Avec l’authentification unique (SSO), vos collaborateurs se connectent à Hermetry avec leur compte d’entreprise, et les personnes qui quittent l’organisation perdent l’accès dès que vous les désactivez dans votre annuaire. Chaque organisation peut connecter son propre fournisseur d’identité SAML 2.0 et garder les membres synchronisés avec SCIM 2.0. Cette page explique la mise en place.
Vous avez besoin du rôle Owner pour SAML et du rôle Admin pour les jetons SCIM.
SAML 2.0
Ouvrez SAML SSO (adresse /admin/saml). La vue d’ensemble affiche le Status (Active, Disabled ou Not configured), les Successful logins, les JIT-provisioned users, le Last login et le SSO Activity issu du journal d’audit. Sélectionnez Settings pour configurer.
1. Transmettre les informations de Hermetry à votre fournisseur d’identité
La carte Service Provider Info : « Provide these values to your Identity Provider during SAML app setup ».
| Champ | Utilisation dans votre fournisseur d’identité |
|---|---|
| Entity ID (Audience URI) | L’ID d’entité de l’audience / du SP |
| ACS URL (Reply URL) | L’adresse à laquelle le fournisseur envoie l’assertion |
| Metadata URL | À importer plutôt que de saisir les champs, si votre fournisseur le permet |
SP Metadata XML propose Copy XML et Download XML.
2. Saisir les paramètres de votre fournisseur d’identité
Identity Provider Settings :
| Champ | Valeur |
|---|---|
| IdP Entity ID | L’ID d’entité de votre fournisseur |
| IdP SSO URL | L’adresse de connexion de votre fournisseur |
| IdP Certificate (PEM or Base64) | Le certificat de signature du fournisseur. « Include or omit the —–BEGIN CERTIFICATE—– header — both formats are accepted. » |
Sélectionnez Save IdP Settings. Lorsque c’est autorisé, vous pouvez pré-remplir ces champs en important les métadonnées publiées par votre fournisseur (SAML Advanced Settings).
3. Mapper les attributs
Attribute Mapping : « Map SAML assertion attributes to user profile fields ».
| Champ | Signification |
|---|---|
| Email Attribute | « Attribute name from your IdP that contains the user email » |
| Name Attribute | « Attribute name for the user’s display name » |
| NameID Format | Le format du NameID du sujet (le format e-mail par défaut) |
| Sign Authentication Requests | Signer les requêtes qu’Hermetry envoie avec sa propre clé |
| Allow IdP-initiated SSO | « Permit logins started from the IdP dashboard without an SP request ». Désactivé est plus sûr. |
Sélectionnez Save Mapping.
4. Provisionner les membres à la volée
Just-In-Time Provisioning : « Unknown users that authenticate via your IdP will be auto-provisioned into this tenant. »
| Champ | Signification |
|---|---|
| Enable Just-In-Time provisioning | Crée le membre à sa première connexion SSO. Désactivé : seuls les membres existants peuvent se connecter en SSO. |
| Role attribute name (optional) | « Values containing ‘owner’ map to OWNER, ‘admin’ to ADMIN. » |
| Default member role | Le rôle attribué lorsqu’aucun attribut de rôle n’est mappé. |
Sélectionnez Save Provisioning Settings. Réfléchissez bien avant de mapper le rôle Owner depuis votre annuaire : toute personne que l’annuaire marque ainsi devient propriétaire.
5. Activer la fonctionnalité
Sous SAML Status, activez Enable SAML SSO : « Allows members to log in via your Identity Provider ».
Testez avec un second navigateur avant de vous déconnecter, afin qu’une erreur ne puisse pas vous bloquer l’accès.
Sécurité de SAML
- Les assertions doivent être signées, en SHA-256 ou SHA-512. SHA-1 et les assertions non signées sont refusées. Une connexion enregistrée avec des paramètres plus faibles est désactivée jusqu’à ce que vous l’enregistriez à nouveau : « SAML sign-in is off for this connection: its signature settings are too weak… »
- Lorsque Assertion Replay Detection est activé, une assertion dont l’ID a déjà été vu est refusée.
- Le décalage d’horloge toléré est de quelques secondes ; veillez à ce que l’horloge de votre fournisseur soit exacte.
- La clé privée SAML d’Hermetry est stockée chiffrée et n’est jamais exportée. Un second certificat peut être ajouté pour une rotation de clé.
- Single Logout (SLO), lorsqu’il est activé, propage la déconnexion entre Hermetry et votre fournisseur. Il nécessite l’adresse SLO de votre fournisseur.
- Un avertissement est écrit dans le journal d’audit lorsque le certificat de signature de votre fournisseur approche de l’expiration (par défaut 30 jours avant).
Un compte existant n’est lié à SAML que si l’e-mail de l’assertion correspond. Les invitations en attente adressées à une adresse vérifiée sont acceptées à la première connexion SSO.
Provisionnement SCIM 2.0
SCIM permet à votre fournisseur d’identité de créer, mettre à jour et désactiver automatiquement les membres.
- Ouvrez Settings > SCIM Provisioning. Copiez le SCIM 2.0 Endpoint (Copy SCIM endpoint) :
https://<your host>/tenant/<tenantId>/api/scim/v2. - Sélectionnez Generate SCIM token. « Copy this token now — it will not be shown again. » Il porte les périmètres
scim:readetscim:write. - Dans votre fournisseur d’identité, saisissez le point de terminaison comme adresse de base du connecteur, et le jeton comme en-tête HTTP
Authorization: Bearer <token>.
| SCIM | Hermetry |
|---|---|
userName, e-mail principal | L’e-mail du compte |
externalId | SCIM external ID sur la page du membre |
active: false | Statut du membre Inactive (l’accès prend fin immédiatement) |
| Supprimer | Le membre est retiré ; le compte reste disponible pour d’autres organisations |
Les noms envoyés par SCIM ne sont pas stockés. Les groupes ne sont pas pris en charge : les points de terminaison Groups renvoient une liste vide, donc attribuez les rôles et les groupes dans Hermetry. Revoke un jeton pour arrêter immédiatement le fournisseur : « name stops working at once… ». La liste des jetons affiche la Last used et l’expiration.
Connexion sociale
Les membres peuvent aussi se connecter par connexion sociale via des fournisseurs courants, en utilisant OpenID Connect ou OAuth, lorsque la plateforme les propose. Votre organisation peut les limiter :
- Settings > Authentication & SSO liste les fournisseurs ; l’installation et la configuration des fournisseurs se font dans la marketplace.
- Un membre lie un fournisseur sous My Profile > Connected Accounts ; l’e-mail du fournisseur doit correspondre. Voir Votre profil, langue et fuseau horaire.
Remarque
Connecter votre propre fournisseur d’identité OpenID Connect comme authentification unique de l’organisation n’est pas disponible ; utilisez SAML 2.0.