L’authentification unique permet à vos collaborateurs de se connecter à portierX avec leur compte professionnel Microsoft. Sa mise en place demande le rôle Administrateur de l’organisation dans portierX, des droits d’administration dans Microsoft Entra ID et l’accès aux enregistrements DNS de votre domaine e-mail. Elle commence dans Intégrations, sur l’onglet Disponible, avec la carte Entra ID SSO SAML.
Aussi appelé : SSO, connexion SAML, connexion avec le compte Microsoft.
Une application d’entreprise dans Microsoft Entra ID dont l’authentification unique est réglée sur SAML. Créez-la sous Enterprise applications. Une inscription d’application ne propose jamais SAML et ne se convertit pas après coup.
L’App Federation Metadata Url de cette application, sur sa page Single sign-on, section SAML Certificates.
Le rôle Administrateur de l’organisation dans portierX. Les autres rôles voient sur la connexion la ligne "Seul un administrateur de l'organisation peut modifier ceci."
L’accès aux enregistrements DNS du domaine avec lequel vos collaborateurs se connectent.
Ouvrez Intégrations et restez sur Disponible.
Ouvrez la carte Entra ID SSO SAML avec Voir les détails et passez à l’onglet Connecter.
Saisissez un Name. La page de connexion l’affiche après Sign in with.
Collez l’URL de métadonnées dans App Federation Metadata Url (from Entra).
Cliquez sur Activate.
portierX reprend depuis l’URL de métadonnées l’adresse de connexion, l’identifiant d’entité et le certificat de signature de votre application Entra. Rien de tout cela ne se saisit à la main.
Après l’activation, portierX ouvre la page de la connexion sous Connecté. L’onglet Configuration commence par la carte Ce dont Entra a besoin de portierX. Ses Service provider details listent l’Identifier (Entity ID) et la Reply URL (Assertion Consumer Service URL), chacun avec un bouton de copie.
Copiez les deux valeurs.
Dans Entra, ouvrez la page Single sign-on de l’application et modifiez Basic SAML Configuration.
Collez l’identifiant dans Identifier (Entity ID) et l’URL de réponse dans Reply URL. Laissez Sign on URL vide. La connexion commence toujours depuis portierX.
Enregistrez dans Entra.
La carte affiche aussi le Broker alias. Communiquez-le au support quand une connexion échoue.
portierX propose l’authentification unique en comparant le domaine de l’adresse e-mail professionnelle saisie. Tant qu’aucun domaine n’est vérifié, la connexion n’apparaît pas sur la page de connexion.
Sur l’onglet Configuration, sous Domaines e-mail, saisissez votre domaine, par exemple nordwerk.example, et cliquez sur Ajouter un domaine.
portierX affiche l’enregistrement DNS TXT à créer : Type TXT, Nom _portierx-verify.nordwerk.example, Valeur le jeton tel qu’il est affiché. Créez-le chez votre fournisseur DNS. Le nom est l’hôte _portierx-verify complet, et non @ ; la valeur est le jeton seul, sans préfixe ni guillemets.
Cliquez sur Vérifier à côté du domaine. Son badge passe de En attente à Vérifié.
Un badge Échec signifie que l’enregistrement est introuvable. La propagation DNS prend du temps. Contrôlez le nom de l’enregistrement et relancez la vérification.
La carte Exiger l’authentification unique de l’onglet Configuration porte un interrupteur et le badge Facultatif ou Obligatoire.
Désactivé, le formulaire de mot de passe reste à côté du bouton SSO. Les prestataires et le personnel externe partagent souvent votre domaine sans exister dans Entra. Activé, toute personne sur un domaine vérifié ne voit que le bouton SSO, avec la ligne "Your organisation requires SSO sign-in." Une connexion commence avec l’interrupteur désactivé.
L’onglet Résumé affiche, dans Résumé de la connexion, la ligne Prêt pour la connexion, le Fournisseur (le nom de la connexion), l’Alias du broker et, sous Authentification unique, OBLIGATOIRE ou FACULTATIF. Deux cartes comptent les Domaines e-mail et ceux qui sont Vérifiés. La carte État de la connexion indique Active ou Action requise, avec une phrase sur ce qu’il reste à faire.
Prêt : les personnes dont l’adresse e-mail professionnelle appartient à un domaine vérifié se voient proposer l’authentification unique.
Aucun domaine vérifié : ajoutez un domaine sous Configuration et vérifiez-le.
Non établie : la connexion a été enregistrée mais n’a pas été créée auprès du service d’identité. Communiquez l’alias du broker au support.
Déconnectez-vous et ouvrez la page de connexion de portierX.
Saisissez une adresse du domaine vérifié sous E-mail professionnel et cliquez sur Continue.
Cliquez sur Sign in with suivi du nom de votre connexion. Microsoft vous authentifie et vous renvoie vers portierX.
Si seul le formulaire de mot de passe apparaît, le domaine n’est pas vérifié ou la connexion n’est pas établie. L’onglet Résumé dit lequel des deux.
Au clic sur Activate, portierX crée la connexion auprès du service d’identité, affiche "Connection activated." et liste la connexion sous Connecté.
Avec le premier domaine vérifié, la connexion devient active et est proposée sur la page de connexion.
À la connexion, portierX associe le compte Microsoft à l’utilisateur qui porte la même adresse e-mail. Une personne qui n’est utilisateur d’aucune organisation voit "Aucune organisation trouvée".
L’authentification unique change la façon dont une personne se connecte, pas ce qu’elle peut faire. La personne a besoin d’un compte utilisateur dans votre organisation avec la même adresse e-mail, créé à la main ou par SCIM. Le rôle et les accès se définissent dans portierX.
Qui peut utiliser l’application se décide dans Entra, sous Users and groups de l’application.
Un domaine appartient à une seule connexion, toutes organisations confondues. L’ajout d’un domaine déjà réclamé échoue. Contactez le support.
Désactiver Exiger l’authentification unique ramène le formulaire de mot de passe. La connexion reste sur la page de connexion.
Seul un Administrateur de l’organisation voit le Résumé et la Configuration. Les autres rôles voient "Seul un administrateur de l'organisation peut modifier ceci."
