L'authentification unique (SSO) permet aux utilisateurs de se connecter à toutes les applications cloud de leur entreprise à l'aide des identifiants de leur compte Google géré. Google propose le service d'authentification unique préintégré pour plus de 200 applications cloud courantes.
Procédez comme suit afin de configurer l'authentification unique à l'aide du langage SAML pour une application personnalisée ne figurant pas dans le catalogue préintégré.
Configurer une application SAML personnalisée
Tout développer | Tout réduire
Étape 1 : Ajoutez l'application SAML personnalisée-
Connectez-vous à votre Console d'administration Google.
Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).
-
Dans la console d'administration, accédez à Menu
Applications
Applications Web et mobiles.
- Cliquez sur Ajouter une application
Ajouter une application SAML personnalisée.
Saisissez le nom de l'application et, si vous le souhaitez, importez une icône pour votre application. L'icône d'application s'affiche dans la liste des applications Web et mobiles, sur la page des paramètres des applications et dans le lanceur d'applications. Si vous n'en importez pas, une icône est créée à l'aide des deux premières lettres du nom de l'application. - Cliquez sur Continuer.
- Sur la page Informations sur le fournisseur d'identité Google, récupérez les informations de configuration requises par le fournisseur de services à l'aide de l'une des options suivantes :
- Téléchargez les métadonnées IdP.
- Copiez l'URL SSO et l'ID d'entité, puis téléchargez le certificat (ou l'empreinte SHA-256, au besoin).
- (Facultatif) Pour saisir les informations sur la page de configuration d'authentification unique appropriée, dans une fenêtre ou un onglet de navigateur distinct, connectez-vous à votre fournisseur de services, saisissez les informations copiées à l'étape 5, puis revenez dans la console d'administration.
- Cliquez sur Continuer.
- Contactez votre fournisseur de services pour connaître les valeurs de ces champs. Dans la fenêtre Détails relatifs au fournisseur de services, saisissez :
- URL ACS : URL ACS du fournisseur de services recevant la réponse SAML. Elle doit commencer par https://.
- ID d'entité : nom unique.
- URL de démarrage (facultatif) : permet de définir le paramètre RelayState dans une requête SAML, qui peut être une URL vers laquelle effectuer une redirection après authentification.
- (Facultatif) Pour indiquer que votre fournisseur de services exige que la totalité de la réponse d'authentification SAML soit signée, cochez la case Réponse signée. Si cette option n'est pas cochée (valeur par défaut), seule l'assertion contenue dans la réponse est signée.
- (Facultatif) Définissez le format ID du nom et la valeur ID du nom pour votre application SAML personnalisée. Par défaut, le champ ID du nom contient l'adresse e-mail principale.
Conseil : Consultez les articles de configuration de notre catalogue d'applications SAML pour connaître les éventuels mappages d'identifiant de nom requis pour les applications du catalogue. Vous pouvez également créer des attributs personnalisés dans la console d'administration ou via les API du SDK Google Admin, puis les mapper avec ceux-ci. - Cliquez sur Continuer.
- Si nécessaire, cliquez sur Ajouter un mappage pour mapper les attributs utilisateur en fonction des exigences du fournisseur de services.
Remarque : Vous pouvez définir jusqu'à 10 000 attributs pour l'ensemble des applications. Puisque chaque application possède un attribut par défaut, le nombre comprend l'attribut par défaut et tous les attributs personnalisés que vous ajoutez.- Sous Attributs d'annuaire Google, cliquez sur le menu Sélectionner un champ pour choisir le nom d'un champ. Tous les attributs d'annuaire Google ne sont pas disponibles dans la liste déroulante. Si un attribut que vous souhaitez mapper (l'adresse e-mail du responsable, par exemple) n'est pas disponible, vous pouvez l'ajouter en tant qu'attribut personnalisé afin de pouvoir le sélectionner ici.
- Sous Attributs de l'application, saisissez l'attribut correspondant à votre application SAML personnalisée.
-
(Facultatif) Pour saisir des noms de groupes pertinents pour cette application :
- Dans le champ Appartenance à un groupe (facultatif), cliquez sur Rechercher un groupe, saisissez une ou plusieurs lettres du nom du groupe, puis sélectionnez-en un.
- Ajoutez des groupes si nécessaire (75 groupes au maximum).
- Sous Attribut de l'application, saisissez le nom d'attribut des groupes du fournisseur de services correspondant.
Quel que soit le nombre de noms de groupes saisis, la réponse SAML inclut uniquement les groupes dont un utilisateur est membre (directement ou indirectement). Pour en savoir plus, consultez À propos du mappage des informations d'appartenance à un groupe.
- Cliquez sur Terminer.
Ajouter une application SAML personnalisée.-
Connectez-vous à votre Console d'administration Google.
Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).
-
Dans la console d'administration, accédez à Menu
- Sélectionnez votre application SAML.
-
Cliquez sur Accès utilisateur.
-
Pour activer ou désactiver un service pour tous les membres de votre organisation, cliquez sur Activé pour tous ou sur Désactivé pour tous, puis sur Enregistrer.
-
(Facultatif) Pour activer ou désactiver un service pour une unité organisationnelle :
- Sur la gauche, sélectionnez l'unité organisationnelle souhaitée.
- Pour modifier l'état du service, sélectionnez Activé ou Désactivé.
- Choisissez une option :
- Si l'état du service est défini sur Hérité et que vous souhaitez conserver le paramètre mis à jour, même si le paramètre parent est modifié, cliquez sur Remplacer.
- Si l'état du service est défini sur Remplacé, cliquez sur Hériter pour rétablir le paramètre parent, ou cliquez sur Enregistrer pour conserver le nouveau paramètre, même si le paramètre parent est modifié.
Remarque : En savoir plus sur la structure organisationnelle
-
Pour activer un service pour un ensemble d'utilisateurs au sein d'une ou de plusieurs unités organisationnelles, sélectionnez un groupe d'accès. Pour plus d'informations, consultez la section Activer ou désactiver un service pour un groupe d'accès.
- Vérifiez que les adresses e-mail à l'aide desquelles vos utilisateurs se connectent à l'application SAML correspondent à celles dont ils se servent pour se connecter à votre domaine Google.
Les modifications peuvent prendre jusqu'à 24 heures, mais sont généralement plus rapides. En savoir plus
Vous pouvez tester à la fois l'authentification unique initiée par le fournisseur d'identité (IdP) et l'authentification unique initiée par le fournisseur de services (SP).
Initiée par le fournisseur d'identité (IdP)
-
Connectez-vous à votre Console d'administration Google.
Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).
-
Dans la console d'administration, accédez à Menu
- Sélectionnez votre application SAML personnalisée.
- En haut à gauche, cliquez sur Tester la connexion SAML.
Votre application s'ouvre dans un onglet distinct. Si ce n'est pas le cas, mettez à jour vos paramètres IdP et SP à l'aide des informations contenues dans les messages d'erreur SAML, puis testez à nouveau la connexion SAML.
Initiée par le fournisseur de services (SP)
- Ouvrez l'URL d'authentification unique de votre nouvelle application SAML. Vous devriez être automatiquement redirigé vers la page de connexion Google.
- Saisissez votre nom d'utilisateur et votre mot de passe.
Une fois authentifié, vous êtes redirigé vers votre nouvelle application SAML.
