Configurez OpenID Connect (OIDC) SSO pour que vos utilisateurs et lecteurs se connectent à Document360 via votre fournisseur d’identité (IdP), tel qu’Okta, Auth0 ou ADFS, au lieu d’utiliser un mot de passe séparé pour Document360. OpenID Connect est construit sur OAuth 2.0 : votre IdP confirme qui se connecte et envoie à Document360 un jeton signé, et Document360 accorde l’accès.
Ce que vous offre OpenID Connect
- Les règles de sécurité de votre IDP s’appliquent à Document360. L’authentification multifacteur (MFA), les politiques d’accès conditionnel et les contrôles de session que vous définissez dans votre IDP s’appliquent à chaque connexion.
- Vous contrôlez l’accès depuis un seul endroit. Lorsque vous désactivez quelqu’un dans votre IDP, il ne peut plus se connecter à Document360.
Si vous utilisez un IDP basé sur le cloud, comme Okta ou Auth0, OpenID Connect est généralement le meilleur choix. Si vous utilisez un IdP sur site, comme ADFS, le SAML est plus courant. Si vous souhaitez que les gens ouvrent Document360 directement depuis le tableau de bord de votre IDP, utilisez le SAML : OpenID Connect ne prend pas en charge la connexion initiée par l’IdP. Pour comparer toutes les méthodes de connexion, lisez Single Sign-On (SSO).
Choisissez votre fournisseur d’identité
Chaque IdP ci-dessous prend en charge la connexion pour les utilisateurs et les lecteurs. Ils diffèrent dans le support SCIM, qui maintient automatiquement les utilisateurs et les lecteurs synchronisés avec votre IdP. Sélectionnez votre IdP pour ouvrir son guide étape par étape.
| Fournisseur d’identité | Provisionnement SCIM |
|---|---|
| Okta | Soutenu |
| ADFS | Via des outils tiers |
| Auth0 | Non supporté |
| Autres fournisseurs OpenID Connect | Si votre IDP prend en charge SCIM |
Configurez OpenID Connect SSO
Avant que tu commences
- Vous avez besoin du rôle de Propriétaire ou d’Administrateur dans votre projet Document360.
- Vous avez besoin d’un accès administrateur à votre IDP.
Deux choix dans cette configuration ne peuvent pas être annulés :
- Fournisseur d’identité : Vous ne pouvez pas modifier l’IDP après avoir créé la configuration.
- Convertir les comptes existants en SSO : Les utilisateurs et lecteurs convertis perdent immédiatement la connexion par mot de passe et doivent se connecter via votre IDP. Chacun d’eux reçoit un e-mail concernant ce changement.
- Va dans Paramètres () > Utilisateurs et permissions > SSO Entreprise.
- Sélectionnez Créer SSO, puis OpenID Connecter.
- Sélectionnez votre fournisseur d’identité. Si vous utilisez Auth0, sélectionnez Autre, car Auth0 n’a pas sa propre option. L’assistant de configuration s’ouvre.
- Sur Configurer SP, copiez les URI de redirection de connexion et de déconnexion générés par Document360 dans votre IdP.
- Sur Configurer l’IdP, saisissez l’ID du client, le secret du client et l’autorité (l’URL de l’émetteur de votre IDP) depuis votre IDP.
- (Optionnel) Sur SCIM, activez le provisionnement automatique des utilisateurs et des groupes.
- Dans More Settings, définissez le nom SSO, le texte du bouton de connexion et le délai d’expiration de la session d’inactivité. Si vous souhaitez que les utilisateurs et lecteurs existants se connectent via votre IDP au lieu d’un mot de passe, choisissez de convertir leurs comptes en SSO.
Pour savoir où trouver ces valeurs dans votre IDP, suivez son guide dans Choisissez votre fournisseur d’identité.
Lorsque vous terminez, la configuration apparaît dans la liste SSO Entreprise .
Après avoir configuré OpenID Connect
Configurez le provisionnement SCIM
Ajoute, mettez à jour et désactivez les utilisateurs et lecteurs dans votre IDP, et Document360 se met à jour automatiquement.
En savoir plus →Supprimer une configuration OpenID Connect
Découvrez ce qui se passe lorsque vous supprimez une configuration OpenID Connect, et comment le faire en toute sécurité.
En savoir plus →FAQ
Puis-je utiliser OpenID Connect et SAML en même temps ?
Non. SAML et OpenID Connect ne peuvent pas être actifs dans le même projet. Pour changer, désactivez la configuration que vous ne souhaitez plus utiliser.
Puis-je avoir plus d’une configuration OpenID Connect dans un projet ?
Oui. Vous pouvez avoir plusieurs configurations OpenID Connect actives en même temps, chacune avec un fournisseur d’identité différent. Par exemple, vous pouvez utiliser Okta pour vos utilisateurs et Auth0 pour vos lecteurs.
Puis-je utiliser OpenID Connect et JWT en même temps ?
Oui. OpenID Connect connecte les utilisateurs et lecteurs via votre fournisseur d’identité, et JWT connecte les lecteurs depuis votre propre application. Les deux peuvent être actifs dans le même projet.