Administration Google

Cet article explique comment utiliser Google Workspace (Google Admin) comme fournisseur d'identité pour configurer l'authentification unique SAML pour EngageLab. Suivez-le en parallèle de la procédure en quatre étapes décrite dans Configuration SSO : cet article correspond à « Étape 1 : configurer EngageLab dans l'IdP » et à « Étape 2 : saisir les informations renvoyées par l'IdP ».

Prérequis

• Vous disposez des droits d'administrateur de Google Workspace.
• Vous avez un compte EngageLab et avez créé une organisation qui dispose des droits SSO. Si ce n'est pas le cas, veuillez contacter le service commercial.
• L'adresse e-mail principale (Primary email) Google des membres correspond à l'adresse e-mail de leur compte EngageLab.

Note : Google Workspace utilise l'adresse e-mail principale (Primary email) de l'utilisateur comme adresse e-mail SSO. Il n'est pas possible de configurer plusieurs adresses e-mail SSO pour un même utilisateur.

Étape 1 : créer une application SAML personnalisée

1. Connectez-vous à la console d'administration Google, puis, dans le menu de gauche, cliquez sur « Applications » > « Applications Web et mobiles ».

   

2. Cliquez sur « Ajouter une application », puis sélectionnez « Ajouter une application SAML personnalisée ».

   

3. Saisissez le « Nom de l'application » (par exemple EngageLab) et la « Description », puis cliquez sur « Continuer ».

   

4. Sur la page « Détails du fournisseur d'identité Google », copiez l'« URL SSO » et le « Certificat » et conservez-les en lieu sûr ; ils seront utilisés à l'étape 4. Cliquez sur « Continuer ».

   

Étape 2 : renseigner les détails du fournisseur de services

1. Copiez les informations SP à l'étape 1 de l'assistant de configuration EngageLab.

   

2. Sur la page « Détails du fournisseur de services » de Google, renseignez les champs selon le tableau ci-dessous :

   Champ Google	Valeur
   URL ACS	ACS URL d'EngageLab
   ID d'entité	Entity ID d'EngageLab
   Format de l'ID de nom	EMAIL
   ID de nom	Basic Information > Primary email

   

3. Cliquez sur « Continuer ».

Étape 3 : ajouter le mappage de l'attribut e-mail

Par défaut, Google Workspace ne renvoie pas d'attribut e-mail dans l'assertion SAML ; vous devez l'ajouter sur la page « Mappage des attributs ».

1. Cliquez sur « Ajouter un mappage » et renseignez les champs selon le tableau ci-dessous :

   Attribut de l'annuaire Google	Attribut de l'application
   Basic Information > Primary email	email

   Vous pouvez aussi saisir comme attribut de l'application le nom d'attribut e-mail standard http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress ; EngageLab reconnaît les deux formes. Les applications déjà configurées de cette façon n'ont pas besoin d'être modifiées.

   

   Note : Dans l'illustration ci-dessus, l'attribut de l'application utilise le nom d'attribut e-mail standard ; saisir email produit le même résultat.

2. Cliquez sur « Terminer ».

Étape 4 : renseigner les informations Google dans EngageLab

À l'étape 2 de l'assistant de configuration EngageLab, renseignez :

Saisissez le « Nom du service SSO », cliquez sur « Continuer », puis terminez l'autorisation des organisations et la vérification conformément à Configuration SSO.

Note : Google Workspace ne prend pas en charge la déconnexion unique ; vous pouvez saisir dans « URL de déconnexion IdP » la même URL SSO que dans « URL de connexion IdP ». Pour la déconnexion, voir la section Questions fréquentes ci-dessous.

Étape 5 : activer l'accès utilisateur

Une application SAML personnalisée nouvellement créée n'est pas activée par défaut pour les utilisateurs ; vous devez l'activer manuellement.

1. Dans « Applications » > « Applications Web et mobiles », cliquez sur l'application que vous venez de créer, puis sur la section « Accès utilisateur » (sans cliquer sur les liens qu'elle contient).

   

2. Dans « État du service », sélectionnez « Activé pour tous », ou activez l'application uniquement pour certaines unités organisationnelles ou certains groupes, puis cliquez sur « Enregistrer ». La prise en compte du paramètre peut prendre quelques minutes.

   

Vérification du compte lors de la connexion avec Google

Lors d'une connexion via « Connexion SSO » sur la page de connexion EngageLab ou via un lien de connexion SSO dédié, Google vérifie le compte Google actuellement connecté dans le navigateur :

Changer de compte Google

En cas d'erreur 403, vérifiez que l'accès a bien été activé pour ce compte Google à l'étape 5, puis passez au bon compte avant de vous reconnecter. Exemple avec le navigateur Chrome :

1. Cliquez sur l'icône de profil en haut à droite du navigateur, puis sélectionnez « Gérer les profils Chrome ».

   

2. Ajoutez le compte Google utilisé pour vous connecter à EngageLab ou passez à ce compte, puis relancez la connexion SSO.

   

Vous pouvez aussi vous connecter en mode navigation privée : le système vous guidera pour vous connecter à votre compte Google, ce qui évite les conflits avec d'autres comptes déjà connectés.

Questions fréquentes

Q : Après la déconnexion d'EngageLab, une erreur 400 s'affiche lors de la sélection du compte.

R : Google Workspace ne prend pas en charge la déconnexion unique (SLO) ; le bouton de déconnexion d'EngageLab ne permet donc pas de vous déconnecter de votre compte Google. Pour vous déconnecter, faites-le manuellement depuis le menu du compte Google dans le navigateur.

Q : L'authentification Google réussit, mais la connexion à EngageLab est impossible.

R : Vérifiez le mappage des attributs de l'étape 3 : un mappage avec l'attribut de l'annuaire Google Primary email a-t-il été ajouté, l'attribut de l'application est-il email ou le nom d'attribut e-mail standard, et cette adresse e-mail correspond-elle à celle du compte EngageLab ?