Authentification unique, SCIM et accès maîtrisés

Ce que vous allez apprendre

• Comment activer l’authentification unique avec OpenID Connect ou SAML, et la tester sans risque.
• Comment SCIM ajoute les personnes qui arrivent et retire celles qui partent.
• Comment limiter l’accès à vos bureaux et à votre VPN sans vous bloquer.
• Comment voir qui est connecté, déconnecter des personnes et télécharger le journal d’audit.

Qui fait quoi

Paramètres › Sécurité appartient au propriétaire de l’organisation, qui modifie l’authentification unique, SCIM et la liste d’adresses IP autorisées. Les administrateurs peuvent consulter, déconnecter des membres et télécharger le journal d’audit.

L’authentification unique

Exemple : Acme Logistics utilise Microsoft Entra ID. Kofi, le propriétaire de l’organisation, veut que chacun se connecte avec son compte Acme.

1. Dans Entra ID, Kofi enregistre une application web avec l’adresse de redirection affichée dans Paramètres › Sécurité (…/sso/acme-logistics/callback) et crée un secret client.
2. Dans Livra, il choisit OpenID Connect, saisit le domaine e-mail acmelogistics.com, l’Émetteur (https://login.microsoftonline.com/<id-du-tenant>/v2.0), le Client ID et le Secret client, puis enregistre.
3. Il clique sur L’essayer dans une fenêtre privée et se connecte en tant que collègue.
4. Une fois que cela fonctionne, il coche Exiger l’authentification unique.

Les personnes choisissent désormais Se connecter avec le SSO et saisissent leur e-mail professionnel. Les membres ne peuvent plus utiliser de mot de passe, Google ni GitLab — mais Kofi garde son mot de passe : si Entra ID a un problème, il peut toujours entrer et la désactiver.

Avec SAML 2.0, le principe est le même : donnez à votre fournisseur l’adresse de réponse (ACS) et l’entity ID affichés sur la page (ou le lien des métadonnées), puis collez son adresse de connexion et son certificat de signature.

Astuce : laissez Créer les comptes à la première connexion activé pendant la transition, pour que personne n’ait besoin d’être invité à la main. Désactivez-le quand SCIM gère vos équipes.

La validation en deux étapes pour tous

Sous Validation en deux étapes, Kofi (qui l’utilise déjà lui-même) coche Exiger la validation en deux étapes et laisse 7 jours aux équipes. Tous ceux qui ne l’ont pas sont prévenus et voient un bandeau jusqu’à la date. Ensuite, ils peuvent seulement la configurer — toute autre page les y renvoie. Les membres qui se connectent via Entra ID ne sont pas sollicités une seconde fois si Pas pour l’authentification unique reste coché.

SCIM : les arrivées et les départs

1. Cliquez sur Activer et créer un jeton, et copiez-le — il n’est affiché qu’une fois.
2. Dans le provisionnement de votre fournisseur d’identité, saisissez l’adresse de base SCIM (…/scim/v2) et le jeton.
3. Attribuez l’application aux personnes ou aux groupes qui doivent avoir Livra.

Quand quelqu’un arrive, il apparaît comme membre. Quand quelqu’un part et est retiré du fournisseur d’identité, son compte est désactivé et déconnecté tout de suite ; ses fonctionnalités et son historique restent. Les rôles restent gérés dans Livra, et SCIM ne touche jamais au propriétaire de l’organisation.

Vos réseaux uniquement

Sous Adresses IP autorisées, listez les adresses de vos bureaux et de votre VPN (203.0.113.0/24, une par ligne) et activez la liste. Ailleurs, les membres voient une page qui leur explique pourquoi ils ne peuvent pas entrer. Vous ne pouvez pas enregistrer une liste qui exclut votre propre adresse — la page vous l’affiche.

Qui est connecté, et le journal d’audit

Qui est connecté montre chaque navigateur où un membre est connecté. Un ordinateur perdu ? Déconnectez cette session — ou Déconnectez tous les autres. Chacun peut faire de même pour lui-même dans Comptes connectés.

Le journal d’audit enregistre les connexions avec leur adresse, les modifications de paramètres, les approbations, les paiements et le provisionnement. Téléchargez-le en CSV ou en lignes JSON pour vos archives ou vos outils de sécurité.

Vérifiez vos acquis