Authentification unique et identité

Adresses de connexion et récupération

Utilisez /login pour le parcours de connexion classique au site et /sso/login pour la connexion compatible SSO. L’inscription, la récupération et les parcours sans mot de passe sont accessibles sous /sso. Les anciennes pages d’autorisation OAuth redirigent les parcours en cours vers leurs équivalents SSO actuels. La présence d’une URL ne signifie pas qu’un fournisseur est activé : vérifiez l’état du tenant et de l’application.

1. Ouvrez l’URL correspondant au parcours de connexion voulu.
2. Si un fournisseur n’apparaît pas, demandez à l’administrateur du tenant de vérifier sa configuration.
3. Pour un facteur perdu ou un mot de passe expiré, suivez les étapes de récupération SSO proposées.

Tenants, domaines et identités

Un tenant possède ses applications, domaines, membres, règles et délégations. La découverte fondée sur un domaine vérifié oriente l’utilisateur, mais ne l’authentifie pas et ne lui accorde aucune appartenance. Les administrateurs clients configurent SAML ou OIDC pour leur organisation. Résolvez les identités à partir du tenant, de l’émetteur et du sujet immuable ; ne liez jamais des comptes sur la seule base de l’adresse e-mail.

1. Sélectionnez le tenant avant de modifier un membre, un fournisseur ou un domaine.
2. Effectuez le contrôle de propriété du domaine affiché et vérifiez que son état est bien « vérifié ».
3. Résolvez les identités en double via le processus autorisé du tenant.

Applications et fournisseurs sociaux

Chaque application possède son propre enregistrement de protocole, ses règles et son cycle de vie. Les paramètres des fournisseurs sociaux de la plateforme sont distincts des identités liées par un utilisateur. Un rappel peut exiger que le profil soit complété, mais un rappel fonctionnel ne donne pas accès à l’application : l’appartenance, l’affectation et les règles d’accès restent déterminantes.

1. Consignez le tenant, le propriétaire, le protocole et les valeurs de redirection ou de métadonnées enregistrées.
2. Configurez le fournisseur dans son interface d’administration et protégez ses identifiants.
3. Testez la connexion et vérifiez la décision pour le tenant et l’application.

Rôles et délégation

Les rôles du site et les autorisations du tenant sont distincts. La gouvernance peut définir des organisations parentes, des limites et des délégations d’administration à durée déterminée. Les délégués reçoivent des autorisations choisies dans un tenant précis ; l’accès aux niveaux supérieurs, aux tenants frères ou à d’autres périmètres est refusé. L’appartenance active, la hiérarchie des rôles et les règles de l’application s’appliquent toutes.

1. Vérifiez que l’administrateur est membre actif du tenant concerné.
2. N’accordez que les autorisations nécessaires et définissez une date d’expiration.
3. Révoquez la délégation à la fin de l’intervention et vérifiez son entrée d’audit.

MFA, clés d’accès et récupération

La connexion peut exiger la MFA, une clé d’accès ou une autre vérification sans mot de passe, voire une authentification renforcée (step-up). L’initialisation, le défi, la configuration et la récupération sont des étapes distinctes ; en terminer une ne valide pas une action protégée ultérieure. Les administrateurs doivent disposer des autorisations de gestion de l’authentification pour administrer les méthodes prises en charge et les campagnes d’inscription.

1. Connectez-vous avec une clé d’accès ou vérifiez le nouvel authentificateur lors de son inscription.
2. Utilisez une méthode de récupération proposée, puis remplacez tout facteur compromis.
3. En cas de refus, notez le motif et demandez à un administrateur autorisé d’examiner les règles.

Administration et cycle de vie

Le contrat d’administration généré se trouve à /api/auth/management/openapi.json. Il décrit les schémas des opérations et leurs exigences de sécurité. Pour l’administration par une personne, utilisez l’espace protégé. L’activation, la suspension, le retrait et le retour arrière d’un tenant ou d’une application sont des changements de cycle de vie consignés avec leur version et leur historique d’audit.

1. Ouvrez le document OpenAPI et repérez l’opération d’administration nécessaire.
2. Vérifiez les autorisations, le contexte du tenant et les paramètres documentés.
3. Après une modification du cycle de vie, confirmez l’état et l’historique d’audit.

Questions fréquentes

Pages associées

• Protocoles de fédération et provisionnement
• Administration SSO
• Gouvernance des identités et accès privilégiés
• Accès aux applications privées