Authentification unique (SSO)

L’authentification unique permet aux membres d’une organisation Enterprise de se connecter au CCTV Design Tool avec le fournisseur d’identité déjà utilisé par votre entreprise, au lieu d’un mot de passe distinct. L’outil se connecte à Microsoft Entra ID ou à tout fournisseur OpenID Connect tel qu’Okta, Auth0, Keycloak ou Google Workspace. Une fois le SSO activé, votre équipe se connecte en choisissant Sign in with SSO sur la page de connexion et en saisissant son e‑mail professionnel. Les administrateurs peuvent aussi appliquer le SSO afin que les membres ne puissent plus se connecter avec un mot de passe ou un compte Google.

Quand l'utiliser

• Lorsque votre organisation souhaite un identifiant et un mot de passe uniques pour toutes les applications métier
• Lorsque vous devez intégrer de nouveaux membres d’équipe sans créer ni leur envoyer de mots de passe
• Lorsque votre politique de sécurité exige que l’accès soit contrôlé de manière centralisée par votre fournisseur d’identité
• Lorsque vous voulez vous assurer qu’une personne quittant l’entreprise perd son accès dès que son compte auprès du fournisseur d’identité est désactivé

Avant de commencer

• Votre compte doit appartenir à une organisation Enterprise. Voir Free / Premium / Enterprise Versions.
• Vous avez besoin de l’autorisation Manage SSO settings. Le groupe ADMIN du propriétaire de l’organisation la possède par défaut. Pour permettre à un autre groupe de configurer le SSO, activez Manage SSO settings pour ce groupe dans Manage Groups.
• Vous avez besoin d’un accès administrateur à votre fournisseur d’identité pour y enregistrer le CCTV Design Tool comme application.

Ouvrir les paramètres SSO

1. Cliquez sur le menu User dans la barre d’outils de gauche.
2. Sélectionnez Profile dans le menu déroulant.
3. Dans la section Company de la barre latérale du profil utilisateur, sélectionnez Single Sign-On.

La page comporte deux cartes : SSO configuration, où vous saisissez les détails de votre fournisseur d’identité, et Test & activation, qui apparaît une fois qu’une configuration a été enregistrée.

Étape 1 : Enregistrer l'application auprès de votre fournisseur d'identité

Le CCTV Design Tool doit être enregistré comme application web dans votre fournisseur d’identité. La seule valeur dont vous avez besoin depuis l’outil est l’Callback URL affichée en bas de la carte SSO configuration. Cliquez sur le bouton de copie à côté et enregistrez‑la comme URI de redirection de l’application.

Microsoft Entra ID

1. Dans le centre d’administration Microsoft Entra, ouvrez App registrations et cliquez sur New registration.
2. Donnez un nom à l’application, par exemple CCTV Design Tool.
3. Sous Redirect URI, choisissez la plateforme Web et collez l’Callback URL copiée depuis l’outil.
4. Enregistrez l’application et notez l’Application (client) ID et le Directory (tenant) ID depuis la page de présentation.
5. Ouvrez Certificates & secrets, créez un nouveau client secret et copiez sa value immédiatement. La valeur n’est affichée qu’une seule fois.

Autres fournisseurs OpenID Connect

1. Créez une nouvelle application web (parfois appelée regular web app ou confidential client) avec un client secret.
2. Enregistrez l’Callback URL copiée depuis l’outil comme URI de redirection autorisé.
3. Notez le client ID et le client secret.
4. Trouvez l’issuer URL de votre fournisseur. Elle doit correspondre exactement à la valeur issuer publiée dans le document de découverte du fournisseur à /.well-known/openid-configuration, par exemple https://your-company.okta.com.

Étape 2 : Saisir la configuration

Renseignez la carte SSO configuration puis cliquez sur Save.

Champ	À renseigner
Provider	Microsoft Entra ID, ou Other (OpenID Connect) pour tout autre fournisseur.
Tenant ID	Entra ID uniquement. Le Directory (tenant) ID de votre locataire Microsoft.
Issuer URL	Autres fournisseurs uniquement. L’URL de l’émetteur exactement telle que publiée dans le document de découverte du fournisseur.
Client ID	L’Application (client) ID de l’application que vous avez enregistrée.
Client secret	La valeur du secret créée pour cette application.
Callback URL	Lecture seule. Enregistrez cet URI de redirection dans votre fournisseur d’identité.

INFO

Le secret client est stocké chiffré et n’est plus jamais affiché. Lorsque vous modifiez la configuration ultérieurement, laissez le champ Client secret vide pour conserver le secret actuel.

WARNING

Enregistrer une quelconque modification de la configuration efface le dernier résultat de test et désactive le SSO jusqu’à ce que vous testiez à nouveau la configuration et le réactiviez. Si le SSO était appliqué, l’application est également levée. Planifiez les changements de configuration, comme la rotation d’un secret client expiré, à un moment où une brève interruption est acceptable.

Étape 3 : Tester la configuration

Dans la carte Test & activation, cliquez sur Test configuration. Le test vérifie que :

• le document de découverte du fournisseur d’identité est accessible pour le locataire ou l’émetteur que vous avez saisi,
• le fournisseur publie ses clés de signature des jetons,
• pour Microsoft Entra ID, l’ID client et le secret client sont acceptés par le locataire.

Pour les fournisseurs Other (OpenID Connect), le secret client ne peut pas être vérifié sans une connexion réelle ; un test réussi confirme donc uniquement que le fournisseur est joignable. Le secret est vérifié par le premier utilisateur qui se connecte.

Le résultat du dernier test est affiché à côté du bouton. En cas d’échec, la raison est affichée, par exemple un ID de locataire incorrect ou un secret client rejeté. Le SSO ne peut pas être activé tant qu’un test n’a pas réussi.

Étape 4 : Activer le SSO

Une fois le test réussi, activez Enable SSO. À partir de maintenant :

• Les membres de votre organisation peuvent se connecter avec Sign in with SSO sur la page de connexion.
• La connexion par mot de passe et par Google continue de fonctionner. Le SSO est facultatif à ce stade.
• Tout membre qui se connecte avec le SSO pour la première fois voit son identité liée à son compte existant via son e‑mail.

Désactiver Enable SSO arrête immédiatement la connexion via SSO et lève également l’application.

Application du SSO

Activez Enforce SSO pour faire du fournisseur d’identité l’unique moyen d’accès. Le bouton est disponible uniquement lorsque le SSO est activé. Lorsque le SSO est appliqué :

• Les membres peuvent se connecter uniquement avec Sign in with SSO. La connexion par mot de passe et par Google est refusée avec le message Your organization requires single sign-on.
• Les utilisateurs invités ne peuvent pas s’inscrire ni définir de mot de passe. Ils rejoignent l’organisation en se connectant pour la première fois via le SSO (voir Adding users).
• Les membres du groupe ADMIN restent exemptés et peuvent toujours se connecter avec leur mot de passe. Cela garantit qu’une configuration défaillante du fournisseur d’identité ne bloque jamais l’organisation hors de ses propres paramètres.

TIP

Activez d’abord le SSO sans application et demandez à quelques membres d’essayer Sign in with SSO. N’appliquez‑le qu’après avoir confirmé que la connexion fonctionne pour les membres ordinaires.

Comment votre équipe se connecte

1. Sur la page de connexion, cliquez sur Sign in with SSO.
2. Saisissez votre adresse e‑mail professionnelle et cliquez sur Continue with SSO.
3. Vous êtes redirigé vers le fournisseur d’identité de votre organisation. Connectez‑vous là‑bas avec le même compte que l’e‑mail que vous venez d’indiquer.
4. Vous revenez au CCTV Design Tool, déjà connecté.

L’organisation est identifiée à partir de l’adresse e‑mail : elle doit appartenir à un membre d’une organisation avec le SSO activé, ou à une invitation en attente provenant d’une telle organisation. Si l’authentification à deux facteurs est activée sur le compte, le code est toujours demandé après que le fournisseur d’identité vous a connecté.

Ajout d'utilisateurs lorsque le SSO est activé

Les utilisateurs sont ajoutés dans Manage Users comme d’habitude. La suite dépend du fait que le SSO soit appliqué ou non.

SSO activé, non appliqué

• Un e‑mail disposant déjà d’un compte CCTV Design Tool reçoit une invitation, que la personne accepte dans l’application.
• Un nouvel e‑mail nécessite un mot de passe temporaire, comme sans SSO. La personne se connecte d’abord avec ce mot de passe, puis peut passer au SSO.

SSO appliqué

• Un nouvel e‑mail est invité sans mot de passe. La personne choisit simplement Sign in with SSO sur la page de connexion. Sa première connexion réussie accepte l’invitation, la place dans le groupe choisi lors de l’invitation et lui attribue une licence disponible si l’une l’est.
• Un e‑mail disposant déjà d’un compte actif doit d’abord se connecter avec son mot de passe et accepter l’invitation dans l’application. Ce n’est qu’ensuite que cette personne peut utiliser le SSO.

INFO

Les invitations expirent. Si une personne ne s’est pas connectée avant l’expiration de l’invitation, annulez‑la et invitez‑la à nouveau depuis Manage Users.

Journal d'audit

Chaque changement est enregistré dans le journal d’audit de l’organisation : enregistrement de la configuration, exécution d’un test avec son résultat, et activation, désactivation ou application du SSO. Les utilisateurs qui rejoignent via une invitation SSO apparaissent comme Invite Accepted.

Dépannage

Message	Ce que cela signifie
Identity provider discovery failed (HTTP …) — check the tenant ID	L’ID de locataire ou l’URL de l’émetteur est incorrect(e), ou le fournisseur est injoignable.
The discovery document publishes a different issuer	Pour Other (OpenID Connect), saisissez l’URL de l’émetteur exactement telle que publiée par le fournisseur, avec ou sans chemin final.
Client credentials check failed	L’ID client ou le secret client est incorrect, ou le secret a expiré. Créez un nouveau secret dans votre fournisseur d’identité et enregistrez‑le.
Test the configuration successfully before enabling SSO	Exécutez Test configuration et corrigez le problème signalé avant d’activer Enable SSO.
SSO is not available for this account	L’e‑mail saisi n’appartient pas à un membre ou un invité d’une organisation avec le SSO activé. Vérifiez que la personne a été ajoutée dans Manage Users.
You signed in to the identity provider with a different account than the email you entered	Le compte choisi chez le fournisseur d’identité ne correspond pas à l’e‑mail saisi sur la page de connexion. Recommencez et choisissez le compte correspondant.
You already have an account. Sign in with your password and accept the organization invitation first	L’invité avait déjà un compte actif avant l’invitation. Il doit l’accepter une fois dans l’application, puis le SSO fonctionnera.
Your invitation has expired	Invitez à nouveau la personne depuis Manage Users.
Your organization requires single sign-on	Le SSO est appliqué. Utilisez Sign in with SSO au lieu d’un mot de passe ou de Google.

Conseils

• Notez la date d’expiration de votre secret client et faites‑le tourner avant cette date. Un secret expiré stoppe le SSO pour toute l’organisation.
• N’activez l’application qu’après que les membres ordinaires ont confirmé que la connexion SSO fonctionne pour eux.
• Conservez au moins un administrateur dans le groupe ADMIN qui connaît son mot de passe. Les administrateurs sont la solution de repli lorsque le fournisseur d’identité est indisponible.
• Lorsque le SSO est appliqué, invitez les nouveaux collègues uniquement par e‑mail. Ils n’ont jamais besoin d’un mot de passe de votre part.
• Consultez le journal d’audit après les changements de configuration pour confirmer qui a modifié quoi et quand.

Sujets connexes

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions