Comment connecter Google Workspace pour le SSO SAML

Google Workspace nécessite une application SAML personnalisée pour Corma. Commencez par Comment configurer le SSO SAML, qui couvre la partie Corma, puis revenez ici. Vous devez être super-administrateur dans Google Workspace.

Créer l'application SAML personnalisée

1. Dans Corma, accédez à Paramètres → Sécurité (Settings → Security) et activez "Activer le SSO SAML" (Enable SAML SSO). Laissez l'onglet ouvert : vous y copierez bientôt l'Audience URI (SP Entity ID) et la SSO URL (ACS).

   

2. Dans la console d'administration Google, allez dans Apps → Web and mobile apps, puis cliquez sur "Add app" et "Add custom SAML app".

   

3. Nommez l'application "Corma", ajoutez le logo si vous voulez qu'elle soit facilement reconnaissable dans la liste d'applications de vos employés, puis cliquez sur "Continue".

   

4. Cliquez sur "Download metadata" et conservez le fichier XML. Vous l'importerez dans Corma à la fin. Cliquez sur "Continue".

   

   Sur cet écran, Google propose les mêmes informations sous forme de SSO URL, d'Entity ID et de certificat. Seul le fichier XML est nécessaire. Google ne publie pas d'URL de métadonnées pour une application SAML personnalisée : le fichier est donc le seul moyen de transmettre les métadonnées à Corma.

5. Renseignez les informations du fournisseur de services avec les deux valeurs de votre page Sécurité de Corma, laissez le format et la valeur du Name ID par défaut, puis cliquez sur "Continue". Ne modifiez pas Start URL ni Signed response.

   

   Google exige que l'ACS URL commence par https://. C'est le cas de celle de Corma : ce point ne compte donc que si vous ressaisissez la valeur au lieu de la copier.

6. Cliquez sur "Finish" sur l'écran de mappage des attributs sans rien mapper. Corma ne lit pas les attributs du fournisseur d'identité dans cette version.

Activer l'application et connecter

1. Ouvrez l'application et cliquez sur "User access".

   

2. Sélectionnez On for everyone, ou activez-la pour les unités organisationnelles ou les groupes d'accès qui doivent accéder à Corma, puis cliquez sur "Save".

   

   C'est l'étape la plus souvent oubliée. Une nouvelle application SAML personnalisée est Off for everyone par défaut. La modification s'applique généralement en quelques minutes, mais Google peut prendre jusqu'à 24 heures : ne concluez donc pas tout de suite que la configuration ne fonctionne pas.

3. De retour dans Corma, sélectionnez "Google Workspace" dans la liste déroulante Fournisseur SAML (SAML Provider).

4. Déposez le fichier XML de métadonnées Google téléchargé plus tôt dans Ou importez le fichier XML de métadonnées (Or upload the metadata XML file), puis cliquez sur "Enregistrer les modifications" (Save changes). Google fournit un fichier et non une adresse : laissez donc URL des métadonnées (Metadata URL) vide.

5. Testez dans une fenêtre de navigation privée avec "Se connecter avec le SSO SAML" (Sign in with SAML SSO), avant d'imposer le SAML.

   Une fois l'application activée, les employés peuvent aussi ouvrir Corma depuis le lanceur d'applications Google. Un clic sur la tuile Corma les connecte directement.

Si le premier test échoue, vérifiez User access avant tout et laissez à Google le temps de propager la modification. Vous pouvez aussi utiliser Test SAML login dans la console d'administration Google pour vérifier la connexion côté Google. Dépannage du SSO SAML (SAML SSO troubleshooting) couvre les autres cas, et Google documente l'assistant dans Set up your own custom SAML app.