Connecter un fournisseur OpenID Connect
Relier votre organisation à un fournisseur d'identité OpenID Connect, Okta par exemple, puis approvisionner les comptes par SCIM.
Tout fournisseur d'identité qui parle OpenID Connect se relie à Docage : Okta, OneLogin, JumpCloud, Keycloak ou un autre. Cette page prend Okta en exemple ; les écrans des autres fournisseurs portent les mêmes réglages sous d'autres noms. Tout se règle dans l'onglet Connexion de la fiche de l'organisation : choisissez Fournisseur OpenID Connect, puis suivez la liste de contrôle.
Déclarer l'application chez le fournisseur
Un fournisseur OpenID Connect se déclare toujours par l'inscription de votre organisation. Dans la console d'administration d'Okta :
- Applications, Create App Integration : OIDC - OpenID Connect, type Web Application.
- Sign-in redirect URIs : l'Adresse de retour à déclarer chez le fournisseur que montre l'onglet, telle quelle.
- Assignments : les personnes ou les groupes qui peuvent entrer dans Docage.
- Recopiez le Client ID dans Identifiant de l'application (client) et le Client secret dans Secret de l'application.
Renseigner l'émetteur
Émetteur (issuer, https) est l'adresse de votre fournisseur, telle qu'il l'écrit dans ses jetons : pour Okta,
https://votre-organisation.okta.com, ou l'adresse d'un serveur d'autorisation personnalisé. Cliquez sur Enregistrer
l'application, puis sur Lire la configuration de l'émetteur : Docage lit son document de découverte, et en tire la manière de
recevoir la réponse et de présenter le secret. L'émetteur se compare à l'identique : gardez ou non la barre oblique finale, comme le
fournisseur l'écrit.
Portées supplémentaires demande, au besoin, d'autres revendications que openid, email et profile : groups pour les
équipes, par exemple, si votre fournisseur l'exige.
Rattacher les domaines
Sous Domaines rattachés, cochez les domaines de vos utilisateurs, ou saisissez-en un autre. Chaque domaine se prouve par un enregistrement DNS TXT : posez-le chez le gestionnaire du domaine, puis cliquez sur Vérifier. Seules les adresses de ces domaines passent par l'authentification unique.
Le rôle d'administrateur et les équipes
Sous Rôle d'administrateur et équipes, choisissez la Revendication des rôles et la Revendication des groupes parmi celles que le dernier essai a reçues, puis la Valeur du rôle d'administrateur. Chaque groupe reçu se relie à une équipe dans la grille. Le dernier administrateur actif n'est jamais retiré, et un compte de secours n'est jamais touché.
Tester, activer, exiger
Tester la connexion fait l'aller-retour complet chez le fournisseur avec votre compte, sans ouvrir de session, et montre les revendications reçues : c'est ce premier essai réussi qui connecte le fournisseur. Sous Activer et exiger, Active propose Continuer avec … sur la page de connexion aux adresses de vos domaines ; Exigée ferme le mot de passe à ces adresses, sauf aux Comptes de secours. Pour exiger, réussissez vous-même un essai dans les dernières 24 heures, et choisissez au moins un compte de secours parmi vos administrateurs.
Approvisionner les comptes
Sous Approvisionnement SCIM, cliquez sur Créer le jeton et copiez-le aussitôt : il n'est montré qu'une fois. Chez Okta,
allumez SCIM provisioning dans l'application, puis renseignez l'Adresse de base de l'onglet comme SCIM connector base URL,
userName comme identifiant unique, et le jeton en HTTP Header d'authentification. Le fournisseur crée, modifie et désactive alors
vos comptes sans attendre une connexion. Le détail des échanges est dans le guide de l'API.