Authentification unique (SSO)

Grâce à l’authentification unique (SSO) basée sur SAML, les utilisateurs peuvent accéder à Miro par l’intermédiaire d’un fournisseur d’identité (IdP) de leur choix.

Disponible pour : les forfaits Business et Enterprise
Rôle requis : admin d’entreprise

Comment fonctionne l’authentification unique SAML

1. Lorsqu’un utilisateur Miro tente de se connecter à Miro à l’aide de l’authentification unique, Miro envoie une requête SAML (Security Assertion Markup Language) au fournisseur d’identité (IdP)
2. Le fournisseur d’identité valide les identifiants de l’utilisateur et envoie une réponse à Miro pour valider l’identité du membre
3. Miro prend acte de la réponse et accorde l’accès, ce qui permet au membre de se connecter à son compte Miro

Que se passe-t-il après l’activation de l’authentification unique ?

Activation de l’authentification unique pour la première fois

La première fois que vous configurez l’authentification unique, les utilisateurs existants peuvent continuer à travailler dans Miro sans interruption. Cependant, la prochaine fois qu’ils se déconnectent, que leur session expire ou qu’ils tentent de se connecter à partir d’un nouvel appareil, ils devront se connecter via l’authentification unique.

Les autres options de connexion seront désactivées pour les utilisateurs, y compris le lien magique, Google, Facebook, Slack, AppleID et O365.

Délai d’inactivité de la session

Si vous avez activé le délai d’inactivité de la session, les utilisateurs seront automatiquement déconnectés de leur profil Miro et devront à nouveau se connecter, cette fois à l’aide de l’authentification unique.

Plusieurs équipes et organisations

Si vos utilisateurs font partie de plusieurs équipes ou organisations Miro, vous pouvez configurer l’utilisation du même fournisseur d’identité (IdP) pour l’authentification.

Qui doit se connecter avec SSO ?

L’authentification unique est obligatoire pour les utilisateurs actifs qui font partie de votre abonnement Enterprise et possèdent un domaine répertorié dans vos paramètres d’authentification unique.

• Les utilisateurs qui accèdent à Miro à partir de domaines qui n’ont pas été ajoutés à vos paramètres d’authentification unique ne sont pas tenus de se connecter via SSO, et doivent plutôt utiliser les méthodes de connexion standard.
  
• Les utilisateurs d’un domaine vérifié qui ne font pas partie de votre abonnement Miro Enterprise doivent se connecter via l’authentification unique (SSO) uniquement si le provisionnement juste à temps (JIT) est activé. Ces utilisateurs seront automatiquement ajoutés à une équipe préconfigurée et devront utiliser le SSO pour se connecter.
• Utilisateurs gérés, qui correspond à tout utilisateur appartenant à vos domaines vérifiés, y compris tout utilisateur géré qui est également membre d’une équipe en dehors de votre abonnement Enterprise. Pour restreindre l’accès à des équipes spécifiques, mettez à jour vos paramètres de contrôle de domaine.

  ✏️ Pour un abonnement Enterprise, une organisation peut avoir des domaines vérifiés et non vérifiés. Pour les domaines vérifiés, les utilisateurs deviennent des utilisateurs gérés qui doivent s’authentifier via l’authentification unique (SSO). Pour les utilisateurs d’un domaine non vérifié dans la même organisation, l’authentification se fait via un lien magique ou un compte social.

Gestion des coordonnées des utilisateurs

Les données des utilisateurs sont automatiquement attribuées dans Miro par votre fournisseur d’identité après une ouverture de session réussie. Certains paramètres, comme le nom, ne peuvent pas être modifiés. D’autres paramètres, tels que le service et les photos de profil, sont optionnels.

• Les noms d’utilisateur Miro sont mis à jour après chaque authentification réussie des utilisateurs. Pour plus d’informations sur la façon de paramétrer les noms d’utilisateur Miro, reportez-vous aux paramètres d’authentification unique avancés. Si vous devez modifier l’adresse e-mail d’un utilisateur, vous ne pouvez le faire que via le SCIM. Si vous n’utilisez pas le SCIM, veuillez contacter l’équipe du service d’assistance.

Sélection du domaine dans les paramètres de l’authentification unique

💡 Pour éviter tout verrouillage, créez un « utilisateur d’urgence » avec une adresse e-mail dont le domaine se trouve en dehors du domaine indiqué dans les paramètres d’authentification unique, comme acmebreaktheglass@gmail.com. Autrement, vous pouvez contacter le service d’assistance, qui peut désactiver l’authentification unique pour toute l’organisation.

Configuration du SSO

Fournisseurs d’identité (IdP)

Vous pouvez utiliser le fournisseur d’identité de votre choix. Voici les plateformes de fournisseurs d’identité les plus populaires :

• OKTA
• Entra ID de Microsoft
• OneLogin
• ADFS de Microsoft
• Auth0
• Google SSO
• Jumpcloud SSO

Comment configurer votre IdP

💡 Si votre organisation Enterprise souhaite ajouter plusieurs fournisseurs d’identité (IdPs), inscrivez-vous à notre bêta privée.

1. Rendez-vous sur le panneau de configuration de votre fournisseur d’identité et suivez ses instructions pour configurer l’authentification unique.
2. Ajoutez les métadonnées suivantes. Nous vous recommandons d’ignorer tous les champs optionnels et de laisser les valeurs par défaut telles quelles.

Spécifications (métadonnées)

⚠️ Le chiffrement et la déconnexion unique ne sont pas pris en charge.

Fichier de métadonnées SP de Miro

Copiez les métadonnées SP de Miro ci-dessous pour les enregistrer au format XML.

   urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress    Miro Miro https://miro.com/   Équipe du service d’assistance support@help.miro.com  

Identifiants des utilisateurs

Les champs autres que les champs ci-dessous ne sont pas obligatoires. Nous vous recommandons d’ignorer tous les champs optionnels et de laisser les valeurs par défaut telles quelles.

Comment activer l’authentification unique dans vos paramètres Miro

⚠️ L’activation de l’authentification unique dans vos paramètres ne l’active pas immédiatement pour les utilisateurs. L’authentification unique ne sera disponible qu’après la vérification de vos domaines. Ensuite, lorsque vous configurerez l’authentification unique dans la section suivante, veillez à ajouter vos domaines vérifiés.

Comment configurer l’authentification unique dans vos paramètres Miro

Après avoir activé la fonctionnalité SSO/SAML dans les paramètres d’authentification unique, remplissez les champs ci-dessous :

1. URL de connexion SAML (dans la plupart des cas, elle ouvre la page de votre fournisseur d’identité où vos utilisateurs finaux doivent entrer leurs identifiants)
2. Certificat à clé publique x.509 (émis par votre fournisseur d’identité)
3. Tous les domaines et sous-domaines autorisés ou obligés (ACME.com ou ACME.dev.com) de s’authentifier via votre serveur SAML
4. Ajoutez vos domaines vérifiés. Pour que les utilisateurs de ces domaines se connectent via l’authentification unique, cliquez sur Sélectionner un domaine, puis choisissez l’un de vos domaines pour l’ajouter à la liste.

Paramètres de l’authentification unique de Miro

Expiration et renouvellement de votre certificat SSO/SAML

Si votre certificat à clé publique x.509 a expiré, l’authentification unique continuera de fonctionner, mais il est fortement recommandé de le renouveler afin de poursuivre l’utilisation de Miro en toute sécurité.

Les certificats x.509 à clé publique garantissent la sécurité, la confidentialité, l’authenticité et l’intégrité des informations partagées entre votre fournisseur d’identité et Miro.

✏️ Miro envoie aux admins des rappels par e-mail 60, 30 et 7 jours avant l’expiration de leur certificat SSO. Les admins reçoivent également un e-mail ponctuel après l’expiration du certificat.

Ce processus se déroule en deux étapes :

1. Renouvelez le certificat auprès de votre fournisseur d’identité. Consultez les instructions de votre fournisseur pour connaître la marche à suivre.
2. Ajoutez le certificat renouvelé à la configuration de l’authentification unique de Miro.

Ajout de certificats renouvelés à Miro

⚠️ Nous vous recommandons de remplacer votre certificat x.509 pendant les périodes moins chargées dans votre organisation (par exemple, le week-end ou après les heures de bureau) pour éviter les interruptions de connexion.

1. Allez dans les Paramètres de l’entreprise > Authentification > Authentification unique
2. Supprimez le contenu du champ certificat à clé x.509
3. Collez la nouvelle clé dans ce champ
4. Faites défiler la page et cliquez sur Enregistrer
   Renouvellement d’un certificat x.509 dans Miro

Tester votre configuration SSO

Testez votre configuration SSO avant de l’activer afin de réduire les risques de problèmes de connexion pour vos utilisateurs.

1. Suivez les étapes ci-dessus pour configurer vos paramètres SSO.
2. Cliquez sur le bouton Tester la configuration SSO.
3. Examinez les résultats :

• Si aucun problème n’est détecté, un message de confirmation Le test de configuration SSO a réussi s’affichera.
• Si des problèmes sont détectés, un message de confirmation Le test de configuration SSO a échoué s’affichera, suivi de messages d’erreur détaillés vous indiquant ce qui doit être corrigé.

Tester la configuration SSO

Paramètres d’authentification unique avancés facultatifs

La section des paramètres facultatifs est utilisée par les utilisateurs avancés qui connaissent la configuration SSO.

Provisionnement juste à temps (JIT) pour les nouveaux utilisateurs

Facilitez la mise en route de vos utilisateurs sur Miro immédiatement, sans qu’ils aient à attendre une invitation ni à passer par un long processus d’intégration. Assurez-vous également qu’aucune équipe Free ne soit créée en dehors de votre abonnement géré (nécessite le contrôle de domaine). L’authentification unique (SSO) est nécessaire pour activer le provisionnement Juste-à-temps (JIT) des nouveaux utilisateurs. Tous les utilisateurs provisionnés via le JIT se voient attribuer la licence par défaut de votre abonnement :

Comment activer le provisionnement Juste-à-temps

Une fois activé, le provisionnement Juste-à-temps s’appliquera automatiquement à tous les nouveaux utilisateurs qui s’inscrivent sur Miro. En revanche, les utilisateurs Miro existants devront être invités à rejoindre votre forfait.

1. Rendez-vous dans les paramètres de l’authentification unique
2. Cochez la case Ajouter automatiquement à votre compte Enterprise tous les utilisateurs nouvellement enregistrés des domaines répertoriés
3. Choisissez une équipe par défaut pour les utilisateurs nouvellement enregistrés dans le menu déroulant
4. Cliquez sur Enregistrer

Lorsque vous répertoriez des domaines spécifiques dans vos paramètres d’authentification unique, tous les utilisateurs qui s’inscrivent avec ces domaines seront automatiquement ajoutés à votre abonnement Enterprise. Ils seront assignés à l’équipe que vous avez sélectionnée dans les paramètres Juste-à-temps (JIT).

Activez la fonctionnalité de provisionnement Juste-à-temps sur la page des intégrations Enterprise

Tous les utilisateurs nouvellement enregistrés appartenant aux domaines que vous avez listés dans les paramètres seront automatiquement ajoutés à votre compte Enterprise dans cette équipe en particulier lorsqu’ils s’inscriront à Miro.

⚠️ Dans le plan Enterprise, cette équipe sera également affichée dans la liste des équipes pouvant être trouvées si vous activez l’option de découverte de l’équipe.

Définition de DisplayName comme nom d’utilisateur par défaut

Par défaut, Miro utilisera les attributs FirstName + LastName. Vous pouvez à la place demander à utiliser DisplayName. Dans ce cas, Miro utilisera DisplayName lorsqu’il est présent dans la réponse SAML de l’utilisateur.

Si le DisplayName n’est pas présent, mais que les FirstName + LastName le sont, Miro utilisera FirstName + LastName. Contactez le service d’assistance Miro pour faire de DisplayName votre nom d’utilisateur SSO préféré.

Si aucun des trois attributs n’est présent dans votre communication SAML, Miro affichera l’adresse e-mail de l’utilisateur comme nom d’utilisateur

Si vous voyez quelque chose qui ne correspond pas à ce que vous attendiez, vous devrez peut-être vous authentifier via l’authentification unique. Il est aussi possible que la réponse SAML ne contienne pas les valeurs nécessaires pour la mise à jour.

Synchronisation des images de profil d’utilisateur à partir du fournisseur d’identité (IdP)

⚠️ En général, il est recommandé d’activer cette option si vous n’activez pas le SCIM ou si votre fournisseur d’identité ne prend pas en charge l’attribut ProfilePicture (par exemple, ProfilePicture n’est pas pris en charge par Entra). Dans les autres cas, il est recommandé de transmettre l’attribut ProfilePicture via SCIM afin d’obtenir des mises à jour immédiates.

Lorsque ce paramètre est activé :

• l’image de profil définie du côté du fournisseur d’identité sera définie comme l’image de profil de l’utilisateur dans Miro;
• les utilisateurs ne pourront pas mettre à jour ni supprimer leur image de profil eux-mêmes.

Comme pour l’attribut du nom d’utilisateur, les utilisateurs ne pourront pas modifier immédiatement leurs données du côté de Miro, mais la synchronisation des données n’est pas immédiate : l’IdP n’envoie la mise à jour à Miro qu’au moment de la prochaine authentification SSO de l’utilisateur (à condition que le paramètre « Synchroniser les photos de profil d’utilisateur à partir de l’IdP » soit toujours activé à ce moment-là).

Si l’image de profil est définie dans l’IdP et que vous souhaitez que l’attribut soit transmis dans la communication SAML, Miro attendra le schéma suivant :

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO et résidence des données

Si vous utilisez le service de résidence des données de Miro et avez une URL dédiée, par exemple workspacedomain.miro.com, vous devez ajuster la configuration de votre fournisseur d’identité.

✏️ Pour les organisations dont la résidence des données est en Australie, au Japon et aux États-Unis, la connexion sociale n’est pas disponible. Pour plus d’informations sur la résidence des données, consultez Résidence des données chez Miro.

Pour ce faire, vous devez ajouter l’identifiant de votre organisation à l’URL.

Vous trouverez votre identifiant d’organisation sur le tableau de bord Miro en cliquant sur votre Profil dans le coin supérieur droit > Paramètres > il est affiché dans l’URL de la barre d’adresse.

Mise en place de l’authentification multifacteur (2FA) pour les utilisateurs extérieurs à l’authentification unique

L’authentification à deux facteurs (2FA) fournit une couche de sécurité supplémentaire. Avec l’authentification à deux facteurs, les utilisateurs doivent passer par une étape supplémentaire lorsqu’ils se connectent, afin de vérifier leur identité. Cette mesure supplémentaire permet de s’assurer que seules les personnes autorisées peuvent accéder à votre abonnement.
Pour en savoir plus, consultez notre guide d’administration de l’authentification à deux facteurs.

FAQ et résolution des problèmes courants

Si un ou tous vos utilisateurs rencontrent une erreur lorsqu’ils essaient de se connecter à Miro, consultez la liste des erreurs courantes et leurs solutions.