Configurer l'authentification unique SAML (SSO) dans LEM et BP

Ce guide explique comment configurer un nouveau client pour utiliser la solution d'authentification unique (SSO) de DiliTrust basée sur SAML. Suivez les étapes ci-dessous pour configurer, importer et valider tous les paramètres nécessaires à une intégration SSO réussie.

⭐ Présentation

La solution SSO de DiliTrust est initiée par le fournisseur de services (SP). Pour terminer la configuration, vous devez obtenir quatre informations clés auprès du fournisseur d'identité (IdP) du client :

• EntityID
• Certificat(s) X509
• URL de connexion
• Nom(s) de domaine autorisé(s)

Une fois ces informations obtenues, vous pouvez soit les importer automatiquement avec le fichier de métadonnées, soit les saisir manuellement.

⏫ Importer les informations

La méthode la plus simple consiste à demander au client son fichier metadata.xml et à l'importer directement sur la page des paramètres du client SAML.

• Si le fichier contient l'EntityID, le ou les certificats X509 et l'URL de connexion, ces champs sont remplis automatiquement.
• Attention : importer un nouveau fichier XML remplace toutes les informations existantes des paramètres du client.
• Si le fichier XML est incomplet, demandez au client de fournir les informations manquantes.

✍ Saisir les informations manuellement

Si vous préférez saisir les informations manuellement, ouvrez le fichier metadata.xml du client et repérez les champs nécessaires :

• EntityID : dans le nœud EntityDescriptor.
• Certificat(s) X509 : dans le nœud X509Certificate (il peut y avoir plusieurs certificats ; ajoutez-les tous).
• URL de connexion : dans le nœud SingleSignOnService.

Les numéros de ligne peuvent varier. Cherchez toujours le bon nom de nœud XML.

✅ Configurer les paramètres généraux

Une fois l'EntityID, les certificats, l'URL de connexion et les noms de domaine autorisés obtenus, ouvrez la page de configuration SAML du client et suivez ces étapes :

1. Activer SAML

Cochez l'option « Activer SAML pour l'intégration SSO » pour activer le SSO pour le client.

2. Choisir le mode de connexion

• Connexion SAML complète (recommandée) : les utilisateurs se connectent uniquement via SAML.
• Connexion SAML partielle : les utilisateurs peuvent encore se connecter avec leur adresse e-mail et leur mot de passe, au niveau du centre de données.

Si le client choisit la connexion SAML complète, cochez « Obliger tous les utilisateurs à se connecter via SAML ».

3. Méthodes d'authentification

Le SSO de DiliTrust prend en charge six méthodes d'authentification par défaut :

• Password
• Password Protection Transport
• TLS Client
• X.509
• Integrated Windows
• Kerberos

Pour les configurations avancées, consultez le support de formation sur les méthodes d'authentification non standard.

4. Activer le protocole strict

Cette option renforce la validation par l'IdP et augmente la sécurité : les informations sont vérifiées avant d'être traitées. Elle est activée par défaut.

❕ Remarques pour les utilisateurs d'ADFS

Dans les environnements Windows Active Directory Federation Services (ADFS), le client doit s'assurer que le message et l'assertion sont tous deux signés. Exécutez la commande PowerShell suivante sur le serveur ADFS :

Get-AdfsRelyingPartyTrust -Identifier <A_DILITRUST_APP_IDENTIFIER>

Si SamlResponseSignature n'a pas la valeur MessageAndAssertion, mettez-la à jour avec :

Set-AdfsRelyingPartyTrust -TargetIdentifier "<A_DILITRUST_APP_IDENTIFIER>" -SamlResponseSignature "MessageAndAssertion"

Les identifiants d'application DiliTrust valides sont :

• dilitrust_gov_eu
• dilitrust_gov_na
• dilitrust_exec_eu
• dilitrust_exec_na
• dilitrust_dataroom_prod_eu
• dilitrust_dataroom_prod_na

◻ Paramètres du client

Dans la section « Paramètres du Client », saisissez manuellement ou par import :

• Entity ID
• URL de connexion IdP
• Nom(s) de domaine exclusif(s) (séparés par des virgules s'il y en a plusieurs)
• Certificat(s) X509

Une fois terminé, cliquez sur Enregistrer. Les métadonnées propres au client sont alors créées. Copiez-les et transmettez-les au client pour validation et tests.

❗ Métadonnées DiliTrust et résolution des problèmes

Si le client rencontre des problèmes de connexion pendant les tests, en particulier avec un IdP Microsoft utilisant une authentification biométrique ou matérielle, consultez le support de formation sur les méthodes d'authentification non standard.

Avant d'activer des options non standard, validez toujours avec l'équipe R&D.

❓ Première connexion et création du mot de passe pour les utilisateurs SSO

Sauf si la connexion SAML est imposée pour le client (option « Obliger tous les utilisateurs à se connecter via SAML »), les utilisateurs doivent quand même créer un mot de passe DiliTrust lors de l'activation de leur compte. C'est le comportement normal. Cette étape ne peut pas être ignorée aujourd'hui, même si le domaine de l'adresse e-mail de l'utilisateur fait partie des noms de domaine exclusifs de la configuration SAML.

Si un utilisateur saisit son adresse e-mail dans le formulaire de connexion sur https://auth.dilitrust.com/, un e-mail de création de mot de passe lui est envoyé. Le lien de cet e-mail ouvre la page de création de mot de passe DiliTrust. Il ne redirige jamais vers le fournisseur d'identité du client.

❓ Ouvrir un lien de réunion des Instances digitalisées avec le SSO activé

Les e-mails de notification des Instances digitalisées (BP) peuvent contenir un lien vers une réunion. Cette section explique ce qui se passe quand un utilisateur clique sur ce lien, pour un client dont le SSO SAML est activé.

Ce que voit l'utilisateur

1. Le lien ouvre la page de connexion DiliTrust. Le lien n'identifie pas l'utilisateur : celui-ci saisit donc toujours une fois son adresse e-mail.
2. L'étape suivante dépend de l'obligation ou non de la connexion SAML pour l'utilisateur :
   • Connexion SAML imposée (l'option « Obliger tous les utilisateurs à se connecter via SAML » est cochée) : après avoir saisi son adresse e-mail, l'utilisateur est envoyé directement vers son fournisseur d'identité (IdP). L'IdP est le service de connexion propre à l'entreprise. Les utilisateurs qui essaient de se connecter avec un mot de passe sont quand même envoyés vers l'IdP.
   • Connexion SAML facultative (l'option n'est pas cochée) : l'utilisateur n'est pas envoyé vers l'IdP. Il doit saisir son mot de passe DiliTrust, puis le code d'authentification à deux facteurs si elle est configurée.
3. Une fois connecté, l'utilisateur arrive directement sur la réunion demandée. Cela fonctionne avec une connexion SAML imposée comme facultative.

Bon à savoir

• La redirection vers l'IdP n'a lieu que si la connexion SAML est imposée. Avec une connexion SAML facultative, l'utilisateur se connecte toujours avec son mot de passe.
• La connexion SAML imposée s'applique à tout le compte de l'utilisateur. Si un utilisateur appartient à plusieurs clients, la connexion SAML lui est imposée dès que l'un de ces clients l'impose.
• Certains utilisateurs n'arrivent pas sur la réunion juste après leur connexion :
  • les utilisateurs qui doivent encore accepter des conditions d'utilisation voient d'abord la page des conditions d'utilisation ;
  • les utilisateurs de l'assistance arrivent sur le tableau de bord de l'assistance ;
  • les utilisateurs qui ne sont membres d'aucun groupe ne sont pas redirigés vers la réunion.
• Un lien de réunion valide contient l'identifiant de la réunion et celui du groupe, sous cette forme : /fr/redirection_email/meeting/{meeting_id}/{group_id}. Un lien sans identifiant de groupe affiche une erreur « page introuvable » (404).

⛔ Restrictions

Quand vous créez une configuration SAML pour un groupe, elle ne peut pas utiliser le même domaine de messagerie que la configuration du client. Un domaine de messagerie ne peut exister qu'une seule fois par configuration.

✅ Configuration terminée ! Votre client peut maintenant se connecter en toute sécurité grâce à l'intégration SSO SAML de DiliTrust.