Authentification unique (SAML) et provisionnement des utilisateurs (SCIM)

Avec l'authentification unique, votre équipe se connecte à Deskwoot avec le compte professionnel qu'elle a déjà : personne n'a besoin d'un mot de passe Deskwoot à part. Votre entreprise garde ces comptes professionnels dans un fournisseur d'identité, le service où elle gère qui travaille chez elle, comme Microsoft Entra ID, Okta ou Google Workspace. Deskwoot s'y connecte via SAML 2.0, une norme très répandue qui permet à un service de dire à un autre qui est une personne. Avec le provisionnement des utilisateurs via SCIM, une autre norme, votre fournisseur d'identité peut aussi ajouter des personnes dans Deskwoot, garder leurs informations à jour et les retirer, tout seul.

L'authentification unique et le provisionnement des utilisateurs sont inclus dans le forfait Enterprise. Seuls les administrateurs peuvent les configurer, dans Paramètres > Authentification unique. La page vous guide à travers 5 étapes, dans cet ordre.

Étape 1 : vérifiez votre domaine e-mail

Votre domaine e-mail est la partie après le @ des adresses e-mail de votre équipe, par exemple votreentreprise.fr. Seules les personnes ayant une adresse dans un domaine vérifié peuvent se connecter via votre fournisseur d'identité. Vous prouvez que le domaine vous appartient avec un enregistrement DNS. Le DNS est le carnet d'adresses d'Internet, et vous le gérez en général chez la société où vous avez acheté le domaine.

1. Sous 1. Quels domaines e-mail appartiennent à votre entreprise ?, saisissez votre domaine sans le @ et cliquez sur Ajouter le domaine.
2. Deskwoot affiche l'enregistrement dont vous avez besoin. Là où vous gérez le DNS de votre domaine, ajoutez un nouvel enregistrement avec ces valeurs :
   • Type : TXT
   • Nom : votre domaine lui-même. Certains services DNS demandent plutôt @ comme nom.
   • Valeur : deskwoot-verification= suivi du code affiché sur la page. Utilisez Copier à côté, pour ne rien oublier.
3. Cliquez sur Vérifier maintenant. Quand Deskwoot trouve l'enregistrement, le domaine affiche Vérifié.

Un nouvel enregistrement peut mettre quelques minutes, parfois quelques heures, avant que Deskwoot le voie. Si l'enregistrement n'est pas encore visible, vérifiez le nom et la valeur, puis réessayez plus tard. Vous pouvez ajouter plusieurs domaines. Chaque domaine ne peut être vérifié que dans un seul espace de travail Deskwoot.

Étape 2 : connectez votre fournisseur d'identité

Sous 2. Quel fournisseur d'identité votre entreprise utilise-t-elle ?, Deskwoot affiche les Valeurs pour votre fournisseur d'identité. Cela fonctionne avec Microsoft Entra ID, Okta, Google Workspace et tout autre fournisseur SAML 2.0.

1. Dans votre fournisseur d'identité, créez une application SAML pour Deskwoot.
2. Copiez les valeurs de Deskwoot dans l'application :
   • ID d'entité : Microsoft Entra ID l'appelle Identificateur (ID d'entité), Okta l'appelle Audience URI et Google Workspace l'appelle ID d'entité.
   • URL ACS : l'adresse vers laquelle votre fournisseur renvoie les personnes après la connexion. Microsoft Entra ID l'appelle URL de réponse, Okta l'appelle Single sign on URL et Google Workspace l'appelle URL ACS.
   • URL des métadonnées : certains fournisseurs lisent toutes les valeurs de Deskwoot depuis cette adresse en une fois, vous n'avez donc pas à les copier une par une.
3. Assurez-vous que votre fournisseur envoie l'adresse e-mail de chaque personne. Réglez le format du Name ID sur adresse e-mail, ou envoyez l'adresse comme attribut nommé email ou mail, ou comme claim emailaddress.
4. Votre fournisseur doit signer l'assertion, c'est-à-dire la partie de sa réponse qui dit qui s'est connecté. Microsoft Entra ID et Okta le font par défaut. Dans Google Workspace, gardez le réglage par défaut. Deskwoot ne prend pas en charge les assertions chiffrées, laissez donc le chiffrement désactivé.
5. De retour dans Deskwoot, sous Paramètres de votre fournisseur d'identité, cliquez sur Ajouter les paramètres du fournisseur et choisissez comment les ajouter :
   • Coller le XML des métadonnées : votre fournisseur le propose sous forme de fichier ou de page appelée métadonnées, métadonnées IdP ou XML de métadonnées de fédération. Ouvrez-le et collez-le entièrement.
   • Saisir à la main : saisissez l'ID d'entité du fournisseur, l'URL de connexion et le Certificat. Deskwoot a besoin de l'URL de connexion de la liaison HTTP Redirect, et elle commence par https://. Collez le certificat de signature en entier, avec les lignes BEGIN et END.
6. Cliquez sur Enregistrer les paramètres.

Enregistrer des paramètres modifiés désactive de nouveau l'authentification unique. Testez à nouveau la connexion, puis réactivez-la.

Étape 3 : testez la connexion

Sous 3. La connexion fonctionne-t-elle ?, cliquez sur Tester la connexion et connectez-vous chez votre fournisseur d'identité avec votre propre compte professionnel. Utilisez un compte dont l'adresse est dans l'un de vos domaines vérifiés. Le test fonctionne alors que l'authentification unique est encore désactivée, et elle reste désactivée pour les autres pendant le test. De retour sur la page, Deskwoot affiche le résultat et l'adresse e-mail envoyée par votre fournisseur. Si le test n'a pas fonctionné, comparez l'ID d'entité, l'URL de connexion et le certificat avec votre fournisseur, puis testez à nouveau.

Étape 4 : activez l'authentification unique

Sous 4. Activez l'authentification unique, activez Authentification unique. Les personnes ayant une adresse dans vos domaines vérifiés peuvent maintenant cliquer sur Se connecter avec le SSO sur la page de connexion de Deskwoot. Tant que vous ne rendez pas l'authentification unique obligatoire, elles peuvent aussi continuer à utiliser leur mot de passe.

Étape 5 : rendez l'authentification unique obligatoire (facultatif)

Sous 5. Les personnes de vos domaines doivent-elles se connecter uniquement ainsi ? (facultatif), activez Rendre l'authentification unique obligatoire et confirmez avec Le rendre obligatoire. Ensuite :

• Les personnes ayant une adresse dans vos domaines vérifiés ne peuvent se connecter que via votre fournisseur d'identité. Deskwoot refuse leur mot de passe et la connexion avec Google ou Apple, et la page de connexion les envoie vers l'authentification unique.
• Celles qui sont connectées autrement sont déconnectées dès que vous l'activez.
• Le propriétaire de l'espace de travail peut toujours se connecter aussi avec le mot de passe, au cas où votre fournisseur tombe en panne.
• Les personnes ayant une adresse hors de vos domaines, par exemple des prestataires externes, gardent leur mot de passe.
• Quand vous invitez une personne ayant une adresse dans vos domaines, elle ne crée pas de mot de passe. Elle clique sur Continuer avec l'authentification unique, et sa première connexion via votre fournisseur accepte l'invitation.

Comment votre équipe se connecte

1. Sur la page de connexion de Deskwoot, cliquez sur Se connecter avec le SSO.
2. Saisissez votre E-mail professionnel et cliquez sur Continuer.
3. Deskwoot vous mène à la page de connexion de votre entreprise. Une fois connecté là-bas, vous revenez dans Deskwoot.

Une vignette Deskwoot dans le tableau de bord Okta ou Microsoft fonctionne aussi : Deskwoot lance alors une nouvelle connexion via votre fournisseur. Après l'authentification unique, Deskwoot ne demande pas son propre code d'authentification à deux facteurs. C'est votre fournisseur d'identité qui s'occupe de cette étape.

Nouvelles personnes

Une personne ayant une adresse dans vos domaines qui se connecte pour la première fois via l'authentification unique rejoint votre espace de travail en tant qu'agent, sur un siège libre. Vous pouvez en faire un administrateur dans Paramètres > Agents.

• Sans siège libre, elle voit une erreur. Ajoutez des sièges dans Paramètres > Facturation, et elle peut réessayer. Deskwoot n'achète jamais de sièges de lui-même.
• Une personne ne peut appartenir qu'à un seul espace de travail Deskwoot. Une personne qui appartient déjà à un autre espace de travail Deskwoot ne peut pas rejoindre le vôtre de cette façon.

Provisionnement des utilisateurs (SCIM)

Avec le provisionnement des utilisateurs, votre fournisseur d'identité crée, modifie et retire des agents dans Deskwoot à votre place. Cela fonctionne uniquement pour les adresses de vos domaines vérifiés et uniquement sur des sièges libres.

1. Sous Provisionnement des utilisateurs (SCIM), cliquez sur Créer un jeton. Un jeton est un long code secret qui permet à votre fournisseur de parler à Deskwoot. Copiez-le tout de suite : Deskwoot ne l'affiche qu'une seule fois. Cliquez ensuite sur Terminé.
2. Dans votre fournisseur d'identité, ouvrez les paramètres de provisionnement de votre application Deskwoot et saisissez l'URL de base SCIM https://deskwoot.com/api/scim/v2 et le jeton :
   • Microsoft Entra ID : sous Provisionnement, collez l'URL comme URL de locataire et le jeton comme Jeton secret.
   • Okta : choisissez SCIM 2.0, collez l'URL comme SCIM connector base URL, réglez Authentication Mode sur HTTP Header et collez le jeton comme Bearer token.
   • Google Workspace : dans l'Admin console, ouvrez l'application Deskwoot sous Apps > Web and mobile apps et cliquez sur Configure auto-provisioning sous Autoprovisioning. Collez le jeton puis l'URL comme SCIM endpoint URL, associez Primary email à userName et réglez Autoprovisioning sur Active. Google est encore en train de le déployer : si l'application n'affiche pas Autoprovisioning, votre organisation ne l'a pas encore, et les personnes rejoignent Deskwoot lors de leur première connexion.
3. Attribuez à l'application les personnes qui doivent utiliser Deskwoot. Attribuez des personnes, pas des groupes : Deskwoot ne provisionne pas les groupes.

À partir de là, votre fournisseur fait ceci tout seul :

• Il ajoute des agents : uniquement des personnes ayant une adresse dans vos domaines vérifiés, et uniquement sur des sièges libres. Les nouvelles personnes sont des agents. Vous nommez les administrateurs dans Paramètres > Agents.
• Il met à jour les personnes : les noms et les adresses e-mail suivent votre fournisseur.
• Il retire des personnes : quand vous retirez l'attribution d'une personne ou la désactivez chez votre fournisseur, elle quitte votre espace de travail tout de suite. Son compte de connexion Deskwoot reste, et ses conversations ne sont plus attribuées à personne. Le propriétaire de l'espace de travail ne peut pas être retiré de cette façon.

Vous pouvez avoir jusqu'à 5 jetons. Chacun indique quand il a été créé et quand il a servi pour la dernière fois. Pour arrêter un jeton, cliquez sur Révoquer à côté et confirmez avec Révoquer le jeton. Les personnes déjà dans l'espace de travail restent.

En résumé

Dans Paramètres > Authentification unique, vérifiez votre domaine e-mail, connectez votre fournisseur d'identité, testez la connexion et activez l'authentification unique. Si vous le souhaitez, rendez-la obligatoire pour toutes les personnes de vos domaines et laissez votre fournisseur ajouter et retirer des agents via SCIM. Votre équipe se connecte alors à Deskwoot avec le compte professionnel qu'elle a déjà.

Questions fréquentes

Que se passe-t-il si notre forfait passe sous Enterprise ?

L'authentification unique et le provisionnement des utilisateurs s'arrêtent, et les personnes se connectent de nouveau avec leur mot de passe. Une personne qui n'a jamais eu de mot de passe Deskwoot en crée un avec Mot de passe oublié ? sur la page de connexion.

Deskwoot ne trouve pas mon enregistrement DNS. Que faire ?

Un nouvel enregistrement peut mettre quelques minutes, parfois quelques heures, avant que Deskwoot le voie. Vérifiez que le type est TXT, que le nom est votre domaine (ou @, si votre service DNS le demande) et que la valeur est complète, puis cliquez de nouveau sur Vérifier maintenant.

Une personne voit que l'espace de travail n'a pas de siège libre. Que faire ?

Ajoutez un siège dans Paramètres > Facturation, puis la personne se connecte de nouveau. Deskwoot n'achète jamais de sièges de lui-même, pas non plus via le provisionnement des utilisateurs.

Et si notre fournisseur d'identité tombe en panne ?

Le propriétaire de l'espace de travail peut toujours se connecter avec le mot de passe, même quand l'authentification unique est obligatoire. Les personnes ayant une adresse hors de vos domaines vérifiés gardent aussi leur mot de passe.

Le test indique que mon adresse est hors des domaines vérifiés. Pourquoi ?

Votre fournisseur d'identité a envoyé une adresse e-mail dont vous n'avez pas vérifié le domaine dans Deskwoot. Testez avec un compte dont l'adresse est dans l'un de vos domaines vérifiés, et vérifiez que votre fournisseur envoie l'adresse e-mail comme Name ID ou comme attribut e-mail.