--- title: Connexion unique (SSO) description: Branchez Microsoft Entra ID, Google Workspace, Okta, Auth0 ou un fournisseur OpenID Connect, testez la configuration et imposez la connexion unique à tous les utilisateurs. url: "https://illizeo.com/centre-aide/securite-connexion-unique-sso/" updated: "2026-11-05" category: "Plateforme / Sécurité & conformité" --- # Connexion unique (SSO) La connexion unique (SSO) permet à vos employés d'entrer dans Illizeo avec le compte de leur annuaire d'entreprise, sans mot de passe Illizeo. Cet article explique où la configurer, quels fournisseurs sont pris en charge, comment la tester, l'imposer ou la retirer, et ce que vit l'employé. Il s'adresse aux administrateurs. ## Avant de commencer - Droit « OAuth / SSO » (menu Administration de la plateforme, rubrique Authentification) : le palier **Accès** permet de lire la configuration, le palier **Exécuter** de l'enregistrer, la tester, l'imposer ou la supprimer. - Droit « Connecteurs du magasin d'applications (connexion / déconnexion OAuth) » (rubrique Intégrations) : **Accès** pour voir les connecteurs, **Exécuter** pour **Connecter** Microsoft Entra ID. Le droit « Changer d'application (Illizeo) » (rubrique Tableau de bord) ouvre le magasin d'applications. - Par défaut, seul le rôle Administrateur porte ces droits (voir [Permissions & rôles](https://illizeo.com/docs-category/plateforme-fr/plateforme-roles-permissions/)). - La connexion unique ne crée aucun compte : chaque employé doit déjà avoir sa fiche dans Illizeo, avec la même adresse e-mail que chez votre fournisseur d'identité. ## Où configurer la connexion unique 1. Ouvrez le menu de votre avatar, puis **Applications** sous Réglages. La page **Magasin d'applications** s'affiche. 2. Ouvrez l'onglet **Connecteurs externes**, catégorie **Identité, SSO & annuaire**. 3. Les cartes **Microsoft Entra ID**, **Google Workspace Directory Sync**, **Okta**, **Auth0** et **OAuth / OIDC** portent la connexion unique. La carte du fournisseur actif affiche **CONNECTÉ**. ![La catégorie Identité, SSO & annuaire du magasin d'applications (6 connecteurs) : les cartes Okta, OAuth / OIDC et Microsoft Entra ID avec leur statut](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-connexion-unique-sso-01.fr_.png?resize=800%2C187&quality=80&ssl=1) Applications › Connecteurs externes : les fournisseurs de connexion unique. Un seul fournisseur peut être actif à la fois. Si un autre est déjà configuré, un bandeau le signale et une fenêtre de confirmation s'ouvre à l'enregistrement : l'ancien fournisseur cesse aussitôt de fonctionner pour tous les utilisateurs. ## Microsoft Entra ID 1. Ouvrez la carte **Microsoft Entra ID** et cliquez sur **Connecter**. Microsoft demande le consentement d'un administrateur de votre organisation Microsoft. 2. De retour dans Illizeo, cliquez sur **Configurer**, onglet **Connexion SSO**, et activez l'interrupteur **Activer le SSO**. Aucun identifiant n'est à saisir. 3. Faites vous-même la première connexion par Microsoft juste après l'activation : Illizeo retient alors votre organisation Microsoft et refuse ensuite les comptes d'une autre organisation. Les comptes Microsoft personnels sont toujours refusés. ![La fiche du connecteur Microsoft Entra ID ouverte depuis le magasin d'applications, avec sa description et ses boutons d'action](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-connexion-unique-sso-02.fr_.png?resize=800%2C327&quality=80&ssl=1) La fiche Microsoft Entra ID, ici déjà connectée : Déconnecter et Configurer. ## Google Workspace Ouvrez la carte **Google Workspace Directory Sync**, **Configurer**, onglet **Connexion SSO**. Saisissez le **Domaine Workspace** (obligatoire) et enregistrez. Seuls les comptes Google de ce domaine sont acceptés ; un compte personnel @gmail.com est toujours refusé. ## Okta, Auth0 et OpenID Connect 1. Ouvrez la carte **Okta**, **Auth0** ou **OAuth / OIDC**, puis **Configurer** et **Modifier**. 2. Saisissez le **Domaine** de votre organisation Okta ou Auth0, ou, pour OAuth / OIDC, l'**Émetteur** de votre fournisseur (par exemple https://id.example.com). 3. Saisissez l'**Identité du client** et le **Secret client** de l'application créée chez votre fournisseur. 4. Copiez l'**URI de rappel** affichée et déclarez-la chez votre fournisseur. 5. Cliquez sur **Sauvegarder**. Illizeo lit la configuration publiée par le fournisseur et en déduit les adresses et les champs d'application ; si elle est illisible, l'enregistrement est refusé. La section avancée permet de les saisir à la main pour un fournisseur qui ne publie pas cette configuration. Les cartes Okta et Auth0 visent les domaines standard de ces fournisseurs (okta.com, auth0.com). Pour un domaine personnalisé, utilisez la carte **OAuth / OIDC**. Après l'enregistrement, relisez l'URI de rappel et vérifiez qu'elle est bien celle déclarée chez votre fournisseur. ## Tester la configuration Pour Okta, Auth0 et OAuth / OIDC, **Tester la connexion** vérifie trois points, sans connecter personne : le fournisseur répond et publie sa configuration, l'identifiant et le secret client sont acceptés, l'URI de redirection enregistrée est à jour. Le résultat s'affiche en **Configuration valide** ou **Problème détecté**, avec la raison de chaque point. Faites ensuite un vrai essai de connexion avec un compte de test. ## Imposer la connexion unique L'interrupteur **Imposer la connexion OAuth** désactive la connexion par mot de passe et impose le SSO pour tous les utilisateurs : - la connexion par mot de passe est refusée, dans le navigateur comme dans l'application mobile, et le lien de connexion par e-mail n'est plus proposé ; - l'écran de connexion indique « Ton organisation impose l'authentification unique (SSO). » ; - les administrateurs sont concernés comme les autres : si votre fournisseur d'identité est indisponible, personne ne peut se connecter. N'imposez la connexion unique qu'après avoir vérifié qu'elle fonctionne pour plusieurs comptes, dont un administrateur. Désactiver l'interrupteur rétablit la connexion par mot de passe. ## Retirer la connexion unique Le bouton **Supprimer** ouvre la fenêtre « Supprimer la configuration OAuth ». Une fois confirmée, la connexion unique cesse pour tous les utilisateurs, l'obligation est levée, les liens entre les employés et leur compte chez le fournisseur sont effacés, et la connexion Google des employés est désactivée elle aussi. Les employés se connectent de nouveau par mot de passe. ## Ce que vit l'employé - L'écran de connexion propose le bouton « Se connecter avec » suivi du fournisseur : Microsoft, Google, Okta, Auth0 ou SSO pour OAuth / OIDC. - Illizeo retrouve sa fiche par l'identifiant du fournisseur, sinon par son adresse e-mail, que le fournisseur doit certifier. Si aucune fiche ne correspond, l'écran affiche « Aucun compte employé trouvé pour cette adresse e-mail. » - Une fiche inactive, ou dont l'espace employé n'est pas activé, est refusée, avec un message qui invite à contacter l'administrateur ou les RH. - Un employé invité peut accepter son invitation par la connexion unique : après avoir accepté les conditions, il clique sur « Continuer avec » son fournisseur, sans mot de passe à créer. - La durée de session et les listes d'adresses IP s'appliquent comme pour une connexion par mot de passe (voir [Mot de passe, durée de session et adresses IP](https://illizeo.com/centre-aide/securite-mot-de-passe-session-et-adresses-ip/)). ## À savoir - La double authentification imposée par un rôle ne s'applique pas à la connexion unique : le second facteur relève de votre fournisseur d'identité (voir [Double authentification et sessions ouvertes](https://illizeo.com/centre-aide/securite-double-authentification/)). - La carte **Google Workspace** de la catégorie agenda propose une autre connexion, **Connexion Google (SSO)** : elle accepte tout compte Google dont l'adresse vérifiée est celle de l'employé, sans se limiter à votre domaine. Pour réserver la connexion à votre domaine, utilisez Google Workspace Directory Sync. - Les rôles peuvent aussi être attribués d'après les groupes de votre annuaire : voir [Permissions & rôles](https://illizeo.com/docs-category/plateforme-fr/plateforme-roles-permissions/). ## Questions fréquentes ### Un employé reçoit « Aucun compte employé trouvé pour cette adresse e-mail. » Son adresse chez le fournisseur d'identité diffère de celle de sa fiche Illizeo. Alignez l'une sur l'autre, puis demandez-lui de réessayer. ### Faut-il recréer les employés dans l'annuaire ? Non : la connexion unique s'appuie sur les fiches existantes. Elle ne crée ni ne désactive aucune fiche. ### *Similaire*