SSO d’entreprise et provisionnement

Le SSO d’entreprise permet aux membres de se connecter via ton fournisseur d’identité (IdP). SCIM lui permet de créer, modifier et désactiver des membres sans attendre leur connexion. Une organisation possède une connexion. En tant qu’admin ou propriétaire, tu peux activer la connexion, le provisionnement ou les deux dans Paramètres > SSO d'entreprise.

Avant de commencer

Il te faut l’autorisation d’enregistrer une application chez ton IdP, ses identifiants client ou métadonnées SAML, ainsi que l’adresse publique de Tale utilisée par les membres. Garde une session admin fonctionnelle ouverte pendant les tests pour corriger la configuration si la connexion échoue.

Choisis un Nom affiché reconnaissable. Lorsque plusieurs organisations du déploiement ont activé le SSO, il apparaît dans le choix d’organisation sur la page publique de connexion : évite les informations confidentielles ou purement internes.

Choisir le protocole

Connecter un fournisseur OIDC ou OAuth2

1. Sélectionne le protocole dans Tale et ouvre le Guide de configuration pour trouver l’URL de rappel.
2. Enregistre une application web chez ton IdP. Copie exactement l’URL de rappel, avec son schéma, son hôte et son chemin. Enregistre aussi les URL supplémentaires affichées si les membres utilisent plusieurs domaines du déploiement.
3. Renseigne l’ID client et le secret dans Tale. Pour OIDC, saisis l’URL de l’émetteur ; Tale découvre les points de terminaison. Pour OAuth2, saisis toi-même leurs trois URL.
4. Vérifie Scopes et Avancé. Demande les claims d’identité nécessaires à tes règles de provisionnement. Associe les noms de claims non standard si besoin ; les chemins peuvent contenir des points, comme realm_access.roles.
5. Choisis Tester la connexion, corrige les erreurs, puis Enregistrer dans l’en-tête. Effectue ensuite un vrai test de connexion comme indiqué plus bas.

Pour Entra, utilise un émetteur propre au tenant, comme https://login.microsoftonline.com/{tenant-id}/v2.0, enregistre le rappel comme URI de redirection Web et copie la valeur du secret client, pas son ID. Le guide Microsoft d’enregistrement d’application décrit la configuration côté fournisseur. La synchronisation groupes-équipes exige l’autorisation Microsoft Graph GroupMember.Read.All et le consentement admin. Les rôles d’application que tu définis dans l’inscription d’application et que tu attribues à des utilisateurs ou groupes dans l’application d’entreprise arrivent dans le jeton de connexion. Une règle Rôle d'application correspond donc à la Valeur (Value) du rôle, par exemple Administrator, sans autorisation Graph supplémentaire.

Pour Google, choisis OIDC générique avec l’émetteur https://accounts.google.com ; consulte la configuration OpenID Connect de Google. L’OIDC standard de Google ne fournit pas les appartenances aux groupes. La connexion Google seule ne permet donc pas de synchroniser les groupes avec les équipes.

Connecter un fournisseur SAML

1. Choisis SAML 2.0. Copie l’URL des métadonnées SP et l’URL ACS (réponse) dans l’application SAML de ton IdP. Utilise les métadonnées du fournisseur de service pour son identifiant d’entité/audience et choisis l’adresse e-mail comme format Name ID.
2. Sous Importer les métadonnées de l'IdP, importe l’URL des métadonnées de l’IdP ou choisis Téléverser le XML. Vérifie l’identifiant d’entité, l’URL de connexion et le certificat de signature remplis par l’import. Tu peux aussi les saisir manuellement.
3. Sous Avancé, associe l’e-mail, le nom et les groupes si l’IdP utilise d’autres noms d’attributs. Garde Exiger des assertions signées activé.
4. Enregistre la connexion, puis teste une connexion via l’IdP.

Si ton IdP chiffre les assertions, ajoute un Certificat SP (PEM) et une Clé privée SP (PEM) correspondants sous Avancé. Le certificat est publié dans les métadonnées SP ; la clé privée est conservée comme secret et ne sera plus affichée. Configure le chiffrement dans l’IdP avant d’activer Exiger des assertions chiffrées. Tale refuse ce réglage sans clé de déchiffrement et rejette ensuite les assertions non chiffrées.

SAML peut être lancé par l’IdP ou par Tale. Pour une connexion commencée dans Tale, termine dans le même navigateur afin que le rappel puisse vérifier le cookie créé au départ.

Attribuer les rôles et équipes à la connexion

Les règles de rôle sont vérifiées de haut en bas, et la première qui correspond détermine le rôle. Une personne qui correspond à plusieurs règles, par exemple avec les rôles d’application Administrator et Employee, reçoit le rôle de la règle placée le plus haut, pas forcément le rôle qui donne le plus de droits. Place donc en premier les règles les plus privilégiées : fais glisser une règle par sa poignée ou utilise ses flèches Monter et Descendre, puis enregistre.

Quand des groupes disparaissent, la synchronisation retire les appartenances qu’elle avait ajoutées et supprime les équipes qu’elle avait créées une fois vides. Elle préserve les appartenances créées manuellement ou par SCIM et laisse les groupes exclus tels quels. La page Équipes décrit la gestion manuelle.

Provisionner les membres par SCIM

1. Dans Provisionnement SCIM, choisis Générer un jeton et copie-le immédiatement : il n’est affiché qu’une fois.
2. Renseigne ce jeton comme identifiant Bearer et l’URL de base SCIM affichée dans la configuration de provisionnement de ton IdP.
3. Provisionne un utilisateur et un groupe de test. Vérifie que le membre et l’équipe apparaissent dans Tale, puis teste les modifications et la désactivation avant d’élargir le déploiement.

Les Users SCIM correspondent aux membres et les Groups aux équipes. La désactivation (active: false) bloque l’accès du membre ; la réactivation restaure son rôle précédent. Supprimer un utilisateur SCIM retire son appartenance à l’organisation mais conserve son compte. Un nouveau provisionnement lui attribue le rôle par défaut de la connexion.

Le propriétaire de l’organisation ne peut pas être désactivé ni retiré par SCIM. Les groupes ne peuvent contenir que des membres de cette organisation. Un changement de nom d’utilisateur est refusé si la nouvelle adresse e-mail est déjà utilisée ou si le compte appartient à plusieurs organisations, afin de protéger son identité de connexion partagée.

Connecter les membres via un proxy d’authentification

Une application qui authentifie déjà ses utilisateurs peut les faire entrer dans cette organisation via son reverse proxy, sans que les membres voient le formulaire de connexion de Tale. La carte En-têtes de confiance, sur la même page, regroupe l’interrupteur, le plafond de rôle et les clés que le proxy présente.

1. Active Accepter les connexions d’un proxy de confiance et choisis le Rôle le plus élevé qu’un proxy peut attribuer. L’en-tête de rôle est plafonné à ce rôle ; le rôle Propriétaire ne peut jamais être attribué. À chaque connexion, le siège du membre suit le rôle attribué ; un siège Propriétaire ne change jamais.
2. Sélectionne Créer une clé, nomme-la d’après le proxy qui la détiendra et copie-la immédiatement : elle ne s’affiche qu’une fois. Une organisation détient au plus 10 clés actives.
3. Configure le proxy pour qu’il envoie ses connexions à l’URL de passage, avec la clé dans l’en-tête de clé et les en-têtes d’identité listés sous Noms des en-têtes. Un membre qui arrive par le proxy est connecté dès la première requête de l’application et ne voit jamais de page de connexion ; l’application ne lui propose pas de déconnexion, puisque le proxy possède cette session. Faire pointer /log-in du proxy vers la même adresse reste possible.

Pour afficher les pages dans la page de l’application elle-même, active Autoriser l’affichage dans un cadre sous Intégration dans un cadre et liste l’origine de la page sous Origines autorisées ; Tale admet alors cette origine comme ancêtre de cadre. Un cadre ne porte la session connectée que si la page englobante est sur le même site que Tale.

La clé détermine l’organisation : un membre est connecté, une adresse que Tale n’a jamais vue devient un nouveau membre avec le rôle attribué, et un compte existant d’une autre organisation est refusé. Désactiver l’interrupteur refuse toutes les clés sans en révoquer aucune. Révoquer marque une clé afin que le proxy ne puisse plus connecter personne ; les sessions déjà ouvertes restent connectées. La configuration de l’authentification côté opérateur décrit les noms d’en-têtes et les exigences du proxy.

Vérifier et résoudre les problèmes

Ouvre une session de navigateur séparée et choisis Continuer avec SSO. Le choix d’organisation n’apparaît que si plusieurs organisations du déploiement ont activé le SSO ; sélectionnes-y l’organisation grâce à son nom d’affichage. Sinon, le bouton ouvre directement le fournisseur d’identité de la seule organisation activée, et une adresse saisie dans le champ e-mail n’est transmise que comme indice de connexion : Tale n’oriente pas selon le domaine de l’e-mail. Termine la connexion et vérifie le rôle et les équipes obtenus. Tester la connexion vérifie les paramètres de connexion, sans prouver qu’une personne reçoit les bons accès.

Désactiver la connexion empêche les nouvelles connexions SSO mais conserve les sessions actives. Supprimer efface la configuration de la connexion et ses identifiants. Prévois une autre méthode de connexion fonctionnelle avant d’utiliser l’une de ces actions.