Se connecter à InfraNest avec un autre fournisseur d'identité

Connectez InfraNest à n'importe quel fournisseur d'identité prenant en charge OpenID Connect, afin que votre équipe puisse se connecter avec les identifiants qu'elle utilise déjà. Cela couvre JumpCloud, OneLogin, Keycloak, Authentik, Auth0 et d'autres fournisseurs OpenID Connect — pour Okta, Microsoft Entra ID ou Google Workspace, consultez leurs guides dédiés.

NoteCeci est disponible sur les forfaits Enterprise. Vous devez être administrateur chez votre fournisseur et dans InfraNest.

Vue d'ensemble

• Fonctionne avec tout fournisseur proposant une application OpenID Connect pour une application web, un flux de type « authorization code », et une adresse de découverte se terminant par /.well-known/openid-configuration.
• InfraNest lit tout ce dont il a besoin — y compris l'adresse de connexion — à partir de cette adresse de découverte, vous n'avez donc que quelques valeurs à saisir vous-même.
• Vous contrôlez qui peut entrer : ajouter automatiquement les nouvelles personnes, exiger l'approbation d'un administrateur, ou exiger des invitations.
• En option, les rôles peuvent être définis automatiquement à partir des groupes envoyés par votre fournisseur.

Ce que votre fournisseur doit prendre en charge

La plupart des fournisseurs modernes prennent déjà tout cela en charge, mais vérifiez les points suivants :

• Une application OpenID Connect pour une application web (parfois appelée confidential client ou regular web application), avec un ID client et un secret client.
• Une URL de redirection (aussi appelée redirect URI ou callback URL) où vous pouvez coller l'URL de redirection d'InfraNest.
• Le flux « authorization code » (parfois appelé standard flow). InfraNest n'a pas besoin des flux implicite, refresh-token ou client-credentials.
• Une URL de découverte se terminant par /.well-known/openid-configuration.
• L'adresse e-mail de chaque personne incluse dans ce que le fournisseur envoie. InfraNest demande openid, profile et email.
• Des jetons de connexion signés avec une paire de clés. Un fournisseur qui signe avec le secret client à la place est refusé — cela concerne Authentik (voir ci-dessous).

Configurer la connexion

Étape 1 : commencer dans InfraNest

1. Allez dans Paramètres → Connexion et choisissez Configurer l'authentification unique.
2. Choisissez Autre fournisseur (OpenID Connect).
3. Sous Domaine e-mail, vérifiez le domaine suggéré par InfraNest. Il est recommandé de le vérifier, afin que les personnes puissent se connecter avec leur adresse professionnelle et que les nouvelles personnes puissent rejoindre automatiquement. Vous pouvez ignorer cette étape — votre équipe utilisera alors le lien de connexion de votre organisation, et les nouvelles personnes rejoindront par invitation. S'il n'est pas encore vérifié, InfraNest affiche l'enregistrement DNS à ajouter. Si InfraNest gère déjà cette zone DNS, choisissez L'ajouter pour moi ; sinon, ajoutez l'enregistrement là où votre DNS est hébergé et choisissez Vérifier maintenant.
4. Sur Create the app, copiez l'URL de redirection affichée en haut de cette étape. Gardez cet onglet ouvert.

Étape 2 : créer l'application chez votre fournisseur

Dans un deuxième onglet, créez l'application chez votre fournisseur, en utilisant l'URL de redirection d'InfraNest comme URL de redirection. Les sections par fournisseur ci-dessous indiquent exactement où trouver ce paramètre. Gardez à portée de main l'ID client, le secret client et l'URL de découverte. Assurez-vous de vous autoriser également à utiliser l'application, sinon le test à l'étape 4 échouera chez votre fournisseur.

Étape 3 : finaliser la connexion dans InfraNest

De retour dans InfraNest, à l'étape Create the app, renseignez l'URL de découverte, l'ID client et le secret client. InfraNest lit tout le reste depuis votre fournisseur. S'il ne peut pas atteindre l'URL de découverte, rien n'est enregistré, et le message explique ce qui n'a pas fonctionné.

La connexion porte le nom de votre fournisseur, et votre équipe voit ce nom sur la page de connexion sous la forme Continue with …. InfraNest reconnaît JumpCloud, OneLogin et Auth0 par leur nom ; pour tout autre fournisseur, il utilise l'adresse du fournisseur, comme sso.acme.com.

Étape 4 : tester, décider qui peut entrer, et activer

1. À l'étape Try it, choisissez Sign in with votre fournisseur to test. Un nouvel onglet s'ouvre chez votre fournisseur — connectez-vous avec votre propre compte. Une fois le test réussi, l'étape passe au vert. Un test réussi est requis avant de pouvoir activer la connexion.
2. À l'étape Who gets in, choisissez ce qui se passe When somebody new signs in :
   • Add them straight away est présélectionné. Les nouvelles personnes rejoignent avec le rôle défini sous Role for new members, qui est par défaut Member (lecture seule). Ceci n'est sûr que si votre fournisseur ne laisse que les bonnes personnes utiliser l'application InfraNest — plusieurs fournisseurs autorisent par défaut tous les utilisateurs, vérifiez donc la section correspondant au vôtre.
   • Ask an admin transforme la connexion de chaque nouvelle personne en une demande d'adhésion qu'un administrateur doit approuver.
   • Do nothing signifie que les personnes ont toujours besoin d'une invitation.
3. Choisissez Switch on. La liste de statut de la connexion devrait maintenant indiquer : Connected to votre fournisseur · Email domain verified · Test sign-in passed · Switched on.

Facultatif : attribuer des rôles à partir des groupes

Si votre fournisseur peut envoyer les groupes de chaque personne, InfraNest peut en déduire automatiquement les rôles. Ouvrez la connexion, puis Credentials and claim names. Définissez Groups claim sur le nom du champ dans lequel votre fournisseur envoie les groupes (la section fournisseur ci-dessous vous l'indique), et ajoutez une ligne pour chaque groupe : sous Group at your provider, son nom exactement tel que le fournisseur l'envoie ; sous Role here, le rôle qu'il doit recevoir. Les rôles pouvant modifier ou supprimer des éléments ne peuvent pas être mappés.

Connecter JumpCloud

1. Dans le portail d'administration JumpCloud, allez dans Access → SSO Applications et choisissez + Add New Application.
2. Choisissez Custom Application, puis Next. Choisissez Manage Single Sign-On (SSO) et Configure SSO with OIDC, puis Next.
3. Saisissez un Display Label, par exemple InfraNest, et passez à l'onglet SSO.
4. Sous Redirect URIs, collez l'URL de redirection d'InfraNest.
5. Définissez Client Authentication Type sur Client Secret Basic.
6. Pour Login URL, saisissez l'adresse de la page de connexion d'InfraNest telle qu'elle apparaît dans votre navigateur.
7. Sous Attribute Mapping, cochez les scopes standard Email et Profile — sans eux, JumpCloud n'enverra pas les adresses e-mail.
8. Sur l'onglet User Groups, choisissez les groupes autorisés à utiliser InfraNest. Seuls leurs membres pourront se connecter.
9. Choisissez Activate. JumpCloud affiche l'ID client et le secret client une seule fois — copiez les deux immédiatement.

URL de découverte : https://oauth.id.jumpcloud.com/.well-known/openid-configuration. Utilisez l'adresse de la région UE https://oauth.id.eu.jumpcloud.com/.well-known/openid-configuration, ou l'adresse de la région Inde https://oauth.id.in.jumpcloud.com/.well-known/openid-configuration, le cas échéant.

Groupes : sous Attribute Mapping, cochez include group attribute et nommez-le groups. Définissez Groups claim sur groups dans InfraNest.

NoteLancer InfraNest depuis le portail utilisateur JumpCloud n'est pas pris en charge — les personnes se connectent depuis la page de connexion InfraNest.

Connecter OneLogin

1. Dans OneLogin, allez dans Applications → Applications et choisissez Add App.
2. Recherchez OpenId Connect, choisissez OpenId Connect (OIDC), saisissez un Display Name tel que InfraNest, et choisissez Save.
3. Sur l'onglet Configuration, collez l'URL de redirection d'InfraNest sous Redirect URI's. Laissez Login Url vide — InfraNest ne prend pas en charge le démarrage de la connexion depuis le portail OneLogin. Choisissez Save.
4. Sur l'onglet SSO, définissez Application Type sur Web et la méthode d'authentification du point de terminaison de jeton sur Basic. Choisissez Show client secret et copiez l'ID client et le secret client.
5. Donnez l'accès à l'application aux personnes concernées, généralement via un rôle qui l'inclut. Seules les personnes disposant de l'application peuvent se connecter.

URL de découverte : https://<votre sous-domaine>.onelogin.com/oidc/2/.well-known/openid-configuration, en utilisant la première partie de votre adresse OneLogin comme sous-domaine.

Groupes : sur l'onglet Parameters de l'application, ouvrez Groups. Définissez Default if no value sur User Roles et choisissez Semicolon Delimited input (Multi-value output). Définissez Groups claim sur groups dans InfraNest, et mappez les noms de rôles.

Connecter Keycloak

1. Dans la console d'administration Keycloak, sélectionnez le realm où se trouvent vos utilisateurs, allez dans Clients et choisissez Create client.
2. Laissez Client type sur OpenID Connect, saisissez un Client ID tel que infranest, et continuez.
3. Activez Client authentication, et laissez Standard flow coché.
4. Sous Valid redirect URIs, collez exactement l'URL de redirection d'InfraNest, sans caractère générique. Enregistrez.
5. Sur l'onglet Credentials du client, copiez le Client Secret.

URL de découverte : https://<votre adresse Keycloak>/realms/<nom du realm>/.well-known/openid-configuration. Les anciennes versions de Keycloak ont /auth avant /realms.

Groupes : sur l'onglet Client scopes du client, ouvrez le scope se terminant par -dedicated, et choisissez Configure a new mapper → Group Membership. Donnez-lui un nom, définissez Token Claim Name sur groups, désactivez Full group path, et assurez-vous que Add to ID token est activé. Définissez Groups claim sur groups dans InfraNest.

WarningKeycloak laisse par défaut chaque utilisateur du realm se connecter à chaque client, sauf si vous ajoutez vous-même une restriction. Sans cela, choisissez Ask an admin plutôt que Add them straight away à l'étape Who gets in.

Connecter Authentik

1. Dans l'interface d'administration Authentik, allez dans Applications → Applications et choisissez New Application.
2. Sous Application, saisissez un nom tel que InfraNest, et notez le Slug.
3. Sous Choose a Provider type, choisissez OAuth2/OpenID Connect.
4. Sous Configure the Provider, choisissez un flux d'autorisation, et copiez l'ID client et le secret client. Ajoutez une Redirect URI de type Strict, Authorization, avec l'URL de redirection d'InfraNest (sur les versions d'Authentik antérieures à 2026.5, il n'y a pas de type à choisir). Sous Signing Key, choisissez une clé — c'est obligatoire, sinon Authentik signe avec le secret client et InfraNest le refuse.
5. Sous Configure Bindings, associez les groupes ou personnes autorisés à utiliser InfraNest. Sans association, tout utilisateur Authentik peut se connecter.
6. Choisissez Submit.

URL de découverte : https://<votre adresse Authentik>/application/o/<slug>/.well-known/openid-configuration, en utilisant le slug de l'étape 2.

Groupes : les informations de profil standard d'Authentik incluent les groupes de la personne, dans un champ nommé groups. Définissez Groups claim sur groups dans InfraNest et mappez les noms de groupes.

Connecter Auth0

1. Dans le tableau de bord Auth0, allez dans Applications → Applications et choisissez Create Application.
2. Saisissez un nom tel que InfraNest, choisissez Regular Web Applications, et choisissez Create.
3. Sur l'onglet Settings, collez l'URL de redirection d'InfraNest sous Allowed Callback URLs, et choisissez Save Changes. Copiez le Domain, l'ID client et le secret client depuis le même onglet.
4. Sur l'onglet Credentials, définissez la méthode d'authentification sur Client Secret (Basic).

URL de découverte : https://<votre domaine Auth0>/.well-known/openid-configuration, en utilisant le Domain de l'étape 3 (ou votre domaine personnalisé, le cas échéant).

Groupes : Auth0 n'envoie pas de rôles ou de groupes par défaut. La personne qui gère votre tenant Auth0 peut les ajouter grâce à une petite Action post-connexion qui ajoute les rôles de la personne sous forme de claim personnalisé. Définissez Groups claim dans InfraNest exactement avec le nom de ce claim tel qu'écrit dans l'Action — souvent une adresse complète, comme https://example.com/roles.

Qui peut se connecter : toute personne pouvant se connecter via les connexions Auth0 activées pour cette application peut se connecter à InfraNest. Limitez les connexions sur l'application, ou choisissez Ask an admin à l'étape Who gets in.

Astuces

• Commencez depuis InfraNest. Lancer InfraNest depuis le portail ou le tableau de bord de votre fournisseur n'est pas pris en charge. Les personnes se connectent depuis la page de connexion InfraNest avec leur adresse professionnelle.
• Aucune adresse de déconnexion. InfraNest n'utilise pas d'URL de redirection de déconnexion (post-logout) — laissez ce champ vide.
• Rotation du secret client : collez le nouveau secret dans la connexion sous Credentials and claim names et choisissez Replace. Tant que vous ne l'avez pas fait, personne ne peut se connecter via votre fournisseur.
• Passer à un autre fournisseur ou tenant nécessite une nouvelle connexion, car la connexion est liée au fournisseur avec lequel elle a été configurée.
• Noms de champs non standard : si votre fournisseur envoie l'adresse e-mail ou le nom sous un nom inhabituel, renseignez-le sous Credentials and claim names → Claim names.

Dépannage

• Rien n'est enregistré lorsque vous saisissez l'URL de découverte : InfraNest n'a pas pu la lire. Ouvrez l'adresse dans votre navigateur — elle devrait afficher une page de texte contenant "issuer" et l'adresse de votre fournisseur. Sinon, l'adresse est incorrecte.
• Le fournisseur affiche une erreur de redirection ou de callback : l'URL de redirection chez votre fournisseur ne correspond pas à l'URL de redirection d'InfraNest. Copiez-la à nouveau — elle doit correspondre exactement.
• Le test échoue après la connexion chez votre fournisseur : vérifiez que le secret client est à jour, et pour JumpCloud, OneLogin et Auth0, que l'application envoie le secret de la manière Basic. Pour Authentik, vérifiez qu'une Signing Key est sélectionnée.
• Quelqu'un se connecte chez le fournisseur mais InfraNest ne le laisse pas entrer : son adresse e-mail est absente de ce que le fournisseur envoie, ou elle n'appartient pas à un domaine que vous avez vérifié dans InfraNest.
• Tout le monde obtient le rôle par défaut, bien que vous ayez mappé des groupes : vérifiez que Groups claim correspond exactement au nom du champ utilisé par votre fournisseur, et que les noms des groupes sont orthographiés exactement comme envoyés par le fournisseur.
• Les administrateurs peuvent voir chaque tentative échouée, avec la raison, dans Paramètres → Journal d'audit.