Configurez un SSO SAML avec Okta

Connectez Okta à Document360 avec du SAML afin que vos utilisateurs et lecteurs puissent se connecter à Document360 avec leurs identifiants Okta au lieu d’un mot de passe séparé. La configuration inclut un provisionnement SCIM optionnel pour maintenir automatiquement la synchronisation des utilisateurs et des lecteurs.

Avec Okta et SAML, vous pouvez :

• Permettre aux utilisateurs de se connecter au portail de la base de connaissances et les lecteurs au site de la base de connaissances.
• Laissez les gens se connecter directement depuis le tableau de bord Okta.
• Ajoutez, mettez à jour et désactivez les utilisateurs et lecteurs dans Okta, et synchronisez les groupes Okta avec SCIM.
• Réutilisez les paramètres SCIM d’une configuration SSO dans un projet parent.

Avant que tu commences

• Vous avez besoin d’un compte Okta avec accès administrateur. Si vous n’en avez pas, inscrivez-vous sur Okta.
• Vous avez besoin du rôle de Propriétaire ou d’Administrateur dans votre projet Document360.
• Ouvre Document360 et Okta dans deux onglets du navigateur. Tu passeras de l’un à l’autre pendant la configuration.
• Si vous prévoyez de configurer SCIM, ayez un lieu sécurisé prêt, comme un gestionnaire de mots de passe, pour stocker deux jetons secrets.

Étape 1 : Démarrez la configuration SSO dans Document360

1. Allez dans Paramètres () > Utilisateurs et permissions > SSO entreprise.

2. Sélectionnez Créer SSO, puis sélectionnez SAML.

3. À l’étape Choisir l’IDP , sélectionnez Okta.

   

L’étape Configurer SP affiche les paramètres que vous allez entrer dans Okta. Gardez cet onglet ouvert.

Étape 2 : Créer l’application SAML dans Okta

Créer l’intégration de l’application

1. Connectez-vous à Okta, puis sélectionnez Admin en haut à droite pour ouvrir la console d’administration.

2. Dans la navigation de gauche, déplacez Applications et Ressources, puis sélectionnez Applications.

   

3. Sélectionnez Créer une intégration d’application.

4. Sélectionnez SAML 2.0, puis sélectionnez Suivant.

   

Entrez dans les réglages généraux

1. Dans l’onglet Paramètres généraux , saisissez un nom d’application, comme Document360 SSO.

2. (Optionnel) Téléchargez un logo et configurez la visibilité de l’application.

3. Sélectionnez Suivant. L’onglet Configurer SAML s’ouvre.

   

Entrez les paramètres Document360

1. Dans l’onglet Configurer le SAML , copiez ces valeurs de l’étape Configurer SP de Document360 :

   Copie de Document360	Coller dans Okta
   Chemin de rappel	URL de connexion unique
   ID d’entité fournisseur de services	URI d’audience (ID d’entité SP)

2. Définir le format Name ID sur EmailAddress.

3. Définir le nom d’utilisateur de l’application sur Email.

4. Sélectionnez Afficher les paramètres avancés, activez Activer la déconnexion simple, et collez le chemin de rappel déconnecté de Document360 dans l’URL de déconnexion unique.

5. Sélectionnez Suivant.

   

Complétez la page de retours

1. Sélectionnez : C’est une application interne que nous avons créée.

2. Sélectionnez Finition.

   

Okta crée l’application.

Ajouter des instructions d’attribut

Les instructions d’attribut indiquent à Okta quels détails utilisateur envoyer à Document360.

1. Dans l’application, sélectionnez l’onglet Connexion et faites défiler jusqu’aux instructions d’attribut.

   

2. Développez Afficher la configuration héritée, puis sélectionnez Modifier à côté des instructions d’attribut du profil.

   

3. Ajoutez ces trois instructions d’attribut. Sélectionnez Ajouter un autre pour ajouter la deuxième et la troisième ligne.

   Nom	Format du nom	Valeur
   urn:oasis:names:tc:SAML:2.0:nameid	Référence URI	user.email
   name	Non précisé	user.email
   email	Non précisé	user.email

4. Sélectionnez Sauvegarder.

Assignez les personnes à l’application

Seules les personnes assignées à l’application dans Okta peuvent se connecter à Document360 avec Okta.

1. Dans l’application, sélectionnez l’onglet Assignations .
2. Sélectionnez Assigner, puis sélectionner Assigner aux personnes ou Assigner aux groupes.
3. Sélectionnez Assigner à côté de chaque personne ou groupe qui doit se connecter à Document360, sélectionnez Enregistrer et Revenir, puis Terminé.

Étape 3 : Saisissez les détails Okta dans Document360

Obtenez les valeurs de réglage sur Okta

Dans l’onglet Connexion de l’application, sélectionnez Voir les instructions de configuration SAML. Les valeurs dont vous avez besoin s’ouvrent sur une nouvelle page.

Compléter l’étape Configurer l’IdP

1. Passez à l’onglet Document360, puis sélectionnez Suivant pour aller à l’étape Configurer l’IDP .

2. (Optionnel) Pour réutiliser les paramètres SCIM d’un projet parent, sélectionnez une configuration SSO avec SCIM activé dans Configurer une connexion existante. Cette configuration devient une configuration enfant et hérite des paramètres SCIM du parent, et l’étape SCIM est verrouillée. Pour en savoir plus, lisez Hériter d’une autre application.

3. Copiez ces valeurs à partir des instructions de configuration d’Okta :

   Copie d’Okta	Coller dans Document360
   URL de connexion unique du fournisseur d’identité	URL de connexion
   Fournisseur d’identité Émetteur	Identifiant d’entité

4. Leave Binding type défini sur Httppost, qui correspond au type par défaut d’Okta.

5. Téléchargez le certificat X.509 d’Okta, puis téléchargez-le en certificat SAML. Vous pouvez télécharger un fichier PEM, CRT ou CER pouvant atteindre 10 Mo.

6. Pour permettre aux gens de se connecter depuis le tableau de bord Okta, activez « Permettre la connexion initiée par l’IdP ». Pour en savoir plus, lisez Permettre aux gens de se connecter depuis votre tableau de bord IDP.

   

7. Sélectionnez Suivant. L’étape SCIM s’ouvre.

Étape 4 : (Optionnel) Configurer le provisionnement SCIM

SCIM maintient Document360 synchronisé avec Okta : lorsque vous ajoutez, mettez à jour ou désactivez des utilisateurs et lecteurs dans Okta, Document360 se met à jour automatiquement. Vous allez configurer SCIM dans les deux onglets maintenant, et le tester à l’étape 6 après avoir créé la configuration.

Si vous n’avez pas besoin de SCIM, laissez désactivé Activer le provisionnement SCIM et passez à l’étape 5.

Activez SCIM dans Document360

1. À l’étape SCIM , activez Activer le provisionnement SCIM.

   

2. Dans la boîte de dialogue de confirmation, examinez les conditions, sélectionnez la case à cocher, puis sélectionnez Accepter. L’URL de base SCIM ainsi que les jetons secrets principaux et secondaires apparaissent.

   

3. Copiez les deux jetons secrets et stockez-les en toute sécurité.

Activez SCIM dans l’application Okta

1. Dans la console d’administration Okta, développez Applications et Ressources, sélectionnez Applications, puis ouvrez votre application Document360.

2. Dans l’onglet Général , sélectionnez Modifier à côté de Paramètres de l’application.

3. Dans Provisionnement, sélectionnez SCIM, puis sélectionnez Sauvegarder.

   

Connectez Okta à Document360

1. Dans l’onglet Provisionnement , sélectionnez Modifier à côté de Connexion SCIM.

   

2. Dans l’URL de base du connecteur SCIM, collez l’URL de base SCIM depuis Document360.

3. Dans le champ Identifiant unique pour les utilisateurs, saisissez userName.

4. Dans la section Actions de provisionnement supportées, sélectionnez uniquement Push Nouveaux Utilisateurs, Push Profile Updates et Push Groups.

5. En mode authentification, sélectionnez En-tête HTTP.

6. Sous HTTP Header, collez le jeton secret principal de Document360 dans Authorization.

   

7. Sélectionnez Sauvegarder.

Définissez le rôle et les groupes par défaut dans Document360

1. Passez à l’onglet Document360. Pour assigner les utilisateurs et lecteurs en fonction de leurs groupes Okta, activez Activer la synchronisation de groupe.

2. Dans le rôle par défaut, gardez Contributeur ou sélectionnez un autre rôle. Ce rôle s’applique uniquement aux utilisateurs. Les lecteurs n’ont pas de rôle.

3. Dans les groupes d’utilisateurs et les groupes de lecteurs, sélectionnez les groupes auxquels ajouter de nouveaux utilisateurs et lecteurs. Ces groupes s’appliquent que la synchronisation de groupe soit activée ou non.

   

4. Sélectionnez Suivant.

Pour en savoir plus sur la cartographie, le provisionnement et le déprovisionnement d’attributs, lisez Gérer les utilisateurs et lecteurs avec SCIM dans Okta.

Étape 5 : Nommez la configuration et créez-la

1. Dans le nom SSO, entrez un nom pour cette configuration.

2. Dans le texte du bouton Connexion, saisissez le texte du bouton de connexion.

3. (Optionnel) Pour déconnecter les utilisateurs après une période d’inactivité, activez le délai d’expiration SSO de session inactive et définissez la durée d’expiration (HH :MM).

4. Dans Convertir les comptes d’équipe et de lecteurs existants en SSO, dans Envoyer une invitation à, sélectionnez Tous les utilisateurs ou Utilisateurs sélectionnés. Consultez l’avertissement dans Avant de commencer.

   

5. Sélectionne Créer.

La configuration apparaît dans la liste SSO Entreprise . Pour confirmer que cela fonctionne, connectez-vous à Document360 avec un compte Okta que vous avez attribué à l’application. Si vous configurez SCIM, complétez l’étape 6.

Étape 6 : Testez la connexion SCIM dans Okta

Saute cette étape si tu n’as pas configuré SCIM.

1. Dans la console d’administration Okta, ouvrez votre application Document360 et allez dans l’onglet Provisionnement .

2. Sélectionnez Modifier à côté de Connexion SCIM, puis sélectionnez Configuration du Connecteur de Test. Une boîte de dialogue de confirmation montre que le test a réussi.

   

3. Sélectionnez Fermer, puis sélectionner Enregistrer.

Okta ne pousse aucun changement à Document360 tant que vous n’activez pas Créer des utilisateurs, mettre à jour les attributs utilisateurs et désactiver les utilisateurs dans Provisionnement > vers l’application. Pour cela, lisez Provisionner Okta vers Document360. Pour assigner utilisateurs, lecteurs et groupes, lisez Gérer les utilisateurs et lecteurs avec SCIM dans Okta.

Meilleures pratiques

• Testez d’abord avec un petit groupe. Avant de déployer SSO à tout le monde, connectez-vous avec quelques comptes de test pour détecter des problèmes de mappage d’attributs ou d’accès.
• Stockez les deux jetons secrets comme les mots de passe. Gardez-les dans un gestionnaire de mots de passe ou un coffre-fort secret, jamais dans des fichiers en texte brut ou des dépôts de code.
• Associez le délai d’attente à votre politique de sécurité. Définissez la durée du délai d’attente aux règles de session de votre organisation.

FAQ