Administration SSO
Administrez les espaces tenant, les applications, les rôles, les domaines, les authentificateurs, les sessions et les audits dans le respect des autorisations accordées.
- Ouvrir l’espace de travailSélectionnez le tenant ou l’application que vous êtes autorisé à administrer.
- Examiner l’étatVérifiez le cycle de vie, les versions, les membres, les règles et les approbations en attente.
- Préparer la modificationSaisissez des valeurs liées au tenant, le motif, le propriétaire et l’expiration ; prévisualisez si cette option est proposée.
- Appliquer et vérifierEnregistrez, publiez ou approuvez, puis confirmez l’état obtenu et l’entrée d’audit.
- Clore l’interventionRévoquez les accès temporaires et conservez l’historique des versions et des audits.
Espaces tenant et applications
La navigation regroupe les tenants, domaines, applications, la fédération, le provisionnement, les habilitations, les revues, PIM, les appareils, les workflows, les sessions, les clés et les audits. Utilisez les paramètres du tenant pour agir à ce niveau et les éditeurs d’application pour les protocoles et le cycle de vie. Les actions dépendent du rôle effectif et des autorisations déléguées. Les intégrations utilisent le contrat généré à /api/auth/management/openapi.json.
- Sélectionnez le tenant ou l’application exact et vérifiez son propriétaire et son état.
- Si une action est absente, vérifiez que l’autorisation correspondante vous a été déléguée.
- Après l’enregistrement, vérifiez l’état affiché ainsi que l’entrée d’audit ou de version.
Rôles et autorisations
La hiérarchie des rôles permet le changement de parent et la comparaison des versions. L’autorité effective suppose une appartenance active et la délégation appropriée dans le tenant ; l’accès aux rôles supérieurs ou frères est refusé par défaut. Distinguez les rôles de la plateforme de ceux de l’application. Une affectation ne supplante ni l’appartenance au tenant, ni les règles de l’application, ni la séparation des tâches.
- Vérifiez l’appartenance et le chemin de rôle actuel avant d’attribuer un accès.
- Choisissez le rôle et les autorisations les plus restreints, puis vérifiez le périmètre et l’expiration.
- En cas de refus, examinez les autorisations effectives du tenant au lieu d’élargir les rôles du site.
Domaines et enregistrements
Les revendications de domaine nécessitent une vérification explicite de propriété avant la découverte ou l’utilisation d’un certificat. Les enregistrements d’application définissent séparément le protocole, le propriétaire, le tenant, les règles et le cycle de vie. Prévisualisez les effets des règles avant de publier une nouvelle version. Les fournisseurs sociaux de la plateforme sont gérés séparément des identités liées par les utilisateurs.
- Ajoutez le domaine exact au tenant et effectuez le défi de vérification de propriété.
- Enregistrez l’application dans l’interface d’administration propre à son protocole.
- Prévisualisez et publiez les règles, puis testez-les et confirmez la version active.
Authentificateurs et campagnes d’inscription
L’administration de l’authentification comprend l’inscription de facteurs, les codes de récupération, la gestion des authentificateurs pris en charge, les codes d’accès temporaires, les opérations matérielles OATH et les campagnes d’inscription. Ces opérations nécessitent l’autorisation de gestion de l’authentification. Les actions sensibles peuvent aussi exiger une authentification renforcée récente, liée à l’utilisateur ; un rôle d’administrateur général ne la remplace pas.
- Vérifiez les règles du tenant et l’état d’inscription avant de lancer une campagne.
- Demandez à l’utilisateur d’effectuer et de vérifier le défi de l’authentificateur.
- Révoquez tout facteur ou code perdu et effectuez son remplacement via le contrôle autorisé.
Sessions, clés et fournisseurs sociaux
L’inventaire des sessions comprend les sessions suivies de navigateur, OIDC, SAML, privées et privilégiées. Ne révoquez que dans votre périmètre : les actions à l’échelle d’un utilisateur peuvent toucher plusieurs applications, et la révocation centrale des sessions de navigateur est réservée à God. Les utilisateurs peuvent révoquer leurs propres jetons d’application connectée et appareils approuvés. Les clés de signature et les fournisseurs sociaux ont leurs propres contrôles de maintenance.
- Filtrez par utilisateur, tenant, application et type de session dans votre périmètre autorisé.
- Ne choisissez une révocation individuelle ou plus large qu’après en avoir vérifié les conséquences.
- Après une modification de clé ou de fournisseur, confirmez l’état et testez une connexion contrôlée.
Audit, export et résolution des problèmes
Les audits du tenant, les preuves de sécurité, la conservation, les mises sous séquestre juridique, les destinations de journaux et les exports groupés sont soumis à des périmètres d’autorisation. Les exports peuvent contenir des données sensibles ; limitez-vous au strict nécessaire. Si des données sont indisponibles ou si une modification échoue, conservez le détail d’erreur non sensible et examinez l’état actuel avant de réessayer. Préservez l’historique append-only lors de la correction d’une configuration.
- Filtrez l’audit du tenant selon l’acteur, l’application ou la période disponibles.
- N’exportez que les données nécessaires et stockez-les dans un emplacement approuvé.
- Avant de modifier ou relancer une transmission, vérifiez les règles de conservation, les mises sous séquestre et l’état de la destination ; contrôlez ensuite le résultat d’audit.
Questions fréquentes
Pourquoi une action d’administration est-elle absente ?
Elle peut dépasser votre rôle effectif ou votre délégation. Vérifiez votre appartenance active et le périmètre du tenant.
Un rôle d’application peut-il donner accès à un autre tenant ?
Non. L’appartenance et les autorisations limitées au tenant restent obligatoires.
L’enregistrement d’un brouillon le publie-t-il ?
Non. Validez et publiez la version voulue, puis vérifiez qu’elle est active.
La vérification d’un domaine authentifie-t-elle les utilisateurs ?
Non. Les utilisateurs doivent toujours s’authentifier et disposer d’une appartenance autorisée au tenant.
Un délégué peut-il révoquer toutes les sessions ?
Uniquement dans son périmètre ; la révocation centrale des sessions de navigateur nécessite l’autorité God.
Où trouver le contrat de l’API d’administration ?
Consultez /api/auth/management/openapi.json pour les opérations et les exigences de sécurité.