Authentification unique avec Okta, Microsoft Entra ID ou Google Workspace

L'authentification unique (SSO) permet aux gens de se connecter à Kaam360 avec leur compte d'entreprise, via votre fournisseur d'identité : Okta, Microsoft Entra ID, Google Workspace ou tout autre fournisseur SAML 2.0. Personne n'a besoin d'un mot de passe Kaam360 distinct, et lorsque quelqu'un s'en va, vous le désactivez à un seul endroit.

Ouvrir la page

1. Appuyez sur Paramètres, puis sur la carte Authentification unique. (Elle figure aussi sur la carte Sécurité : appuyez sur Configurer l'authentification unique.)
2. Suivez les six étapes numérotées de la page, de haut en bas.

Étape 1 : ajouter Kaam360 à votre fournisseur d'identité

Chez votre fournisseur d'identité, créez une nouvelle application SAML pour Kaam360 et copiez-y les informations de l'étape 1 de la page :

• Entity ID (audience) : le nom que Kaam360 donne à votre organisation.
• Adresse de réponse (ACS URL) : l'adresse où votre fournisseur renvoie les gens après leur connexion.
• Ou appuyez sur Télécharger les métadonnées Kaam360 et importez plutôt ce fichier chez votre fournisseur.

Envoyez l'adresse e-mail (obligatoire). Le nom et les groupes sont facultatifs. Signez l'assertion (c'est le réglage standard).

Dans Okta : Applications, Create App Integration, SAML 2.0. Placez l'adresse de réponse dans « Single sign-on URL » et l'Entity ID dans « Audience URI ». Format du Name ID : EmailAddress. Attribuez les personnes ou les groupes qui peuvent utiliser Kaam360.

Dans Microsoft Entra ID : Applications d'entreprise, Nouvelle application, Créer votre propre application, puis Authentification unique, SAML. Placez l'Entity ID dans « Identificateur » et l'adresse de réponse dans « URL de réponse ». Attribuez des utilisateurs et des groupes.

Dans Google Workspace : console d'administration, Applications, Applications Web et mobiles, Ajouter une application, Ajouter une application SAML personnalisée. Placez l'adresse de réponse dans « URL de l'ACS » et l'Entity ID dans « ID d'entité ». Name ID : adresse e-mail principale. Activez l'application pour les bonnes personnes.

Étape 2 : donner à Kaam360 les informations de votre fournisseur d'identité

Choisissez une méthode :

1. Collez l'Adresse des métadonnées du fournisseur et appuyez sur Charger. C'est la meilleure méthode : Kaam360 la vérifie alors chaque jour et récupère tout seul un nouveau certificat.
2. Ou sous Ou importez le fichier de métadonnées (XML), choisissez le fichier téléchargé chez votre fournisseur.
3. Ou ouvrez Ou saisissez les informations à la main et renseignez l'identifiant d'entité, l'adresse de connexion et le certificat de signature, puis appuyez sur Enregistrer.

L'encadré En usage actuellement indique ce que Kaam360 acceptera, y compris chaque certificat et sa date d'expiration.

Étape 3 : la tester

1. Appuyez sur Tester la connexion.
2. Connectez-vous chez votre fournisseur d'identité.
3. Vous revenez sur la page avec le message Le test est terminé. Sous l'étape 3, vous voyez A fonctionné ou Échec, l'identité avec laquelle vous vous êtes connecté, vos groupes, ce que ferait Kaam360 (connecter une personne existante, créer un compte ou refuser), et les attributs envoyés par votre fournisseur.

Le test ne connecte personne et ne modifie rien, et il fonctionne même lorsque l'authentification unique est désactivée. Si les informations du fournisseur changent plus tard, refaites le test.

L'activer

En haut de la page, sous Statut, appuyez sur L'activer. Le bouton ne fonctionne qu'après un test réussi.

Les gens voient désormais Se connecter avec votre entreprise (SSO) sur la page de connexion. Ils saisissent leur e-mail professionnel et Kaam360 les envoie vers votre fournisseur. Vous pouvez aussi leur donner le Lien de connexion pour vos collaborateurs de l'étape 1.

Étape 4 : vérifier vos domaines e-mail

1. Saisissez votre domaine e-mail (la partie après le @, par exemple example.com) et appuyez sur Ajouter le domaine.
2. Copiez l'Enregistrement TXT à ajouter et créez un enregistrement TXT avec cette valeur chez le fournisseur DNS de votre domaine. Le nom (hôte) est @, c'est-à-dire le domaine lui-même.
3. Appuyez sur Vérifier maintenant. Lorsque l'enregistrement est trouvé, le domaine affiche Vérifié. Les modifications DNS peuvent prendre quelques heures.

Les domaines vérifiés permettent aux gens de trouver votre page de connexion à partir de leur adresse e-mail, et de nouveaux comptes ne sont jamais créés que pour des domaines vérifiés. Un domaine ne peut être vérifié que par une seule organisation Kaam360.

Étape 5 : nouvelles personnes, rôles et attributs

• Cochez Créer un compte la première fois qu'une personne d'un domaine vérifié se connecte, choisissez le Rôle des nouvelles personnes et appuyez sur Enregistrer. Sans cela, seules les personnes qui ont déjà un compte peuvent se connecter.
• Sous Groupes et rôles, saisissez un nom de groupe (ou un identifiant) exactement tel que votre fournisseur l'envoie, choisissez un rôle et appuyez sur Ajouter. Les membres de ce groupe reçoivent ce rôle à chaque connexion. Si plusieurs groupes correspondent, celui placé le plus haut dans la liste l'emporte.
• Sous Attributs, laissez les cases vides sauf si votre fournisseur utilise des noms d'attributs inhabituels. Le dernier test indique les noms qu'il envoie.

Les personnes qui ont déjà un compte sont rapprochées par leur adresse e-mail. Une personne que vous avez désactivée dans Kaam360 ne peut pas se connecter, quoi qu'en dise le fournisseur d'identité.

Étape 6 : authentification unique exclusive

Lorsque tout le monde se connecte par votre fournisseur, vous pouvez supprimer les mots de passe :

1. Cochez au moins un administrateur de secours. Il doit avoir activé la connexion en deux étapes.
2. Appuyez sur Activer l'authentification unique exclusive.

Dès lors, les mots de passe (et la connexion avec Google ou Microsoft) ne fonctionnent plus, sauf pour les administrateurs de secours, qui se connectent avec leur mot de passe et leur code en deux étapes si votre fournisseur est indisponible. Pour mettre fin aux sessions déjà ouvertes avec un mot de passe, allez dans Sécurité et appuyez sur Déconnecter tous les autres. Appuyez sur Autoriser à nouveau les mots de passe pour revenir en arrière.

Sous Connexion depuis la liste d'applications du fournisseur d'identité, vous pouvez permettre aux gens d'ouvrir Kaam360 depuis le tableau de bord de votre fournisseur (Okta, Mes applications). C'est désactivé par défaut, car les connexions qui démarrent dans Kaam360 sont liées au navigateur qui les a demandées.

Étape 7 : configuration automatique des utilisateurs (SCIM)

Votre annuaire (Microsoft Entra ID, Okta, Google Workspace ou tout annuaire SCIM 2.0) peut ajouter des personnes à Kaam360, tenir à jour leurs noms et adresses e-mail, et désactiver les comptes des personnes qui partent.

1. Sur la page de l'authentification unique, sous 7. Configuration automatique des utilisateurs (SCIM), appuyez sur Activer et créer un jeton.
2. Copiez l'Adresse (tenant URL) et le jeton. Le jeton ne s'affiche qu'une fois.
3. Dans votre annuaire, ouvrez l'application Kaam360 et ses paramètres d'approvisionnement (dans Microsoft Entra ID : Approvisionnement, mode Automatique). Collez l'adresse comme URL du locataire et le jeton comme jeton secret, testez la connexion et lancez l'approvisionnement.
4. Choisissez qui envoyer : les personnes et les groupes attribués à l'application.

Les personnes ajoutées par l'annuaire n'ont pas de mot de passe Kaam360 : elles se connectent par l'authentification unique. Chaque nouvelle personne active occupe une place de votre offre, et l'annuaire est prévenu lorsqu'aucune place n'est libre. Les groupes dont vous avez associé les noms à l'étape 5 donnent ce rôle à leurs membres. Une personne retirée de l'annuaire est désactivée, jamais supprimée : ses tâches, ses heures et son historique restent. Le dernier administrateur et les administrateurs de secours ne sont jamais désactivés par l'annuaire. Appuyez sur Créer un nouveau jeton si le jeton a pu fuiter ; l'ancien cesse aussitôt de fonctionner. Chaque modification effectuée par l'annuaire est inscrite dans le journal d'activité.

Changement de certificats

Les fournisseurs d'identité remplacent leur certificat de signature tous les quelques ans. Kaam360 affiche un avertissement sur la page et envoie un e-mail aux administrateurs 30 jours puis 7 jours avant l'expiration du dernier certificat accepté.

• Si les informations proviennent d'une adresse de métadonnées, appuyez sur Actualiser maintenant (Kaam360 le fait aussi chaque jour).
• Sinon, collez le nouveau certificat sous Changement de certificats et appuyez sur Ajouter le nouveau certificat. Les deux sont acceptés pendant la transition. Lorsque votre fournisseur utilise le nouveau, appuyez sur Faire du second certificat le seul certificat.

Le certificat propre à Kaam360 (utilisé uniquement si votre fournisseur chiffre ses réponses) peut être remplacé avec Créer un nouveau certificat ; donnez les nouvelles métadonnées à votre fournisseur, puis appuyez sur Retirer le certificat précédent.

Bon à savoir

• Les personnes qui se connectent par l'authentification unique ne se voient pas demander de code en deux étapes Kaam360 : les contrôles propres à votre fournisseur d'identité (comme Okta Verify ou Microsoft Authenticator) en tiennent lieu.
• Chaque connexion, refus, test et modification des paramètres figure dans le Journal d'activité sous « Single sign-on (SAML) ».
• Kaam360 n'est pas informé lorsque quelqu'un est retiré chez votre fournisseur d'identité. La personne ne peut plus se connecter, mais désactivez-la aussi dans Kaam360 pour mettre fin à une session déjà ouverte.

En cas de problème

• Le test indique que la signature ne correspond pas : le certificat dans Kaam360 n'est pas celui avec lequel signe votre fournisseur. Rechargez les métadonnées ou collez le certificat actuel.
• « Wrong audience » : l'Entity ID chez votre fournisseur n'est pas celui affiché à l'étape 1.
• « La réponse ne contient pas d'adresse e-mail » : envoyez l'attribut e-mail, ou saisissez son nom sous Attributs.
• Votre fournisseur est indisponible et personne ne peut se connecter : un administrateur de secours se connecte avec son mot de passe et son code en deux étapes et appuie sur Autoriser à nouveau les mots de passe. Si personne ne le peut, contactez le support Kaam360.