Configurer le Single Sign-On (SSO)

Qu'est-ce que le Single Sign-On (SSO) ?

Avec le Single Sign-On (SSO), la connexion à la plateforme événementielle Oniva s'effectue via un fournisseur d'identité central tel que Microsoft, Google ou Okta – au lieu d'un mot de passe Oniva séparé. La connexion SSO peut être activée aussi bien pour les administrateur·trice·s que pour les invité·e·s, et permet une gestion centralisée et sécurisée de tous les accès.

Avantages par rapport à un identifiant/mot de passe

• ✅ Gestion centralisée des utilisateur·trice·s
• ✅ Les comptes peuvent être bloqués de manière centralisée
• ✅ Aucun mot de passe supplémentaire n'est nécessaire pour Oniva
• ✅ Sécurité accrue grâce aux politiques de sécurité existantes (p. ex. MFA)
• ✅ Moins de charge de support liée aux réinitialisations de mot de passe

👉 Tu n'as besoin du SSO que pour une partie de tes utilisateur·trice·s ? Les types de compte permettent d'activer le SSO pour des groupes spécifiques, tandis que les autres continuent de se connecter de manière classique via identifiant/mot de passe.

‍

Configurer le SSO

Conditions préalables

• Droits d'administrateur·trice de l'entité
• La fonctionnalité API doit être activée sur la licence

Si la fonctionnalité n'est pas encore disponible, elle peut être activée par l'équipe de support Oniva

1. Activer le SSO

SSO avec OpenID Connect (OIDC)

1. Accède aux paramètres de l'entité
2. Recherche le paramètre « Single Sign-On (SSO) » et active-le
3. Une fois activé, les informations suivantes peuvent être saisies :
   • URL de découverte (Discovery URL) : le point de terminaison des métadonnées OIDC du fournisseur d'identité, grâce auquel Oniva détermine automatiquement les points de terminaison nécessaires (autorisation, jeton, userinfo) ; disponible dans le tableau de bord du fournisseur, sous le domaine/l'URL de l'émetteur, complété par /.well-known/openid-configuration
   • Client ID : l'identifiant unique de l'application auprès du fournisseur d'identité, nécessaire pour authentifier Oniva auprès du fournisseur ; disponible dans les paramètres d'application/client du fournisseur d'identité
   • Client Secret : un mot de passe secret de l'application, utilisé avec le Client ID pour authentifier Oniva de manière sécurisée auprès du fournisseur d'identité ; disponible dans les paramètres d'application/client du fournisseur d'identité (généralement affiché une seule fois, ou visible via une icône en forme d'œil)
   • Scope : définit quelles informations utilisateur·trice sont demandées lors de la connexion (identité, données de profil, adresse e-mail) ; cette information n'est pas à rechercher chez le fournisseur d'identité, mais saisie comme valeur par défaut dans le formulaire Oniva
   • Account-Identifier-Claim : indique quel champ du jeton est utilisé pour identifier de manière unique l'utilisateur·trice ; sub est le claim standard pour l'identifiant utilisateur·trice immuable chez pratiquement tous les fournisseurs OIDC et n'a pas besoin d'être recherché séparément
4. Saisis l'URL de callback dans l'outil SSO (fournisseur d'identité)
5. Si disponible, l’indication de connexion peut également être transmise à l’IdP. Cette propriété est transmise au fournisseur d’identité afin qu’il puisse préremplir le formulaire de connexion. Ainsi, un·e utilisateur·rice n’a pas besoin de saisir deux fois son adresse e-mail au cours du processus de connexion.

Assure-toi également que :

• Le scope contient au minimum openid et email
• L'adresse e-mail est transmise dans le jeton ou l'assertion

💡 Astuce : Tu trouves l'URL de callback directement dans le formulaire de configuration SSO d'Oniva. Elle doit être saisie chez le fournisseur d'identité de manière exacte – y compris le chemin, et sans barre oblique finale différente – afin que la redirection fonctionne après la connexion.

SSO avec SAML 2.0

1. _{Une fois l'activ}ation effectuée, tu peux saisir les données suivantes :
   • Métadonnées IdP : métadonnées du fournisseur d'identité permettant à Oniva de déterminer automatiquement les informations nécessaires (URL de connexion unique, certificat de signature, ID d'entité) ; peuvent être renseignées soit sous forme d'URL de métadonnées, soit sous forme de fichier XML ; disponibles dans le tableau de bord du fournisseur, généralement sous l'appellation « Metadata URL » ou sous forme de lien de téléchargement des métadonnées IdP
   • Attribut du nom de compte : indique quel attribut de l'assertion SAML est utilisé pour identifier de manière univoque l'utilisateur·trice ; défini dans le mappage des attributs du fournisseur d'identité et généralement associé à l'adresse e-mail
2. Saisis auprès du fournisseur d'identité l'ID d'entité ainsi que l'URL ACS (Assertion Consumer Service URL) du fournisseur de services. Les deux te sont indiqués directement dans le formulaire de configuration SSO d'Oniva.
   • L'ID d'entité peut également être consulté directement en tant qu'URL de métadonnées du fournisseur de services, ou renseigné auprès du fournisseur d'identité
   • Télécharge en plus le certificat SP et renseigne-le auprès du fournisseur d'identité, si celui-ci exige un certificat du fournisseur de services pour la vérification de la signature
3. Si disponible, l’indication de connexion peut également être transmise à l’IdP. Cette propriété est transmise au fournisseur d’identité afin qu’il puisse préremplir le formulaire de connexion. Ainsi, un·e utilisateur·rice n’a pas besoin de saisir deux fois son adresse e-mail au cours du processus de connexion.

À vérifier également :

• L'adresse e-mail est transmise en tant qu'attribut dans l'assertion SAML
• Le certificat SP et l'URL ACS sont renseignés de manière exacte et correcte auprès du fournisseur d'identité

💡 Astuce : tu trouves l'ID d'entité ainsi que l'URL ACS directement dans le formulaire de configuration SSO d'Oniva. Les deux doivent être renseignés de manière exacte auprès du fournisseur d'identité – y compris le chemin d'accès et sans barre oblique finale différente – pour que la redirection fonctionne après la connexion.

‍

2. Créer un type de compte avec SSO

1. Accède aux paramètres de l'entité → types de compte
2. Ouvre les types de compte
3. Crée un nouveau type de compte ou modifie un type existant
4. Sous authentification, sélectionne :
   • SAML (bientôt disponible) ; ou
   • OpenID Connect (OIDC)

3. Créer des comptes

1. Passe à la section comptes
2. Crée de nouveaux comptes (manuellement ou par import)
3. Attribue le type de compte SSO créé précédemment
4. Utilise l'adresse e-mail comme nom de compte

🔐 Remarque : Seuls les comptes disposant d'un type de compte SSO peuvent se connecter via SSO. Les comptes avec un type de compte classique restent accessibles via identifiant/mot de passe.

4. Tester la connexion

• Connecte-toi avec un compte de test
• Vérifie si la redirection vers le fournisseur d'identité fonctionne
• Confirme la réussite de la connexion

5. Nettoyer les anciennes méthodes de connexion (optionnel)

• Supprime les anciens comptes sans SSO
• Supprime les types de compte sans SSO qui ne sont plus nécessaires

Cela garantit que la connexion s'effectue exclusivement via SSO.

‍

Conditions générales

Protocoles pris en charge : SAML 2.0 (bientôt disponible) et OpenID Connect (OIDC)

Portée : Le SSO peut être activé séparément pour chaque type de compte. Cela permet de combiner différentes voies d'accès pour les administrateur·trice·s et les invité·e·s.

‍

🔐 Remarque sur la protection des données

Lors de l'utilisation du SSO, des données d'authentification sont échangées avec ton fournisseur d'identité. Assure-toi que la configuration (en particulier le Client Secret ou le certificat X.509) est conservée de manière sécurisée et n'est pas partagée avec des tiers. En cas de doute, il est recommandé de coordonner la mise en place avec ton service informatique.