Connecter votre propre fournisseur d’identité (Okta, Entra ID, Google Workspace)

Connectez le fournisseur d’identité de votre entreprise — Okta, Microsoft Entra ID, Google Workspace, ou un autre fournisseur OpenID Connect — afin que votre équipe se connecte avec les comptes que votre service informatique gère déjà. Ceci s’adresse aux administrateurs sur les forfaits Enterprise.

Vue d’ensemble

• Votre équipe se connecte avec les comptes qu’elle utilise déjà au travail.
• Vous gardez le contrôle à un seul endroit : une personne retirée chez votre fournisseur ne peut plus se connecter à InfraNest.
• Si vous souhaitez simplement que les utilisateurs se connectent avec un compte Google, GitHub ou Microsoft personnel (sans votre propre fournisseur), consultez plutôt Authentification unique et connexions de connexion.

Configuration

1. Allez dans Paramètres → Connexion et choisissez Set up single sign-on.
2. Sous Provider, choisissez Okta, Microsoft Entra ID, Google Workspace, ou Another provider (OpenID Connect).
3. Sous Email domain (Optionnel), saisissez le domaine utilisé par les adresses de votre équipe. Le vérifier permet aux utilisateurs de saisir leur adresse professionnelle sur la page de connexion et permet aux nouveaux membres de rejoindre automatiquement. Vous pouvez ignorer cette étape — votre équipe utilisera alors le lien de connexion de votre organisation, et les nouveaux membres rejoignent par invitation.
4. Sous Create the app, copiez la Redirect URL et utilisez-la pour créer une application pour InfraNest chez votre fournisseur. Collez en retour le Client ID et le Client secret fournis par votre fournisseur, ainsi que le champ supplémentaire nécessaire :
   • Okta : votre domaine Okta, par exemple acme.okta.com.
   • Microsoft Entra ID : votre ID de tenant, ou tout domaine de votre tenant.
   • Google Workspace : rien à renseigner en plus.
   • Another provider (OpenID Connect) : la Discovery URL, se terminant généralement par /.well-known/openid-configuration.
5. À l’étape Try it, connectez-vous chez votre fournisseur avec votre propre compte dans un nouvel onglet. Vous ne pouvez activer la connexion qu’une fois ce test réussi.
6. À l’étape Who gets in, choisissez ce qui se passe quand une nouvelle personne se connecte, ainsi que le rôle qu’elle obtient. Puis choisissez Switch on.

NoteInfraNest lit l’adresse de connexion, l’adresse de jeton et les clés de signature directement depuis votre fournisseur. S’il ne peut pas joindre votre fournisseur, la connexion n’est pas enregistrée, et l’erreur explique ce qui a été tenté.

Par la suite, chaque connexion affiche son état — connectée, test de connexion réussi, activée, et si un domaine e-mail est vérifié — ainsi que le Sign-in link de votre organisation et sa Redirect URL.

Comment votre équipe se connecte

1. Utilisez le Sign-in link de votre organisation, affiché sur la connexion avec un bouton de copie (par exemple https://app.infranest.io/sso/acme). Les utilisateurs peuvent le mettre en favori ; il fonctionne avec ou sans domaine vérifié.
2. Ou, depuis la page de connexion, choisissez Use single sign-on sous le bouton Sign in, et saisissez le nom de connexion de votre organisation ou une adresse e-mail professionnelle.
3. Ou, saisissez directement une adresse e-mail professionnelle sur la page de connexion. Si son domaine est vérifié, un bouton Continue with … apparaît.

Vous pouvez aussi ajouter le lien de connexion au tableau de bord de votre fournisseur afin que les utilisateurs puissent démarrer depuis la tuile InfraNest qui s’y trouve.

TipLe nom de connexion de votre organisation est son slug, que l’on trouve sous Paramètres → Organisation. Le modifier change le lien de connexion, donc tout lien mis en favori cessera de fonctionner.

Lorsque l’authentification unique est obligatoire, saisir une adresse professionnelle affiche Continue with … comme bouton principal, le champ du mot de passe étant replié sous Sign in with a password instead.

Comment les nouveaux membres rejoignent

1. Avec un domaine e-mail vérifié, une nouvelle personne peut rejoindre dès sa première connexion, selon ce que vous avez choisi sous Décider qui peut entrer.
2. Sans domaine vérifié, invitez-la depuis Members comme d’habitude. Son e-mail d’invitation inclut un bouton Continue with … pour votre fournisseur — elle se connecte en tant qu’adresse invitée et c’est fait. Si elle possède déjà un compte InfraNest avec cette adresse, celui-ci est réutilisé, et non dupliqué.
3. Une personne qui se connecte via votre fournisseur sans invitation, sans domaine vérifié, et sans compte lié est refusée, et aucun compte n’est créé.
4. Les personnes possédant déjà un compte InfraNest (par exemple créé avec un mot de passe) peuvent le lier sous My account → Sign-in & security → Connected accounts. Ensuite, elles se connectent via votre fournisseur, domaine vérifié ou non.

Décider qui peut entrer

Il existe deux réglages distincts sur la connexion :

• Allowed email domains restreint quelles adresses peuvent l’utiliser. Les sous-domaines ne sont pas inclus automatiquement — acme.com n’autorise pas automatiquement mail.acme.com.
• When somebody new signs in détermine ce qu’accorde une connexion réussie :
  1. Do nothing — la personne a toujours besoin d’une invitation.
  2. Ask an admin — sa connexion déclenche une demande d’adhésion qu’un administrateur doit approuver.
  3. Add them straight away — elle obtient immédiatement une place, avec le rôle que vous choisissez.

La troisième option n’est disponible que pour votre propre fournisseur d’identité, pas pour la connexion Google ou GitHub — seul votre fournisseur sait réellement qui est autorisé à utiliser InfraNest. Le rôle attribué aux nouveaux membres ne peut jamais être propriétaire, ni aucun rôle pouvant modifier ou supprimer des éléments ; élevez les personnes individuellement par la suite.

Rejoindre est toujours additif : une personne qui gère déjà sa propre organisation InfraNest la conserve et obtient simplement une adhésion supplémentaire dans la vôtre.

Attribuer des rôles à partir de vos propres groupes

Si votre fournisseur sépare déjà qui fait quoi en groupes, InfraNest peut s’appuyer dessus au lieu que vous définissiez un rôle par personne.

1. Sous Credentials and claim names, renseignez Groups claim avec le champ dans lequel votre fournisseur envoie les groupes (Okta envoie généralement groups ; Entra ID envoie roles pour les rôles applicatifs). Laissez-le vide pour ne pas utiliser les groupes du tout.
2. Après un test de connexion, InfraNest indique quel champ votre fournisseur a réellement utilisé, avec un bouton pour l’utiliser.
3. Ajoutez une ligne par groupe : le nom du groupe exactement tel que votre fournisseur l’écrit, et le rôle qu’il doit obtenir ici. Les noms de groupes déjà rencontrés sont suggérés au fur et à mesure que vous tapez.

Ce à quoi vous attendre par la suite :

• Les rôles suivent votre fournisseur — déplacez quelqu’un vers un autre groupe et son rôle change lors de sa prochaine connexion.
• Modifier le rôle de quelqu’un ici manuellement persiste — ses groupes ne le déterminent plus ensuite.
• Un groupe que vous n’avez pas mappé ne change rien — les personnes conservent leur rôle existant.
• Les rôles pouvant modifier ou supprimer des éléments ne peuvent pas non plus être mappés ici ; élevez ces personnes manuellement.

Confirmation des actions sensibles

Votre organisation peut exiger que les utilisateurs confirment les suppressions, reconstructions et actions d’alimentation en prouvant à nouveau leur identité, sous Paramètres → Access policy.

• Une personne connectée via votre fournisseur voit Confirm with votre fournisseur ; une petite fenêtre s’ouvre et elle se reconnecte.
• InfraNest n’accepte cela que lorsque votre fournisseur a réellement demandé une nouvelle connexion, en vérifiant l’horodatage de connexion qu’il envoie. Chaque confirmation n’est utilisée qu’une fois, pour l’action pour laquelle elle a été demandée.
• Okta fonctionne sans configuration supplémentaire.
• Entra ID nécessite d’ajouter d’abord la revendication auth_time à l’application.
• Google Workspace ne peut pas le faire — les utilisateurs confirment avec une clé d’accès, une application d’authentification, ou leur mot de passe à la place.
• Les autres fournisseurs fonctionnent s’ils envoient auth_time dans le jeton ID ; sinon la fenêtre l’indiquera.

Si un navigateur bloque la fenêtre de confirmation, autorisez les fenêtres pop-up pour InfraNest et réessayez.

Renouveler le secret client

1. Allez dans Credentials and claim names.
2. Saisissez le nouveau secret.
3. Choisissez Replace.

WarningLe secret enregistré n’est plus jamais affiché. Laisser le champ vide conserve toujours le secret actuel en place.

Noms de revendication

Laissez Claim names vide sauf si votre fournisseur utilise des noms non standards pour l’e-mail ou le nom d’une personne. Les valeurs par défaut fonctionnent déjà pour Okta, Entra ID et Google Workspace.

Dépannage

• Lancez d’abord Vérifier (test de connexion) — il identifie directement la plupart des problèmes, comme un fournisseur injoignable ou un fournisseur annonçant désormais un émetteur différent de celui avec lequel la connexion a été configurée.
• « Your identity provider rejected this connection's credentials » signifie que le secret client a expiré ou a été renouvelé chez votre fournisseur — remplacez-le comme décrit ci-dessus.
• « does not use for single sign-on » signifie que la personne appartient à une autre organisation qui exige son propre fournisseur — se connecter via le bon fournisseur fonctionne.
• Un fournisseur ayant migré vers un autre tenant nécessite une toute nouvelle connexion, car l’émetteur est fixé à la création de la connexion et vérifié à chaque connexion.
• Les administrateurs peuvent voir chaque tentative échouée, avec le motif, dans Paramètres → Journal d'audit.