Qu’est-ce que la connexion via SAML SSO ?

Le service d’authentification unique (Single Sign On) basé sur le protocole SAML, permet aux entreprises d’unifier la gestion des accès des employés aux différentes applications tierces comme Spendesk.

Pour fluidifier cette gestion, nos clients peuvent désormais connecter leurs services d’authentification tiers pour un meilleur contrôle des connections sur Spendesk (Okta, Onelogin ou encore Microsoft Azure AD).

La fonctionnalité SAML-SSO n'est pas activée par défaut sur votre compte et dans votre abonnement. Vous voulez mettre en place cette option, ou avez mis en place ce moyen de connexion et changez d’avis ? Prévenez simplement votre Chargé•e de compte Spendesk pour l'activer/désactiver !

Activer la connexion via SAML SSO

Les conditions commerciales

En tant que Propriétaire de compte Spendesk, vous pouvez à tout moment contacter votre gestionnaire de compte pour bénéficier de cette option de connexion (add-on).

Vous pourrez ensuite décider de :

laisser le choix à vos équipes de se connecter via leur adresse email et identifiant OU
Imposer la connexion via SAML SSO à tous vos employés.

Les conditions techniques

Après avoir contacté votre gestionnaire de compte sur Spendesk, un échange de données initial sera nécessaire afin de configurer la connexion avec votre service d’authentification SSO.

Quel procédé?

Celui-ci suivra les étapes suivantes:

La création d’une nouvelle application pour Spendesk dans l’interface d’administration de votre service d’authentification.
La communication par Spendesk des informations techniques de connexion sous forme de fichier de configuration XML, qu’il faudra ensuite remplir dans cette même interface.
La récupération des informations de connexion de cette nouvelle application dans l’interface d’administration de votre service d’authentification — souvent au format XML également — puis l’envoi à votre gestionnaire de compte.
La finalisation et l’activation de la fonctionnalité par votre gestionnaire de compte.

Vos collaborateurs pourront alors se connecter à Spendesk via votre service d’authentification (voir ici).

Créer une application Spendesk sur votre service d’authentification:

Lors de la création de l’application Spendesk sur votre service d’authentification, veuillez à bien remplir les attributs utilisateurs, requis par Spendesk :

NameID : choisir l’adresse e-mail pour le format de NameID
email : choisir l’adresse e-mail également
first_name : choisir le prénom
last_name : choisir le nom de famille

A noter que si vous ne pouvez pas choisir le nom exact de chacun de ces attributs, Spendesk essaiera de les déterminer automatiquement en identifiant les attributs suivants dans la réponse SAML serveur renvoyée par votre service d’authentification :

Email: email, Email, user.email, user.Email, User.email, User.Email, mail, emailaddress, emailAddress, EmailAddress, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/email, http://schemas.xmlsoap.org/claims/EmailAddress
Prénom : firstName, first_name, FirstName, user.firstName, user.first_name, user.FirstName, User.firstName, User.first_name, User.FirstName, givenname, given_name, GivenName, user.givenname, user.given_name, user.GivenName, User.givenname, User.given_name, User.GivenName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Nom : lastName, last_name, LastName, user.lastName, user.last_name, user.LastName, User.lastName, User.last_name, User.LastName, surname, sur_name, SurName, user.surname, user.sur_name, user.SurName, User.surname, User.sur_name, User.SurName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname

Informations complémentaires :

Chaque utilisateur devra avoir été préalablement invité sur Spendesk pour pouvoir s’inscrire ou se connecter. Il est toujours possible de générer un lien d’inscription unique à votre organisation, que vous pourrez envoyer aux nouveaux collaborateurs qui vous rejoignent. Ils pourront alors s’inscrire via votre service d’authentification.
Chacun de vos collaborateurs devra partager une adresse e-mail commune entre Spendesk et votre service d’authentification. Autrement, Spendesk ne sera pas en mesure de les identifier.
Chacun de vos comptes utilisateurs doivent avoir les champs 'adresse email', 'nom de famille' et 'prénom' correctement remplis dans votre fournisseur SSO afin de leur permettre de se connecter dans Spendesk.

Se connecter sur Spendesk avec l’authentification SAML SSO

Une fois l’option activée par votre gestionnaire de compte et la configuration effectuée par le Propriétaire de compte Spendesk, la connexion par SAML SSO sera proposée parmi les autres moyens de connexion (Google, Microsoft...).

Spendesk prend en charge l’authentification via des services tels que Okta, OneLogin, Microsoft Azure AD, ou tout autre qui respecte la norme SAML 2.0.

Cliquez sur “SSO SAML” sur la page de connexion

Renseignez l’adresse de votre fournisseur SSO

Connectez-vous via votre fournisseur SSO après avoir été redirigé

Vous êtes connecté(e) ! 🚀

Plus d'informations sur la fonctionnalité

Que puis-je faire / ne pas faire avec la fonctionnalité SAML SSO activée sur Spendesk?

Je peux:

Me connecter en utilisant un fournisseur SSO (à partir de la page de connexion, choisir l'option de connexion SAML SSO).
M'inscrire en utilisant un fournisseur d'identité tiers (à partir du lien d'invitation, choisir l'option d'inscription SAML SSO).
Activer ou renforcer l'authentification via SAML SSO (dans ce dernier cas, il est uniquement possible pour mes utilisateurs de s'authentifier à Spendesk en utilisant le système SSO)

Je ne peux pas :

Ajouter automatiquement des utilisateurs à Spendesk dès qu'ils sont ajoutés au fournisseur SSO. Je peux cependant inviter mes utilisateurs par lien sur Spendesk - il suffit de communiquer le lien aux personnes à inviter!
Supprimer des utilisateurs de Spendesk s'ils sont supprimés de mon fournisseur SSO.
Avoir plus d'un système SSO actif sur Spendesk.