Authentification unique

Avec l’authentification unique (SSO), toutes les personnes ayant une adresse e-mail sur le domaine de votre entreprise se connectent à Eddish via votre fournisseur d’identité : Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Keycloak, ou tout autre fournisseur compatible avec SAML 2.0 ou OpenID Connect. Les nouvelles personnes rejoignent votre compte dès leur première connexion : il n’y a personne à inviter.

L’authentification unique est une option du forfait payant, à 4 $ par siège et par mois. Si Authentification unique (SSO) dans Paramètres du compte indique qu’elle n’est pas incluse, contactez-nous pour l’ajouter. Seul le Propriétaire du compte peut la configurer.

La configurer

Ouvrez Paramètres du compte, puis Authentification unique (SSO), sous Intégrations. L’écran vous guide en quatre étapes et indique ce qu’il attend.

1. Vérifier votre domaine

Ajoutez votre domaine de messagerie, par exemple example.com. L’écran affiche un enregistrement TXT à ajouter au DNS de ce domaine :

Type	Nom	Valeur
TXT	`_eddish-verification.example.com`	`eddish-domain-verification=…`

Ajoutez-le là où le DNS de votre domaine est géré, puis choisissez Vérifier. Les nouveaux enregistrements peuvent mettre quelques minutes à apparaître. Ajoutez chaque domaine sur lequel vos équipes ont des adresses.

Les services de messagerie publics comme gmail.com ne peuvent pas être ajoutés, et un domaine ne peut être vérifié que par un seul compte.

2. Connecter votre fournisseur d’identité

Choisissez SAML 2.0 ou OpenID Connect. Dans votre fournisseur d’identité, créez une application pour Eddish avec les valeurs affichées à l’écran :

SAML : l’ID d’entité (Entity ID, audience) et l’URL de réponse (ACS URL), ou indiquez à votre fournisseur l’URL des métadonnées. Donnez ensuite à Eddish l’URL des métadonnées de votre fournisseur, collez son XML de métadonnées, ou saisissez son ID d’entité, son URL d’authentification unique (SSO) et son certificat de signature. Envoyez l’adresse e-mail de la personne comme NameID ou comme attribut email ; les attributs de prénom et de nom sont facultatifs.
OpenID Connect : enregistrez l’URI de redirection (Redirect URI), puis donnez à Eddish l’URL de l’émetteur (Issuer), l’ID client (Client ID) et le secret client (Client secret). Les portées utilisées sont openid email profile.

Choisissez aussi si les nouvelles personnes rejoignent en tant que Membre ou Administrateur. Vous pourrez modifier le rôle de chacun plus tard dans Membres.

3. Lancer une connexion de test

Choisissez Lancer une connexion de test et connectez-vous chez votre fournisseur d’identité. Cela ne connecte personne à Eddish : cela vérifie que les paramètres fonctionnent et que votre fournisseur envoie une adresse d’un domaine vérifié. Si cela ne fonctionne pas, l’écran en indique la raison.

4. L’activer

Choisissez Activer. Vous ne pouvez l’activer qu’après un test réussi depuis votre dernière modification.

Ce qui change pour les personnes

Sur l’écran de connexion, toute personne ayant une adresse sur vos domaines est envoyée vers votre fournisseur d’identité après avoir saisi son e-mail.
Elles ne peuvent plus se connecter avec un mot de passe, Google ou Microsoft, ni réinitialiser un mot de passe.
Votre fournisseur d’identité gère l’authentification à deux facteurs. Si une personne a configuré l’authentification à deux facteurs d’Eddish, son code lui est toujours demandé, et Exiger l’authentification à deux facteurs pour chaque membre dans Sécurité continue de s’appliquer.
Une personne qui se connecte pour la première fois rejoint votre compte, avec un siège dans chaque application qui en a un de libre.

Les Propriétaires gardent leur mot de passe et peuvent choisir Utiliser plutôt un mot de passe sur l’écran de connexion. Ainsi, un problème avec votre fournisseur d’identité ne peut pas vous bloquer hors de votre propre compte.

Faire des modifications

Enregistrer une modification de votre fournisseur d’identité désactive l’authentification unique jusqu’à ce qu’un nouveau test réussisse, car la modification s’appliquerait à la prochaine connexion de chacun. Entre-temps, les personnes se connectent de la manière habituelle ; celles qui n’ont pas de mot de passe peuvent utiliser Mot de passe oublié ?.

Retirer une personne dans votre fournisseur d’identité l’empêche de se connecter à Eddish. Une session déjà ouverte dure jusqu’à son expiration : pour couper l’accès tout de suite, retirez aussi la personne de Membres, ou activez le provisionnement automatique, qui le fait pour vous.

Provisionnement automatique (SCIM)

Avec l’authentification unique, les personnes rejoignent votre compte à leur première connexion. Le provisionnement automatique va plus loin : votre fournisseur d’identité ajoute les personnes avant même leur première connexion, tient leurs noms à jour, et les retire du compte lorsqu’elles partent ou ne sont plus assignées à l’application — leurs sièges sont libérés immédiatement. Il fonctionne avec Okta, Microsoft Entra ID et les autres fournisseurs d’identité compatibles avec SCIM 2.0.

Sous Provisionnement automatique (SCIM), choisissez Créer un jeton. Copiez-le maintenant : il ne sera plus affiché.
Dans l’application Eddish de votre fournisseur d’identité, activez le provisionnement et saisissez l’URL du locataire (Tenant URL) et le jeton.
De retour dans Eddish, choisissez Activer.

Bon à savoir :

Les personnes doivent avoir une adresse sur l’un de vos domaines vérifiés.
Votre fournisseur d’identité ne peut pas modifier l’adresse de connexion de quiconque : elle appartient à la personne dans chaque compte Eddish dont elle fait partie.
Les Propriétaires ne sont jamais retirés par le provisionnement. Gérez les Propriétaires dans Membres.
Créer un nouveau jeton remplace l’ancien immédiatement : mettez donc à jour votre fournisseur d’identité sans attendre.

Rôles à partir des groupes

Si votre fournisseur d’identité envoie des groupes (dans Okta, Push Groups ; dans Entra ID, assignez des groupes à l’application), ils apparaissent sous Groupes. Choisissez un rôle pour les personnes de chaque groupe :

Une personne dans un groupe défini sur Administrateur est Administrateur.
Sinon, une personne dans un groupe défini sur Membre est Membre.
Toutes les autres rejoignent avec le rôle indiqué dans Les nouvelles personnes rejoignent en tant que.

Un groupe défini sur Ne définit aucun rôle ne change personne. Les rôles suivent les groupes à mesure que les personnes les rejoignent et les quittent : pour une personne dans un groupe qui a un rôle, modifiez donc son rôle dans votre fournisseur d’identité plutôt que dans Membres. Les Propriétaires ne changent jamais de cette façon.

La désactiver

Choisissez Désactiver. Tout le monde se connecte de nouveau de la manière habituelle. Les personnes qui ne se sont jamais connectées que par authentification unique n’ont pas encore de mot de passe : elles peuvent en définir un avec Mot de passe oublié ?.