Se connecter avec Microsoft (SSO)

Avec le SSO, vos collègues se connectent avec leur compte Microsoft professionnel, via Microsoft Entra ID (anciennement Azure AD). Ils n'ont pas de mot de passe supplémentaire à retenir, et une personne qui quitte votre organisation et dont le compte Microsoft est désactivé n'a plus accès à Yusral non plus.

Il vous faut le rôle Propriétaire ou Administrateur dans Yusral, une personne autorisée à créer des inscriptions d'applications dans votre environnement Microsoft, et un accès au DNS de votre domaine e-mail.

1. Créer une inscription d'application chez MicrosoftCopier le lien vers ce titre

Faites-le dans le centre d'administration Microsoft Entra, sous Inscriptions d'applications > Nouvelle inscription.

1. Donnez à l'application un nom que vos collègues reconnaissent, par exemple le nom de Yusral.
2. Pour les types de comptes, choisissez : uniquement les comptes de cet annuaire organisationnel.
3. Sous URI de redirection, ajoutez une adresse Web. Vous trouvez cette adresse dans Yusral sous URI de redirection Azure (étape 2). Copiez-la exactement.
4. Sous Certificats et secrets, créez un nouveau secret client. Notez tout de suite la valeur : Microsoft ne l'affiche qu'une seule fois.

Sur la page de vue d'ensemble de l'application, vous trouvez l'ID de l'annuaire (locataire) et l'ID d'application (client).

2. Configurer le SSOCopier le lien vers ce titre

Allez dans Paramètres > Organisation, au bloc Accès et sécurité. Sous Se connecter avec Microsoft (SSO), cliquez sur Configurer. Le panneau Configuration SSO s'ouvre sur le côté. En haut figure l'URI de redirection Azure dont vous aviez besoin à l'étape 1, avec un bouton pour la copier.

Cliquez sur Configurer le SSO. Vous voyez alors Domaine pas encore vérifié. Tant que vous n'avez pas fait l'étape suivante, personne ne peut se connecter via SSO.

3. Vérifier votre domaineCopier le lien vers ce titre

Vous prouvez ainsi que le domaine e-mail vous appartient. Le panneau affiche un enregistrement TXT avec un Nom et une Valeur, chacun avec un bouton pour le copier.

1. Ajoutez cet enregistrement TXT au DNS de votre domaine, chez votre gestionnaire de domaine ou votre hébergeur. Le nom commence par _sso-verification., suivi de votre domaine.
2. Cliquez ensuite dans Yusral sur Vérifier le domaine.

Si cela fonctionne, vous voyez Le SSO est actif. Le bloc Accès et sécurité affiche alors Actif pour avec votre domaine. Une modification DNS prend parfois un peu de temps. Si la vérification ne fonctionne pas tout de suite, réessayez plus tard.

Vous ne pouvez pas utiliser un domaine qu'une autre organisation a déjà vérifié.

4. Inviter vos collèguesCopier le lien vers ce titre

Le SSO ne crée pas de comptes pour tout le monde dans votre environnement Microsoft. Invitez d'abord vos collègues comme d'habitude, voir Membres et rôles. Vous décidez ainsi vous-même qui a accès, même si tout le monde a un compte Microsoft.

Sur la page de connexion, Yusral reconnaît votre domaine dès que quelqu'un tape son adresse e-mail. Sous le champ apparaît alors Votre organisation se connecte avec Microsoft. et le bouton principal devient Continuer avec Microsoft. Avec Se connecter avec un mot de passe, une personne peut quand même choisir son mot de passe. Si le SSO est imposé, ce n'est pas possible, voir ci-dessous.

Imposer le SSOCopier le lien vers ce titre

Dès que votre domaine est vérifié, l'interrupteur Imposer le SSO apparaît dans le bloc Accès et sécurité. Si vous l'activez, toute personne ayant une adresse sur votre domaine ne se connecte plus qu'avec Microsoft. Se connecter, créer un compte, définir un mot de passe lors d'une invitation et réinitialiser un mot de passe ne sont alors plus possibles avec un mot de passe.

Les propriétaires ne sont pas concernés : ils gardent leur mot de passe, au cas où Microsoft ne fonctionnerait pas.

Si vous supprimez le SSO, Imposer le SSO est aussi désactivé.

Bon à savoirCopier le lien vers ce titre

• Authentification à deux facteurs : les personnes qui se connectent avec Microsoft ne sont pas concernées par Exiger l'authentification à deux facteurs. Le contrôle supplémentaire se règle chez Microsoft.
• Secret expiré : un secret client n'est valable qu'un certain temps, par exemple 6 ou 24 mois. Créez-en un nouveau chez Microsoft avant qu'il n'expire. Ouvrez le panneau avec Gérer, remplissez à nouveau les champs et cliquez sur Remplacer la configuration. Si vous utilisez le même domaine, il reste vérifié. Si vous ne faites rien, plus personne ne peut se connecter avec Microsoft.
• Désactiver le SSO : avec Supprimer le SSO dans le panneau, vous arrêtez la connexion avec Microsoft. Confirmez avec Supprimer. Les collègues sans mot de passe en demandent alors un avec Mot de passe oublié ? sur la page de connexion.