Authentification unique (SAML & OIDC)
Connect Okta, Entra ID, Google Workspace or another provider, verify your domain, test and require SSO.
Authentification unique (SAML & OIDC)
Laissez votre équipe se connecter à CostGlass avec le compte qu'elle utilise déjà au travail, via votre propre fournisseur d'identité.
Where in CostGlassSettings → Single sign-on
PlanScale and Enterprise
Who can do thisOwner and Admin
Time needed30 to 60 minutes (DNS changes can take a while)
En bref
- Fonctionne avec SAML 2.0 et OpenID Connect (OIDC), par exemple Okta, Microsoft Entra ID, Google Workspace, OneLogin, Auth0 et Keycloak.
- Vous prouvez que vous possédez votre domaine de messagerie avec un enregistrement DNS TXT, testez la connexion une fois, puis activez-la.
- Il faut d'abord inviter les gens. L'authentification unique permet à une personne invitée de se connecter via la connexion de votre entreprise ; il ne crée jamais de comptes.
- Vous pouvez ensuite l'exiger afin que les mots de passe et la connexion Google ne fonctionnent plus pour les personnes de votre domaine. Un propriétaire conserve la connexion par mot de passe en tant que compte à bris de glace.
- La modification des détails de votre fournisseur réinitialise le test et les exigences, de sorte qu'une erreur ne peut exclure personne.
Avant de commencer
- Votre organisation bénéficie du forfait Scale ou Enterprise. Sur d'autres forfaits, la page affiche un message de mise à niveau.
- Vous êtes propriétaire ou administrateur de votre organisation CostGlass.
- Vous pouvez créer une application dans votre fournisseur d'identité (généralement un rôle d'administrateur).
- Vous pouvez ajouter un enregistrement DNS TXT pour votre domaine de messagerie ou savoir qui le peut.
- Les personnes qui l'utiliseront sont déjà invitées sous Paramètres → Équipe.
Comment ça marche
Un fournisseur d'identité (IdP) est le service que votre entreprise utilise pour connecter des personnes, tel qu'Okta ou Microsoft Entra ID. SAML2.0 et Connexion OpenID sont les deux manières standard dont il peut indiquer à CostGlass "cette personne s'est connectée et voici son adresse e-mail".
- Vous créez une application pour CostGlass dans votre IdP, en utilisant les valeurs que CostGlass vous montre.
- You give CostGlass your IdP's details.
- Vous prouvez que vous possédez votre domaine de messagerie.
- Un propriétaire ou un administrateur se connecte une fois via l'IdP à titre de test.
- Vous l'allumez. From then on, the sign-in page recognises your domain: after someone types their work email it offers Continue with SSO.
- En option, vous exigez-le pour tout le monde sur le domaine.
Une organisation peut avoir un fournisseur d'identité et jusqu'à 10 domaines de messagerie, chacun prouvé séparément. A sign-in only counts when it comes from your own organisation's provider and the email is on one of your verified domains. A different organisation's provider cannot sign in as your people, even if it names their email address.
Votre région
Chaque région de CostGlass dispose de son propre service de connexion, les adresses affichées sur la page sont donc spécifiques à votre région. Copiez-les toujours depuis votre propre page Paramètres → Connexion unique.
Configurez-le, étape par étape
1
2
1. Parlez de CostGlass à votre fournisseur d'identité
Choose SAML 2.0 or OpenID Connect. For SAML, copy the ACS URL (Reply URL, Single sign-on URL) and the Entity ID (Audience URI, Identifier). For OIDC, copy the Redirect URI (sign-in redirect URI). Collez-les dans une nouvelle application de votre IdP (voir la section suivante).
3
2. Give CostGlass your provider's details
For SAML, paste the IdP metadata URL, or click Paste XML and paste the metadata file. For OIDC, enter the Issuer URL, Client ID, Client secret and Scopes (default
openid email profile). Click Save and register.4
3. Prouvez que vous possédez votre domaine de messagerie
Type your domain (for example
acme.com) and click Add domain. Publier le Enregistrement TXT shown at your DNS provider, then click Verify. Consultez la section suivante pour plus de détails.5
4. Testez, puis allumez
Click Test sign-in. Vous êtes redirigé vers votre IdP, connectez-vous avec le même e-mail que vous utilisez dans CostGlass et revenez sur cette page. When the three ticks are green click Switch on single sign-on.
6
5. Exigez-le (facultatif)
Choose a Break-glass owner and click Require single sign-on. Confirmez la boîte de dialogue.
Création de l'application dans votre fournisseur d'identité
Les menus exacts diffèrent selon le fournisseur et changent avec le temps, il s'agit donc d'une carte et non d'un script. Use your provider's own help if something has moved.
SAML 2.0 (Okta, Entra ID, Google Workspace et autres)
- Créer un nouveau Application SAML (parfois appelée application personnalisée ou sans galerie).
- Collez le CostGlass URL ACS dans le champ correspondant à l'URL du service client d'authentification unique, de réponse ou d'assertion.
- Collez le CostGlass ID d'entité dans le champ correspondant à l'audience, à l'identifiant ou à l'ID d'entité SP.
- Définissez le Identifiant du nom format to email address, and make sure the person's email is sent as an attribute. CostGlass reads an attribute called
e-mailby default. Si votre fournisseur l'envoie sous un autre nom (Microsoft Entra ID, par exemple, utilise un nom de revendication long), saisissez ce nom dans Nom de l'attribut Email dans CostGlass. - Attribuez l’application aux personnes qui doivent l’utiliser.
- Copy the provider's URL des métadonnées, ou téléchargez le fichier de métadonnées (XML). A metadata URL must start with
httpsand be reachable from the internet. If your provider only gives you a file, use Paste XML.
Connexion OpenID
- Enregistrez un application Web (un client confidentiel utilisant le flux de code d'autorisation).
- Ajoutez le CostGlass URI de redirection comme redirection de connexion autorisée.
- Autoriser les étendues
identifiant ouvert,e-mailetprofil. - Récupérez le URL de l'émetteur (l'adresse dont
/.well-known/openid-configurationdescribes your provider), the identifiant client et le secret client. - Make sure the ID token carries the person's
e-mail. CostGlass identifie les personnes grâce à cela.
Le secret client est transmis directement au service de connexion. Il n'est plus jamais affiché et laisser le champ vide lors d'une sauvegarde ultérieure conserve celui stocké.
Pas encore testé avec tous les fournisseurs
The provider steps follow each vendor's documentation. Testez d'abord avec un seul compte, avant d'exiger une authentification unique pour tout le monde.
Prouver que vous possédez votre domaine de messagerie
Cela empêche une autre entreprise de revendiquer votre domaine. Pour chaque domaine, CostGlass affiche un Enregistrement TXT:
| Champ | Valeur |
|---|---|
| Nom (hôte) | _costglass-verification.yourcompany.com |
| Valeur | costglass-verify=<a code shown on the page> |
1
Ajouter l'enregistrement
Chez votre fournisseur DNS, ajoutez un enregistrement TXT avec exactement ce nom et cette valeur. Utilisez les boutons de copie sur la page.
2
Vérifier
Wait a few minutes, then click Verify next to the domain. A green Verified badge appears.
- Les domaines de boîtes aux lettres publiques tels que gmail.com ou Outlook.com sont refusés, car personne ne peut en être propriétaire.
- Seuls les domaines vérifiés sont envoyés à votre fournisseur d'identité.
- Un domaine ne peut être vérifié que par une seule organisation à la fois.
- Chaque jour, CostGlass revérifie le dossier. S'il disparaît, vous disposez de 7 jours avant que le domaine ne cesse d'être vérifié et la page affiche un avertissement avec la date à laquelle il a disparu.
Testez, puis activez
Avant de pouvoir l'activer, trois choses doivent être vraies : le fournisseur est enregistré, au moins un domaine est vérifié et un test de connexion a réussi. La page affiche chacun sous forme de coche.
- Test sign-in signs you in through your IdP using le vôtre E-mail CostGlass. Cet e-mail doit également exister dans votre IdP. Seul un propriétaire ou un administrateur peut réussir le test.
- Vous revenez à la page avec un message indiquant que le test de connexion a réussi.
- While the status is Not switched on, only Owners and Admins can sign in through the provider, which lets you test safely.
| Insigne de statut | Signification |
|---|---|
| Non allumé | Saved, but not active yet, or switched off because the provider details changed. |
| Sur | People on your verified domains can use it. |
| Le : certificat expirant | SAML only. Your provider's signing certificate expires within 30 days. |
| A besoin d'attention | CostGlass could not register or read your provider. The page shows the reason. |
Exiger une authentification unique et le propriétaire du bris de glace
When you click Require single sign-on, people with an email on a verified domain can no longer sign in with a password or Google. Ils doivent utiliser votre fournisseur.
1
Choisissez un propriétaire de bris de glace
In Break-glass owner choose one active Owner. Cette personne conserve la connexion par mot de passe même lorsque cela est requis pour tout le monde, de sorte qu'un problème chez votre fournisseur ne peut pas vous bloquer.
2
Connectez-vous vous-même via votre fournisseur
Cette exigence ne peut être activée que par une personne qui s'est connectée via le fournisseur au cours de la session en cours. Use Test sign-in first. Cela prouve que cela fonctionne avant de s’appliquer à tout le monde.
3
Exigez-le
Click Require single sign-on and confirm. Toute personne actuellement connectée avec un mot de passe sera déconnectée lors de sa prochaine demande.
To stop requiring it, click Stop requiring single sign-on. Pour supprimer complètement le fournisseur, utilisez Supprimer l'authentification unique en bas (vos domaines vérifiés sont conservés).
L'enregistrement des modifications réinitialise l'exigence
Si vous enregistrez différentes informations sur le fournisseur, le test doit être répété et l'exigence est désactivée. C'est délibéré. Faites-le à un moment calme et préparez le propriétaire du bris de glace.
Astuce
Si le propriétaire du bris de glace ne peut pas non plus se connecter, contactez l'assistance. Ils peuvent désactiver cette exigence pour votre organisation sans toucher à votre fournisseur.
Messages que les gens peuvent voir
Lorsqu'une connexion est refusée, la personne voit un message construit à partir de l'un de ces codes :
| Code | Ce que cela signifie | Ce qu'il faut faire |
|---|---|---|
sso_required | Votre organisation nécessite une authentification unique et la personne s'est connectée avec un mot de passe ou Google. | Sur la page de connexion, saisissez l'adresse e-mail professionnelle et choisissez Continuer avec SSO. |
sso_wrong_org | The sign-in came from a different organisation's identity provider than the one registered for this person. | Sign in through your own company provider. If you did, ask an administrator to check which provider is saved. |
sso_domain_unverified | L'organisation n'a pas prouvé qu'elle était propriétaire du domaine de messagerie (l'enregistrement DNS est manquant). | Un administrateur ouvre Paramètres → Authentification unique, publie l'enregistrement TXT affiché pour le domaine et clique sur Vérifier. |
sso_not_ready | L'authentification unique est enregistrée mais n'est pas encore activée (ou a été désactivée suite à une modification). | Un administrateur termine le test de connexion et l'active. Jusque-là, seuls les propriétaires et les administrateurs peuvent se connecter de cette manière pour le tester. |
sso_unknown_provider | La connexion provient d'un fournisseur d'identité que CostGlass ne reconnaît pas. | Utilisez le lien de connexion de CostGlass, pas un ancien signet. |
Aucun accès à l'organisation | The email is not on the organisation's user list. L'authentification unique ne crée jamais de comptes. | An owner or admin invites the person in Settings → Team, then they sign in through the provider. |
Le garder en bonne santé
- Expiration du certificat (SAML). Your IdP's signing certificate expires eventually. Les propriétaires reçoivent un email 30, 14 et 3 jours avant. Si vous avez fourni une URL de métadonnées, CostGlass récupère lui-même un certificat en rotation. Si vous avez collé du XML, collez le nouveau fichier. If the certificate expires, sign-in stops and the page shows Needs attention.
- Vérifications de domaine. Quotidiennement, avec un délai de grâce de 7 jours (voir ci-dessus).
- Piste d'audit. Les modifications apportées au fournisseur, aux domaines, à l'activation et aux exigences sont enregistrées dans le fichier journal d'audit.
Ce que l'authentification unique ne fait pas
- Il ne crée ni ne supprime de comptes. Invitez des personnes sous Paramètres → Équipe. Il n’y a pas de provisionnement automatique (SCIM).
- Le mappage groupe-rôle est désactivé. Les rôles sont définis uniquement dans Paramètres → Équipe, quels que soient les groupes envoyés par votre fournisseur.
- Un fournisseur par organisation et pas de déconnexion unique (la déconnexion de CostGlass ne déconnecte pas les personnes de votre fournisseur).
Questions fréquemment posées
La page indique que l'authentification unique est incluse dans Scale et Enterprise. Puis-je l'essayer avec un forfait inférieur ?
Non. La page et le serveur nécessitent tous deux le plan Scale ou Enterprise. Voir Facturation et forfaits.
Puis-je utiliser deux fournisseurs d’identité ?Non. Il existe un fournisseur par organisation, mais vous pouvez prouver jusqu'à 10 domaines de messagerie.
Someone signs in through the provider but sees "No organisation access".Ils n'ont pas été invités. Invitez d'abord leur e-mail sous Paramètres → Équipe.
Le bouton Tester la connexion est grisé.Il nécessite un fournisseur enregistré sans erreur et au moins un domaine vérifié.
Cela s'applique-t-il aux personnes possédant un domaine de messagerie différent, comme les entrepreneurs ?Uniquement vers les domaines vérifiés. D'autres continuent de se connecter avec un mot de passe ou Google, même lorsqu'une authentification unique est requise.