Configurer le SSO avec SAML ou OpenID Connect

L’authentification unique (SSO) permet aux membres de se connecter à Klang avec votre propre fournisseur d’identité, au lieu d’un code à usage unique par e-mail, de Google ou de Microsoft. Klang prend en charge SAML 2.0 et OpenID Connect.

Vous devez être administrateur de l’espace de travail, et Klang doit d’abord activer la configuration SSO pour votre espace de travail. Contactez Klang si vous ne voyez pas la section décrite ci-dessous.

Ajouter une connexion

Ouvrez Paramètres → Espace de travail → Sécurité et repérez Authentification unique (SSO).

1. Cliquez sur Ajouter une connexion SSO
2. Saisissez un Nom. Les membres voient ce nom sur le bouton de connexion
3. Choisissez le Protocole, SAML 2.0 ou OpenID Connect
4. Copiez les adresses affichées par Klang dans votre fournisseur d’identité
5. Renseignez les informations de votre fournisseur dans les champs situés en dessous
6. Sous Espaces de travail, sélectionnez les espaces concernés par la connexion
7. Cliquez sur Enregistrer

Klang réserve les adresses dès l’ouverture de la boîte de dialogue, ce qui vous permet de les enregistrer chez votre fournisseur avant d’avoir terminé. La réservation dure une heure. Rien n’est créé tant que vous n’avez pas cliqué sur Enregistrer, et Annuler laisse vos paramètres inchangés.

Ce dont votre fournisseur d’identité a besoin

Pour SAML, enregistrez le Service Provider Entity ID et l’ACS URL. Cliquez sur Télécharger les métadonnées SP si votre fournisseur préfère un fichier de métadonnées. Configurez-le pour qu’il envoie une assertion signée, un NameID persistant et l’adresse e-mail réelle de la personne. Sous Paramètres avancés, vous pouvez activer les demandes d’authentification signées et les assertions chiffrées, choisir un format de NameID et ajouter un second certificat pendant que votre fournisseur renouvelle les siens. Les assertions chiffrées doivent utiliser le transport de clé RSA-OAEP avec MGF1 et SHA-1 (le profil XML Encryption 1.0). Le profil RSA-OAEP de XML Encryption 1.1 n’est pas pris en charge et la connexion échoue avec celui-ci.

Pour OpenID Connect, enregistrez la Redirect URI affichée par Klang, puis renseignez l’URL de l’émetteur, l’identifiant client et le secret client de votre fournisseur.

Vous pouvez rouvrir ces adresses à tout moment depuis Détails de la connexion.

Tester avant d’activer

Pour SAML, cliquez sur Tester la connexion SAML dans Détails de la connexion. Le test vérifie l’ensemble de l’échange avec votre fournisseur sans créer de compte ni modifier la méthode de connexion de qui que ce soit. Vous pouvez donc le lancer en toute sécurité avant que les membres en dépendent.

Rendre la connexion disponible

Enregistrer une connexion ne bascule personne automatiquement. Allez dans Méthodes de connexion autorisées, cochez la connexion, puis cliquez sur Enregistrer.

Les nouveaux membres ont toujours besoin d’une invitation à l’espace de travail. Klang ne crée pas de comptes automatiquement à partir de votre annuaire, et une connexion via votre fournisseur ne vérifie pas l’adresse e-mail d’un membre en dehors de cet espace de travail. Les membres existants conservent leur méthode de connexion actuelle jusqu’à ce qu’ils la changent eux-mêmes dans leurs propres paramètres de connexion.

Bon à savoir

• Modifier les méthodes de connexion ne déconnecte pas les membres actuels
• Lancez la connexion depuis Klang. Ouvrir Klang depuis une vignette de votre fournisseur n’est pas pris en charge
• La déconnexion unique (Single Logout) et la création automatique de membres ne sont pas prises en charge
• Pour dissocier un espace de travail, retirez d’abord la connexion des méthodes de connexion autorisées de cet espace