Authentification unique (SSO)

Un point d’accès /v1 pour tous les fournisseurs. Pointez votre client OpenAI vers une autre URL et une clé, avec vos clés et 0 % de majoration.

L’authentification unique permet à votre équipe de se connecter à Autonomous Relay Agents avec le fournisseur d’identité de votre entreprise plutôt qu’avec un compte distinct. Quand quelqu’un part, vous le désactivez à un seul endroit. Elle fonctionne avec Okta, Microsoft Entra ID (Azure AD), Google Workspace et tout fournisseur d’identité compatible OpenID Connect ou SAML 2.

L’authentification unique fait partie du forfait Entreprise. La configuration prend environ 20 minutes. Vous devez être propriétaire ou admin de votre organisation Autonomous Relay, administrateur de votre fournisseur d’identité, et avoir accès aux enregistrements DNS de votre domaine.

Aperçu

  • Étape 1. Copiez votre URL de redirection dans Autonomous Relay.
  • Étape 2. Créez une application dans votre fournisseur d’identité.
  • Étape 3. Connectez l’application dans Autonomous Relay.
  • Étape 4. Vérifiez votre domaine de courriel par un enregistrement DNS.
  • Étape 5. Faites une connexion de test.
  • Étape 6. Activez l’authentification unique.
  • Étape 7 (facultatif). Exigez l’authentification unique pour tout votre domaine.

Étape 1 : copier votre URL de redirection

Dans le tableau de bord, ouvrez Paramètres et trouvez la carte Authentification unique. Copiez l’URL de redirection de connexion. C’est toujours :

text
https://autonomousrelay.com/v1/auth/sso/callback

Votre fournisseur d’identité y renvoie les personnes après leur connexion. Saisissez-la exactement, sans barre oblique finale.

Étape 2 : créer une application dans votre fournisseur d’identité

Suivez la section de votre fournisseur. À la fin, vous aurez trois valeurs : une URL d’émetteur, un ID client et un secret client.

Okta

  • Dans la console d’administration Okta, allez dans Applications → Applications et choisissez Create App Integration.
  • Choisissez OIDC - OpenID Connect, puis Web Application, et Next.
  • Nommez-la Autonomous Relay. Laissez Authorization Code comme type d’autorisation.
  • Sous Sign-in redirect URIs, retirez l’exemple et collez votre URL de redirection de l’étape 1.
  • Sous Assignments, choisissez qui peut utiliser l’application (par exemple un groupe), puis Save.
  • Dans l’onglet General de l’application, copiez le Client ID et le Client secret. Laissez l’authentification client sur Client secret.
  • Votre URL d’émetteur est votre adresse Okta, par exemple https://acme.okta.com.

Microsoft Entra ID

  • Dans le centre d’administration Microsoft Entra, allez dans Identity → Applications → App registrations et choisissez New registration.
  • Nommez-la Autonomous Relay et choisissez Accounts in this organizational directory only.
  • Sous Redirect URI, choisissez la plateforme Web et collez votre URL de redirection de l’étape 1. Choisissez Register.
  • Sur la page Overview, copiez l’Application (client) ID et le Directory (tenant) ID.
  • Allez dans Certificates & secrets → Client secrets → New client secret. Copiez tout de suite la Value du secret (pas le Secret ID) : elle n’est affichée qu’une fois. Notez sa date d’expiration.
  • Votre URL d’émetteur est https://login.microsoftonline.com/<directory-tenant-id>/v2.0, avec votre Directory (tenant) ID.
  • Pour choisir qui peut se connecter, ouvrez Enterprise applications → Autonomous Relay → Properties, réglez Assignment required sur Yes et attribuez des utilisateurs ou des groupes.

Google Workspace

  • Dans la console Google Cloud, connecté comme administrateur Workspace, choisissez ou créez un projet qui appartient à votre organisation.
  • Allez dans APIs & Services → OAuth consent screen et choisissez le type d’utilisateur Internal, pour que seules les personnes de votre Workspace puissent se connecter. Remplissez le nom de l’application et le courriel de contact.
  • Allez dans APIs & Services → Credentials → Create credentials → OAuth client ID et choisissez Web application.
  • Sous Authorized redirect URIs, collez votre URL de redirection de l’étape 1 et choisissez Create.
  • Copiez le Client ID et le Client secret.
  • Votre URL d’émetteur est https://accounts.google.com.

Autres fournisseurs OpenID Connect

Créez une application web confidentielle avec le flux par code d’autorisation et votre URL de redirection de l’étape 1. Autonomous Relay demande les portées openid email profile, utilise PKCE et envoie le secret client par authentification HTTP Basic (client_secret_basic). L’émetteur doit publier son document de découverte à <issuer>/.well-known/openid-configuration en https, et le jeton d’identité doit porter le courriel de la personne dans email ou preferred_username.

Utiliser SAML 2 à la place

Si votre équipe de sécurité exige SAML, utilisez-le à la place des étapes 2 et 3. Les étapes 4 à 7 sont les mêmes. Dans Paramètres → Authentification unique, choisissez SAML 2 comme protocole; vous voyez alors les deux valeurs que votre fournisseur d’identité demande :

  • ID d’entité (aussi appelé audience ou identifiant) : https://autonomousrelay.com/v1/auth/sso/saml/metadata
  • URL ACS (aussi appelée URL de réponse ou URL d’authentification unique) : https://autonomousrelay.com/v1/auth/sso/saml/acs

Okta (SAML)

  • Dans Applications → Create App Integration, choisissez SAML 2.0 et nommez-la Autonomous Relay.
  • Réglez Single sign-on URL sur l’URL ACS et Audience URI (SP Entity ID) sur l’ID d’entité. Réglez Name ID format sur EmailAddress et Application username sur Email.
  • Sous Attribute Statements, ajoutez email → user.email. Terminez, puis attribuez les personnes ou groupes.
  • Dans l’onglet Sign On, ouvrez Metadata URL et enregistrez le fichier XML.

Microsoft Entra ID (SAML)

  • Dans Enterprise applications → New application → Create your own application, choisissez Non-gallery et nommez-la Autonomous Relay.
  • Ouvrez Single sign-on → SAML. Dans Basic SAML Configuration, réglez Identifier (Entity ID) sur l’ID d’entité et Reply URL (Assertion Consumer Service URL) sur l’URL ACS.
  • Gardez les Attributes & Claims par défaut (la revendication de courriel y est).
  • Sous SAML Certificates, téléchargez Federation Metadata XML. Attribuez utilisateurs ou groupes dans Users and groups.

Google Workspace (SAML)

  • Dans la console d’administration Google, allez dans Apps → Web and mobile apps → Add app → Add custom SAML app et nommez-la Autonomous Relay.
  • Téléchargez le fichier IdP metadata, puis choisissez Continue.
  • Réglez ACS URL sur l’URL ACS et Entity ID sur l’ID d’entité. Réglez Name ID format sur EMAIL et Name ID sur Basic Information → Primary email.
  • Terminez, puis activez l’application (On) pour vos utilisateurs.

La connecter

De retour dans Paramètres, téléversez le fichier de métadonnées (ou collez son XML) et choisissez Enregistrer. Nous y lisons votre ID d’entité, votre URL de connexion et votre certificat de signature. Les assertions doivent être signées. Quand votre fournisseur renouvelle son certificat, téléversez les nouvelles métadonnées; l’authentification unique reste active. Continuez ensuite à l’étape 4.

Étape 3 : connecter l’application dans Autonomous Relay

  • Dans Paramètres → Authentification unique, saisissez l’URL de l’émetteur, l’ID client et le Secret client de l’étape 2.
  • Choisissez Enregistrer. Nous lisons tout de suite le document de découverte de votre fournisseur; si l’URL d’émetteur est fausse, vous voyez pourquoi et rien n’est enregistré.
  • L’état indique maintenant Pas encore actif. Personne ne peut se connecter par cette voie avant la fin des étapes 4 à 6.

Le secret client est chiffré à l’enregistrement et n’est plus jamais affiché. Pour le remplacer plus tard, saisissez le nouveau et enregistrez; laissez le champ vide pour garder l’actuel.

Étape 4 : vérifier votre domaine de courriel

Cela prouve que votre organisation possède le domaine des adresses de votre équipe, par exemple acme.com.

  • Sous Domaines de courriel, saisissez votre domaine et choisissez Ajouter le domaine.
  • Copiez l’enregistrement TXT affiché. Son nom est votre domaine lui-même (souvent noté @ chez les fournisseurs DNS), et sa valeur ressemble à autonomousrelay-verification=AbC123….
  • Chez votre fournisseur DNS (par exemple Cloudflare, GoDaddy, Route 53 ou Google Domains), ajoutez un nouvel enregistrement TXT avec ce nom et cette valeur. Gardez vos enregistrements TXT existants.
  • De retour dans Paramètres, choisissez Vérifier maintenant. Un nouvel enregistrement peut prendre jusqu’à une heure pour apparaître; si la vérification échoue, attendez et réessayez.
  • Répétez pour chaque domaine de votre équipe (jusqu’à 20). Vous pouvez retirer l’enregistrement TXT une fois le domaine Vérifié, mais le garder ne nuit pas.
Un domaine ne peut être vérifié que par une seule organisation Autonomous Relay. Si le vôtre est déjà pris, contactez-nous.

Étape 5 : faire une connexion de test

  • Choisissez Faire une connexion de test. Vous êtes envoyé chez votre fournisseur d’identité; connectez-vous-y.
  • Vous revenez dans Paramètres avec Connexion de test réussie en tant que vous@acme.com.
  • Le test ne connecte personne et ne change rien d’autre. Le courriel renvoyé par votre fournisseur doit appartenir à un domaine vérifié à l’étape 4.

Si le test échoue, le message indique ce que votre fournisseur a répondu. Les causes courantes sont dans Dépannage ci-dessous.

Étape 6 : activer l’authentification unique

Choisissez Activer. C’est possible une fois qu’une connexion de test a réussi et qu’au moins un domaine est vérifié. Dès lors, toute personne de vos domaines vérifiés peut choisir Se connecter avec l’authentification unique sur la page de connexion.

Étape 7 (facultatif) : exiger l’authentification unique

Activez Exiger l’authentification unique pour en faire la seule porte d’entrée des personnes de vos domaines vérifiés. Les connexions Google, GitHub et par portefeuille leur sont alors refusées, tout comme le passage dans votre organisation depuis une autre. Les personnes concernées qui sont connectées sont déconnectées et doivent se reconnecter par l’authentification unique.

Les propriétaires sont exemptés. Ils gardent leur méthode de connexion habituelle en secours, pour qu’une panne de votre fournisseur d’identité ne bloque jamais toute votre organisation. Gardez au moins un propriétaire dont le courriel est dans votre domaine.

Comment votre équipe se connecte

  • Sur la page de connexion, choisir Se connecter avec l’authentification unique et saisir son courriel professionnel.
  • La personne est envoyée chez votre fournisseur d’identité, s’y connecte et arrive dans votre organisation.
  • À la première connexion, elle reçoit un siège Développeur limité aux espaces de travail : elle ne voit rien tant qu’on ne lui donne pas accès. Un propriétaire le fait sous Membres, en réglant Ce qu’ils voient sur Toute l’organisation ou en changeant son rôle. Pour donner accès à certains espaces seulement, ouvrez Clients, choisissez Personnes sur un espace et ajoutez-la comme Membre ou Admin d’espace.
  • Les personnes qui ont déjà un siège gardent leur rôle et leur portée.

Retirer quelqu’un

  • Désactivez-la ou retirez-lui l’application dans votre fournisseur d’identité : elle ne peut plus se connecter par l’authentification unique.
  • Une session du tableau de bord dure jusqu’à 12 heures. Pour couper l’accès immédiatement, retirez-la aussi sous Membres : ses sessions prennent fin tout de suite, et une connexion SSO ultérieure ne lui rend pas son siège.
  • L’approvisionnement et le retrait automatiques depuis votre annuaire (SCIM) ne sont pas encore offerts.

Modifier ou désactiver l’authentification unique

  • Remplacer le secret client (par exemple avant l’expiration d’un secret Entra) : saisissez le nouveau secret et enregistrez. L’authentification unique reste active.
  • Changer l’émetteur ou l’ID client (nouvelle application ou nouveau fournisseur) : la connexion revient à Pas encore actif et Exiger l’authentification unique est désactivé. Refaites une connexion de test et activez de nouveau.
  • Désactiver arrête l’authentification unique immédiatement et retire l’exigence. Chacun se connecte par ses autres méthodes.

Dépannage

  • « The discovery document names issuer … » : collez l’émetteur exactement comme votre fournisseur l’affiche. Pour Entra, utilisez l’adresse /v2.0 avec votre ID de locataire.
  • « No TXT record … found » : l’enregistrement n’est pas encore visible, ou a été ajouté à un sous-domaine. Vérifiez que son nom est votre domaine lui-même (@), attendez jusqu’à une heure et réessayez.
  • Redirect URI mismatch chez votre fournisseur : l’URL de redirection de votre application doit être exactement https://autonomousrelay.com/v1/auth/sso/callback.
  • « invalid_client » : le secret client est faux ou expiré. Créez-en un nouveau et enregistrez-le dans Paramètres.
  • « …une adresse que votre organisation n’a pas vérifiée » : le courriel de la personne chez votre fournisseur est dans un domaine non vérifié. Vérifiez aussi ce domaine, ou corrigez son courriel.
  • « Votre accès à cette organisation a été retiré » : son siège a été retiré sous Membres. Un propriétaire peut l’inviter de nouveau.
  • « L’authentification unique n’est pas configurée pour cette adresse » : le domaine n’est pas vérifié, ou l’authentification unique n’est pas encore active.

Tout ce guide peut aussi se faire par l’API : voyez la section SSO de la référence de l’API.