Authentification et SSO (SAML / OAuth)

⚠️ Droits nécessaires : accès à la Configuration, sur le compte parent.

Le SSO permet à vos apprenants de se connecter avec les identifiants qu’ils ont déjà dans votre entreprise, sans mot de passe propre à Beedeez. Tout se règle dans Configuration > Intégration > Authentification, section Mode d’authentification, avec votre DSI : c’est elle qui détient le fournisseur d’identité.

Ce que ça change

Pour les apprenants : la page de connexion affiche un bouton par mode d’authentification, avec le libellé que vous définissez. Ils entrent avec leurs identifiants d’entreprise ; ils n’ont plus de mot de passe Beedeez à retenir ni à réinitialiser.

Pour les administrateurs : les utilisateurs ne sont plus reconnus par leur email mais par leur identifiant. C’est le point qui a le plus de conséquences pratiques, détaillé plus bas.

Où configurer l’authentification

L’écran définit le mode d’authentification principal de vos apprenants ; le bouton Ajouter un mode permet d’en proposer d’autres sur la page de connexion.

Deux types de mode servent au SSO : SAML et OAuth / OIDC. Le choix dépend de votre fournisseur d’identité, pas de Beedeez : votre DSI sait lequel elle utilise.

Chaque mode porte un nom que vous choisissez. Ce nom doit être unique : il sert d’identifiant technique et il construit les URL que Beedeez communique à votre fournisseur d’identité. Le renommer change ces URL et interrompt le SSO tant que votre DSI n’a pas répercuté la modification.

Application apprenant et back-office

Chaque mode indique où son bouton apparaît, sous forme d’étiquettes : Sur la page de connexion pour l’application des apprenants, et Sur la page de connexion BO pour le back-office. Les options Afficher sur la page de connexion et Afficher sur la page de connexion BO contrôlent ces deux emplacements séparément.

⚠️ Un mode d’authentification peut donc s’appliquer aussi aux administrateurs. Avant de retirer un mode ou la connexion par mot de passe, vérifiez que les personnes qui administrent la plateforme conservent un moyen d’accéder au back-office.

Ce que Beedeez fournit, ce que votre DSI fournit

Côté Beedeez, les valeurs sont calculées automatiquement à partir du nom du mode et ne sont pas modifiables :

• la Login URL, affichée en haut du formulaire ;
• les métadonnées de fournisseur de service, avec les boutons Télécharger métadonnées SP et Copier le lien de métadonnées SP ;
• la Callback URL, la Logout Callback URL, l’Issuer et les certificats de signature et de déchiffrement, regroupés derrière Afficher les options avancées.

Côté DSI, trois champs sont à renseigner sur l’écran principal :

• l’Entry Point : l’adresse vers laquelle Beedeez redirige l’apprenant pour l’authentifier ;
• l’URL des métadonnées IDP ;
• les Certificates : le ou les certificats publics de votre fournisseur d’identité, ajoutés un par un avec le bouton Ajouter.

Le bouton Afficher les options avancées donne aussi accès aux réglages des cas particuliers (Force AuthN, AuthN Context, Alternates Name ID, algorithme de signature, tolérance d’horloge, domaine personnalisé). Ils ne servent qu’à débloquer une intégration récalcitrante.

Renouveler un certificat avant son expiration

Un certificat de fournisseur d’identité a une date de validité. À l’expiration, plus aucun apprenant ne peut se connecter par ce mode, et la panne est totale et sans préavis.

Le champ Certificates accepte plusieurs certificats simultanément. Utilisez cette possibilité pour préparer le renouvellement sans coupure :

1. Ouvrez le mode d’authentification concerné.
2. Dans Certificates, cliquez sur Ajouter et collez le nouveau certificat, sans supprimer l’ancien. Les deux restent enregistrés pendant la période de recouvrement.
3. Demandez à votre DSI de basculer la signature sur le nouveau certificat.
4. Vérifiez qu’une connexion aboutit, puis supprimez l’ancien certificat.

💡 Conseil : notez la date d’expiration de chaque certificat dès sa mise en place et prévoyez le renouvellement avant l’échéance. Un certificat expiré bloque toutes les connexions du mode concerné.

L’identifiant, pas l’email

⚠️ En SSO, un apprenant est reconnu par son identifiant, tel que votre fournisseur d’identité le renvoie : matricule, NNI, parfois l’email. Ce n’est pas nécessairement une adresse email.

Sur un compte en SSO, l’ajout d’utilisateurs se fait donc par identifiant, pas par email. Un import par email sur un compte qui attend des matricules crée des comptes qui ne se connecteront jamais, sans message d’erreur. Voyez Ajouter des utilisateurs.

Si votre fournisseur d’identité renvoie l’identifiant dans un attribut inhabituel, ou si plusieurs attributs peuvent l’exprimer, les champs Alternates Name ID et le format d’identifiant des options avancées permettent d’indiquer à Beedeez où le lire.

Activer le SSO sur un compte déjà lancé

C’est le cas le plus fréquent, et le plus délicat. Quatre points à traiter :

Les identifiants existants doivent correspondre. Un utilisateur dont l’identifiant Beedeez ne correspond pas à ce que renvoie le fournisseur d’identité se retrouve bloqué à la bascule. Rapprochez les deux listes avant, pas après.

Le mot de passe peut rester pendant la transition. La case Autoriser l’authentification externe par e-mail et mot de passe maintient un bouton de connexion par email et mot de passe sur la page de connexion, en plus du SSO. ⚠️ Le piège : impossible d’ajouter un mode alternatif tant que le mode email / mot de passe est le principal. Pour combiner les deux, définissez d’abord le mode SSO comme principal, puis cochez la case.

Les sessions en cours ne sont pas préservées. Prévoyez la bascule à un moment creux.

Annoncez la bascule. Si vous retirez la connexion par mot de passe, celui de vos apprenants cesse de fonctionner. Sans annonce, vous récoltez une vague de tickets « je n’arrive plus à me connecter ».

💡 Testez sur un groupe restreint avant de basculer tout le monde. Voyez Pilote et lancement.

Vérifier que la configuration fonctionne

Avant d’ouvrir le SSO à tous, contrôlez le résultat sur un compte réel :

1. Ouvrez la page de connexion. Le bouton du mode d’authentification doit apparaître avec le libellé que vous avez défini.
2. Connectez-vous avec un compte de test rattaché à votre fournisseur d’identité.
3. Vérifiez dans la liste des utilisateurs que l’identifiant reçu correspond bien à celui attendu.

Si la connexion échoue, la cause se situe le plus souvent dans l’un de ces trois points : l’Entry Point ne correspond pas à celui du fournisseur d’identité, un certificat est expiré ou incomplet, ou l’identifiant renvoyé ne correspond à aucun utilisateur existant.

Ce que ça ne fait pas

Le SSO authentifie : il dit qui peut entrer. Il ne crée pas les comptes, ne les met pas à jour et ne les désactive pas au départ d’un collaborateur. C’est le rôle du provisionnement, qui se règle sur d’autres écrans de la même section : deux chantiers distincts, souvent menés ensemble. Voyez Synchronisation SIRH et provisionnement.

Pour aller plus loin

• Ajouter des utilisateurs : l’ajout par identifiant sur un compte en SSO.
• Synchronisation SIRH et provisionnement : la création et la mise à jour automatiques des comptes, l’autre moitié du chantier.
• Pilote et lancement : la bascule testée sur un groupe restreint avant l’ouverture générale.
• Se connecter à la place d’un apprenant : la vérification de ce qu’un apprenant voit après la bascule.