Authentification unique via SAML dans Microsoft Azure
Condition préalable : le Single Sign-On SAML nécessite un abonnement edoobox adapté. Planifiez la configuration avec votre administration Entra et conservez pendant le déploiement un accès superadministrateur indépendant.
Microsoft Entra ID authentifie les personnes avec leur compte d’entreprise. Le fournisseur edoobox peut être visible à la connexion pour les administrateurs, les participants ou les deux. Le mappage des champs, le droit de remplacement, l’ACL, la liaison des administrateurs et les tags du fournisseur déterminent ensuite l’accès réel.
Pour la configuration, utilisez toujours les métadonnées de votre propre fournisseur edoobox. Des adresses d’exemple APP1 ou APP2 fixes peuvent mener au mauvais environnement ou au mauvais compte.
Conditions préalables et rôles
Rôle Microsoft Entra autorisé à configurer les applications d’entreprise et le SSO SAML.
Superadministrateur edoobox ayant accès à SAML et aux profils de droits.
Un groupe de test comprenant au moins une personne et un rôle cible clair.
Choix d’un périmètre de connexion administrateur, utilisateur ou commun.
Processus de remplacement et de secours en cas d’erreurs de certificat, de revendication ou d’affectation.
1. Créer une application d’entreprise
Dans le centre d’administration Microsoft Entra, ouvrez Entra ID > Applications d’entreprise > Toutes les applications, créez votre propre application hors catalogue, puis choisissez la méthode SAML sous Authentification unique.
N’affectez d’abord qu’une personne ou un groupe de test. Le caractère obligatoire d’une affectation dépend aussi du paramètre Entra de l’application.
2. Obtenir les métadonnées Entra et créer le fournisseur dans edoobox
- Dans l’application Entra, ouvrez la configuration SAML et obtenez l’App Federation Metadata URL ou les métadonnées IdP au format XML. Cette source est nécessaire dès la création du fournisseur edoobox. Si elle n’est pas encore prête, demandez à votre administration Entra de la fournir.
- Dans edoobox, ouvrez Paramètres → SAML (SSO) et créez un fournisseur avec un nom unique.
- Choisissez Utilisateurs & administrateurs, Administrateurs uniquement ou Utilisateurs uniquement. Pour le périmètre administrateur, choisissez le droit de remplacement prévu.
- Harmonisez le format NameID avec Entra et reprenez les métadonnées Entra via une URL XML distante ou un téléversement XML.
- Terminez la création et ouvrez le fournisseur enregistré. Il est actif après une création réussie. Commencez avec une affectation de test limitée chez le fournisseur d’identité.
3. Échanger les métadonnées dans les deux sens
Dans edoobox, téléchargez le fichier federationmetadata.xml du fournisseur. Reprenez ses valeurs dans la configuration SAML de base d’Entra :
Identifier (Entity ID) : exactement depuis les métadonnées edoobox.
Reply URL (Assertion Consumer Service URL) : exactement depuis les métadonnées edoobox.
Sign-on URL : l’URL SSO edoobox affichée dans la gestion SAML pour la connexion administrateur ; testez les participants depuis le processus de réservation.
Vous avez déjà enregistré les métadonnées Entra lors de la création du fournisseur edoobox. Après l’échange, contrôlez Entity ID, le service de connexion et le certificat des deux côtés. La source de métadonnées d’origine est affichée en lecture seule sous Informations dans le fournisseur edoobox enregistré.
4. Vérifier les revendications et le mappage des champs
L’affectation actuelle d’edoobox connaît les URI habituels des revendications Microsoft :
| Revendication | Champ edoobox |
|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | email |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname | first_name |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname | last_name |
edoobox.acl | acl, si la gestion des droits est activée |
Vérifiez le mappage reçu dans edoobox. Une connexion SAML techniquement valide ne suffit pas si l’e-mail, le nom ou l’ACL arrivent sous un autre nom de revendication.
5. Gérer les droits d’administrateur avec le droit de remplacement ou l’ACL
Sans reprise ACL activée, les droits des administrateurs déjà autorisés restent gérés dans edoobox. Le droit de remplacement configuré seul n’autorise aucune nouvelle identité d’administrateur quelconque. Avec Gestion des droits via edoobox, la revendication edoobox.acl peut fournir l’un des rôles suivants :
| Valeur | Effet lors de la connexion administrateur |
|---|---|
edoobox.acl.0 ou edoobox.acl.1 | Aucun accès administrateur autorisé ; la connexion est rejetée faute d’autorisation d’administrateur. |
edoobox.acl.2 | Droits de responsable |
edoobox.acl.3 | Droits d’administration |
edoobox.acl.4 | Droits de superadministrateur |
Si plusieurs rôles sont reçus, edoobox utilise le niveau ACL valide le plus élevé. N’accordez acl.4 qu’à un très petit groupe contrôlé.
6. Autres options actuelles du fournisseur
| Option | Effet |
|---|---|
| Relier les administrateurs à SAML | Recherche un administrateur existant ayant la même adresse e-mail lors de la première connexion et le relie. |
| Auth Request Signed | Signe l’AuthnRequest avec le certificat du fournisseur edoobox ; Entra doit l’attendre ainsi. |
| Tags des participants | Attribue des tags indirects uniquement aux participants connectés via ce fournisseur. |
| Imposer le filtrage par tags | Limite l’aperçu ordinaire aux offres portant tous les tags de filtre choisis. |
| Afficher les offres en complément | Affiche aussi les offres portant les tags appropriés, notamment pour des accès ciblés aux offres internes. |
Les tags de filtre doivent faire partie des tags du fournisseur. Les administrateurs ne reçoivent pas de tags de participants. Planifiez donc séparément les droits d’administrateur et l’accès des participants.
7. Affecter les utilisateurs et les groupes
Dans l’application d’entreprise, ouvrez Utilisateurs et groupes et affectez le groupe de test. Si vous utilisez l’ACL, configurez les rôles d’application prévus et leur transmission dans la revendication appropriée. Contrôlez le nom d’attribut réellement fourni et mappez-le sur acl dans edoobox. La revendication générique de rôles Microsoft n’est pas automatiquement reconnue comme ACL edoobox. Documentez la correspondance entre les groupes Entra et les rôles edoobox.
Les affectations de groupe simplifient l’exploitation, mais ne remplacent pas le retrait dans edoobox si un administrateur existant conserve un accès hors du processus SAML.
8. Activer et tester en production
Contrôlez le statut du fournisseur dans edoobox. Après une création réussie, il est actif ; pour les fournisseurs existants, le statut peut être modifié dans Configuration.
Ouvrez l’URL SSO affichée dans une fenêtre de navigation privée.
Vérifiez la NameID, l’e-mail, le prénom, le nom et le droit attendu.
Testez un utilisateur sans affectation à l’application et, avec l’ACL, un utilisateur sans rôle valide.
Pour le périmètre utilisateur, vérifiez les offres ordinaires, filtrées et additives.
Documentez l’expiration du certificat et la responsabilité du renouvellement des métadonnées.
Recherche d’erreurs
Erreur de réponse : comparez Identifier et Reply URL avec les métadonnées edoobox actuelles.
Utilisateur non autorisé : vérifiez l’affectation à l’application, le tenant et les politiques Entra.
Administrateur manquant : activez la liaison des administrateurs ou l’ACL et contrôlez la valeur de revendication.
Droit incorrect : vérifiez les rôles d’application, la revendication
edoobox.aclet le niveau transmis le plus élevé.Erreur de signature : contrôlez le certificat, les métadonnées, Auth Request Signed et la synchronisation de l’heure.
Offres incorrectes : vérifiez les tags du fournisseur, les tags des offres et le mode additif ou imposé.
Exemples d'application
Exemple d’utilisation : administration des cours via les groupes Entra
Le groupe « Administration des cours » fournit edoobox.acl.3, le petit groupe « Superadministrateurs edoobox » fournit edoobox.acl.4. Une personne sans rôle d’application valide n’obtient aucun accès administrateur. Les trois cas sont testés avant l’ouverture des accès.
Exemple d’utilisation : migrer en sécurité des administrateurs existants
Une organisation active Relier les administrateurs à SAML et teste avec un administrateur existant dont l’e-mail Entra et l’e-mail edoobox sont identiques. Les autres groupes ne sont affectés qu’après une connexion réussie et une comparaison des droits.
Exemple d’utilisation : offres internes supplémentaires pour les collaborateurs
Un fournisseur utilisateur attribue le tag Mitarbeitende. Les offres internes portent le même tag d’offre. En mode additif, ces offres apparaissent en complément après la connexion Entra ; la sélection publique reste inchangée pour les autres personnes.
Harmoniser les rôles et les noms de revendications
Pour les rôles, suivez le guide Microsoft sur les rôles d’application. Configurez la transmission et les noms des attributs SAML selon Personnaliser les revendications de jeton SAML. Pour edoobox, l’attribut ACL mappé doit contenir des valeurs valides telles que edoobox.acl.3.
Indications d’utilisation et configuration complémentaire
La boîte du fournisseur est divisée en Configuration, Mappage des champs de données et Informations. La source de métadonnées d’origine est affichée en lecture seule sous Informations. En cas de changement de source ou de renouvellement nécessaire d’un XML téléversé, planifiez la transition avec votre administration SSO compétente.
Configurez le rapprochement des données avec Champs de données SAML et droits d’administrateur. Pour Utilisateurs uniquement, les champs supplémentaires des participants, les tags indirects du fournisseur, les offres internes et la connexion dans les pages de réservation intégrées, consultez SSO des participants, tags et accès aux offres.
La navigation du portail et les rôles suivent le guide officiel Microsoft de configuration SAML (vérifié le 16 octobre 2026). Vous avez besoin, par exemple, du rôle Cloud Application Administrator, Application Administrator ou du rôle de propriétaire correspondant de l’application. Utilisez une application d’entreprise adaptée avec une configuration SAML.