L'authentification unique (Single Sign-On - SSO) est un schéma d'authentification qui permet aux utilisateurs de se connecter à plusieurs systèmes de logiciel en utilisant le même ID. Surtout, il permet de réduire les risques de sécurité en éliminant la nécessité de gérer les mots de passe de l'extérieur et aide aussi à réduire la lassitude liée au nombre excessif de mots de passe dont les utilisateurs doivent se souvenir.
L'authentification unique (Single Sign-On) dans la plateforme Emarsys permet à nos clients de configurer leur fournisseur d'identité (IdP - "Identity Provider") préféré aux fins d'authentification. Elle s'intègre avec tous les fournisseurs d'identité prenant en charge le protocole SAML 2.0, ce qui inclut SAP IAS, Microsoft Azure, etc.
Comment ça marche ?
La première étape que doivent suivre les clients est de configurer leur IdP selon les exigences décrites ci-dessous.
Une fois la configuration de l'IdP effectuée avec succès, il faut obtenir le SML Metadata pour démarrer l'activation du SSO dans la Plateforme Emarsys.
SSO ne peut être activé que par les responsables de compte via l'interface utilisateur dédiée. Une fois SSO activé, il sera demandé aux utilisateurs du compte de s'authentifier via SSO durant le login.
À la première tentative d'identification avec SSO, il sera demandé à chaque utilisateur de choisir l'une des options suivantes :
- connecter leur identité d'IdP à leur utilisateur Emarsys existant ou
- créer un nouvel utilisateur Emarsys
Il sera demandé aux utilisateurs qui choisissent l'option "connecter l'utilisateur" de s'identifier en utilisant leurs identifiants Emarsys pour des raisons de sécurité.
Les utilisateurs qui choisissent l'option "créer un utilisateur" créeront un nouvel utilisateur Emarsys aux privilèges minimaux, qui peut être modifié par les responsables du compte.
Configurer le fournisseur d'identité
Pour avoir une intégration SSO avec la Plateforme Emarsys complètement fonctionnelle, les IdP doivent configurer une application prenant en charge le protocole SAML 2.0 selon les paramètres suivants.
ID d'entité
Spécifie l'identifiant d'entité d'Emarsys dont l'IdP acceptera les demandes d'authentification. L'ID d'entité doit être réglé sur suite-sso.
URL de service consommateur de déclaration (Assertion Consumer Service)
Spécifie par valeur les URL auxquelles le message de réponse à l'authentification doit être retourné.
Quelle que soit la date à laquelle vous avez commencé à utiliser Emarsys SSO, nous vous recommandons d'ajouter les deux URL à vos paramètres :
- https://sso.gservice.emarsys.net/login/auth/back
- https://sso.gservice.emarsys.net/login/auth/{account-name}
Veuillez noter que {account-name} est un caractère de remplissage pour le nom de compte Emarsys. Les clients peuvent spécifier autant d'URL de connexion et de comptes de suite qu'ils souhaitent authentifier par la même application de SSO d'IdP.
URL d'authentification
L'URL d'authentification vous permet de vous connecter à votre compte sans avoir à visiter la page de connexion d'Emarsys.
https://sso.gservice.emarsys.net/login/{account-name}
Veuillez noter que {account-name} est un caractère de remplissage pour le nom de compte Emarsys.
Attributs de déclaration
Créer et configurer les attributs de déclaration est une étape obligatoire pour configurer le SSO avec succès.
Une déclaration est un paquet d'information qui spécifie les énoncés faits par l'IdP dans le cas d'une authentification réussie. Créez et configurez les attributs de déclaration afin qu'ils contiennent les informations utilisateur suivantes :
- nom d'utilisateur : Saisissez le nom d'utilisateur de vos utilisateurs. - Il doit être unique.
- first_name : Saisissez le prénom de vos utilisateurs.
- last_name : Saisissez le nom de famille de vos utilisateurs.
- email : Saisissez l'adresse email de vos utilisateurs.
Il se peut que les attributs soient appelés différemment par votre fournisseur d'identité. Cependant, assurez-vous de les nommer comme dans cette liste.
Fonctionnalités prises en charge
L'authentification unique (Single Sign-On) prend en charge tous les fournisseurs d'identité qui prennent en charge SAML 2.0 Parmi eux :
- Le service d'authentification d'identité SAP
- MS Azure
- AWS IAM Identity Center
- Google Workspace
- Okta
- ADFS, etc.
L'instance actuelle de SSO devrait fonctionner avec tous les IdP compatible SAML 2.0, mais pour le moment il n'a été testé qu'avec Microsoft Azure et le service d'authentification d'identité SAP.
Pour plus d'informations sur les étapes exactes à suivre pour configurer le SSO dans le service d'authentification d'identité SAP et du côté d'Emarsys, voir :
Limitations connues
Actuellement nous ne prenons pas en charge :
- Configurations mixtes : Si un client configure le login SSO, alors tous les administrateurs doivent utiliser cette fonctionnalité.
- Déconnexion fédérée : La fonctionnalité de déconnexion manuelle et l'expiration de la session sont encore disponibles.
- Le déprovisionnement d'utilisateur : Si un utilisateur est supprimé dans le fournisseur d'identité, il n'est pas automatiquement supprimé de nos systèmes, mais l'utilisateur ne pourra pas se connecter.
Il y a quelques petits changement côté gestion des utilisateurs :
- Les administrateurs qui appartiennent à des clients ayant la fonctionnalité "single_signon" activée ne sont pas désactivés automatiquement (par ex. après une longue inactivité).
- Les administrateurs peuvent être supprimés, mais ils seront re-créés après la prochaine connexion sans autorisations.
- La fonctionnalité "création d'administrateur" n'a pas été désactivée. Cependant les administrateurs créés manuellement dans la gestion des utilisateurs ne pourront pas se connecter.
- La fonctionnalité "mot de passe oublié" n'a pas été désactivée et il est possible de configurer un nouveau mot de passe. Cela n'a toutefois pas d'effet sur le flux de connexion SSO.
- Actuellement les autorisations et les rôles ne peuvent être gérés que dans la gestion des utilisateurs Emarsys et le SSO SAML2 ne peut être utilisé que pour l'authentification. Les nouveaux utilisateurs sont mis en service avec un "rôle restreint".
Lorsque le SSO est activé, le contrôle d'accès IP est ignoré. Il est possible de se connecter à l'aide de SSO à partir d'une adresse IP non autorisée par le contrôle d'accès IP. Le filtrage des adresses IP relève de la responsabilité du fournisseur d'identité lors de l'utilisation du SSO.