Se connecter à un fournisseur d’identité OpenID Connect

Découvrez comment vous connecter à des fournisseurs d’identité OpenID Connect (OIDC) à l’aide d’une connexion d’entreprise.

​

Prérequis

• Enregistrez votre application auprès d’Auth0.

  • Sélectionnez un Type d’application approprié.
  • Ajoutez une URL de rappel autorisée : {https://yourApp/callback}.
  • Assurez-vous que les Types d’octroi de votre application incluent les flux appropriés.

​

Étapes

Pour connecter votre application à un fournisseur d’identité OIDC, vous devez :

1. Configurer votre application dans le fournisseur d’identité OpenID Connect
2. Créer une connexion d’entreprise dans Auth0
3. Activer la connexion d’entreprise pour votre application Auth0
4. Tester la connexion

​

Configurez votre application dans le fournisseur d’identité OpenID Connect

Pour permettre aux utilisateurs de se connecter à l’aide d’un fournisseur d’identité OIDC, vous devez enregistrer votre application auprès de l’IdP. Le processus varie selon le fournisseur d’identité OIDC; vous devrez donc suivre la documentation de votre IdP pour effectuer cette tâche.

En général, vous devrez vous assurer de saisir, à un moment donné, votre URL de rappel : https://{YOUR_AUTH0_DOMAIN}/login/callback.

Trouvez votre nom de domaine Auth0 pour les redirections

Si votre nom de domaine Auth0 n’est pas indiqué ci-dessus et que vous n’utilisez pas notre fonctionnalité domaines personnalisés, votre nom de domaine est formé du nom de votre tenant, de votre sous-domaine régional et de auth0.com, séparés par des points (.).

Par exemple, si le nom de votre tenant est exampleco-enterprises et que votre tenant se trouve dans la région des États-Unis, votre nom de domaine Auth0 serait exampleco-enterprises.us.auth0.com et votre Redirect URI serait https://exampleco-enterprises.us.auth0.com/login/callback.

Cependant, si votre tenant se trouve dans la région des États-Unis et a été créé avant juin 2020, votre nom de domaine Auth0 serait exampleco-enterprises.auth0.com et votre Redirect URI serait https://exampleco-enterprises.auth0.com/login/callback.

Si vous utilisez des domaines personnalisés, votre Redirect URI serait https://<YOUR CUSTOM DOMAIN>/login/callback.

Pendant ce processus, votre fournisseur d’identité OIDC générera un identifiant unique pour l’API enregistrée, habituellement appelé Client ID ou Application ID. Prenez cette valeur en note; vous en aurez besoin plus tard.

​

Créer une Enterprise Connection dans Auth0

Avant de configurer une Enterprise Connection OIDC dans Auth0, assurez-vous d’avoir l’ID d’Application (Client) ainsi que le Client Secret générés lorsque vous configurez votre application auprès du fournisseur OIDC.

​

Créer une connexion d’entreprise à l’aide de l’Auth0 Dashboard

Pour pouvoir être configuré dans l’Auth0 Dashboard, le fournisseur d’identité (IdP) OpenID Connect (OIDC) doit prendre en charge OIDC Discovery. Sinon, vous pouvez configurer la connexion à l’aide de la Management API.

1. Accédez à Auth0 Dashboard > Authentication > Enterprise, repérez Open ID Connect et sélectionnez Create.

   

2. Entrez les détails de votre connexion, puis sélectionnez Create :

Champ	Description
Purpose	Détermine comment vous comptez utiliser la connexion : pour l’authentification de l’utilisateur, pour connecter des comptes externes à Auth0, ou pour les deux. Pour en savoir plus, consultez Authentification de l’utilisateur vs comptes connectés
Connection name	Identifiant logique de votre connexion; il doit être unique dans votre tenant. Une fois défini, ce nom ne peut plus être modifié.
OpenID Connect Discovery URL	URL où Auth0 peut trouver le point de terminaison well-known de découverte OpenID Connect, généralement accessible au point de terminaison /.well-known/openid-configuration. Vous pouvez entrer l’URL de base ou l’URL complète. Une coche verte s’affichera si Auth0 la trouve à cet emplacement, un indicateur rouge s’il ne la trouve pas, ou un message d’erreur si le fichier est trouvé mais que les renseignements requis ne figurent pas dans le fichier de configuration. Pour en savoir plus, consultez Configurer des applications avec OIDC Discovery.
Client ID	L’identifiant fourni par votre fournisseur. Il s’agit de l’identifiant unique de votre application enregistrée. Entrez la valeur enregistrée du Client ID pour l’application que vous avez enregistrée auprès du fournisseur d’identité OIDC. Chaque fournisseur gère cette étape différemment.
Communication Channel	Réglez-le sur canal frontal ou canal arrière. canal frontal utilise le protocole OIDC avec response_mode=form_post et response_type=id_token. Le canal arrière utilise response_type=code.
Authentication Method	Choisissez comment votre application s’authentifie auprès d’Auth0.
Client Secret	Disponible si vous avez choisi canal arrière plus tôt. Il s’agit du secret fourni par votre fournisseur, et chaque fournisseur gère cette étape différemment.
Callback URL	URL vers laquelle Auth0 redirige les utilisateurs après leur authentification. Assurez-vous que cette valeur est configurée pour l’application que vous avez enregistrée auprès du fournisseur d’identité OIDC.
Sync user profile attributes at each login	Si cette option est sélectionnée, votre tenant met à jour les Root Attributes pertinents name, nickname, given_name, family_name ou picture chaque fois qu’un utilisateur se connecte.
promouvoir la connexion au niveau du domaine	Permet aux applications tierces d’accéder à la connexion.

3. Dans la vue Settings, apportez des ajustements de configuration supplémentaires, au besoin.

Champ	Description
Nom de la connexion	Le nom que vous avez fourni lors de la création de cette connexion. Il ne peut pas être modifié.
Métadonnées de la connexion	Générées automatiquement à partir de l’URL du point de terminaison well-known que vous avez fournie à l’écran précédent, elles peuvent être remplacées en téléversant un nouveau fichier de métadonnées.
Authentification	Réglez cette option sur canal frontal ou canal arrière. Le canal frontal utilise le protocole OIDC avec response_mode=form_post et response_type=id_token. Le canal arrière utilise response_type=code. Sélectionnez Gérer l’authentification pour mettre à jour ce paramètre dans l’onglet Credentials.
Portées	Liste de portées Auth0 séparées par des virgules à demander lors de la connexion au fournisseur d’identité. Cela a une incidence sur les données stockées dans le profil utilisateur. Vous devez inclure au minimum la portée openid. Notez que la connexion n’effectue pas de requête au point de terminaison /userinfo et s’attend à ce que les claims de l’utilisateur soient présents dans le id_token.
URL de rappel	Certains fournisseurs ont besoin de cette URL pour compléter votre connexion OIDC.
Mappage des utilisateurs	Fournit des modèles permettant de mapper des attributs utilisateur précis à des variables de connexion.
Profil de connexion	Pour savoir comment modifier votre profil de connexion, consultez Configurer PKCE et le mappage des claims pour les connexions OIDC.
Objectif	Détermine comment vous comptez utiliser la connexion : pour l’authentification de l’utilisateur, pour connecter des comptes externes à Auth0, ou pour les deux. Pour en savoir plus, consultez Authentification de l’utilisateur vs comptes connectés
Global Token Revocation	Utilisez le point de terminaison fourni pour mettre fin à la session Auth0 d’un utilisateur en révoquant les refresh tokens. Peut être utilisé avec Universal Logout et Okta Workforce Identity Cloud.
Promouvoir la connexion au niveau du domaine	Permet aux applications tierces d’accéder à la connexion.

4. Dans la vue Provisionnement, configurez la façon dont les profils utilisateur sont créés et mis à jour dans Auth0.

Champ	Description
Synchroniser les attributs du profil utilisateur à chaque connexion	Lorsqu’elle est activée, Auth0 synchronise automatiquement les données du profil utilisateur à chaque connexion de l’utilisateur, ce qui garantit que les modifications apportées dans la source de connexion sont automatiquement répercutées dans Auth0.
Fréquence de synchronisation	Déterminez à quelle fréquence le profil utilisateur doit être mis à jour.
Synchroniser les profils utilisateur à l’aide de SCIM	Lorsqu’elle est activée, Auth0 permet de synchroniser les données du profil utilisateur à l’aide de SCIM. Pour en savoir plus, consultez Configurer Inbound SCIM.

5. Dans la vue Expérience de connexion, configurez la façon dont les utilisateurs se connectent avec cette connexion.

Champ	Description
Home Realm Discovery	Compare le domaine de l’adresse courriel d’un utilisateur aux domaines de fournisseurs d’identité fournis. Pour en savoir plus, consultez Configurer l’authentification Identifier First
Afficher le bouton de connexion	Cette option affiche les choix suivants pour personnaliser le bouton de connexion de votre application.

Les champs facultatifs sont offerts uniquement avec Universal Login. Les clients qui utilisent Classic Login ne verront pas le bouton Add, le Nom d’affichage du bouton ni l’URL du logo du bouton.

6. Sélectionnez Enregistrer les modifications.

​

Créer une connexion d’entreprise à l’aide de la Management API

Ces exemples vous montreront les différentes façons de créer cette connexion à l’aide de la Management API d’Auth0. Vous pouvez configurer la connexion soit en fournissant un URI de métadonnées, soit en définissant explicitement les URL OIDC.

Pour les connexions OIDC, Auth0 applique une limite de taille de 128 Ko au document de découverte des métadonnées et génère l’erreur Discovery document exceeds the maximum allowed size of 128 KB lorsque cette limite est dépassée.

Pour en savoir plus, consultez Fournisseurs d’identité.

​

Utiliser le front-channel avec le point de terminaison de découverte

​

Utiliser le back-channel avec le point de terminaison de découverte

​

Utiliser le back-channel en précisant les paramètres de l’émetteur

​

Utiliser le front-channel en indiquant les paramètres de l’émetteur

​

Configurer PKCE et le mappage des claims

Cette connexion Enterprise prend en charge la clé de preuve pour l’échange de code (PKCE), ainsi que le mappage des attributs et des tokens. Pour en savoir plus, consultez Configurer PKCE et le mappage des claims pour les connexions OIDC.

​

Activez la connexion d’entreprise pour votre application Auth0

Pour utiliser votre nouvelle connexion d’entreprise, vous devez d’abord activer cette connexion pour vos applications Auth0.

​

Tester la connexion

Vous êtes maintenant prêt à tester la connexion.

​

Configurer manuellement les métadonnées de l’émetteur

Si vous cliquez sur Afficher les détails de l’émetteur pour l’endpoint URL de l’émetteur, vous pouvez consulter les données et les modifier au besoin.

​

Fédérer avec Auth0

La connexion d’entreprise OpenID Connect est utile pour fédérer avec un autre tenant Auth0. Entrez l’URL de votre tenant Auth0 (par exemple, https://<tenant>.us.auth0.com) dans le champ Issuer, puis saisissez le Client ID de n’importe quelle application du tenant avec lequel vous souhaitez fédérer dans le champ Client ID.

Les nouveaux tenants auront us dans leur URL. Les tenants créés avant l’ajout du domaine régional continueront de fonctionner. Par exemple, https://{YOUR ACCOUNT}.auth0.com.

​

Configurer Global Token Revocation

Ce type de connexion prend en charge un endpoint de Global Token Revocation, ce qui permet à un fournisseur d’identité conforme de révoquer les sessions utilisateur Auth0, de révoquer les jetons d’actualisation et de déclencher la déconnexion back-channel pour les applications qui utilisent un canal back-channel sécurisé.

Cette fonctionnalité peut être utilisée avec Universal Logout dans Okta Workforce Identity.

Pour en savoir plus et obtenir les instructions de configuration, consultez Universal Logout.