Configuration de la SSO

La configuration de la SSO implique un échange de métadonnées SAML entre votre organisation et Deque. Aucune des deux parties n'a besoin d'accéder aux systèmes de l'autre.

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Accès administrateur à votre fournisseur d'identité
• La liste des produits Deque concernés
• Chaque domaine de messagerie avec lequel vos utilisateurs se connectent, y compris les sous-domaines
• Un utilisateur de test déjà existant dans votre fournisseur d'identité
• Des contacts techniques capables de configurer SAML et de tester la connexion

Le processus de configuration

La configuration se déroule en trois phases. Pour la connexion initiée par l'IdP, le processus est répété une fois pour chaque produit Deque.

Demande de SSO

Contactez helpdesk@deque.com ou votre représentant Deque avec les informations suivantes :

• Le nom de votre organisation
• Chaque domaine de messagerie concerné
• Les produits Deque concernés
• Votre fournisseur d'identité
• Si vous souhaitez une connexion initiée par le SP ou par l'IdP
• Vos contacts techniques

Deque vous envoie ensuite un Identifiant d'entité du fournisseur de service et un Méta-données SP (XML) pour chaque produit. Pour les configurations initiées par l'IdP, vous recevez un identifiant d'entité pour chaque produit.

Choisir votre flux de connexion

Deque prend en charge deux flux de connexion SSO. Choisissez en fonction des capacités de votre fournisseur d'identité :

Les deux flux sont sécurisés et conformes à SAML 2.0. Passez à la section correspondant à votre choix ci-dessous.

Configuration du flux initié par le SP

Pour une connexion initiée par le SP, Deque gère la configuration du fournisseur de services. Votre rôle est d'importer les métadonnées de Deque dans votre fournisseur d'identité.

Paramètres SAML pour la connexion initiée par le SP

Un seul paramètre SAML est unique à votre organisation :

Importation des métadonnées

Importez les métadonnées du SP (fichier XML ou URL) fournies par Deque :

• Si votre fournisseur d'identité dispose d'une option "importation de métadonnées" ou "URL de métadonnées", utilisez directement l'URL de métadonnées de Deque.
• Sinon, téléchargez le fichier XML et téléversez-le dans votre fournisseur d'identité.
• Votre IdP remplira automatiquement la plupart des paramètres ; aucune configuration SAML supplémentaire n'est requise.

Après avoir importé les métadonnées de Deque, passez à Tests ci-dessous.

Configuration du flux initié par l'IdP

Pour une connexion initiée par l'IdP, vous configurez manuellement une application SAML dans votre fournisseur d'identité en utilisant les métadonnées de Deque.

Sélection de la valeur de l'ID d'entité

L'ID d'entité est l'attribut entityID de l'élément md:EntityDescriptor dans le fichier de métadonnées fourni par Deque. Sa valeur se termine par /clients/<client name>. Par exemple :

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

Cette unique valeur est utilisée à deux endroits : l'ID d'entité et l'URL de réponse (ou URL ACS). Saisissez la même valeur pour les deux champs.

Paramètres SAML pour la connexion initiée par l'IdP

Ces paramètres s'appliquent à chaque fournisseur d'identité pour la connexion initiée par l'IdP :

Mappage des attributs

Envoyez les attributs suivants afin que le prénom et le nom soient importés lors de la première connexion :

Le format du nom d'attribut diffère selon le fournisseur. Okta et Microsoft Entra ID utilisent Unspecified ; PingFederate utilise urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Si le format est incorrectement défini, les noms ne sont pas importés et les utilisateurs doivent les saisir lors de la première connexion.

Attribuer des utilisateurs

Attribuez les utilisateurs et groupes qui devraient avoir accès. La plupart des fournisseurs d'identité bloquent la connexion pour les utilisateurs non attribués. L'attribution contrôle qui peut s'authentifier ; elle n'accorde pas d'accès aux produits Deque.

Configuration spécifique au fournisseur

Suivez le guide pour votre fournisseur d'identité :

• Okta
• Microsoft Entra ID
• PingFederate

Tout autre fournisseur conforme à SAML 2.0 est pris en charge. Utilisez les paramètres SAML ci-dessus et consultez la documentation de votre fournisseur pour l'emplacement de chaque champ.

Envoi de vos métadonnées à Deque

Après avoir configuré votre fournisseur d'identité, envoyez à Deque vos métadonnées. Envoyez soit une URL de métadonnées, soit un fichier XML exporté ; les deux contiennent les valeurs requises par Deque :

Pour la connexion initiée par l'IdP uniquement : URL de démarrage initiée par l'IdP

En plus de vos métadonnées, envoyez à Deque votre URL de démarrage initiée par l'IdP. Cette valeur n'est pas incluse dans vos métadonnées et doit être envoyée séparément :

Deque importe ensuite votre URL SSO et votre certificat, active la validation de signature et confirme quand la connexion est prête à tester. La connexion reste désactivée jusqu'à ce que vous soyez prêt à passer en production, de sorte qu'elle ne gêne pas les connexions existantes de vos utilisateurs.

Tests

Confirmez les éléments suivants :

1. L'utilisateur atteint votre page de connexion et s'authentifie, y compris l'authentification à plusieurs facteurs.
2. L'utilisateur retourne à Deque et arrive dans le produit.
3. Le nom et l'adresse e-mail de l'utilisateur sont corrects sur son profil Deque.
4. Un utilisateur sans compte Deque existant est créé correctement.
5. Un utilisateur ayant un compte Deque existant finalise le lien de compte avec succès.

Liaison de comptes

Les utilisateurs possédant déjà une connexion Deque doivent confirmer le lien entre leur compte Deque et votre fournisseur d'identité lors de leur première connexion SSO. Deque envoie un e-mail de confirmation, et l'utilisateur sélectionne le lien pour compléter le processus. Cela se produit une fois pour chaque utilisateur.

Mise en production

Une fois les tests réussis et vos utilisateurs informés, indiquez à Deque quand activer la connexion de façon permanente. À partir de là, chaque utilisateur du domaine activé se connecte via votre fournisseur d'identité.

URLs de base

Utilisez l'URL de base pour votre région ou instance dédiée.