Enterprise SSO par Organisation

L’Enterprise Single Sign-On (SSO) permet à chaque organisation dans Auris de déléguer l’authentification à son propre fournisseur d’identité d’entreprise. Quand un utilisateur se connecte avec une adresse e-mail appartenant à un domaine vérifié, Auris le redirige automatiquement vers l’IdP de son organisation au lieu de présenter le formulaire standard nom d’utilisateur/mot de passe. Après une authentification réussie auprès de l’IdP, l’utilisateur est retourné à Auris et associé à un compte existant ou provisionné automatiquement via création JIT (Just-in-Time).

Cette fonctionnalité est conçue pour les produits SaaS B2B où les clients enterprise exigent que leurs employés s’authentifient exclusivement via des credentials gérés par l’entreprise.

Protocoles Supportés

Auris supporte deux protocoles SSO, tous deux implémentés via la fonctionnalité de courtier d’identité de Keycloak :

SAML 2.0 — Security Assertion Markup Language. Utilisé par les IdP enterprise incluant Microsoft Azure AD (Entra ID), Okta, ADFS, Ping Identity et Shibboleth. SAML utilise des assertions basées sur XML signées avec des certificats X.509.

OIDC (OpenID Connect) — Une couche d’identité moderne sur OAuth 2.0. Utilisé par Google Workspace, Okta (comme fournisseur OIDC), Microsoft Azure AD (supporte aussi OIDC) et tout Authorization Server OAuth 2.0 avec un endpoint de découverte OIDC.

Vérification du Domaine

Avant qu’une connexion SSO puisse être activée, l’organisation doit prouver la propriété du domaine e-mail. Cela empêche une organisation d’intercepter les connexions pour un domaine qu’elle ne possède pas.

La vérification utilise un enregistrement DNS TXT :

1. Auris génère un token de vérification unique pour le domaine.
2. L’administrateur DNS de l’organisation crée un enregistrement TXT : _auris-verify.domaine.com avec le token comme valeur.
3. Un admin clique “Vérifier” dans la Console (ou appelle l’API de vérification).
4. Auris effectue une recherche DNS pour l’enregistrement TXT et confirme que le token correspond.

{
  "domain": "acme.com"
}

Réponse :

{
  "id": "dom_01HX...",
  "domain": "acme.com",
  "verificationToken": "auris-verify=a1b2c3d4e5f6...",
  "verificationMethod": "TXT",
  "status": "PENDING"
}

Enregistrement DNS à créer :

_auris-verify.acme.com  TXT  "auris-verify=a1b2c3d4e5f6..."

Configuration SAML 2.0

{
  "type": "SAML",
  "name": "Acme Azure AD",
  "config": {
    "entityId": "https://sts.windows.net/tenant-id-here/",
    "ssoUrl": "https://login.microsoftonline.com/tenant-id/saml2",
    "certificate": "MIICIjANBgkq...",
    "signRequests": true,
    "nameIdFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
  }
}

{
  "attributeMapping": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
    "firstName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
    "lastName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"
  }
}

Configuration OIDC

{
  "type": "OIDC",
  "name": "Acme Google Workspace",
  "config": {
    "discoveryUrl": "https://accounts.google.com/.well-known/openid-configuration",
    "clientId": "123456789-abc.apps.googleusercontent.com",
    "clientSecret": "GOCSPX-...",
    "scopes": ["openid", "profile", "email"],
    "pkce": true
  }
}

https://auth.votreapp.com/oidc/org-slug/callback

Flux de Connexion SSO

Une fois qu’une connexion SSO est active et qu’un domaine est vérifié, le flux de connexion change pour les utilisateurs avec des adresses e-mail correspondantes :

1. L’utilisateur saisit son e-mail dans la page Hosted Login d’Auris.
2. Auris appelle l’endpoint de détection SSO :

{ "email": "[email protected]" }

Réponse quand le SSO est configuré :

{
  "ssoRequired": true,
  "connectionType": "SAML",
  "organizationName": "Acme Corporation",
  "loginUrl": "/api/auth/sso/login/acme-azure-ad"
}

3. Auris redirige l’utilisateur vers l’IdP via :

4. L’utilisateur s’authentifie auprès de son IdP d’entreprise.

5. L’IdP redirige vers Auris :

6. Auris émet son propre access token et refresh token. À partir de ce moment, la session SSO est indépendante — les durées des tokens Auris sont gouvernées par les paramètres Auris, pas par la session de l’IdP.

Provisioning JIT (Just-in-Time)

Si un utilisateur s’authentifie avec succès auprès de l’IdP mais n’a pas de compte Auris existant, Auris en crée un automatiquement lors du callback SSO. C’est appelé le provisioning Just-in-Time.

Le provisioning JIT crée l’utilisateur avec :

• E-mail, firstName et lastName depuis la réponse de l’IdP ou l’assertion SAML
• Appartenance à l’organisation liée à la connexion SSO
• Le rôle par défaut configuré pour les utilisateurs provisionnés JIT (configurable par connexion, défaut : MEMBER)

Le compte de l’utilisateur persiste après la première connexion — les connexions suivantes se résolvent au même compte.

Connexions SSO Multiples par Organisation

Une organisation peut avoir plusieurs connexions SSO actives — par exemple, SAML pour un déploiement Azure AD et OIDC pour un sous-ensemble d’utilisateurs sur Google Workspace.

L’endpoint de détection SSO effectue la correspondance sur la base du domaine e-mail vérifié. Si plusieurs connexions partagent le même domaine, la connexion activée le plus récemment a la priorité. En pratique, chaque connexion SSO devrait être associée à des domaines vérifiés distincts pour éviter toute ambiguïté.

Gestion des Connexions SSO

Assistant de Configuration dans la Console

La gestion SSO est disponible sur la page de détail de l’organisation dans la Console Admin, dans l’onglet “Enterprise SSO”.

Ajouter une connexion SAML :

1. Navigue vers Console Admin → Organisations → [Nom org] → Enterprise SSO.
2. Clique “Ajouter une Connexion SSO”. Sélectionne SAML 2.0.
3. Saisis l’URL de métadonnées de l’IdP ou colle le XML.
4. Examine la configuration analysée (Entity ID, SSO URL, certificat).
5. Sauvegarde. La connexion est créée en état inactif.
6. Navigue dans l’onglet “Domaines” et ajoute le domaine e-mail de l’organisation.
7. Ajoute l’enregistrement DNS TXT et clique “Vérifier le Domaine”.
8. Une fois le domaine vérifié, reviens à l’onglet SSO et clique “Activer”.

Ajouter une connexion OIDC :

Même flux, mais le formulaire demande Discovery URL, Client ID et Client Secret. Auris récupère automatiquement le document de découverte et remplit les champs restants.

Permissions Requises

Pages Associées

• Organisations B2B Multi-Tenant — Configuration de l’organisation, rôles des membres et invitations
• Provisioning SCIM 2.0 — Provisioning automatique des utilisateurs pour compléter le SSO
• Hosted Login — Comment la page Hosted Login s’intègre avec la détection SSO
• Console : Organisations — Guide complet de la Console