Configuration SSO

L'authentification unique (SSO, Single Sign-On) permet aux membres d'une organisation de se connecter à EngageLab avec le fournisseur d'identité (IdP) de leur entreprise, sans gérer de mot de passe EngageLab distinct. Les administrateurs peuvent ouvrir et révoquer l'accès des membres de manière centralisée dans l'IdP.

EngageLab prend en charge les fournisseurs d'identité basés sur le protocole SAML 2.0, notamment, sans s'y limiter, Microsoft Azure (Microsoft Entra ID), Google Workspace, Okta et OneLogin.

Cet article s'adresse aux créateurs d'organisation et aux administrateurs IdP de l'entreprise. Il décrit l'ensemble du processus, de la configuration à la connexion des membres.

Termes courants

Prérequis

• Vous disposez d'un compte EngageLab et êtes connecté avec une méthode de connexion classique. Il n'est pas possible de créer une organisation avec la connexion SSO.
• L'organisation pour laquelle activer le SSO a été créée par vous et dispose des droits SSO. Si ce n'est pas le cas, veuillez contacter le service commercial.
• Vous pouvez créer une application SAML dans l'IdP de l'entreprise, ou un administrateur IdP peut vous aider.
• L'adresse e-mail des membres dans l'IdP correspond à l'adresse e-mail de leur compte EngageLab.

Identification des utilisateurs

EngageLab identifie les utilisateurs SSO par leur adresse e-mail : il lit l'attribut e-mail dans l'assertion SAML renvoyée par l'IdP et le compare à l'adresse e-mail du compte EngageLab. Les deux noms d'attribut suivants sont reconnus :

Remarque : L'assertion SAML renvoyée par l'IdP doit contenir l'un des attributs e-mail ci-dessus. Sa valeur est l'adresse e-mail de l'utilisateur et doit correspondre à l'adresse e-mail de son compte EngageLab. Si votre IdP ne renvoie pas d'attribut e-mail par défaut, ajoutez un attribut nommé email dans l'Attribute Statement de l'application IdP ; sinon, l'utilisateur ne pourra pas finaliser la connexion SSO.

Recommandation : Définissez également le Name ID sur l'adresse e-mail de l'utilisateur, au format EmailAddress, afin de faciliter le diagnostic des problèmes.

Configuration de l'attribut e-mail selon l'IdP :

Procédure de configuration

La configuration du SSO comprend quatre étapes, qui correspondent à l'assistant « Configurer le SSO » de la console :

1. Configuration IdP : configurer dans l'IdP les informations SP fournies par EngageLab et vérifier que l'IdP renvoie l'attribut e-mail.
2. Retour des données source : saisir dans EngageLab le certificat ainsi que les adresses de connexion et de déconnexion générés par l'IdP.
3. Autoriser l'organisation : autoriser le service SSO aux organisations pour lesquelles activer le SSO.
4. Vérification : tester la connexion avec le lien de connexion SSO.

Étape 1 : configurer EngageLab dans l'IdP

1. Connectez-vous à EngageLab, survolez votre avatar en haut à droite, puis cliquez sur « Centre personnel ».

   

2. Dans le « Centre personnel », cliquez sur « SSO », puis sur « Configurer le SSO ».

   

3. Copiez les informations SP affichées sur la page et transmettez-les à l'administrateur IdP afin qu'il crée une application SAML dans l'IdP. Cliquez sur « Copier » pour copier toutes les informations en une seule fois.

   

   Information SP	Description	Noms de champ courants dans l'IdP
   Entity ID	Identifiant unique d'EngageLab en tant que SP	Identificateur (ID d'entité), Audience URI, SP Entity ID
   ACS URL	Adresse qui reçoit l'assertion SAML renvoyée par l'IdP	URL de réponse (URL Assertion Consumer Service), Single sign-on URL, ACS URL
   Login URL	Point d'entrée de la connexion SSO d'EngageLab	URL de connexion, Start URL
   Logout URL	Adresse de déconnexion d'EngageLab	URL de déconnexion, Single Logout URL

4. Conformément à la section Identification des utilisateurs, vérifiez que l'application IdP renvoie l'attribut e-mail ; si ce n'est pas le cas par défaut, ajoutez un attribut nommé email. Attribuez également à cette application les membres qui doivent se connecter à EngageLab.

5. Demandez à l'administrateur IdP les informations suivantes, nécessaires à l'étape suivante :

   Information IdP	Description
   X.509 Certificate	Certificat de signature de l'IdP, au format Base64. Le certificat a une durée de validité et doit être renouvelé avant son expiration
   URL de connexion IdP	Adresse d'authentification unique de l'IdP
   URL de déconnexion IdP	Adresse de déconnexion unique de l'IdP

6. Une fois la configuration IdP terminée, cochez la case de confirmation en bas de la page (confirmation que les informations de l'application EngageLab ont été mises à jour dans l'IdP), puis cliquez sur « Continuer ».

   

Étapes de configuration détaillées pour les IdP courants :

• Microsoft Azure
• Google Admin
• Okta, OneLogin et autres IdP : renseignez les informations SP dans les champs correspondants selon le tableau ci-dessus, puis ajoutez l'attribut email conformément à la section Identification des utilisateurs.

Étape 2 : saisir les informations renvoyées par l'IdP

1. Saisissez le « Nom du service SSO », qui permet de distinguer les services dans la liste des services SSO.
2. Renseignez les champs « Certificat x509 », « URL de connexion IdP » et « URL de déconnexion IdP » avec les informations fournies par l'IdP. Pour le certificat, collez l'intégralité du contenu Base64.
3. Cliquez sur « Continuer ».

Étape 3 : autoriser l'organisation

1. Sélectionnez les organisations pour lesquelles activer le SSO, puis cliquez sur « Enregistrer et vérifier ».

   • Un service SSO peut être autorisé à plusieurs organisations, et une organisation peut se voir autoriser plusieurs services SSO.
   • Seules les organisations que vous avez créées et qui disposent des droits SSO peuvent être sélectionnées. Les organisations affichant « Aucun droit » ou « Restreint » (limite du protocole SSO dépassée) ne sont pas sélectionnables ; veuillez alors contacter le service commercial.

   

2. Confirmez dans la boîte de dialogue de confirmation.

   Remarque : Après l'enregistrement, tous les membres des organisations sélectionnées sont déconnectés et reçoivent un e-mail leur demandant d'utiliser la connexion SSO. Les membres devront ensuite utiliser la connexion SSO pour accéder à l'organisation.

   

Étape 4 : vérifier le service SSO

Testez la connexion avec l'« URL de connexion SSO » affichée sur la page. Le compte de test doit remplir les conditions suivantes :

• Il a rejoint une organisation à laquelle le service SSO a été autorisé.
• Il est attribué à l'application SAML dans l'IdP.
• La valeur de l'attribut e-mail renvoyée par l'IdP correspond à l'adresse e-mail EngageLab du compte.

Note : Un compte qui se connecte via le lien de connexion SSO sans avoir de rôle dans l'organisation reçoit automatiquement le rôle Default. Une fois le membre ajouté, vous pouvez modifier son rôle dans la gestion des membres de l'organisation.

Règles d'accès utilisateur

Lorsqu'un compte se connecte via un service SSO, le système enregistre la liaison entre ce compte et le service SSO. Chacune des actions suivantes crée une liaison :

• Cliquer sur le lien de connexion SSO dans l'e-mail « Invitation à rejoindre l'organisation ».
• Cliquer sur le lien de connexion SSO dans l'e-mail de notification « Organisation ayant activé le service SSO ».
• Utiliser le lien de connexion dédié d'un service SSO.

Gérer les services SSO

Consultez les services SSO configurés dans « Centre personnel » > « SSO ».

Consulter et modifier

Cliquez sur une ligne ou sur « Modifier » pour ouvrir les « Détails du service SSO ». Les informations de configuration SP et IdP y sont affichées ; cliquez sur le bouton à droite d'un champ pour copier son contenu.

• Seules les informations de configuration IdP (Certificat x509, URL de connexion IdP, URL de déconnexion IdP) peuvent être modifiées ; les autres champs sont en lecture seule.
• La date d'expiration du certificat est affichée dans les détails. Lorsque l'IdP change de certificat, mettez-le à jour ici sans tarder, faute de quoi les membres ne pourront plus se connecter.

Modifier les organisations autorisées

Cliquez sur « Autoriser », sélectionnez les organisations à gauche, vérifiez les organisations autorisées à droite, puis cliquez sur « Enregistrer ».

• Organisations nouvellement autorisées : tous les membres reçoivent un e-mail de notification contenant le lien de connexion de ce service SSO et leur demandant de se connecter via ce service.
• Organisations dont l'autorisation est retirée : tous les membres reçoivent un e-mail de notification les informant qu'ils ne peuvent plus se connecter via ce service SSO et indiquant les autres méthodes de connexion prises en charge par l'organisation.

Supprimer

Cliquez sur « Supprimer » et confirmez.

Remarque : Après la suppression, les organisations autorisées par ce service ne prennent plus en charge la connexion SSO via ce service, le lien de connexion devient invalide et les membres des organisations reçoivent un e-mail annonçant l'arrêt de la connexion SSO.

Connexion des membres

Se connecter depuis la page de connexion EngageLab

1. Ouvrez la page de connexion EngageLab et cliquez sur « Connexion SSO ».

   

2. Saisissez l'adresse e-mail de votre compte EngageLab. Le système choisit le service SSO en fonction de la dernière organisation SSO à laquelle le compte a accédé :

   • Si l'organisation n'a qu'un seul service SSO, vous êtes redirigé directement vers l'IdP.
   • Si l'organisation a plusieurs services SSO et que le compte est lié à plusieurs d'entre eux, choisissez le service à utiliser.

3. Une fois l'authentification terminée sur la page de l'IdP, vous êtes automatiquement renvoyé vers EngageLab et connecté.

   

Utiliser le lien de connexion SSO dédié

Le créateur de l'organisation peut copier le lien de connexion d'un service SSO dans « Centre personnel » > « SSO » et l'envoyer aux membres de l'organisation.

Après avoir cliqué sur le lien, les membres sont redirigés vers l'IdP pour s'authentifier. Une fois l'authentification réussie, EngageLab associe le compte à l'adresse e-mail renvoyée par l'IdP :

Note : Pour accéder à une organisation via le lien de connexion SSO, demandez à l'administrateur de l'organisation d'ajouter votre adresse e-mail à cette organisation SSO.

Résoudre les échecs de connexion

Déconnexion

Lorsque vous cliquez sur la déconnexion alors que vous êtes connecté via SSO, le système appelle l'adresse de déconnexion de l'IdP et met également fin à votre session sur l'IdP. Lors de la connexion suivante, vous devrez vous authentifier à nouveau sur l'IdP.

Note : Certains IdP ne prennent pas en charge la déconnexion unique (par exemple Google Workspace). Dans ce cas, vous devez vous déconnecter manuellement côté IdP ; voir Google Admin.