Connectez Microsoft Azure Active Directory (Azure AD) à Spendesk via l'authentification unique SAML (SSO) afin que vos employés puissent se connecter avec leurs identifiants d'entreprise existants. Ce guide vous accompagne dans la création et la configuration de l'application Spendesk dans Azure AD.
Pour : les Account Owners et les administrateurs Azure sur les plans avec le SSO SAML activé.
Avant de commencer
Vous devez disposer d'un accès Owner à l'application d'entreprise (Enterprise Application) dans Azure AD pour effectuer la configuration. Azure attribue automatiquement ce rôle à la personne qui crée l'application.
Spendesk n'est pas répertorié comme application de la galerie dans Azure AD. Vous devez l'ajouter en tant qu'application personnalisée (non-gallery).
Chaque employé doit disposer d'une adresse e-mail, d'un prénom et d'un nom configurés dans Azure AD pour pouvoir se connecter.
Spendesk ne prend pas en charge l'approvisionnement automatique ni la désactivation automatique (SCIM). Invitez chaque utilisateur sur Spendesk séparément, en plus de l'ajouter à l'application Azure.
Instructions étape par étape
Ouvrez le portail Azure et connectez-vous en tant qu'administrateur Azure ou co-administrateur.
Accédez à Azure Active Directory > Applications Entreprise.
Cliquez sur Nouvelle application pour commencer la création d'une nouvelle application.
Cliquez sur Créer ma propre application (également indiqué comme « ajout d’une application ne provenant pas de la galerie »).
Saisissez « Spendesk » comme nom de l'application.
Cliquez sur Créer.
Accédez à Authentification unique dans le menu de gauche.
Sélectionnez SAML comme méthode d'authentification unique.
Cliquez sur Modifier dans la section « Configuration SAML de base ».
Saisissez l'URL fournie par Spendesk dans le champ Identifier (Entity ID).
Saisissez la même URL fournie par Spendesk dans le champ URL de réponse (URL du service de consommation d’assertions).
Accédez à la section Attributs et revendications utilisateur.
Définissez l’Identifiant utilisateur unique (Name ID) sur user.mail.
Vérifiez que les revendications suivantes sont configurées : user.mail, user.givenname et user.surname.
Accédez à Utilisateurs and groupes et ajoutez chaque employé ayant besoin d'un accès au SSO SAML.
Retournez à la page Authentification unique et repérez la section Certificat de signature SAML.
Téléchargez le fichier Federation Metadata XML.
Envoyez le fichier Federation Metadata XML à votre CSM Spendesk ou à votre chargé de compte pour finaliser la configuration.
Résultat attendu
Une fois que votre CSM Spendesk confirme que la configuration est terminée, vos employés peuvent se connecter via l'option SSO SAML sur la page de connexion Spendesk, ou directement depuis le tableau de bord de leur application Azure AD.
Résolution des problèmes
Symptôme : les nouveaux employés ne peuvent pas créer de compte Spendesk, ou SAML envoie le mauvais identifiant (par exemple, userPrincipalName au lieu d'une adresse e-mail).
Cause : le Unique User Identifier dans User Attributes & Claims n'est pas défini sur user.mail.
Résolution : dans Azure AD, accédez à Authentification unique > Attributs utilisateur et revendications et définissez le Unique User Identifier sur user.mail. Vérifiez que les revendications user.givenname et user.surname sont également présentes.
Symptôme : un utilisateur clique sur son lien d'invitation Spendesk et arrive sur une page d'erreur, ou la connexion via le SSO SAML échoue pour cet utilisateur.
Cause : l'utilisateur n'a pas été ajouté à l'application Spendesk dans Azure AD.
Résolution : accédez à Applications d’entreprise > Spendesk > Utilisateurs et groupes et attribuez l'utilisateur concerné ou son groupe à l'application.
Symptôme : un utilisateur ne parvient pas du tout à se connecter via le SSO SAML.
Cause : le profil Azure AD de l'utilisateur ne comporte pas d'adresse e-mail, de prénom ou de nom.
Résolution : demandez à votre administrateur Azure de compléter ces champs sur le profil Azure AD de l'utilisateur, puis demandez à celui-ci de réessayer de se connecter.
💡 Astuce : générez un lien d'inscription Spendesk pour les nouveaux employés afin qu'ils puissent s'enregistrer sans attendre une invitation individuelle. Cela fonctionne en complément de votre configuration SSO SAML.
🔒 Accès : le SSO SAML n'est pas activé par défaut. Contactez votre Customer Success Manager pour l'activer sur votre compte avant de configurer Azure AD.
⚠️ Avertissement : Spendesk ne prend pas en charge l'approvisionnement automatique ni la désactivation automatique (SCIM). Invitez chaque employé directement sur Spendesk, en plus de l'ajouter à l'application Azure.