Comment fonctionne l’authentification unique
- Une personne ouvre une application et choisit de se connecter avec le compte professionnel.
- L’application la redirige vers le fournisseur d’identité.
- Le fournisseur d’identité vérifie son identité selon ses propres règles : mot de passe, authentification multifacteur, clé d’accès, contrôles de l’appareil.
- Il la renvoie avec une déclaration signée de son identité (une assertion SAML ou un jeton d’identité OpenID Connect).
- L’application vérifie la signature, associe l’identité à un compte et ouvre une session.
| Rôle | Ce qu’il fait |
|---|---|
| Fournisseur d’identité (IdP) | Détient les comptes et authentifie les personnes |
| Fournisseur de service ou partie de confiance | L’application que la personne veut utiliser |
| Assertion ou jeton d’identité | La déclaration signée d’identité échangée entre les deux |
| Annuaire | La liste des personnes et des groupes que gère le fournisseur d’identité |
SAML 2.0 ou OpenID Connect
Deux standards portent l’essentiel du trafic SSO.
| SAML 2.0 | OpenID Connect | |
|---|---|---|
| Publié par | OASIS, comme standard OASIS en 2005 | L’OpenID Foundation (OpenID Connect Core 1.0, 2014) |
| Format des messages | Assertions XML | JSON Web Tokens |
| Construit sur | Son propre protocole XML | OAuth 2.0 (RFC 6749) |
| Usage typique | Applications web d’entreprise, annuaires plus anciens | Applications web et mobiles, comptes grand public et collaborateurs |
| Mise en place | Échanger des fichiers de métadonnées et des certificats de signature | Enregistrer un identifiant client, un secret et une URL de redirection |
Pour la personne qui se connecte, le résultat est le même. La plupart des fournisseurs d’identité d’entreprise prennent en charge les deux, et le choix dépend de ce que propose l’application.
Provisionnement SCIM
Le SSO répond à une seule question à la connexion : qui est cette personne ? Il ne crée, ne met à jour et ne supprime pas de comptes à l’avance. C’est le rôle de SCIM 2.0, le System for Cross-domain Identity Management, défini dans les RFC 7643 et RFC 7644 (IETF, 2015). Avec SCIM, le fournisseur d’identité envoie les utilisateurs et les appartenances à des groupes à chaque application, et les supprime quand quelqu’un part.
Sans SCIM, les applications utilisent d’autres méthodes :
- Le provisionnement just-in-time : un compte est créé la première fois que quelqu’un se connecte par SSO, avec un rôle par défaut.
- Les invitations ou les imports de fichier pour les comptes créés à l’avance.
- Le blocage de la connexion comme principal contrôle de départ : une fois le compte professionnel désactivé, la personne ne peut plus se connecter, mais son compte dans l’application reste jusqu’à ce que quelqu’un le désactive.
Le SSO dans le travail du DAM et du marketing
- Départs. Quand un responsable commercial part, désactiver son compte professionnel doit mettre fin à son accès aux photos produit non publiées autant qu’à sa messagerie.
- Utilisateurs externes. Les agences, les freelances et les distributeurs sont rarement dans l’annuaire de l’entreprise. Ils ont besoin d’invitations, de comptes invités, de liens de partage ou d’un portail de marque.
- Rôles à la première connexion. Avec le provisionnement just-in-time, le rôle par défaut décide de ce qu’un nouveau collaborateur peut voir dès le premier jour : ce doit être le rôle le plus restreint qui reste utile.
- Une voie d’accès administrateur. Si le fournisseur d’identité est mal configuré ou en panne, quelqu’un doit toujours pouvoir entrer pour corriger les paramètres.
Erreurs courantes : exiger le SSO avant que tout le monde s’y soit connecté une fois ; autoriser la création de comptes sans restreindre les domaines d’email, ce qui laisse entrer des comptes personnels ; et croire que le SSO met fin aux tokens d’API ou aux sessions ouvertes, ce qui dépend de l’application.
L’authentification unique dans Freedam
Freedam propose le SSO avec deux fournisseurs d’identité : Google (comptes Google Workspace et Gmail) et Microsoft (comptes professionnels ou scolaires Microsoft Entra ID, et comptes Microsoft personnels). La connexion utilise OAuth 2.0 avec OpenID Connect.
- Les administrateurs activent Google, Microsoft ou les deux dans les Paramètres d’accès. La page de connexion affiche alors Continuer avec Google ou Continuer avec Microsoft.
- Chaque fournisseur peut être limité à une liste de domaines d’email. Créer les comptes à la première connexion (désactivé par défaut) donne aux nouveaux comptes un rôle choisi par fournisseur, et les rôles définis par domaine d’email sont prioritaires.
- Imposer l’authentification unique refuse la connexion par mot de passe à tout le monde sauf aux administrateurs, qui gardent un lien Connexion administrateur pour qu’un fournisseur mal configuré ne puisse pas bloquer l’accès à l’espace de travail.
- Une première connexion SSO avec une adresse email qui a déjà un compte relie les deux. Chacun peut lier ou délier un compte Google ou Microsoft dans ses paramètres.
- Les comptes peuvent recevoir une date de fin, ou être désactivés après une période sans connexion que fixe l’administrateur. La désactivation met fin aux sessions ouvertes et supprime les tokens d’API du compte.
- Le SSO est inclus dans les plans Business et Tailored.
Détails : Paramètres d’accès et Connexion dans la documentation Freedam (en anglais), et la page sécurité.
Questions fréquentes
Quelle différence entre SSO et SAML ?
Le SSO est le résultat : un compte professionnel pour de nombreuses applications. SAML 2.0 est l’un des standards utilisés pour l’obtenir, avec OpenID Connect. Une application peut proposer le SSO sans prendre en charge SAML.
Le SSO remplace-t-il l’authentification multifacteur ?
Non, il la déplace. Avec le SSO, le fournisseur d’identité applique ses propres règles multifacteur à la connexion. Les applications peuvent quand même demander un second facteur qui leur est propre, par exemple pour les administrateurs ou pour les comptes qui se connectent avec un mot de passe.
Qu’est-ce que le provisionnement SCIM ?
SCIM est une API standard qui permet à un fournisseur d’identité de créer, mettre à jour et désactiver automatiquement des comptes dans d’autres applications. Il complète le SSO : le SSO gère la connexion, SCIM maintient la liste des comptes en phase avec l’annuaire.
Termes associés
Voyez les paramètres de connexion qu’un administrateur contrôle
Dans la démo, vous êtes l’administrateur de Nordi. Ouvrez les paramètres d’accès pour voir les interrupteurs de connexion Google et Microsoft, la création de compte à la première connexion et l’option qui exige l’authentification unique.
Vous entrez dans l'espace de travail de Nordi en tant qu'administrateur.