La configuration compte quatre parties : ajouter une connexion, la tester, l’activer, puis permettre aux gens de s’en servir. Les mots de passe continuent de fonctionner tout du long. Rien ici n’empêche qui que ce soit d’entrer.
Avant de commencer
- Vous êtes Admin de l’organisation. Seuls les administrateurs voient Authentification unique dans Paramètres.
- L’organisation a le forfait Professional ou un forfait supérieur. En dessous, la section affiche "L’authentification unique est offerte à partir du forfait Professional."
- Chez votre fournisseur d’identité, vous pouvez inscrire une application et lire son émetteur, son ID client et son secret client.
- Votre fournisseur répond à une adresse
httpsque Tamaat peut joindre. - Vous connaissez votre propre mot de passe Tamaat. Tamaat le redemande avant de modifier ces paramètres, sauf si vous l’avez entré dans les cinq dernières minutes.
Consultez d’abord Fournisseurs que vous pouvez connecter. Si votre fournisseur est Keycloak, Connecter Keycloak donne les mêmes étapes avec les noms propres à Keycloak.
Ajouter, tester, activer
- 1
Ouvrez Paramètres et choisissez Organisation → Authentification unique. Le nom de votre organisation figure en haut. Sous Connexion, choisissez "Ajouter une connexion".
- 2
Sous "Fournisseur d’identité", choisissez le vôtre : Microsoft Entra ID, Okta, Keycloak, Red Hat build of Keycloak, ou "Autre (OpenID Connect)".
- 3
Chez votre fournisseur, inscrivez une application pour Tamaat et notez son émetteur, son ID client et son secret client. Laissez son adresse de redirection de côté pour l’instant; Tamaat vous la donne à l’étape suivante.
- 4
De retour dans Tamaat, remplissez les champs sous "Provenant de" votre fournisseur, puis choisissez "Enregistrer" :
- "Nom de la connexion" : un nom que vos gens reconnaîtront. Ils le voient lorsqu’ils se connectent.
- "Émetteur" : l’adresse de votre fournisseur pour cette application, exactement comme le fournisseur la donne.
- "ID client" et "Secret client" : ceux de l’application que vous avez inscrite.
- "Date d’expiration du secret (facultatif)" : le jour où le secret prend fin chez votre fournisseur, pour que la connexion l’affiche.
- 5
Le formulaire indique "Enregistré." et affiche une nouvelle étape, "À copier dans" votre fournisseur, avec deux valeurs. Utilisez "Copier" à côté de chacune; ne les retapez pas.
- "URI de redirection" : collez-la dans l’application chez votre fournisseur. C’est là que votre fournisseur renvoie les gens.
- "Adresse d’ouverture de session" : l’adresse qui lance une ouverture de session par cette connexion. Conservez-la. Vous pouvez la donner à vos gens comme signet, ou vous en servir pour une tuile dans le portail de votre fournisseur.
- 6
Choisissez "Enregistrer et tester". Tamaat vous envoie chez votre fournisseur. Connectez-vous-y comme d’habitude. Vous revenez au résultat : "Réussi" ou "Échoué". "Le test n’a ouvert de session pour personne."
- 7
Si le test est réussi, choisissez "Activer la connexion". La connexion indique maintenant "Active".
- 8
Sous Politique d’ouverture de session, choisissez "Facultative" : "Mot de passe ou authentification unique".
Les gens peuvent maintenant se connecter par l’entremise de votre organisation. Essayez vous-même dans une fenêtre de navigation privée, puis demandez à un membre invité d’essayer. Se connecter avec votre organisation montre ce qu’ils verront.
Lire le résultat du test
Un test réussi énumère ce que votre fournisseur a envoyé. Chaque ligne compte pour quelque chose plus tard.
| Ligne | Ce qu’elle vous apprend |
|---|---|
| "Identifiant permanent reçu" | Votre fournisseur a envoyé, pour la personne, un identifiant qui ne change jamais. Tamaat reconnaît les gens par cet identifiant, et non par leur adresse courriel. |
| "Courriel reçu" | Votre fournisseur a envoyé l’adresse courriel de la personne. |
| "Heure d’ouverture de session reçue" | Votre fournisseur dit quand la personne s’est connectée. Il vous le faut avant qu’une personne invitée puisse accepter son invitation avec votre ouverture de session, avant de pouvoir exiger l’authentification unique, et avant qu’une carte ou un tableau de bord publié puisse s’ouvrir avec votre ouverture de session. |
| "Deux facteurs" | "Signalé" ou "Non signalé" : si votre fournisseur a dit que la personne a utilisé une deuxième étape. |
| "Courriel : confirmé par votre fournisseur" | Les nouvelles personnes entrent sans autre vérification de leur adresse. |
| "Courriel : les personnes confirment avec un code la première fois" | Une nouvelle personne tape un code que Tamaat lui envoie par courriel, une seule fois. |
| "Groupes : reçus" | Affiché lorsque vous avez demandé les groupes. Le nombre indique de combien de groupes la personne du test fait partie. |
Un test échoué affiche une phrase qui dit quoi corriger. Choisissez "Modifier la connexion", corrigez, puis choisissez "Tester de nouveau". Dépanner l’authentification unique énumère toutes les phrases.
Ce que signifie chaque état
| État | Signification |
|---|---|
| Brouillon | Enregistrée, pas encore testée. |
| Test en cours | Un test est en cours. |
| Testée | Les paramètres enregistrés ont réussi leur test. Prête à être activée. |
| Active | Les gens se connectent par elle. |
| Désactivée | Conservée, et personne ne peut se connecter par elle. |
Tester, activer et exiger sont trois choses distinctes. Un test réussi ne change rien pour vos gens. Activer leur permet d’utiliser la connexion une fois la politique à Facultative. Seule Obligatoire retire les mots de passe.
Groupes
Remplissez ces champs seulement si vous prévoyez d’ouvrir une carte ou un tableau de bord publié à des groupes choisis chez votre fournisseur. Sinon, laissez-les vides.
- "Où votre fournisseur indique les groupes" : le nom sous lequel votre fournisseur envoie les groupes d’une personne.
- "Les groupes sont envoyés sous forme de" : "Identifiants" ou "Noms". Lorsque Microsoft Entra ID est choisi, ce champ est fixé à "Identifiants" et ne peut pas être changé.
Les groupes ne changent jamais le rôle d’une personne dans Tamaat. Voir Ouvrir une carte ou un tableau de bord à votre entreprise.
Domaines
Un domaine de courriel vérifié permet à vos gens de partir de la page de connexion habituelle : ils tapent leur courriel professionnel et Tamaat les amène à votre ouverture de session. Sans domaine vérifié, ils utilisent l’"Adresse d’ouverture de session" que vous avez copiée plus tôt.
- 1
Sous Domaines, choisissez "Ajouter un domaine" et entrez le domaine, par exemple
example.com. - 2
Choisissez "Afficher l’enregistrement". Tamaat affiche un enregistrement DNS : son "Type", son "Nom" et sa "Valeur". Ajoutez cet enregistrement là où le DNS de votre domaine est géré.
- 3
Choisissez "Vérifier maintenant". Le domaine passe de "En attente de l’enregistrement DNS" à "Vérifié" dès que Tamaat trouve l’enregistrement. S’il indique "Nous n’avons pas encore trouvé l’enregistrement DNS. Il peut mettre un certain temps à apparaître. Réessayez plus tard.", attendez et vérifiez de nouveau.
"Un domaine vérifié dirige les gens vers cette ouverture de session. Il n’ajoute aucun membre." Un domaine mène à une seule organisation à la fois.
Modifier une connexion plus tard
Chaque connexion affiche ses actions bien en vue :
- "Modifier" ouvre le formulaire. Les modifications enregistrées forment une nouvelle version, et la version avec laquelle les gens se connectent reste en service jusqu’à ce que vous testiez la nouvelle et choisissiez de nouveau "Activer la connexion". L’émetteur d’une connexion enregistrée ne peut pas être modifié; ajoutez une nouvelle connexion pour un autre émetteur.
- "Remplacer le secret" enregistre un nouveau secret client. Tamaat n’affiche plus jamais un secret enregistré.
- "Tester la connexion" teste les paramètres enregistrés sans ouvrir de session pour personne.
- "Désactiver" arrête l’ouverture de session par une connexion active : "Personne ne pourra ouvrir de session par cette connexion tant qu’elle ne sera pas réactivée. Les sessions qu’elle a ouvertes sont fermées."
- "Retirer" supprime une connexion qui n’est pas active : "Ses paramètres sont supprimés."
Une organisation peut conserver jusqu’à cinq connexions, ce qui suffit pour en préparer une de remplacement à côté de celle qui est en service.
Personnes et activité
Deux listes au bas de la section montrent ce qui se passe :
- Personnes énumère toutes les personnes qui ont lié un compte à votre ouverture de session, avec la "Dernière ouverture de session". Retirer l’accès d’une personne traite de "Retirer le lien".
- Activité énumère les ouvertures de session récentes, les ouvertures de session refusées et les modifications apportées à ces paramètres, chacune avec un "Code d’assistance".