Connectez Spendesk à votre fournisseur d'identité Okta ou OneLogin afin que vos collaborateurs puissent se connecter via SSO SAML (une connexion partagée entre les outils de votre entreprise).
Pour : les Titulaires du compte et les Administrateurs qui configurent l'authentification sur les plans Growth et Premium, ou avec l'option SSO SAML.
Table des matières
Avant de commencer
Fonctionnalités prises en charge
Configurer Spendesk avec Okta
Configurer Spendesk avec OneLogin
Se connecter via SSO SAML (initié par le fournisseur de services)
Dépannage
Articles connexes
Avant de commencer
Demandez à votre gestionnaire de compte ou de facturation Spendesk d'activer le SSO SAML pour votre organisation. Il vous communiquera votre Organisation ID, à saisir comme Customer ID dans votre application Okta ou OneLogin.
Le SSO SAML est activé au niveau de l'organisation, et non par entreprise. Toutes les entreprises rattachées à une même organisation partagent la même intégration SAML.
Chaque utilisateur doit déjà disposer d'un compte Spendesk avant de pouvoir se connecter via Okta ou OneLogin. Spendesk ne prend pas en charge la création ou la suppression automatique d'utilisateurs (voir la section Dépannage ci-dessous).
Vous avez besoin d'un accès Administrateur à votre compte Okta ou OneLogin pour effectuer cette configuration.
👥 Seuls les Titulaires du compte et les Administrateurs peuvent demander l'activation du SSO SAML et configurer la connexion avec le fournisseur d'identité.
Fonctionnalités prises en charge
SSO initié par le fournisseur d'identité (IdP-initiated) : connexion à Spendesk depuis la page d'accueil de votre compte Okta ou OneLogin.
SSO initié par le fournisseur de services (SP-initiated) : connexion via Okta ou OneLogin depuis la page de connexion Spendesk.
SAML forcé (« Big bang ») : lors de l'activation du SSO SAML, vous pouvez choisir de le rendre obligatoire afin que les utilisateurs ne puissent se connecter que via SAML, et non avec un identifiant et un mot de passe.
Pour en savoir plus sur ces termes, consultez le glossaire Okta.
⚠️ Les intégrations Okta et OneLogin de Spendesk ne prennent pas en charge le provisioning des utilisateurs (création ou suppression automatique de compte, provisioning « Just-In-Time » ou SCIM). Invitez les utilisateurs dans votre organisation Spendesk avant qu'ils ne tentent de se connecter ou de s'inscrire via Okta ou OneLogin.
Configurer Spendesk avec Okta
Spendesk figure comme connecteur partenaire officiel dans la marketplace d'applications d'Okta.
Ajouter l'application Spendesk
Connectez-vous à votre compte administrateur Okta.
Accédez à Applications > Applications.
Cliquez sur Browse App Catalog.
Recherchez Spendesk.
Cliquez sur Add Integration.
Saisissez un nom pour votre application.
Cliquez sur Done.
Saisir votre Customer ID
Accédez à l'onglet Sign On.
Cliquez sur Edit.
Faites défiler jusqu'à Advanced Sign-on Settings.
Saisissez votre Organisation ID dans le champ Customer ID.
Cliquez sur Save.
Partager l'URL des métadonnées
Dans l'onglet Sign On, copiez la Metadata URL.
Envoyez l'URL des métadonnées à votre gestionnaire de compte ou de facturation Spendesk.
Attendez que votre gestionnaire de compte ou de facturation confirme l'activation du SSO SAML pour votre organisation.
💡 Vous pouvez demander à votre gestionnaire de compte ou de facturation de rendre le SAML obligatoire pour votre organisation. Les utilisateurs ne pourront alors se connecter que via SAML, et non avec un identifiant et un mot de passe.
Attribuer les utilisateurs et mapper les attributs
Accédez à l'onglet Assignments.
Attribuez les utilisateurs qui doivent accéder à Spendesk via cette application.
Vérifiez que les 3 attributs suivants sont bien mappés pour chaque utilisateur :
email(utilisé comme nom d'utilisateur)firstNamelastName
⚠️ Si vous rendez la connexion SAML obligatoire, Spendesk ne propose pas d'URL de secours pour se connecter avec un identifiant et un mot de passe. Contactez le support Spendesk via le Chat si vous devez désactiver cette obligation ou désactiver le SAML.
Configurer Spendesk avec OneLogin
Spendesk figure comme connecteur partenaire officiel dans la marketplace d'applications de OneLogin.
Contactez votre gestionnaire de compte Spendesk pour demander l'activation du SSO SAML et recevoir votre Organisation ID.
Connectez-vous à OneLogin en tant qu'Administrateur.
Accédez à Applications.
Ajoutez le modèle de connecteur Spendesk.
Saisissez votre Organisation ID dans le champ Spendesk Customer ID.
Cliquez sur Save.
Copiez le fichier de métadonnées XML de l'application.
Envoyez le fichier de métadonnées XML à votre gestionnaire de compte Spendesk.
Attendez que votre gestionnaire de compte confirme que la configuration du SSO SAML est terminée.
Testez votre connexion SSO SAML à l'aide de ce lien de test.
Choisissez de rendre le SSO SAML obligatoire pour tous les utilisateurs, une fois le test réussi.
Se connecter via SSO SAML (initié par le fournisseur de services)
Accédez à la page de connexion Spendesk.
Cliquez sur le bouton SAML SSO.
Saisissez votre adresse e-mail.
Vous serez redirigé vers votre fournisseur d'identité (Okta ou OneLogin) pour vous connecter.
Une fois vos identifiants validés, vous serez redirigé vers votre tableau de bord Spendesk.
Dépannage
Symptôme : un nouvel employé ne parvient pas à se connecter via Okta ou OneLogin, alors que le SSO SAML est actif.
Cause : les intégrations SAML de Spendesk ne prennent pas en charge le provisioning automatique des utilisateurs (SCIM ou provisioning « Just-In-Time »).
Résolution : invitez manuellement l'utilisateur dans votre organisation Spendesk avant qu'il ne tente de se connecter via votre fournisseur d'identité.
Symptôme : un utilisateur est définitivement bloqué et n'a aucun moyen de se connecter avec un identifiant et un mot de passe.
Cause : votre organisation a rendu le SSO SAML obligatoire (« Big bang »), et Spendesk ne fournit aucune URL de connexion de secours lorsque cette obligation est active.
Résolution : contactez le support Spendesk via le Chat pour désactiver temporairement l'obligation SAML, ou pour réinitialiser le SSO pour cet utilisateur spécifique.
Symptôme : la connexion SAML d'un utilisateur échoue ou son identité n'est pas correctement résolue.
Cause : l'adresse e-mail de l'utilisateur ne correspond pas entre Spendesk et votre fournisseur d'identité, ou les attributs requis (email, firstName, lastName) ne sont pas correctement mappés.
Résolution : vérifiez que l'adresse e-mail de l'utilisateur est identique dans les deux systèmes, et contrôlez le mapping des attributs dans votre application Okta ou OneLogin.