Aller au contenu
Centre d'aide Sanitized AI

Configurer l'authentification unique Okta

Sanitized AI prend en charge une connexion Okta OpenID Connect (OIDC) qui utilise le flux authorization code. Ne l’activez pas pour tout le monde avant que la connexion et un vrai utilisateur attribué aient tous deux réussi leurs tests.

Les écrans de connexion du tableau de bord sont en anglais pour l’instant; ce guide indique donc les libellés anglais tels qu’ils apparaissent.

Où trouver chaque réglage

Le tableau suivant indique où se trouve chaque réglage.

Ce qu’il vous fautOù aller
Authentification unique, approbation des domaines et politique d’accès de Sanitized AISanitized AI > Mon organisation > Connexion et provisionnement
Créer ou modifier l’application OktaOkta Admin Console > Applications > Applications
Référence d’Okta, champ par champ, pour OIDCCreate OpenID Connect app integrations (documentation d’Okta, en anglais)
SCIM plutôt que la connexionConfigurer le provisionnement SCIM
Autres méthodes de connexionChoisir les méthodes de connexion

La carte Okta setup progress, en haut de Connexion et provisionnement, suit les quatre étapes : configurer et vérifier Okta, faire approuver les domaines d’entreprise, tester des utilisateurs attribués et activer Okta. Votre progression est conservée d’une visite à l’autre.

1. Créer une application OIDC dans Okta

  1. Connectez-vous à la console d’administration d’Okta.
  2. Allez à Applications > Applications.
  3. Cliquez sur Create App Integration.
  4. Choisissez OIDC - OpenID Connect, puis Web Application.
  5. Cliquez sur Next et donnez à l’intégration un nom reconnaissable, comme Sanitized AI production.
  6. Sous Grant type, cochez Authorization Code. N’utilisez pas le flux implicite.
  7. Laissez Sign-in redirect URIs vide pour l’instant. Vous y collerez la valeur de Sanitized AI à la section suivante.
  8. Enregistrez l’intégration et attribuez-la seulement à un petit groupe pilote.

La connexion a besoin des portées openid, profile et email. Gardez-les autorisées dans les réglages de votre serveur d’autorisation et de consentement.

2. Ajouter les URL de Sanitized AI dans Okta

  1. Dans Sanitized AI, allez à Mon organisation > Connexion et provisionnement.
  2. Trouvez la carte Enterprise SSO.
  3. Copiez chacune des valeurs suivantes dans le champ correspondant d’Okta, puis enregistrez l’intégration Okta :
    • Sign-in redirect URI : ajoutez-la comme URI de redirection de connexion dans Okta.
    • Login initiation URL : utilisez-la pour une tuile dans le tableau de bord Okta, si vous en voulez une.
    • Post-logout redirect URL : ajoutez-la comme URI de redirection de déconnexion dans Okta.

Copiez toujours ces valeurs à partir de Sanitized AI plutôt que de les taper à partir d’une documentation. Elles sont générées pour votre organisation.

3. Connecter Okta et tester la connexion

  1. Dans Okta, ouvrez l’onglet General de la nouvelle application.
  2. Copiez son Client ID et son Client secret.
  3. Trouvez l’URL de l’émetteur (Issuer) du serveur d’autorisation qui sert l’application. Utilisez l’émetteur du serveur d’autorisation, et non l’URL d’administration d’Okta ni l’URL de votre organisation Okta.
  4. Dans Sanitized AI, retournez à Mon organisation > Connexion et provisionnement > Enterprise SSO.
  5. Collez l’émetteur dans Okta issuer URL et l’identifiant client dans Client ID.
  6. Collez le secret client dans Client secret, puis cliquez sur Create connection.
  7. Cliquez sur Test connection. Ne continuez pas tant que le test n’a pas réussi.

Sanitized AI n’affiche plus le secret client par la suite. Pour le renouveler, entrez le nouveau secret et cliquez sur Update connection. Pour garder le secret actuel pendant que vous modifiez d’autres champs, laissez Client secret vide.

4. Faire approuver chaque domaine de connexion

  1. Dans Company domain approval, entrez un domaine de courriel d’entreprise, comme exemple.com, sans @ ni nom d’utilisateur.
  2. Cliquez sur Submit domain. Le domaine affiche pending approval.
  3. Attendez que Sanitized AI l’approuve.
  4. Répétez pour chaque domaine qui utilisera Okta.
  5. Quand un domaine affiche approved, cliquez sur Test Okta sign-in et connectez-vous en tant que vrai utilisateur attribué à l’application Okta. Le domaine affiche alors sign-in tested.

Aucun enregistrement DNS n’est nécessaire.

5. Activer la connexion Okta

Quand le test de connexion a réussi, qu’au moins un domaine est approuvé et que chaque domaine approuvé a réussi un test avec un vrai utilisateur :

  1. Allez à Mon organisation > Connexion et provisionnement > Access policy.
  2. Cochez Enable Okta sign-in.
  3. Facultatif : pour créer les comptes à la première connexion, cochez Automatically create users from approved domains.
  4. Facultatif : quand vous êtes prêt à arrêter les autres méthodes de connexion pour tout le monde sauf les administrateurs, cochez Require Okta for regular users.
  5. Cliquez sur Save access policy.

Demandez à un utilisateur pilote de se déconnecter, puis de se reconnecter avec Okta. Vérifiez que son compte apparaît dans la page Utilisateurs.

Les administrateurs dont le courriel professionnel appartient à un domaine d’entreprise approuvé conservent toujours les liens de connexion par courriel comme accès d’urgence, même quand Okta est obligatoire ou que Enable email magic-link sign-in est décoché. Ce lien n’aide qu’un administrateur qui peut encore ouvrir ses courriels : si vos boîtes de courriel passent aussi par Okta, assurez-vous qu’au moins un administrateur peut lire ses courriels sans Okta. Pour ce que fait chaque réglage de la politique d’accès, consultez Choisir les méthodes de connexion.

Dépannage

Le tableau suivant présente les problèmes courants.

SymptômeÀ vérifier
Le test de connexion échoueConfirmez que l’émetteur est celui du serveur d’autorisation. Vérifiez ensuite l’identifiant client, le secret client et les trois URL de redirection.
Impossible d’activer OktaTerminez le test de connexion, l’approbation des domaines et un vrai test de connexion pour chaque domaine approuvé.
Un utilisateur n’est pas reconnuVérifiez que son domaine de courriel est approuvé et qu’il est attribué à l’application Okta.
L’extension de navigateur ne peut pas se connecterVérifiez que l’utilisateur peut d’abord se connecter au tableau de bord Web, puis mettez l’extension à jour.
Seuls les administrateurs peuvent se connecterOkta a été désactivé, par exemple après une mise à jour de la connexion ou l’échec d’un test de connexion, et aucune autre méthode n’est activée. Seuls les administrateurs dont le courriel professionnel appartient à un domaine d’entreprise approuvé peuvent se connecter, avec un lien par courriel. Activez la connexion par courriel, Google ou Microsoft dans Access policy. Ou cliquez de nouveau sur Test connection, refaites Test Okta sign-in pour chaque domaine approuvé, puis réactivez Okta.
Vous devez retirer OktaActivez d’abord la connexion par courriel, Google ou Microsoft dans Access policy, puis cliquez sur Save access policy. Tant qu’aucune de ces méthodes n’est activée, Disconnect reste indisponible, pour que les gens puissent toujours se connecter. Ensuite, dans Enterprise SSO, cliquez sur Disconnect.