Configurer la connexion SSO

Le principe, en une minute

Le SSO (« authentification unique ») délègue la vérification de l’identité à votre annuaire d’entreprise : Google Workspace, Microsoft Entra ID, Okta, Keycloak… cocoPIM parle les deux protocoles standards, OpenID Connect (recommandé, le plus simple à régler) et SAML 2.0. Trois choses à retenir avant de commencer :

• le SSO est inclus à partir de l’offre Croissance ; en dessous, l’onglet SSO n’apparaît pas ;
• il se règle par organisation, par son propriétaire, et s’applique à l’adresse de votre organisation : https://votre-organisation.cocopim.fr ;
• une fois activé, c’est un moyen de connexion en plus : le mot de passe reste disponible tant que vous n’avez pas rendu le SSO obligatoire (dernière section).

Étape 1 : Préparer l’annuaire (exemple avec Google Workspace)

Côté annuaire, vous déclarez cocoPIM comme une application autorisée. Vous en ressortez avec trois valeurs : l’adresse de l’émetteur, un identifiant client et un code secret. Avec Google Workspace, tout se passe dans la console Google Cloud, avec un compte administrateur de votre domaine :

1. 1

   Créez un projet, puis l'écran de consentement

   Dans Google Auth Platform, cliquez Premiers pas : nom de l’application (« cocoPIM »), adresse d’assistance, puis (c’est l’écran important) l’audience.

2. 2

   Choisissez l'audience « Interne »

   Interne réserve la connexion aux comptes de votre domaine Google Workspace. C’est le réglage qui ferme la porte : voir l’encadré ci-dessous avant d’en choisir un autre.

3. 3

   Créez le client OAuth

   Clients → Créer un client → Application Web. Laissez les origines JavaScript vides, et dans URI de redirection autorisés collez l’adresse de retour affichée par cocoPIM (étape 2) : https://votre-organisation.cocopim.fr/api/auth/sso/oidc/callback, au caractère près, sans barre oblique finale.

4. 4

   Notez l'identifiant et le secret

   Google affiche l’ID client et le code secret du client. Rangez le secret dans votre gestionnaire de mots de passe : vous le collerez une seule fois dans cocoPIM, qui ne le réaffichera jamais.

Les autres annuaires suivent la même logique : déclarer une application web, y coller l’adresse de retour, récupérer l’émetteur, l’identifiant et le secret. Avec Microsoft Entra ID ou Okta, l’émetteur est propre à votre annuaire : la porte est fermée d’office. En SAML, cocoPIM vous fournit l’URL ACS et l’identifiant de l’application à déclarer, et vous lui donnez l’adresse (ou le fichier XML) des métadonnées de votre annuaire.

Étape 2 : Renseigner cocoPIM

Connecté avec le compte propriétaire de l’organisation, ouvrez Mon organisation, onglet SSO, puis Configurer le SSO.

• Protocole : OIDC (OpenID Connect) ou SAML 2.0. Changer de protocole réinitialise la configuration ;
• URL de l’émetteur (Issuer) : l’adresse de votre fournisseur d’identité. Pour Google : https://accounts.google.com, sans barre oblique finale ;
• Client ID et Client secret : les deux valeurs notées à l’étape 1. Le secret est chiffré et stocké à part ; il n’est jamais réaffiché (laissez le champ vide ensuite pour le conserver) ;
• Domaines email de confiance : obligatoire. Seules les adresses de ces domaines (par exemple votre-societe.fr) peuvent se faire créer un compte ou rattacher leur compte existant à la connexion SSO, même si l’annuaire a vérifié leur email. Sans domaine, la création automatique de comptes est bloquée et le SSO ne peut pas être rendu obligatoire ;
• Nom affiché aux membres : il compose le bouton de la page de connexion ; « Google » donnera Se connecter avec Google ;
• Rôle par défaut des nouveaux comptes : le rôle donné à quiconque se connecte pour la première fois. Choisissez un rôle peu privilégié (lecture) : vous ajusterez au cas par cas ;
• URI de redirection : affichée par cocoPIM, avec un bouton de copie ; c’est elle, et elle seule, qu’il faut enregistrer dans l’annuaire.

Étape 3 : Tester, puis activer

La configuration passe par trois états, affichés sur la carte :

• Brouillon (non testé) : enregistrée, mais rien n’est encore proposé à vos membres ;
• Testé, non activé : Tester la connexion a joint votre annuaire et vérifié l’identifiant et le secret. C’est seulement là que le bouton Activer se débloque ;
• Actif : le bouton « Se connecter avec… » apparaît aussitôt sur la page de connexion de votre organisation. Le mot de passe reste disponible.

Deux messages d’échec à connaître : « Impossible de joindre… » signifie que l’adresse de l’émetteur est fausse ou inaccessible depuis Internet ; « L’IdP a refusé la connexion » signifie que l’identifiant ou le secret ne sont pas les bons. Et toute modification ultérieure de la configuration la fait retomber en brouillon : il faut retester avant de réactiver (une protection, pas un bug).

Étape 4 : La première connexion

Faites l’essai dans une fenêtre de navigation privée, pour partir d’une session vierge. Selon l’adresse email que présente votre annuaire :

• adresse inconnue de cocoPIM : le compte est créé automatiquement, avec le rôle par défaut, le prénom et le nom fournis par l’annuaire. Personne n’a à être invité ;
• adresse d’un membre de l’organisation : la connexion SSO est rattachée à son compte existant : il garde son rôle, son nom et son historique ;
• adresse d’un compte étranger à l’organisation : refus, avec le message « Ce compte ne peut pas se connecter via ce fournisseur ». cocoPIM ne rattache jamais d’office un compte existant à une organisation qui n’est pas la sienne.

Aller jusqu’au SSO obligatoire

Tant que le réglage SSO obligatoire pour les membres est sur « Non », le SSO cohabite avec le mot de passe. Sur « Oui », le mot de passe n’est plus proposé : votre annuaire devient la seule porte d’entrée. Désactiver un compte dans l’annuaire coupe l’accès à cocoPIM dans la foulée.

Les garde-fous

• cocoPIM refuse d’activer l’obligation tant qu’aucun compte de secours n’est désigné : un compte qui garde son mot de passe quoi qu’il arrive, pour reprendre la main si l’annuaire tombe ou si la configuration casse ;
• un rôle par défaut doit être défini ;
• modifier la configuration lève l’obligation en même temps qu’elle repasse en brouillon : une organisation ne peut pas s’enfermer dehors ;
• si votre offre ne comprend plus le SSO, il est désactivé et vos membres retrouvent le mot de passe ; la configuration est conservée pour plus tard.