Choisissez un type de connexion pour Azure AD

Comparez les types de connexion Microsoft Azure AD offerts dans Auth0, puis choisissez celui qui correspond à votre modèle de tenant et aux attributs utilisateur.

Vous pouvez connecter votre instance Auth0 à Microsoft Azure Active Directory de trois façons. Passez en revue les options pour déterminer l’approche qui convient le mieux à votre situation.

Auth0 recommande de commencer par la connexion native Microsoft Azure AD. Si vous avez besoin de plus de personnalisation, passez en revue la configuration de la connexion SAML. De plus, si votre organisation impose des restrictions supplémentaires sur les flux avec code OAuth, passez en revue la configuration Enterprise OIDC.

Le tableau ci-dessous illustre les principales différences entre ces types de connexion. Passez en revue ces capacités pour déterminer le type de connexion qui convient le mieux à votre organisation.

Type de connexion	Azure AD « natif »	Enterprise OIDC	SAML
Protocole	flux de code d’autorisation OAuth	flux implicite OAuth OU flux de code d’autorisation OAuth	SAML
Peut recevoir des claims facultatifs d’Azure AD ?	Non	Oui	Oui
Prise en charge du logout fédéré (« Single Logout » ou SLO)	Oui	Non	Oui
Recevoir des groupes AD	Oui, noms conviviaux	Oui, ID d’objet	Oui, ID d’objet
Recevoir un profil étendu	Oui	Non	Non

​

Microsoft Azure AD

Le premier type de connexion est la connexion Microsoft Azure AD dans Auth0 Dashboard > Authentication > Enterprise.

Ce type de connexion utilise le flux de code d’autorisation OAuth. La connexion Microsoft Azure AD accepte des claims provenant d’un id_token et interroge directement la Microsoft Graph API. Si elle est configurée, la requête permet de rechercher des groupes et des informations de profil supplémentaires. Microsoft Azure AD ignore toutes les claims personnalisées incluses dans le id_token.

​

Fonctionnalités et considérations relatives à la connexion

Comme ce type de connexion correspond au workflow natif, il est explicitement compatible avec les fonctionnalités AD étendues. La connexion Azure AD mappe directement les attributs de profil de l’API Microsoft Graph à vos profils utilisateur Auth0.

Le tableau ci-dessous compare les attributs Azure AD Graph selon les types de connexion :

Attribut Graph	Attribut de profil Auth0	Type de données	Claim facultatif équivalent pour OIDC ou SAML
businessPhones	phone	array	N/A
givenName	given_name	string	given_name
jobTitle	job_title	string	N/A
mobilePhone	mobile	string	N/A
preferredLanguage	preferred_language	string	xms_pl
surname	family_name	string	family_name
userPrincipalName	upn	string	upn

Vous devez activer la permission permettant d’interroger l’API Microsoft Graph pour recevoir les attributs de profil étendus suivants :

• businessPhones
• jobTitle
• mobilePhone

​

Configuration des groupes

Si vous activez la permission d’interroger l’API Microsoft Graph, Auth0 récupère automatiquement les groupes de l’utilisateur et les mappe à l’attribut groups du profil Auth0. Auth0 mappe les « noms conviviaux » de ces groupes et n’a pas besoin de configurer un claim personnalisé, car ces groupes sont mappés directement à partir de l’API Microsoft Graph.

​

SAML

Le type de connexion SAML utilise le protocole SAML et prend en charge le mappage des attributs ainsi que toutes les fonctionnalités SAML standard.

​

Fonctionnalités et considérations relatives à la connexion

Le type de connexion SAML est le plus flexible parmi les types de connexion offerts, car il prend en charge les claims facultatifs et les déconnexions fédérées. Si vous avez besoin de ces deux fonctionnalités, SAML est le seul type de connexion à les prendre en charge simultanément.

​

Configuration des groupes

Pour qu’Auth0 accepte les informations de groupe avec le type de connexion SAML, vous devez configurer Azure AD avec des attributs facultatifs dans la réponse SAML. Auth0 mappe ensuite les groupes à l’attribut group_ids du profil Auth0 de l’utilisateur.

Les types de connexion SAML et OIDC utilisent des identifiants d’objet plutôt que des noms conviviaux pour les groupes. Il est possible que vous puissiez obtenir des noms conviviaux dans une réponse SAML si vous avez importé des groupes depuis un AD local. Pour en savoir plus sur les claims de groupe, consultez la documentation de Microsoft.

​

Enterprise OIDC

Le type Enterprise Open ID Connect peut utiliser les flux OAuth Implicit ou Authorization Code. Cette connexion mappe les claims personnalisées de l’id_token au profil utilisateur Auth0. Pour en savoir plus sur les flux d’authentification, consultez la documentation sur les flux d’authentification et d’autorisation.

​

Fonctionnalités et considérations de la connexion

Si vous ne pouvez pas fournir de secrets client dans votre flux de connexion en raison d’exigences réglementaires ou de protocoles de confidentialité, le flux implicite offert par la connexion OIDC peut être une méthode à privilégier. Si vous avez besoin de claims personnalisés, mais ne souhaitez pas configurer les fonctionnalités SAML supplémentaires, la connexion OIDC peut réduire la complexité.

​

Configuration des groupes

Pour qu’Auth0 accepte les informations de groupe avec le type de connexion OIDC, vous devez configurer Azure AD avec un claim facultatif afin d’ajouter groups à l’id_token de votre requête. Auth0 mappe ensuite ces groupes à l’attribut group_ids du profil Auth0 de l’utilisateur.

Les types de connexion SAML et OIDC utilisent des identifiants d’objet plutôt que des noms conviviaux pour les groupes. Vous pourriez peut-être obtenir des noms conviviaux dans une Réponse SAML si vous avez importé des groupes depuis un AD local. Pour en savoir plus sur les claims de groupe, consultez la documentation Microsoft.

​

Pour en savoir plus

• Connectez votre application à Microsoft Azure Active Directory