Aller au contenu
Fonctionnalités Tarifs Doc. Contact Se connecter Commencer
Langue

Authentification unique

Vos équipes se connectent avec le compte Microsoft, Google, Okta ou Keycloak de leur organisation.

L'authentification unique (SSO) permet de se connecter à votre espace de travail avec le compte que votre organisation fournit déjà. CommonLynk ne voit jamais le mot de passe. Les mots de passe continuent de fonctionner tant que le SSO est activé, et le propriétaire de l'espace peut toujours se connecter avec son propre mot de passe.

Avant de commencer

CommonLynk active le SSO pour un espace de travail sur demande. Le propriétaire le trouve ensuite dans Paramètres, Authentification unique. Seul le propriétaire peut ajouter un fournisseur, revendiquer un domaine ou activer un fournisseur. Les administrateurs peuvent consulter les réglages et lancer un test.

  1. Cliquez sur « Ajouter un fournisseur », choisissez votre système de connexion et transmettez les valeurs affichées à votre équipe informatique.
  2. Votre équipe informatique crée l'application de son côté et vous renvoie les valeurs demandées par CommonLynk.
  3. Dans « Domaines », ajoutez votre domaine de messagerie, publiez l'enregistrement DNS TXT affiché à côté, puis cliquez sur « Vérifier ».
  4. Cliquez sur « Tester la connexion ». Vous vous connectez réellement chez votre fournisseur et la page indique ce qui se passerait.
  5. Cliquez sur « Activer ».

Microsoft Entra ID

Dans le centre d'administration Microsoft Entra, ouvrez Inscriptions d'applications et inscrivez une application pour les comptes de cet annuaire uniquement. Ajoutez l'URI de redirection affiché comme redirection Web. Copiez l'ID d'application (client) et l'ID d'annuaire (locataire), puis créez une clé secrète client dans Certificats et secrets. L'émetteur est https://login.microsoftonline.com/ suivi de l'ID de votre locataire et de /v2.0. Indiquez la date d'expiration du secret : CommonLynk vous prévient 30 et 7 jours avant.

Pour utiliser SAML, créez plutôt une application d'entreprise SAML, collez l'identificateur et l'URL de réponse affichés par CommonLynk, et donnez à CommonLynk l'URL des métadonnées de fédération. CommonLynk reconnaît les personnes à leur ID d'objet, jamais à leur adresse e-mail.

Google Workspace

Dans la console Google Cloud de votre organisation, créez un client OAuth de type Application Web et ajoutez l'URI de redirection affiché. Saisissez aussi votre domaine Google Workspace : sans lui, n'importe quel compte Google pourrait se connecter, et CommonLynk refuse d'enregistrer le fournisseur.

Okta

Dans la console d'administration Okta, créez une intégration d'application OIDC de type Application Web, ajoutez l'URI de redirection et copiez l'ID client, le secret client et votre adresse Okta, qui est l'émetteur. Pour SAML, collez l'URL d'authentification unique et l'audience affichées par CommonLynk, et donnez à CommonLynk l'URL des métadonnées.

Keycloak

Dans votre realm, créez un client OpenID Connect avec l'authentification du client activée, ajoutez l'URI de redirection comme redirection valide et copiez le secret dans l'onglet « Credentials ». L'émetteur est l'adresse de Keycloak suivie de /realms/ et du nom du realm. Si Keycloak tourne sur votre propre réseau privé, demandez à CommonLynk d'autoriser son adresse.

Qui peut entrer

Une personne se connecte par SSO quand son adresse e-mail appartient à l'un de vos domaines vérifiés. La première fois, CommonLynk crée son compte sans rôle ni accès aux fiches, sauf si le propriétaire a choisi un rôle pour le fournisseur ; un administrateur lui donne ensuite ce dont elle a besoin. Vous pouvez aussi n'autoriser que les personnes invitées. Un compte existant est lié au compte professionnel lors de la première connexion ; si le fournisseur ne confirme pas l'adresse, CommonLynk y envoie d'abord un code.

Les personnes qui se connectent par SSO ne passent pas par une deuxième étape CommonLynk : la connexion de votre organisation s'en charge. La page des réglages vous signale quand votre fournisseur n'indique pas de vérification en deux étapes. Tant que le SSO est activé, le propriétaire a besoin de la vérification en deux étapes pour son propre mot de passe.

Si le SSO ne fonctionne plus

La page de connexion propose toujours le lien « Connexion du propriétaire », qui ouvre le formulaire de mot de passe. Si un secret expire ou si votre fournisseur est indisponible, le propriétaire s'y connecte et désactive le fournisseur ou saisit un nouveau secret. Désactiver un fournisseur met fin à toutes les sessions ouvertes par son intermédiaire.