiques. Le droit de remplacement reste délibérément restreint ; un superadministrateur indépendant teste le processus.
Exemple d’utilisation : formations internes réservées aux collaborateurs
Le fournisseur possède le tag de participant Mitarbeitende. Les offres internes portent le même tag d’offre ordinaire. Avec le filtrage additif, les collaborateurs connectés voient ces offres en complément de l’aperçu public ; les personnes externes ne les voient pas.
Exemple d’utilisation : fournisseurs distincts pour les administrateurs et les apprenants
Une haute école crée un fournisseur au périmètre Administrateurs uniquement pour l’organisation des cours et un second au périmètre Utilisateurs uniquement pour les étudiants. Les droits d’administrateur, les tags des participants et les filtres d’offres peuvent ainsi être testés séparément.
Indications d’utilisation et configuration complémentaire
La boîte du fournisseur est divisée en Configuration, Mappage des champs de données et Informations. La source de métadonnées d’origine est affichée en lecture seule sous Informations. En cas de changement de source ou de renouvellement nécessaire d’un XML téléversé, planifiez la transition avec votre administration SSO compétente.
Configurez le rapprochement des données avec Champs de données SAML et droits d’administrateur. Pour Utilisateurs uniquement, les champs supplémentaires des participants, les tags indirects du fournisseur, les offres internes et la connexion dans les pages de réservation intégrées, consultez SSO des participants, tags et accès aux offres.
La configuration externe suit le guide officiel Google pour les applications SAML personnalisées (vérifié le 16 octobre 2026). Google distingue la signature de la réponse de celle des requêtes sortantes AuthnRequests. N’assimilez donc pas Auth Request Signed dans edoobox à l’option Google Signed response.