Authentification unique (SSO) dans les applications Ajax PRO

Principe de fonctionnement

Pour se connecter aux applications Ajax PRO avec SSO, les employés doivent saisir leur adresse e-mail professionnelle et cliquer sur Se connecter avec SSO. Si l’entreprise a un employé avec une telle adresse e-mail et que l’authentification unique (SSO) est activée et configurée, l’employé sera redirigé vers la page de connexion de l’IdP, où il devra s’authentifier en utilisant ses identifiants professionnels. Si l’authentification via IdP est réussie, l’employé sera connecté à son compte dans l’application.

Pour utiliser SSO pour l’entreprise dans les applications Ajax PRO, la fonctionnalité doit être activée et configurée dans les paramètres de l’entreprise dans Ajax PRO Desktop. Seul le propriétaire de l’entreprise a le droit de configurer la fonctionnalité SSO. Consultez cette section pour en savoir plus sur la configuration du SSO.

Après avoir configuré le SSO dans Ajax PRO Desktop, vous pouvez ajouter des employés qui pourront se connecter grâce à leur adresse e-mail d’entreprise. Les comptes PRO de ces employés ne contiennent que l’adresse e-mail et n’ont ni mot de passe, ni numéro de téléphone. Consultez cette section pour en savoir plus sur les comptes d’employés.

Le SSO dans les applications Ajax PRO utilise le protocole SAML (Security assertion markup language) pour l’authentification. Le SSO dans les applications Ajax PRO nécessite également des certificats de sécurité.

Configuration du SSO pour une entreprise

Avant de configurer l’authentification unique (SSO) pour une entreprise dans PRO Desktop Ajax, configurez-la du côté IdP.

Les réglages du SSO se trouvent dans les paramètres de l’entreprise sur Ajax PRO Desktop. Seul le propriétaire de l’entreprise peut configurer la fonctionnalité SSO.

Pour configurer l’authentification unique dans l’application Ajax PRO Desktop :

1. Allez au menu Entreprise et sélectionnez Authentification unique (SSO) dans le menu de navigation latéral.
2. Cochez l’option Autoriser la connexion avec SSO. D’autres paramètres SSO apparaîtront ci-dessous.
3. Saisissez le domaine de messagerie de l’entreprise dans le champ Domaine de messagerie de l’entreprise. Utilisez le format company.com (sans le symbole @).
4. Si nécessaire, copiez les Paramètres SAML du fournisseur de services requis pour configurer SSO du côté de l’IdP.
5. Remplissez les Paramètres SAML du fournisseur d’identité :
   1. Entrez l’URL de connexion du fournisseur d’identité.
   2. Facultatif : saisissez l’URL de déconnexion du fournisseur d’identité.
6. Cliquez sur Télécharger le certificat pour télécharger le certificat du fournisseur d’identité.
7. Cliquez sur Enregistrer pour appliquer les paramètres.

Une fois les paramètres enregistrés, le Certificat public Ajax apparaîtra sous les paramètres SAML du fournisseur de services. Téléchargez le certificat depuis l’application Ajax PRO Desktop, puis importez-le sur l’IdP.

Notez qu’un domaine de messagerie de l’entreprise peut être utilisé pour la fonctionnalité SSO pour différentes entreprises dans Ajax PRO Desktop.

La configuration de l’authentification unique n’est pas disponible pour un installateur privé qui n’est pas un employé d’entreprise sur Ajax PRO Desktop.

Comptes d’employés

Après avoir activé et configuré le SSO pour l’entreprise dans Ajax PRO Desktop, vous pouvez ajouter des employés qui peuvent se connecter grâce à leur adresse e-mail d’entreprise.

Seul le propriétaire de l’entreprise ou un employé ayant le droit de gérer les employés peut créer ou supprimer des comptes pour les employés qui peuvent se connecter avec SSO.

Une fois le SSO activé, les employés qui possèdent déjà un compte avec un identifiant un mot de passe peuvent se connecter indifféremment via le SSO ou avec leurs identifiants habituels.

Limitations pour les comptes d’employés qui utilisent uniquement le SSO

Les comptes d’employés créés dans Ajax PRO Desktop qui ne peuvent se connecter qu’avec le SSO ont les limitations suivantes :

• Les comptes sont sans mot de passe. Un employé ne peut pas se connecter aux applications Ajax PRO avec un identifiant et un mot de passe. Seul l’accès via SSO est disponible.
• Aucun numéro de téléphone n’est associé au compte.
• L’adresse e-mail ne peut pas être modifiée dans les paramètres du compte.
• Le compte ne peut pas être supprimé dans les paramètres du compte.
• Les paramètres d’authentification à deux facteurs ne sont pas disponibles.
• Un employé avec un tel compte ne peut pas être invité dans l’espace en tant qu’installateur privé. Ils ne peuvent être assignés qu’au site dans l’application PRO Desktop Ajax.

Ajout d’un employé

Pour ajouter de nouveaux employés à l’entreprise, il faut passer uniquement par la section Employés de l’application Ajax PRO Desktop.

Pour ajouter un employé qui peut se connecter en utilisant SSO, dans Ajax PRO Desktop :

1. Allez au menu Entreprise et sélectionnez Employés dans le menu de navigation latéral.
2. Cliquez sur Ajouter un employé.
3. Dans la fenêtre qui s’ouvre :
   1. Saisissez l’adresse e-mail de l’employé dans le champ Adresse e-mail de l’employé.
   2. Saisissez le Prénom et le Nom de l’employé dans les champs correspondants.
   3. Cochez les rôles requis pour l’employé.
4. Cliquez sur Ajouter pour ajouter l’employé.

Une fois que l’employé est ajouté, le système crée un nouveau profil d’employé pour l’entreprise. Cet employé peut désormais se connecter aux applications Ajax PRO en utilisant SSO.

Si plusieurs entreprises dans Ajax PRO Desktop ont le même domaine de messagerie de l’entreprise, il est possible d’ajouter un employé avec la même adresse e-mail à chaque entreprise dans Ajax PRO Desktop. Lors de la connexion, un employé peut sélectionner à quelle entreprise se connecter.

L’adresse e-mail utilisée pour créer un employé dans l’entreprise ne peut pas être utilisée pour créer un compte PRO personnel, car elle est déjà prise.

Suppression d’un employé

Les employés créés dans la section Employés de l’application Ajax PRO Desktop ne peuvent être supprimés qu’en suivant le même processus. Ces employés ne peuvent pas supprimer leurs comptes eux-mêmes.

Pour supprimer un employé qui ne peut se connecter qu’en utilisant SSO, dans Ajax PRO Desktop :

1. Allez au menu Entreprise et sélectionnez Employés dans le menu de navigation latéral.
2. Sélectionnez l’employé requis.
3. Cliquez Supprimer le profil dans le menu qui s’ouvre sur la droite.
4. Cliquez Supprimer pour confirmer la suppression de l’employé.

Un employé dont le compte d’entreprise est désactivé dans l’IdP ne peut plus se connecter via le SSO aux applications Ajax PRO, et ce, même si son profil reste dans la liste des employés de l’entreprise sur Ajax PRO Desktop.

Connexion avec SSO

Vous disposez de 5 minutes pour vous connecter à l’IdP de l’entreprise après avoir démarré le processus de connexion. Dans le cas contraire, vous recevrez un message d’erreur et vous devrez vous reconnecter.

Un employé associé à plusieurs entreprises ne peut pas passer de l’une à l’autre dans les applications Ajax PRO s’il s’est déjà connecté à l’une d’elles. Le système exige qu’ils se déconnectent d’une entreprise et se reconnectent à une autre.

Notez qu’un employé ne peut pas se connecter à ou sélectionner une entreprise de sécurité lors de la connexion via l’application PRO mobile.

Déconnexion

Il est possible que la session de l’IdP de l’entreprise reste active pendant un certain temps même après votre déconnexion. Ainsi, lors d’une nouvelle connexion à l’application Ajax PRO, l’employé n’aura pas à saisir ses identifiants sur la page de connexion du fournisseur d’identité. La durée de la session IdP dépend des paramètres de l’IdP.

Pour garantir que la session de l’IdP de l’entreprise se termine à votre déconnexion, configurez l’URL de déconnexion du fournisseur d’identité dans les paramètres d’Authentification unique (SSO) dans Ajax PRO Desktop. Cela peut être utile lorsque différents employés utilisent le même ordinateur ou appareil mobile d’entreprise.