Authentification unique (SSO) — Paramètres

Paramètres → Administration → Authentification unique (SSO) connecte votre organisation à Microsoft Entra ID, afin que les membres puissent se connecter avec leur compte Microsoft professionnel. Microsoft Entra ID est le seul fournisseur sur cet écran. Il contient aussi l'interrupteur qui rend la connexion Microsoft obligatoire.

Qui peut le modifier

Seul un administrateur peut ouvrir cet écran et y modifier quoi que ce soit.

Avant de commencer

Il vous faut une inscription d'application dans votre annuaire Microsoft Entra. Trois choses comptent à cet endroit :

Collez le Redirect URI affiché sur cet écran dans l'inscription d'application, comme redirection de plateforme Web. C'est la même adresse pour toutes les organisations Flowtly.
Activez la revendication facultative email sur l'inscription d'application. Sans elle, la première connexion échoue souvent de manière déroutante.
Créez un secret client et conservez sa valeur, qui n'est affichée qu'une seule fois dans Entra.

Les commandes de cet écran

L'écran s'ouvre en mode configuration tant que rien n'a été saisi. Une fois une configuration enregistrée, il affiche à la place un récapitulatif, et Modifier la configuration rouvre le formulaire de configuration.

Microsoft Entra ID : le titre de la connexion. En dessous, l'écran indique soit que les membres peuvent se connecter avec leur compte Microsoft professionnel (avant la configuration), soit le mot « Répertoire : » suivi de l'ID de votre annuaire.

L'étiquette d'état en haut à droite indique où en est la connexion :

État	Signification
Non configuré	Rien n'a encore été saisi.
En attente de la première connexion	Une configuration est enregistrée, mais personne ne s'est encore connecté avec elle via Microsoft.
Actif	Une connexion via Microsoft a réussi. L'écran affiche alors Dernière vérification avec la date.
Erreur de connexion	La connexion est marquée comme défaillante. L'écran affiche le texte de l'erreur, ou « La dernière tentative de connexion a échoué. » lorsqu'il n'y en a pas.

Redirect URI : l'adresse à coller dans votre inscription d'application Entra. Elle est en lecture seule. Le bouton de copie à côté (Copier le Redirect URI) la place dans le presse-papiers et affiche brièvement Copié !.

Les champs du formulaire :

ID d'annuaire (locataire) : l'ID de votre annuaire Entra. Obligatoire.
ID d'application (client) : l'ID de l'inscription d'application. Obligatoire.
Secret client : la valeur du secret générée dans Entra. Le champ n'affiche jamais un secret enregistré. Une fois qu'un secret est enregistré, laissez le champ vide pour le conserver, ou saisissez une nouvelle valeur pour le remplacer.
Domaines vérifiés : les domaines d'e-mail dont les membres peuvent se connecter avec Microsoft, séparés par des virgules, par exemple acme.com, acme.eu. Les entrées sont converties en minuscules et les doublons sont écartés.
Ajouter les utilisateurs existants à cette organisation : un interrupteur, désactivé par défaut. Voir ci-dessous.
Enregistrer la configuration : enregistre la configuration. Il reste indisponible tant que les deux ID ne sont pas renseignés. Un message Succès le confirme.
Annuler : quitte le formulaire sans enregistrer. Il n'apparaît qu'une fois qu'une configuration existe.

Dans la vue récapitulative, vous voyez l'ID d'application (client) et, une fois la connexion Actif, les Domaines vérifiés sous forme de pastilles. Modifier la configuration rouvre le formulaire.

Tester la connexion apparaît tant que l'état est en attente, et Retester la connexion apparaît lorsqu'il affiche une erreur de connexion. Il ouvre une fenêtre de connexion Microsoft pour votre propre compte, avec votre adresse e-mail professionnelle. Lorsque la fenêtre se ferme, la page recharge l'état depuis le serveur. Si votre e-mail n'est pas sur un domaine vérifié, ou si la configuration n'est pas enregistrée, un message indique que le test n'a pas pu s'exécuter. Si le navigateur bloque la fenêtre, un message vous demande d'autoriser les fenêtres contextuelles.

Imposer le SSO pour cette organisation : un interrupteur, désactivé par défaut. Il reste indisponible tant que l'état n'est pas Actif. L'activer ouvre une confirmation, Imposer la connexion Microsoft pour le nom de votre organisation, avec Annuler et Imposer la connexion Microsoft. Le désactiver prend effet immédiatement et ne demande aucune confirmation.

Aide et documentation : un panneau latéral avec trois conseils (Respectez l'ordre de configuration, Passez en revue l'impact sur la sécurité, Obtenez de l'aide en cas de blocage). Contacter le support ouvre un e-mail au support de Flowtly. Le panneau bascule entre Réduire et Développer.

Comment fonctionne la connexion

Une personne ne se connecte que si son adresse e-mail figure dans l'un des Domaines vérifiés.
Une personne ayant un compte Flowtly et déjà membre de l'organisation se connecte comme d'habitude.
Une personne ayant un compte Flowtly mais qui n'est pas encore membre n'est ajoutée à l'organisation que si Ajouter les utilisateurs existants à cette organisation est activé. Les personnes sans compte Flowtly ne peuvent pas se connecter de cette manière : invitez-les d'abord. Une personne que vous avez déjà invitée est admise, que l'interrupteur soit activé ou non.
Modifier l'ID de locataire, l'ID de client ou le secret client d'une configuration enregistrée remet l'état sur En attente de la première connexion, jusqu'à la prochaine connexion réussie. Modifier uniquement les domaines vérifiés ou l'interrupteur ne le fait pas.

Ce que fait l'obligation du SSO

Une fois Imposer le SSO pour cette organisation activé, la connexion par mot de passe est refusée aux membres dont l'e-mail est sur un domaine vérifié, et ils doivent continuer avec Microsoft. Un membre dont l'e-mail est sur un autre domaine garde sa connexion habituelle. Une personne qui appartient à plusieurs organisations ne se voit refuser le mot de passe qu'à cause d'une organisation qui impose le SSO et dont les domaines vérifiés incluent son e-mail.

Un membre qui ne s'est jamais connecté via Microsoft est exclu de la connexion par mot de passe dès que vous confirmez. Vérifiez que tout le monde peut se connecter via Microsoft avant de l'activer, et utilisez d'abord Tester la connexion. Désactiver l'interrupteur est toujours possible et rétablit la connexion par mot de passe.

Exemples de cas d'utilisation

Un administrateur connecte l'annuaire Microsoft de l'entreprise, se connecte une fois via Tester la connexion, et l'état passe à Actif.
Un administrateur ajoute un second domaine à Domaines vérifiés après une fusion.
Un administrateur active Ajouter les utilisateurs existants à cette organisation pour que les collègues qui ont déjà un compte Flowtly rejoignent l'organisation sans invitation individuelle.
Un administrateur colle une nouvelle valeur dans Secret client avant que l'ancienne n'expire dans Entra, puis teste à nouveau la connexion.
Après avoir confirmé que tout le monde peut se connecter via Microsoft, un administrateur active Imposer le SSO pour cette organisation.