La connexion unique (SSO) permet à vos employés d’entrer dans Illizeo avec le compte de leur annuaire d’entreprise, sans mot de passe Illizeo. Cet article explique où la configurer, quels fournisseurs sont pris en charge, comment la tester, l’imposer ou la retirer, et ce que vit l’employé. Il s’adresse aux administrateurs.
Avant de commencer #
- Droit « OAuth / SSO » (menu Administration de la plateforme, rubrique Authentification) : le palier Accès permet de lire la configuration, le palier Exécuter de l’enregistrer, la tester, l’imposer ou la supprimer.
- Droit « Connecteurs du magasin d’applications (connexion / déconnexion OAuth) » (rubrique Intégrations) : Accès pour voir les connecteurs, Exécuter pour Connecter Microsoft Entra ID. Le droit « Changer d’application (Illizeo) » (rubrique Tableau de bord) ouvre le magasin d’applications.
- Par défaut, seul le rôle Administrateur porte ces droits (voir Permissions & rôles).
- La connexion unique ne crée aucun compte : chaque employé doit déjà avoir sa fiche dans Illizeo, avec la même adresse e-mail que chez votre fournisseur d’identité.
Où configurer la connexion unique #
- Ouvrez le menu de votre avatar, puis Applications sous Réglages. La page Magasin d’applications s’affiche.
- Ouvrez l’onglet Connecteurs externes, catégorie Identité, SSO & annuaire.
- Les cartes Microsoft Entra ID, Google Workspace Directory Sync, Okta, Auth0 et OAuth / OIDC portent la connexion unique. La carte du fournisseur actif affiche CONNECTÉ.
Un seul fournisseur peut être actif à la fois. Si un autre est déjà configuré, un bandeau le signale et une fenêtre de confirmation s’ouvre à l’enregistrement : l’ancien fournisseur cesse aussitôt de fonctionner pour tous les utilisateurs.
Microsoft Entra ID #
- Ouvrez la carte Microsoft Entra ID et cliquez sur Connecter. Microsoft demande le consentement d’un administrateur de votre organisation Microsoft.
- De retour dans Illizeo, cliquez sur Configurer, onglet Connexion SSO, et activez l’interrupteur Activer le SSO. Aucun identifiant n’est à saisir.
- Faites vous-même la première connexion par Microsoft juste après l’activation : Illizeo retient alors votre organisation Microsoft et refuse ensuite les comptes d’une autre organisation. Les comptes Microsoft personnels sont toujours refusés.
Google Workspace #
Ouvrez la carte Google Workspace Directory Sync, Configurer, onglet Connexion SSO. Saisissez le Domaine Workspace (obligatoire) et enregistrez. Seuls les comptes Google de ce domaine sont acceptés ; un compte personnel @gmail.com est toujours refusé.
Okta, Auth0 et OpenID Connect #
- Ouvrez la carte Okta, Auth0 ou OAuth / OIDC, puis Configurer et Modifier.
- Saisissez le Domaine de votre organisation Okta ou Auth0, ou, pour OAuth / OIDC, l’Émetteur de votre fournisseur (par exemple https://id.example.com).
- Saisissez l’Identité du client et le Secret client de l’application créée chez votre fournisseur.
- Copiez l’URI de rappel affichée et déclarez-la chez votre fournisseur.
- Cliquez sur Sauvegarder. Illizeo lit la configuration publiée par le fournisseur et en déduit les adresses et les champs d’application ; si elle est illisible, l’enregistrement est refusé. La section avancée permet de les saisir à la main pour un fournisseur qui ne publie pas cette configuration.
Les cartes Okta et Auth0 visent les domaines standard de ces fournisseurs (okta.com, auth0.com). Pour un domaine personnalisé, utilisez la carte OAuth / OIDC. Après l’enregistrement, relisez l’URI de rappel et vérifiez qu’elle est bien celle déclarée chez votre fournisseur.
Tester la configuration #
Pour Okta, Auth0 et OAuth / OIDC, Tester la connexion vérifie trois points, sans connecter personne : le fournisseur répond et publie sa configuration, l’identifiant et le secret client sont acceptés, l’URI de redirection enregistrée est à jour. Le résultat s’affiche en Configuration valide ou Problème détecté, avec la raison de chaque point. Faites ensuite un vrai essai de connexion avec un compte de test.
Imposer la connexion unique #
L’interrupteur Imposer la connexion OAuth désactive la connexion par mot de passe et impose le SSO pour tous les utilisateurs :
- la connexion par mot de passe est refusée, dans le navigateur comme dans l’application mobile, et le lien de connexion par e-mail n’est plus proposé ;
- l’écran de connexion indique « Ton organisation impose l’authentification unique (SSO). » ;
- les administrateurs sont concernés comme les autres : si votre fournisseur d’identité est indisponible, personne ne peut se connecter.
N’imposez la connexion unique qu’après avoir vérifié qu’elle fonctionne pour plusieurs comptes, dont un administrateur. Désactiver l’interrupteur rétablit la connexion par mot de passe.
Retirer la connexion unique #
Le bouton Supprimer ouvre la fenêtre « Supprimer la configuration OAuth ». Une fois confirmée, la connexion unique cesse pour tous les utilisateurs, l’obligation est levée, les liens entre les employés et leur compte chez le fournisseur sont effacés, et la connexion Google des employés est désactivée elle aussi. Les employés se connectent de nouveau par mot de passe.
Ce que vit l’employé #
- L’écran de connexion propose le bouton « Se connecter avec » suivi du fournisseur : Microsoft, Google, Okta, Auth0 ou SSO pour OAuth / OIDC.
- Illizeo retrouve sa fiche par l’identifiant du fournisseur, sinon par son adresse e-mail, que le fournisseur doit certifier. Si aucune fiche ne correspond, l’écran affiche « Aucun compte employé trouvé pour cette adresse e-mail. »
- Une fiche inactive, ou dont l’espace employé n’est pas activé, est refusée, avec un message qui invite à contacter l’administrateur ou les RH.
- Un employé invité peut accepter son invitation par la connexion unique : après avoir accepté les conditions, il clique sur « Continuer avec » son fournisseur, sans mot de passe à créer.
- La durée de session et les listes d’adresses IP s’appliquent comme pour une connexion par mot de passe (voir Mot de passe, durée de session et adresses IP).
À savoir #
- La double authentification imposée par un rôle ne s’applique pas à la connexion unique : le second facteur relève de votre fournisseur d’identité (voir Double authentification et sessions ouvertes).
- La carte Google Workspace de la catégorie agenda propose une autre connexion, Connexion Google (SSO) : elle accepte tout compte Google dont l’adresse vérifiée est celle de l’employé, sans se limiter à votre domaine. Pour réserver la connexion à votre domaine, utilisez Google Workspace Directory Sync.
- Les rôles peuvent aussi être attribués d’après les groupes de votre annuaire : voir Permissions & rôles.
Questions fréquentes #
Un employé reçoit « Aucun compte employé trouvé pour cette adresse e-mail. » #
Son adresse chez le fournisseur d’identité diffère de celle de sa fiche Illizeo. Alignez l’une sur l’autre, puis demandez-lui de réessayer.
Faut-il recréer les employés dans l’annuaire ? #
Non : la connexion unique s’appuie sur les fiches existantes. Elle ne crée ni ne désactive aucune fiche.
