## Configurer une connexion d’entreprise Google Workspace dans Auth0
- **Profil de base** : `email`, indicateur `email verified`
- **Profil étendu** : nom, URL du profil public, photo, genre, date de naissance, pays, langue et fuseau horaire
- **Groupes** : les listes de distribution de l’utilisateur, au format simplifié (noms de groupes) ou au format étendu (objets de groupe avec `name`, `id` et `email`)
- **Est administrateur du domaine** : si l’utilisateur est administrateur du domaine
- **Le compte est suspendu** : si le compte de l’utilisateur est suspendu
- **A accepté les conditions d’utilisation** : si l’utilisateur a accepté les conditions d’utilisation
- **Nom d’affichage du bouton** (facultatif) : le texte affiché sur le bouton après "Poursuivre avec".
- **URL du logo du bouton** (facultatif) : l’URL d’une image à afficher à gauche du texte du bouton, sous forme d’un carré de 20 px sur 20 px.
## Prochaines étapes
### Personnaliser ou automatiser la synchronisation des profils utilisateur
Dans l’onglet **Provisioning** de la connexion, vous pouvez configurer la façon dont les profils utilisateur sont mis à jour :
* Activez **Sync User Profile Attributes at Login** pour permettre à Google de synchroniser les profils utilisateur lorsque l’utilisateur se connecte.
Une fois cette option activée, vous pouvez choisir la **Sync Frequency**. Par défaut, Auth0 actualise les profils utilisateur à chaque connexion. Vous pouvez aussi choisir de les synchroniser uniquement lors de la première connexion.
* Activez **Provision Users and Groups Using Directory Sync** pour synchroniser automatiquement les utilisateurs et les groupes de Google Workspace avec Auth0. Pour en savoir plus, consultez [Sync Google Workspace Users to Auth0 with Google Directory Sync](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/google-directory-sync).
### Obtenir des jetons d’accès et d’actualisation
Une fois l’utilisateur authentifié, Google émet un jeton d’accès. Vous pouvez [utiliser ce jeton d’accès](/docs/fr-ca/secure/tokens/access-tokens/identity-provider-access-tokens) pour effectuer des requêtes vers les API de Google.
Pour demander également un
### Récupérer des renseignements supplémentaires sur l’utilisateur et les groupes
Pour récupérer des renseignements supplémentaires sur l’utilisateur et les groupes au-delà de ce qu’Auth0 récupère par défaut, vous pouvez utiliser l’API Directory Admin de Google pour obtenir les propriétés de groupes étendues d’un utilisateur.
1. Dans l’onglet **Settings** de votre connexion d’entreprise, dans la section **General**, sous **Extended Attributes**, activez **Groups**.
2. Dans l’onglet **Setup**, accordez le consentement de l’administrateur à l’aide du lien fourni.
3. Récupérez le jeton d’accès administrateur stocké dans l’objet `connection` à l’aide du [point de terminaison Get a connection](https://auth0.com/docs/api/management/v2/connections/get-connections-by-id) de la Management API.
4. Utilisez le jeton d’accès pour effectuer une requête vers le [point de terminaison Manage Groups de Google](https://developers.google.com/admin-sdk/directory/v1/guides/manage-groups#get_all_member_groups). Par exemple :
```bash wrap theme={null}
curl -H "Authorization: OAuth {admin_access_token}" \
https://admin.googleapis.com/admin/directory/v1/groups\?userKey={user_key}
```
### Valider l’authentification avec Actions
Vérifier que les événements d’authentification proviennent d’utilisateurs légitimes membres de votre organisation Google peut aider à empêcher des utilisateurs qui ne font plus partie de votre organisation d’accéder sans autorisation à vos applications.
Pour vérifier les authentifications Google, vous pouvez [utiliser une Action post-login](/docs/fr-ca/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger) pour valider que le claim `idp_tenant_domain` associé à l’utilisateur correspond à l’organisation attendue. Par exemple :
```js Example post-login Action code to validate Google authentications theme={null}
exports.onExecutePostLogin = async (event, api) => {
if (event.connection.strategy === 'google-oauth2') {
// Bloquer les comptes sociaux (hors organisation)
if (!event.user.idp_tenant_domain) {
api.access.deny('Social accounts are not allowed to log in');
}
// Autoriser uniquement les comptes d'organisation figurant sur la liste d'autorisation
if (event.user.idp_tenant_domain != 'example.com') {
api.access.deny('Your Google Organization is not allowed to log in');
}
}
};
```
Vous ne pouvez vérifier `idp_tenant_domain` que pour les utilisateurs qui s’authentifient avec les types de connexion suivants :
* Google Social
* Google Workspace
* Google OIDC
### Plus d’informations
* [En savoir plus sur le flux d’authentification](/docs/fr-ca/get-started/authentication-and-authorization-flow)
* [Transmettre des paramètres supplémentaires au fournisseur d’identité](/docs/fr-ca/authenticate/identity-providers/pass-parameters-to-idps)
* [Redemander des permissions aux utilisateurs](/docs/fr-ca/authenticate/identity-providers/social-identity-providers/reprompt-permissions)
## Limites
* Si vous avez déjà une [connexion sociale Google](https://marketplace.auth0.com/integrations/google-social-connection) pour votre application et que vous créez une nouvelle connexion d’entreprise Google Workspace pour le même domaine, les utilisateurs associés à la connexion sociale seront connectés au moyen de la connexion d’entreprise (même si vous ne l’activez pas).
* La connexion d’entreprise Google Workspace permet aux profils utilisateur Auth0 d’avoir jusqu’à 200 groupes. Si un profil utilisateur compte plus de 200 groupes, il se peut que ces groupes ne soient pas affichés. Si vous utilisez des groupes Google pour l’autorisation, vous devez sécuriser Google Workspace afin d’empêcher des utilisateurs non autorisés de modifier les groupes.
* Le bouton de connexion n’est pas disponible pour Classic Login. Pour l’activer et le personnaliser, utilisez Universal Login.