Self-Service Enterprise Configuration

Découvrez comment utiliser Self-Service Enterprise Configuration pour déléguer la configuration du SSO à vos clients B2B.

Self-Service Enterprise Configuration fournit aux clients interentreprises (B2B) les outils nécessaires pour déléguer la configuration du SSO à leurs clients d’entreprise. En déléguant cette tâche, vous pouvez simplifier votre processus d’onboarding et offrir à vos clients une plus grande autonomie quant à leur expérience d’authentification. Vous pouvez également réduire le temps et les coûts liés à la gestion du SSO auprès de l’ensemble de votre clientèle.

Self-Service Enterprise Configuration nécessite une configuration minimale dans votre tenant Auth0 et met à la disposition de vos clients un assistant de configuration qui les guide tout au long du processus d’activation. Une fois la configuration terminée par un client, l’intégration SSO est automatiquement ajoutée à votre tenant en tant que connexion d’entreprise.

Les utilisateurs ayant les rôles Dashboard suivants peuvent utiliser cette fonctionnalité :

• Les utilisateurs Admin et Editor - Connections peuvent créer et gérer des profils libre-service.
• Les utilisateurs Viewer - Config peuvent uniquement consulter les profils libre-service.

​

Fournisseurs pris en charge par Self-Service Enterprise Configuration

L’authentification unique (SSO) prend actuellement en charge les fournisseurs d’identité suivants :

• Okta Workforce Identity
• Auth0
• Entra ID
• Google Workspace
• Keycloak
• Microsoft Active Directory Federation Services (ADFS)
• PingFederate
• OIDC générique
• SAML générique

Le provisionnement prend actuellement en charge les fournisseurs d’identité suivants :

• Okta Workforce Identity
• Entra ID
• OIDC générique
• SAML générique

​

Fonctionnement

Self-Service Enterprise Configuration utilise les composants suivants pour déléguer la configuration à vos clients :

• Profil libre-service : Définit les principaux éléments des mises en œuvre des clients, comme les fournisseurs d’identité qu’ils peuvent utiliser pour le SSO et les attributs utilisateur qu’ils doivent recueillir, comme l’adresse courriel. Vous pouvez créer jusqu’à 20 profils dans votre tenant pour différents clients ou segments.
• Ticket d’accès libre-service : Accorde à vos clients un accès Admin à l’assistant en libre-service et définit certains détails de la connexion d’entreprise qui en résulte. Ces administrateurs clients peuvent créer de nouvelles connexions ou modifier des connexions existantes.
• Assistant de configuration libre-service : Guide les administrateurs de vos clients tout au long du processus de configuration du SSO. Pour en savoir plus sur cette expérience, consultez l’expérience de l’assistant en libre-service.

​

flux de travail de Self-Service Enterprise Configuration

Les étapes ci-dessous présentent le flux de travail général d’utilisation de Self-Service Enterprise Configuration. Ces tâches peuvent être effectuées au moyen de la Management API ou de l’Auth0 Dashboard.

1. Vous (le client Auth0) créez un profil libre-service dans votre tenant.
2. Vous créez ensuite un ticket d’accès libre-service associé à ce profil libre-service. Lors de la génération du ticket, vous pouvez décider si l’administrateur de votre client crée une nouvelle connexion ou modifie une connexion existante au moyen de l’assistant en libre-service.
3. Vous récupérez l’URL du ticket à partir de la ressource créée à l’étape 2 et envoyez le lien à l’administrateur de votre client.
4. L’administrateur de votre client lance l’assistant en libre-service à l’aide de l’URL du ticket et suit les étapes indiquées pour configurer sa connexion et, au besoin, effectuer la vérification du domaine. Si le ticket est destiné à une seule Organization avec Discovery activé, l’assistant détecte automatiquement les domaines déjà vérifiés pour cette Organization. Cela permet à l’administrateur d’associer instantanément les domaines existants à la nouvelle connexion, sans devoir refaire la vérification.
5. Une nouvelle connexion d’entreprise, ou une connexion d’entreprise mise à jour, pointant vers l’application du client devient disponible dans votre tenant Auth0.

​

Expérience de l’assistant en libre-service

L’assistant en libre-service est une expérience en plusieurs étapes qui guide les administrateurs clients dans les tâches suivantes :

• la configuration du SSO
  • la vérification du domaine
  • la configuration du provisionnement

Cette expérience comprend à la fois des éléments interactifs et des instructions pour apporter les changements nécessaires dans l’IdP sélectionné.

Bien que les exigences exactes de configuration du SSO varient selon l’IdP, le flux de travail général de l’assistant en libre-service comprend les étapes suivantes :

1. Sélectionner le fournisseur d’identité : l’administrateur client sélectionne l’IdP à configurer pour le SSO. La liste des options offertes est déterminée par le profil libre-service associé.
2. Créer une application : l’administrateur client suit les instructions fournies pour créer une application dans le système IdP sélectionné.
3. Configurer la connexion : l’administrateur client remplit un court formulaire pour créer ou modifier une connexion dans Auth0. Ce formulaire recueille des renseignements comme le domaine du client, le client ID et le client secret.
4. mappage des claims : l’administrateur client examine les attributs utilisateur requis et facultatifs qui doivent être capturés par sa connexion SSO. Il mappe ensuite ces attributs utilisateur, ou claims, dans son système IdP.
5. Attribuer l’accès : l’administrateur client suit les instructions fournies pour son système IdP afin d’accorder à des utilisateurs ou à des groupes d’utilisateurs l’accès à votre application.
6. Tester le SSO : l’administrateur client utilise le bouton fourni pour tester sa connexion SSO dans un nouvel onglet. À moins que la vérification du domaine soit activée, il peut terminer le processus de configuration après cette étape pour activer sa connexion.
7. (Facultatif) provisionnement : l’administrateur client configure le provisionnement des utilisateurs et des groupes pour sa connexion en suivant les instructions fournies :
   • créer l’application dans son IdP;
   • générer un bearer token SCIM dans l’assistant, puis copier le bearer token SCIM et l’URL du point de terminaison SCIM dans la configuration de son IdP;
   • examiner les attributs requis et facultatifs définis dans le User Attribute Profile (UAP). Mapper ces attributs aux champs SCIM correspondants dans son système IdP.
8. (Facultatif) Vérification et association de domaine : les administrateurs clients gèrent les domaines utilisés pour l’authentification et le routage. La vérification du domaine exige que les clients prouvent qu’ils en sont propriétaires. L’association de domaine permet de réutiliser des identités de confiance existantes.

Lorsqu’un ticket est configuré pour une Organization activée, les domaines vérifiés peuvent être synchronisés automatiquement pour Organization Domain Discovery. Une fois qu’un administrateur TI vérifie ou associe un domaine, les utilisateurs finaux peuvent se connecter à l’aide de leur adresse courriel (Home Realm Discovery) sans avoir besoin d’un Organization ID précis ni d’un Magic Link.

Selon la façon dont vous (le client Auth0) configurez le ticket d’accès, l’expérience des administrateurs clients varie. Consultez le tableau pour en savoir plus.

Configuration	Description
Association de domaine vérifié	Les administrateurs clients sélectionnent et associent des domaines existants à la nouvelle connexion sans vérifier l’enregistrement DNS TXT si le ticket est limité à une Organization et que l’Organization : doit avoir l’option Allow Use of Domains for Organization Discovery activée. doit avoir Domain Verification défini à Optional ou Required. L’assistant détecte automatiquement les domaines déjà vérifiés pour cette Organization précise.
Domain Verification défini à Required	Les administrateurs clients doivent vérifier avec succès un nouveau domaine au moyen du DNS ou associer un domaine vérifié existant avant de pouvoir activer la connexion.
Domain Verification défini à Optional	L’administrateur client peut choisir de saisir un nouveau domaine à vérifier, d’associer un domaine existant ou d’ignorer cette étape. Dans tous les cas, il peut activer la connexion, peu importe le statut de vérification.
Domain Verification défini à Off	Les administrateurs clients n’ont rien à faire. Cette étape n’apparaît pas pour eux, et le flux se termine après le test du SSO.
Allow Use of Domains for Organization Discovery est activé	Cette option est offerte lors de la génération d’un ticket pour une Organization activée. Lorsqu’elle est sélectionnée : Nouveaux domaines : tout domaine nouvellement vérifié est automatiquement ajouté à la fois à la liste des domaines de l’Organization et au matching_domains de la connexion d’entreprise. Domaines existants : tout domaine prévérifié (limité à 5) ou domaine associé est synchronisé à la fois avec la connexion et l’enregistrement de l’Organization à la fin du processus, ce qui active immédiatement la connexion par courriel pour les utilisateurs.

Pour en savoir plus, consultez Manage Self-Service Enterprise Configuration.

​

Exemple de flux de l’assistant en libre-service

Les images ci-dessous présentent un exemple d’utilisation de l’assistant en libre-service. Dans cet exemple, un administrateur du client configure le SSO avec Okta Workforce comme IdP.

1. Sélectionner l’authentification unique

2. Sélectionner le fournisseur d’identité

3. Créer une application (tronqué)

4. Configurer la connexion

5. Mappage des claims

6. Attribuer l’accès

7. tester le SSO

8. provisionnement - Créer une application

9. provisionnement - Configurer SCIM

10. provisionnement - Mappage SCIM

11. Configurer les groupes

12. Vérification du domaine