Configuration SSO SAML 2.0
Ce guide explique comment configurer l'authentification unique SAML 2.0 avec Zenovay en utilisant n'importe quel fournisseur d'identité compatible SAML. Pour des instructions spécifiques au fournisseur, consultez les guides pour Okta, Microsoft Entra ID, Google Workspace, ou Auth0.
L'authentification unique requiert un plan Scale ou Enterprise et des permissions Propriétaire ou Administrateur.
Valeurs de configuration du SP Zenovay
Copiez ces valeurs dans la configuration de l'application SAML de votre fournisseur d'identité :
| Paramètre | Valeur |
|---|---|
| SP Entity ID / Audience URI / Audience Restriction | https://auth.zenovay.com |
| ACS URL (Assertion Consumer Service URL) | https://auth.zenovay.com/api/sso/saml/callback |
| Format NameID | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress |
| Liaison | HTTP-POST |
L'Entity ID du SP doit être exactement https://auth.zenovay.com — n'ajoutez pas de barre oblique finale ou de chemin. L'URL ACS doit inclure le chemin complet /api/sso/saml/callback.
Étape 1 : Créer une application SAML dans votre IdP
Dans la console d'administration de votre fournisseur d'identité :
- Créez une nouvelle application SAML 2.0 (parfois appelée « SAML App » ou « Application d'entreprise »)
- Entrez les valeurs du SP Zenovay du tableau ci-dessus
- Définissez NameID pour envoyer l'adresse e-mail de l'utilisateur
- Attribuez les utilisateurs ou groupes qui devraient avoir accès à Zenovay
Étape 2 : Collecter les valeurs IdP
Après avoir créé l'application, votre fournisseur d'identité vous fournira les valeurs suivantes. Vous aurez besoin de celles-ci pour Zenovay :
| Valeur | Description | Où trouver |
|---|---|---|
| IdP Entity ID (Émetteur) | Identifiant unique de votre fournisseur d'identité | Paramètres SAML de l'IdP ou métadonnées |
| URL SSO (URL de connexion) | L'URL où Zenovay envoie les demandes d'authentification SAML | Paramètres SAML de l'IdP ou métadonnées |
| Certificat X.509 | Certificat public utilisé pour vérifier les réponses SAML | Paramètres SAML de l'IdP (télécharger ou copier) |
Certains fournisseurs d'identité proposent une URL de métadonnées ou un fichier XML de métadonnées contenant les trois valeurs. Consultez la documentation de votre IdP pour cette option.
Étape 3 : Ajouter un fournisseur dans Zenovay
- Connectez-vous à Zenovay en tant que Propriétaire ou Administrateur
- Accédez à Settings → Security → SSO
- Cliquez sur Add SSO Provider
- Sélectionnez SAML 2.0 comme protocole
- Entrez un nom pour le fournisseur (par exemple, « Corporate Okta » ou « Company SSO »)
- Remplissez les trois valeurs IdP :
- Entity ID : Collez l'Entity ID / Émetteur de l'IdP
- SSO URL : Collez l'URL de connexion
- Certificate : Collez le certificat X.509 (incluant les lignes
-----BEGIN CERTIFICATE-----et-----END CERTIFICATE-----)
- Cliquez sur Save
Étape 4 : Vérifier votre domaine
Après avoir ajouté le fournisseur, vérifiez le domaine de courrier électronique qui doit utiliser cette connexion SSO :
- Dans les paramètres du fournisseur SSO, cliquez sur Add Domain
- Entrez votre domaine de courrier électronique (par exemple,
company.com) - Suivez les étapes de vérification du domaine (généralement en ajoutant un enregistrement TXT DNS)
- Une fois vérifiée, tous les utilisateurs avec des e-mails
@company.comseront dirigés vers ce fournisseur SSO
Étape 5 : Tester la connexion
Avant de forcer l'authentification unique pour tous les utilisateurs :
- Ouvrez une fenêtre de navigateur privée/incognito
- Allez à auth.zenovay.com
- Entrez une adresse e-mail de votre domaine vérifié
- Vous devriez être redirigé vers la page de connexion de votre fournisseur d'identité
- Connectez-vous avec vos identifiants IdP
- Vous devriez être redirigé vers le tableau de bord Zenovay
Si le test échoue, consultez le Guide de dépannage pour connaître les erreurs SAML courantes et les solutions.
Étape 6 : Appliquer l'authentification unique (Optionnel)
Une fois le test réussi, vous pouvez appliquer l'authentification unique pour votre organisation :
- Accédez à Settings → Security → SSO
- Activez Enforce SSO
- Tous les membres de l'équipe ayant votre domaine vérifié devront se connecter via SSO
Mappage des attributs
Zenovay lit les attributs suivants de la réponse SAML :
| Attribut SAML | Champ Zenovay | Obligatoire |
|---|---|---|
NameID (format e-mail) | E-mail utilisateur | Oui |
firstName ou first_name ou http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname | Prénom | Non |
lastName ou last_name ou http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname | Nom | Non |
Le NameID doit contenir l'adresse e-mail de l'utilisateur. Zenovay l'utilise pour faire correspondre ou créer des comptes utilisateurs.
Rotation de certificat
Lorsque le certificat de signature de votre fournisseur d'identité expire, vous devez le mettre à jour dans Zenovay :
- Téléchargez le nouveau certificat à partir de votre IdP
- Accédez à Settings → Security → SSO
- Cliquez sur l'icône d'édition de votre fournisseur SAML
- Remplacez le certificat par le nouveau
- Cliquez sur Save
- Testez la connexion pour vérifier que le nouveau certificat fonctionne
Mettez à jour le certificat dans Zenovay avant qu'il n'expire dans votre IdP, sinon l'authentification SAML échouera pour tous les utilisateurs SSO.
Besoin d'aide ?
- Consultez le Guide de dépannage SSO pour les erreurs courantes
- E-mail : [email protected]
- Assistance entreprise : [email protected]