Comment mettre en place un SSO entre mon organisation et Finthesis ?

Si vous avez un système de SSO en interne, nous avons la possibilité d'intégrer ce système de connexion sur Finthesis. Pour ça, il existe généralement 2 protocoles : soit le protocole SAML, soit le protocole OIDC. Nous décrivons dans ce tutoriel la procédure à suivre pour chacun de ces protocoles.

Dans un premier temps, rendez-vous dans les paramètres de l'organisation :

Sélectionnez ensuite la section SSO dans le bandeau à gauche :

Si vous utilisez le protocole OIDC, renseignez les champs suivants :

NB : des points d'informations avec des explications sont disponibles pour chacun des champs requis

Si vous utilisez le protocole SAML, renseignez les champs suivants :

NB : des points d'informations avec des explications sont disponibles pour chacun des champs requis

Dans les deux cas, renseignez dans la partie Accès du formulaire au moins un domaine d'adresse e-mail autorisé, par exemple acme.com. Plusieurs domaines se séparent par des virgules. Les domaines de messagerie publique (gmail.com, outlook.com, hotmail.com...) ne sont pas acceptés.

Si vous forcez la connexion via SSO pour certains domaines, ceux-ci doivent faire partie des domaines autorisés. Un domaine forcé en SSO couvre aussi ses sous-domaines : forcer acme.com s'applique également aux adresses en @paris.acme.com.

Comme l'indique le bandeau d'information du formulaire, les domaines saisis sont une demande : ils ne s'appliquent qu'une fois validés par Finthesis. Après avoir cliqué sur Valider, un message confirme que votre demande de domaines est enregistrée et en attente de validation. Tant qu'elle n'est pas validée, les domaines demandés apparaissent dans la liste des configurations, sous Domaines autorisés en attente de validation et Domaines forcés en SSO en attente de validation.

Une nouvelle configuration reste inactive jusqu'à cette validation. De même, sur une configuration existante, modifier l'émetteur ou le Client Id (OIDC), ou le point d'entrée ou le certificat (SAML), désactive le SSO jusqu'à une nouvelle validation par Finthesis.

Il est à noter que nous limitons l'accès par domaine et/ou organisation :

Vous pouvez aussi forcer la connexion via SSO pour certains domaines d'adresse e-mail : les utilisateurs concernés ne peuvent alors plus se connecter par e-mail / mot de passe et doivent passer par l'URL SSO que vous leur fournissez. Le champ Adresses e-mail exclues de l'obligation SSO permet de garder la connexion par e-mail / mot de passe pour certaines adresses de ces domaines, par exemple un compte de secours si le SSO est indisponible. Ces adresses peuvent toujours se connecter via SSO.

Par ailleurs, nous ne gérons pas l'alimentation automatique des utilisateurs de l'organisation ou du domaine.