Authentification unique : Foire aux questions

Cette section contient les questions fréquemment posées concernant l'intégration de l'authentification unique à Cloud.

Quel est le niveau de sécurité de l'intégration SSO de Cloud ?

Toutes les informations utilisateur transmises entre votre fournisseur d'identité et CWI sont chiffrées via le protocole SSL (Secure Sockets Layer) et signées à l'aide du protocole JSON Web Encryption. Lorsque les utilisateurs sont connectés au fournisseur d'identité de votre cabinet, leurs identifiants (identifiant de connexion, nom d'utilisateur et mot de passe) ne sont jamais communiqués à Cloud. Seules les informations de base du profil de l'utilisateur (son nom et son adresse e-mail) nous sont communiquées afin de l'authentifier.

Quel protocole d'autorisation est utilisé ?

Nous utilisons le protocole d'autorisation OpenID Connect.

Les membres du personnel peuvent-ils toujours se connecter à l'aide de leurs identifiants Cloud une fois que l'authentification unique (SSO) est activée ?

Une fois qu'un collaborateur s'est connecté à Cloud via l'authentification unique (SSO), il ne pourra plus se connecter que par ce biais. Si un membre du personnel tente de se connecter à l'aide de ses identifiants Cloud, un message d'erreur s'affiche, l'invitant à utiliser l'authentification unique (SSO).

Après avoir supprimé mon fournisseur d'identité puis l'avoir rajouté, certains utilisateurs ne parviennent pas à se connecter. Pourquoi ?

Si vous avez supprimé votre fournisseur d'identité puis l'avez rajouté, les utilisateurs authentifiés avant cette suppression ne pourront plus se connecter. Pour que ces utilisateurs puissent se reconnecter, créez-leur de nouveaux identifiants dans Entra ID. Cette procédure ne sera plus nécessaire dans les prochaines versions.

Les contacts peuvent-ils utiliser l'authentification unique (SSO) ?

À l'heure actuelle, les contacts ne peuvent pas utiliser l'authentification unique (SSO).

Nous avons activé l'authentification à deux facteurs. Que se passe-t-il si nous activons également l'authentification unique (SSO) ?

Si l'authentification unique (SSO) est activée pour un cabinet, les utilisateurs du SSO ne pourront plus utiliser la fonctionnalité d'authentification à deux facteurs de Cloud. En effet, il est recommandé que votre fournisseur d'identité de confiance ait le contrôle du processus d'authentification. Si vous souhaitez activer l'authentification à deux facteurs, nous vous recommandons de le faire via votre fournisseur d'identité.

L'authentification à deux facteurs restera disponible pour les utilisateurs ne bénéficiant pas de l'authentification unique (SSO).

Que se passe-t-il si j'ajoute le compte d'un collaborateur à Cloud avant de l'ajouter à Entra ID ?

Si vous avez ajouté un compte d'employé à Cloud mais pas à Entra ID, cet utilisateur ne pourra pas se connecter via l'authentification unique (SSO). Pour permettre à un membre du personnel de se connecter via l'authentification unique (SSO), ajoutez un nouvel utilisateur dans Entra ID en utilisant l'adresse e-mail associée au compte Cloud de ce membre du personnel comme nom d'utilisateur.

Que se passe-t-il si je me déconnecte de mon fournisseur d'identité alors que je suis toujours connecté à Cloud ?

Vous resterez connecté à Cloud tant que votre session sera active. À la fin de votre session, vous devrez vous connecter à nouveau à votre fournisseur d'identité avant de pouvoir vous connecter à Cloud via l'authentification unique (SSO).

Un collaborateur dont le statut de compte est « Inactif » peut tout de même se connecter à Cloud. Pourquoi ?

Une fois l'authentification unique activée, l'accès aux comptes est géré via Entra ID. Pour empêcher un utilisateur d'accéder à Cloud, vous devez supprimer son compte. Pour en savoir plus, consultez Comment créer, inviter et supprimer des utilisateurs.

Un collaborateur dont le compte a été supprimé dans Entra ID reste connecté à Cloud. Pourquoi ?

Si vous supprimez le compte d'un utilisateur dans Entra ID alors qu'il est encore connecté à Cloud, celui-ci restera actif dans Cloud jusqu'à l'expiration de sa session ou jusqu'à ce qu'il se déconnecte ; passé ce délai, il ne pourra plus se connecter à Cloud.

Pourquoi ne puis-je pas modifier les noms de compte, les adresses e-mail ou les mots de passe dans Cloud ?

Une fois l'authentification unique activée, les noms de compte, les adresses e-mail et les mots de passe sont gérés via Entra ID. Pour en savoir plus, consultez Ajouter ou modifier les informations de profil.

Le domaine de messagerie de notre cabinet a changé. Comment puis-je mettre à jour en bloc les adresses e-mail de nos collaborateurs ?

Les cabinets ayant activé l'authentification unique (SSO) ne peuvent pas modifier directement le champ « e-mail » des membres du personnel. Si vous devez mettre à jour en masse les adresses e-mail de vos collaborateurs, veuillez contacter le service d'assistance Caseware pour obtenir de l'aide. Nous devrons mettre à jour les adresses e-mail dans Cloud en même temps que vous mettez à jour votre Active Directory afin de garantir que vos collaborateurs conservent leur accès à Cloud.

Si le fournisseur d'identité de notre cabinet subit une panne, de quelle autre manière les utilisateurs peuvent-ils se connecter à Cloud ?

Les utilisateurs ne pourront pas se connecter à Cloud si votre fournisseur d'identité subit une panne. Nous vous recommandons de conserver un compte administrateur qui n'utilise pas votre fournisseur d'identité afin de garantir l'accès au Cloud en cas d'urgence.

Que se passe-t-il si mon secret client arrive à expiration ?

Si votre clé secrète client arrive à expiration, les utilisateurs du SSO ne pourront plus se connecter à Cloud. Vous devez générer un nouveau secret client et mettre à jour les informations relatives à votre fournisseur d'identité dans Cloud.

Connectez-vous à Cloud à l'aide de vos identifiants Cloud.
Dans le menu Cloud (), sélectionnez Paramètres| Authentification unique | Fournisseur d'identité.
Cliquez sur le bouton Modifier ().
Veuillez saisir les informations correctes relatives à votre fournisseur d'identité dans les champs Point de terminaison des métadonnées du fournisseur d'identité, ID clientet Clé secrète client .

Nous vous recommandons de sélectionner « Ne expire jamais » lors de la génération de votre clé secrète client afin d'éviter toute perte inattendue d'accès pour les utilisateurs de l'authentification unique (SSO).

Comment puis-je restreindre l'accès au Cloud afin que les collaborateurs ne puissent y accéder qu'à partir de leurs ordinateurs professionnels ?

Si vous souhaitez limiter l'accès au cloud aux ordinateurs professionnels, pensez à ajouter des emplacements de confiance à Entra ID. Cela vous permet de restreindre l'accès en fonction des adresses IP, par exemple celles du bureau ou du VPN.

Comment puis-je désactiver l'authentification unique (SSO) pour mon cabinet ?

Si vous souhaitez désactiver l'authentification unique (SSO) pour votre cabinet, veuillez contacter votre distributeur local.

Une fois l'authentification unique (SSO) désactivée, les utilisateurs peuvent se connecter à l'aide de leurs identifiants Cloud habituels. Les utilisateurs dont le mot de passe a expiré ou qui se sont connectés à Cloud uniquement via l'authentification unique (SSO) peuvent utiliser le lien Mot de passe oublié ? pour créer un mot de passe pour leur compte. Si nécessaire, l'administrateur de votre cabinet peut également réinitialiser les mots de passe des utilisateurs.

Pourquoi un message d'erreur s'affiche-t-il ?

Si le Cloud ou l'authentification unique (SSO) est mal configuré, l'un des messages d'erreur ci-dessous peut s'afficher lorsque vous essayez de vous connecter.

Message d'erreur : « Veuillez réessayer plus tard ! » Le serveur a rencontré une erreur inconnue. Si le problème persiste, veuillez contacter votre administrateur.

Ce problème est le plus souvent dû à l'expiration d'une clé secrète client au niveau du fournisseur d'authentification unique (SSO). Un utilisateur administrateur du cabinet doit mettre à jour sa configuration SSO.

Veuillez régénérer le secret client. Cette opération peut être effectuée via votre fournisseur d'authentification unique (SSO).
Connectez-vous à Caseware Cloud.
Remarque : Si vous ne parvenez pas à vous connecter, veuillez contacter votre distributeur local et lui demander de désactiver l'authentification unique (SSO) pour votre compte administrateur. Veuillez inclure les informations suivantes dans votre demande :
- L'URL complète du cabinet
- L'adresse e-mail de votre compte administrateur pour lequel l'authentification unique (SSO) doit être désactivée
- Autorisation écrite du client visant à désactiver l'authentification unique (SSO) pour le compte administrateur
Une fois l'authentification unique (SSO) désactivée pour le compte administrateur, utilisez l'option Mot de passe oublié sur la page de connexion pour définir un nouveau mot de passe et vous connecter à Cloud.
Mettez à jour la configuration SSO dans Cloud en utilisant la nouvelle clé secrète du client. Cela permettra de rétablir l'accès à la connexion pour les autres utilisateurs.
Si l'authentification unique (SSO) a été désactivée pour votre compte administrateur, reconnectez-vous via l'authentification unique (SSO) pour la réactiver. Vous pouvez également choisir de laisser l'authentification unique (SSO) désactivée pour votre compte, au cas où ce problème se présenterait à l'avenir.
Configurez des rappels et un suivi pour l'expiration de la clé secrète du client. Le cabinet peut éviter de futurs blocages en renouvelant le secret client avant la prochaine date d'expiration.

Message d'erreur : « Nous sommes désolés… » « Erreur inattendue lors de l'authentification auprès du fournisseur d'identité »

Lors de la configuration de votre fournisseur d'identité, vous avez peut-être saisi un secret client ou un identifiant client erroné.

Connectez-vous à Cloud à l'aide de vos identifiants Cloud.
Dans le menu Cloud (), sélectionnez Paramètres| Authentification unique | Fournisseur d'identité.
Cliquez sur le bouton Modifier ().
Veuillez saisir les informations correctes relatives à votre fournisseur d'identité dans les champs Point de terminaison des métadonnées du fournisseur d'identité, ID clientet Clé secrète client .

Message d'erreur : AADSTS70001 : « L'application portant l'identifiant ... n'a pas été trouvée dans le répertoire ... »

Lors de la configuration d'Entra ID, vous avez peut-être saisi un fournisseur d'identité incorrect.

Connectez-vous à Cloud à l'aide de vos identifiants Cloud.
Dans le menu Cloud (), sélectionnez Paramètres | Authentification unique | Fournisseur d'identité.
Cliquez sur le bouton Modifier ().
Veuillez saisir les informations correctes relatives à votre fournisseur d'identité dans les champs Point de terminaison des métadonnées du fournisseur d'identité, ID clientet Clé secrète du client .

Message d'erreur : AADSTS50011 : « L'URL de réponse indiquée dans la requête ne correspond pas aux URL de réponse configurées pour l'application... »

Il se peut que vous ayez saisi une URL de réponse incorrecte dans Entra.

Dans le volet de navigation de gauche d'Entra, sélectionnez Entra ID | Enregistrement d'application.
Sélectionnez votre application, puis sélectionnez Paramètres | URL de réponse.
Cliquez sur le bouton Menu contextuel situé à côté de l'URL de votre réponse, puis sélectionnez Supprimer.
Saisissez à nouveau l'URL de votre réponse, puis sélectionnez Enregistrer.

Message d'erreur : AADSTS7000215 : Le secret client fourni n'est pas valide. « Assurez-vous que le secret envoyé dans la requête correspond bien à la valeur du secret client, et non à l'identifiant du secret client. »

Lors de la configuration d'Entra ID, il se peut que vous ayez saisi l'identifiant client dans le champ « Secret client ».

Vérifiez si la valeur du secret client est correcte. Si la valeur a été copiée conformément aux instructions, recherchez les secrets client stockés dans Entra ID et vérifiez s'ils correspondent à l'un des identifiants. Si la valeur copiée correspond à un identifiant, ou si vous n'avez pas copié la valeur du secret client, supprimez le secret actuel et créez-en un nouveau. Veillez à copier la valeur du secret client.
Connectez-vous à Cloud à l'aide de vos identifiants Cloud.
Dans le menu Cloud (), sélectionnez Paramètres | Authentification unique | Fournisseur d'identité.
Sélectionnez le bouton Modifier ().
Veuillez saisir les informations correctes relatives à votre fournisseur d'identité dans les champs Point de terminaison des métadonnées du fournisseur d'identité, ID clientet Clé secrète client . Le champ « ID client » doit correspondre à l'ID d'application, et le champ « Clé secrète du client » doit correspondre à la valeur de la clé secrète du client obtenue à l'étape 1 (et non à l'ID de la clé secrète).

Message d'erreur : « Aucune licence d'accès au Cloud n'est disponible. » Pour obtenir des licences supplémentaires, veuillez contacter votre administrateur.

Le nombre d'utilisateurs de votre domaine Active Directory dépasse le nombre de licences Cloud disponibles. Lorsque le nombre d'utilisateurs de votre domaine Active Directory dépasse le nombre de licences disponibles, certains membres du personnel ne pourront plus se connecter. Pour permettre à l'ensemble du personnel de se connecter, veuillez acheter une licence auprès de MyCaseware pour chaque membre du personnel ou contacter votre distributeur local.

Message d'erreur : « Ce compte existe déjà. » L'utilisateur dont l'adresse e-mail est ... existe déjà. « Comment souhaitez-vous poursuivre ? »

Cette erreur se produit lorsqu'un utilisateur est supprimé d'Entra et qu'un autre utilisateur est ajouté en utilisant la même adresse e-mail.

Pour contourner ce problème, supprimez le compte Cloud associé à l'adresse e-mail indiquée dans le message d'erreur et demandez à l'utilisateur de se reconnecter via l'authentification unique (SSO).

Cette procédure ne sera plus nécessaire dans les prochaines versions.

Message d'erreur : « Le jeton reçu ne comporte pas les revendications suivantes : l'adresse e-mail est obligatoire pour accéder au système. » « Veuillez contacter votre administrateur. »

L'intégration SSO de Caseware Cloud est conçue pour reconnaître les revendications « nom d'utilisateur » et « adresse e-mail » comme des revendications distinctes. Pour que notre intégration fonctionne correctement, l'attribut « email » est indispensable. Le champ « e-mail » n'est disponible que pour les utilisateurs invités et les utilisateurs gérés intégrés via Office 365. Si les utilisateurs de votre cabinet sont configurés via Office 365, veuillez vous assurer de suivre les instructions d'Azure pour gérer l'attribut « e-mail » via le portail d'administration d'Office.