Comment configurer le SSO SAML
Connectez votre fournisseur d'identité à Corma depuis Paramètres → Sécurité → SAML (Settings → Security → SAML). La configuration est un échange dans les deux sens : vous donnez à votre fournisseur deux valeurs issues de Corma, puis vous donnez à Corma les métadonnées que votre fournisseur renvoie. Si vous utilisez Okta, Google Workspace, Microsoft Entra ID, Keycloak ou OneLogin, suivez plutôt le guide dédié à ce fournisseur, qui nomme précisément chaque champ.
Vous avez besoin d'un compte administrateur de l'espace de travail Corma et d'un compte administrateur sur votre fournisseur d'identité.
Enregistrer Corma dans votre fournisseur d'identité
Dans Corma, ouvrez Paramètres → Sécurité → SAML et activez Activer le SSO SAML (Enable SAML SSO).
Copiez les deux valeurs affichées par Corma à l'aide du bouton de copie situé à côté de chacune, et collez-les dans l'application SAML que vous créez dans votre fournisseur d'identité.
Envoyez l'adresse e-mail de l'utilisateur dans un attribut nommé
email. Sans lui, Corma refuse la connexion. Ajoutez aussifirstNameetlastNamepour que les membres apparaissent avec leur vrai nom.
Votre fournisseur d'identité vous demandera ces deux valeurs sous ses propres noms :
| Corma | Nom utilisé par votre fournisseur |
|---|---|
| Audience URI (SP Entity ID) | Entity ID, Audience, Audience Restriction ou Identifier |
| SSO URL (ACS) | ACS URL, Single sign-on URL, Reply URL ou Assertion Consumer Service URL |
Connecter votre fournisseur à Corma
Sélectionnez votre fournisseur dans la liste déroulante Fournisseur SAML (SAML Provider), ou Autre (SAML 2.0) (Other (SAML 2.0)) s'il ne figure pas dans la liste.
Transmettez à Corma les métadonnées générées par votre fournisseur. Collez l'adresse dans URL des métadonnées (Metadata URL), ou déposez le fichier dans Ou importez le fichier XML de métadonnées (Or upload the metadata XML file). L'un ou l'autre suffit.
Cliquez sur "Enregistrer les modifications" (Save changes). La carte affiche alors votre connexion, avec l'Audience URI et la SSO URL que vous avez renseignées.
Testez avant de prévenir qui que ce soit. Dans une fenêtre de navigation privée, allez sur la page de connexion de Corma, cliquez sur Se connecter avec le SSO SAML (Sign in with SAML SSO) et vérifiez que vous êtes redirigé vers votre fournisseur, puis de nouveau vers Corma.
Une URL de métadonnées doit être accessible depuis les serveurs de Corma. Si votre fournisseur d'identité n'est disponible que sur un réseau interne, téléchargez plutôt le descripteur XML et importez-le sous forme de fichier.
Imposer le SAML
Une fois la connexion vérifiée, Imposer le SAML à tous les membres (Enforce SAML for all members) bloque la connexion par mot de passe, Google et Microsoft pour l'espace de travail, et redirige tout le monde vers votre fournisseur d'identité.
L'obligation nécessite une connexion SAML active, et la suppression de la connexion la réinitialise : un espace de travail ne peut donc jamais se retrouver bloqué. Connectez-vous vous-même via SAML avant de l'activer.
Qui peut se connecter
Toute personne authentifiée par votre fournisseur d'identité rejoint automatiquement l'espace de travail lors de sa première connexion, en tant qu'employé. Il n'y a ni étape d'invitation, ni siège à provisionner à l'avance. Contrôlez qui accède à Corma en attribuant l'application dans votre fournisseur d'identité plutôt que dans Corma.
Les membres peuvent se connecter depuis la page de connexion de Corma (Se connecter avec le SSO SAML) ou en cliquant sur la tuile Corma dans le tableau de bord de leur fournisseur d'identité.