L'authentification unique (SSO) est une méthode d'authentification qui permet aux utilisateurs de se connecter en utilisant les mêmes informations d'identification que pour leur compte au travail. Les utilisateurs peuvent demander l'activation du SSO sur leur système ioTORQ par courrier électronique à l'adresse suivante [email protected]. Une fois que le SSO est activé sur leur système ioTORQ, ils peuvent intégrer leur fournisseur d'identité avec ioTORQ EMIS.

Le SSO dans ioTORQ EMIS est basé sur le protocole OIDC utilisant OAuth 2.0.

ioTORQ EMIS supporte Azure AD comme fournisseur d'identité pour le SSO.

La mise en place du SSO sur votre système ioTORQ est un processus en 2 étapes:

Actuellement, la configuration du SSO se fait sur demande. Lorsque vous envoyez un courriel à [email protected] pour activer le SSO, vous devez fournir les informations suivantes:

Lorsque le SSO est optionnel, les utilisateurs ont deux options pour s'authentifier: (a) se connecter avec Microsoft (b) se connecter en utilisant le nom d'utilisateur et le mot de passe d'ioTORQ EMIS.

Lorsque le SSO est obligatoire, l'utilisateur est invité à indiquer son email professionnelle. L'email doit s'agir du même email que celui figurant dans le fournisseur d'identité de son employeur.

Nous recommandons de commencer avec le SSO facultatif. Une fois que le SSO a la configuration souhaitée dans le fournisseur d'identité choisi (voir la section "Ajouter ioTORQ EMIS en tant que "Enterprise Application" dans Azure AD") et qu'il a été testé (voir la section "Tester le SSO dans votre portail ioTORQ EMIS"), vous pouvez alors demander à rendre le SSO obligatoire en envoyant un email à [email protected].

Lorsque vous demandez à activer le SSO, vous devez fournir le Tenant ID pour Azure AD de votre entreprise. Vous pouvez le trouver dans le portail Azure > Azure Active Directory > Overview:

ioTORQ EMIS a besoin du Tenant ID pour permettre à votre Azure AD Tenant d'être intégré à notre application multi-tenant. Cela permet également de vérifier que l'utilisateur qui s'est authentifié avec succès sur la page de connexion Microsoft appartient à votre Azure AD Tenant.

En fonction de vos politiques Azure AD, vous pouvez ou non avoir besoin qu'un administrateur Azure AD soit un utilisateur EMIS avant que vos employés puissent utiliser le SSO.

Si votre politique Azure AD n'exige pas qu'un administrateur Azure AD ajoute une "Enterprise Application", vos employés peuvent commencer à se connecter en utilisant leurs informations d'identification Microsoft.

Sur la page de connexion Microsoft, vos employés doivent autoriser ioTORQ EMIS à lire leur profil de base en cliquant sur "Accept".

Après la première authentification réussie, ioTORQ EMIS sera ajouté en tant que "Enterprise Application" dans votre Azure AD

Si votre politique de locataire Azure AD exige que ce soit uniquement un administrateur Azure AD qui accorde le consentement aux applications, votre administrateur Azure AD doit être un utilisateur dans le EMIS (voir la section "Création d'utilisateurs" dans "Gestion des utilisateurs"). Une fois que l'administrateur Azure AD a été ajouté en tant qu'utilisateur d'EMIS, il doit procéder à l'authentification SSO initiale.

Cochez la case "Consent on behalf of your organization" pour accorder le consentement à l'ensemble de l'organisation. Si cette case n'est pas cochée et que vous décidez par la suite d'accorder le consentement de l'administrateur, voir la section "Accorder le consentement de l'administrateur".

Pour que les utilisateurs puissent utiliser l'authentification unique, un administrateur Azure AD doit accorder son consentement. Pour accorder le consentement de l'administrateur, dans Azure AD, allez à "Enterprise Applications", puis sélectionnez ioTORQ EMIS.

Cela suppose que vous avez déjà ajouté ioTORQ EMIS en tant que "Enterprise Application" dans votre Azure AD. Si ce n'est pas le cas, voir la section "Ajouter ioTORQ EMIS en tant que "Enterprise Application"".

Sur la page "ioTORQ EMIS Enterprise Application", allez dans Secuity > Permissions; et cliquez sur "Grant admin consent for <tenant>"

Cela ouvrira une nouvelle fenêtre dans laquelle vous verrez une boîte de consentement et serez invité à accepter les permissions demandées par ioTORQ EMIS pour "Sign in and read user profile"

Une fois que vous aurez cliqué sur "Accept", vous serez ramené au portail Azure avec un message, "Admin consent was successfully granted".

Toutes les autorisations requises par ioTORQ EMIS sont nécessaires pour l'authentification unique. Elles permettent de s'assurer que la personne qui tente d'accéder à ioTORQ EMIS est bien celle qu'elle prétend être et sont nécessaires pour qu'ioTORQ EMIS vérifie qu'elle a bien l'autorisation d'accéder à certaines parties du système.

Vous pouvez autoriser seulement des utilisateurs et des groupes spécifiques de votre locataire Azure AD à avoir accès à ioTORQ EMIS en utilisant l'option "Assignment required?" dans Azure AD. Pour activer cette option, dans Azure AD, allez dans "Enterprise Applications", puis sélectionnez ioTORQ EMIS.

Cela suppose que vous avez déjà ajouté ioTORQ EMIS en tant que "Enterprise Application" dans votre Azure AD. Si ce n'est pas le cas, voir la section "Ajouter ioTORQ EMIS en tant que "Enterprise Application"".

Sur la page "ioTORQ EMIS Enterprise Application", allez dans Manage > Properties; et régler “Assignment required?” à “Yes”

Une fois que l'option “Assignment required?” est réglée à "Yes", l'accès à ioTORQ EMIS sera limité à ce qui est spécifié dans la rubrique "Users and groups”.

Vous pouvez ajouter ou supprimer un utilisateur/groupe en utilisant les boutons surlignés en rouge. Pour supprimer un utilisateur, vous devez d'abord sélectionner les utilisateurs/groupes à supprimer. Pour plus d'informations, consultez la documentation officielle d'Azure.

En résumé, les étapes pour mettre en place le SSO sur votre portail ioTORQ EMIS sont les suivantes:

Si vous avez demandé que le SSO soit facultatif, vous utilisez la connexion unique en cliquant sur "Sign in with Microsoft"

Cela lancera le processus d'authentification dans Microsoft. Si vous n'êtes pas connecté à votre compte professionnel, vous serez dirigé vers la page de connexion Microsoft

Si vous êtes déjà connecté à votre compte professionnel dans Microsoft ou quand l'authentification est réussie, vous serez redirigé vers le portail ioTORQ EMIS.

Si vous avez demandé que le SSO soit obligatoire, indiquez l'email de votre compte professionnel dans la page de connexion du ioTORQ EMIS et cliquez sur "Sign in with Microsoft"

Cela lancera le processus d'authentification dans Microsoft. Si vous n'êtes pas connecté à votre compte professionnel, vous serez dirigé vers la page de connexion de Microsoft avec l'email déjà fournie.

Si vous êtes déjà connecté à votre compte professionnel dans Microsoft ou quand l'authentification est réussie, vous serez redirigé vers le portail ioTORQ EMIS.

Lorsque les utilisateurs utilisent SSO pour s'authentifier et que SSO n'est pas configuré correctement, ils peuvent rencontrer les messages d'erreur suivants:

Cela se produit lorsqu'un administrateur Azure AD a réglée l'option "Assignment required?" à "Yes" mais n'a pas ajouté l'utilisateur à un groupe qui a accès à ioTORQ EMIS ou n'a pas directement assigné l'utilisateur sous ioTORQ EMIS "Users & groups". Pour résoudre ce problème, reportez-vous à la section "Limiter l'accès à des utilisateurs et groupes spécifiques" > "Ajout et suppression d'utilisateurs".

Cela se produit lorsque l'utilisateur s'authentifie avec succès sur la page de connexion du fournisseur d'identité de son employeur (par exemple la page de connexion de Microsoft), mais qu'il n'a pas de compte dans le ioTORQ EMIS. Pour ajouter l'utilisateur dans le ioTORQ EMIS, contactez l'administrateur de votre portail ioTORQ EMIS. Une fois l'utilisateur créé, il pourra accéder au ioTORQ EMIS.

Cela se produit lorsque l'utilisateur n'a pas d'adresse électronique définie dans le fournisseur d'identité. Par exemple, la capture d'écran ci-dessous montre le profil d'un utilisateur sans adresse électronique.

Pour résoudre ce problème, ajoutez un email dans le champ email en cliquant sur "Edit properties" en haut à gauche (surligné en rouge).

Cela se produit lorsque l'utilisateur final ne clique pas sur "Accept" et annule la boîte de consentement fournie par Microsoft. Pour résoudre ce problème, connectez-vous à Microsoft et cliquez sur "Accept" dans la boîte de consentement affichée

Le ioTORQ EMIS ne supporte pas actuellement l'auto-provisionnement ou le déprovisionnement.

Donner à un employé l'accès au ioTORQ EMIS est un processus en 1 ou 2 étapes, selon la façon dont vous avez configuré l'application ioTORQ EMIS dans Azure AD:

La façon la plus rapide de retirer l'accès au ioTORQ EMIS à quelqu'un est de procéder comme suit:

Une fois ces deux conditions satisfaites, vous pouvez supprimer l'accès en allant sur la page "Users & groups" du ioTORQ EMIS dans Azure AD

Si vous avez d'autres questions ou si vous avez besoin de l'aide supplémentaire, envoyez un courriel à [email protected].