Authentification unique (SSO)

Grâce à l’authentification unique (SSO) basée sur SAML, les utilisateurs peuvent accéder à Miro par l’intermédiaire d’un fournisseur d’identité (IdP) de leur choix. 

Disponible pour: les forfaits Business et Enterprise
Rôle requis: admin d’entreprise

Comment fonctionne l’authentification unique SAML

1. Lorsqu’un utilisateur Miro tente de se connecter à Miro à l’aide de l’authentification unique, Miro envoie une demande SAML (Security Assertion Markup Language) au fournisseur d’identité (IdP).
2. Le fournisseur d’identité valide les identifiants de l’utilisateur et envoie une réponse à Miro pour valider l’identité du membre.
3. Miro prend acte de la réponse et accorde l’accès, ce qui permet au membre de se connecter à son compte Miro.

Que se passe-t-il après l’activation de l’authentification unique ?

Activation de l’authentification unique pour la première fois

La première fois que vous configurez l’authentification unique, les utilisateurs existants peuvent continuer à travailler dans Miro sans interruption. Cependant, la prochaine fois qu’ils se déconnectent, que leur session expire ou qu’ils tentent de se connecter à partir d’un nouvel appareil, ils devront se connecter via l’authentification unique. 

Les autres options de connexion seront désactivées pour les utilisateurs, y compris la connexion standard par identifiant et mot de passe, Google, Facebook, Slack, AppleID et O365.

Délai d’inactivité de la session

Si vous avez activé le délai d’inactivité de la session, les utilisateurs seront automatiquement déconnectés de leur profil Miro et devront à nouveau se connecter à l’aide de l’authentification unique. 

Plusieurs équipes et organisations

Si vos utilisateurs appartiennent à plusieurs équipes ou organisations Miro, vous pouvez les configurer pour qu’ils utilisent le même fournisseur d’identité (IdP) pour l’authentification.

Qui doit se connecter avec SSO

L’authentification unique est obligatoire pour les utilisateurs actifs qui font partie de votre abonnement Enterprise et possèdent un domaine répertorié dans vos paramètres d’authentification unique.

• Les utilisateurs qui accèdent à Miro depuis des domaines qui n’ont pas été ajoutés à vos paramètres d’authentification unique ne sont pas tenus de se connecter via l’authentification unique et doivent plutôt utiliser les méthodes de connexion standard.
   
• Les utilisateurs d’un domaine vérifié qui ne font pas partie de votre abonnement Miro Enterprise doivent se connecter via l’authentification unique (SSO) uniquement si le provisionnement juste à temps (JIT) est activé. Ces utilisateurs seront automatiquement ajoutés à une équipe préconfigurée et devront utiliser le SSO pour se connecter.

• Utilisateurs gérés, c’est tout utilisateur appartenant à vos domaines vérifiés, y compris tout utilisateur géré qui est également membre d’une équipe en dehors de votre abonnement Enterprise. Pour restreindre l’accès à des équipes spécifiques, mettez à jour vos paramètres de contrôle de votre domaine.

  ✏️ Pour un abonnement Enterprise, une organisation peut avoir des domaines vérifiés et non vérifiés. Pour les domaines vérifiés, les utilisateurs sont considérés comme gérés et doivent s’authentifier via l’authentification unique. Pour les utilisateurs d’un domaine non vérifié au sein de la même organisation, un e-mail et un mot de passe sont requis pour l’authentification.

Gestion des coordonnées des utilisateurs

Les données des utilisateurs sont automatiquement attribuées dans Miro par votre fournisseur d’identité après une ouverture de session réussie. Certains paramètres, tels que le nom et le mot de passe, ne peuvent pas être modifiés. D’autres paramètres, tels que le service et les photos de profil, sont optionnels. 

• Les noms d’utilisateur Miro sont mis à jour après chaque authentification réussie des utilisateurs. Pour plus d’informations sur la façon de paramétrer les noms d’utilisateur Miro, reportez-vous aux paramètres d’authentification unique avancés. Si vous devez modifier l’adresse e-mail d’un utilisateur, vous ne pouvez le faire que via SCIM. Si vous n’utilisez pas le SCIM, veuillez contacter l’équipe du service d’assistance.

Sélection du domaine dans les paramètres de l’authentification unique

💡 Pour éviter tout verrouillage, créez un « utilisateur d’urgence » dont l’adresse e-mail appartient à un domaine en dehors de celui indiqué dans les paramètres d’authentification unique, par exemple acmebreaktheglass@gmail.com. Autrement, vous pouvez contacter le service d’assistance, qui peut désactiver l’authentification unique pour l’ensemble de l’organisation.

Configuration du SSO

Fournisseurs d’identité (IdP)

Vous pouvez utiliser le fournisseur d’identité de votre choix. Voici les plateformes d’identité les plus populaires :

• OKTA
• Entra ID de Microsoft
• OneLogin
• ADFS de Microsoft
• Auth0
• Google SSO 
• Jumpcloud SSO

Comment configurer votre IdP

💡 Si votre organisation Enterprise souhaite ajouter plusieurs fournisseurs d’identité (IdP), inscrivez-vous à notre bêta privée.

1. Rendez-vous sur le panneau de configuration de votre fournisseur d’identité et suivez ses instructions pour configurer l’authentification unique.

2. Ajoutez les métadonnées suivantes. Nous vous recommandons d’ignorer tous les champs optionnels et de laisser les valeurs par défaut telles quelles. 

Spécifications (métadonnées)

⚠️ Le chiffrement et la déconnexion unique ne sont pas pris en charge.

Identifiants des utilisateurs

Les champs autres que les champs ci-dessous ne sont pas obligatoires. Nous vous recommandons d’ignorer tous les champs optionnels et de laisser les valeurs par défaut telles quelles. 

Comment activer l’authentification unique dans vos paramètres Miro

Forfait Business Forfait Enterprise

1. Rendez-vous dans les paramètres de votre entreprise > Sécurité > Authentification unique
2. Activez SSO/SAML


 

1. Rendez-vous dans les paramètres de votre entreprise > Sécurité et conformité > Authentification > Authentification unique
2. Activez SSO/SAML

⚠️ L’activation de l’authentification unique dans vos paramètres ne l’active pas immédiatement pour les utilisateurs. L’authentification unique ne sera disponible qu’après la vérification de vos domaines. Ensuite, lorsque vous configurerez l’authentification unique dans la section suivante, assurez-vous d’ajouter vos domaines vérifiés.

Comment configurer l’authentification unique dans vos paramètres Miro

Après avoir activé la fonctionnalité SSO/SAML dans les paramètres d’authentification unique, remplissez les champs ci-dessous :

1. URL de connexion SAML (dans la plupart des cas, elle ouvre la page de votre fournisseur d’identité où vos utilisateurs finaux doivent entrer leurs identifiants)
2. Certificat à clé publique x.509 (émis par votre fournisseur d’identité)
3. Tous les domaines et sous-domaines autorisés ou requis (ACME.com ou ACME.dev.com) pour s’authentifier via votre serveur SAML
4. Ajoutez vos domaines vérifiés. Pour l’option Les utilisateurs de ces domaines se connecteront via l’authentification unique (SSO), cliquez sur Sélectionner un domaine, puis sélectionnez l’un de vos domaines pour l’ajouter à la liste.

Paramètres de l’authentification unique de Miro

Expiration et renouvellement de votre certificat SSO/SAML

Si votre certificat à clé publique x.509 a expiré, l’authentification unique continuera de fonctionner, mais il est fortement recommandé de le renouveler afin de poursuivre l’utilisation de Miro en toute sécurité. Les certificats x.509 à clé publique garantissent la sécurité, la confidentialité, l’authenticité et l’intégrité des informations partagées entre votre fournisseur d’identité et Miro.

Ces certificats ne sont valables que pour une période donnée, qui peut être spécifiée (et vérifiée) auprès de votre fournisseur d’identité. Veuillez vérifier la date d’expiration auprès de votre fournisseur d’identité.

✏️ Miro envoie aux admins des rappels par e-mail 60, 30 et 7 jours avant l’expiration de leur certificat d’authentification unique. Les admins reçoivent également un e-mail ponctuel après l’expiration du certificat.

Ce processus se déroule en deux étapes :

1. Renouvelez le certificat auprès de votre fournisseur d’identité. Vérifiez ses instructions concernant la marche à suivre.
2. Ajoutez le certificat renouvelé à votre configuration de l’authentification unique Miro.

Ajout de certificats renouvelés à Miro

⚠️ Nous vous recommandons de remplacer votre certificat x.509 pendant les périodes moins chargées dans votre organisation (par exemple, le week-end ou après les heures de bureau) pour éviter les interruptions de connexion.

1. Allez dans les Paramètres de l’entreprise > Authentification > Authentification unique
2. Supprimez le contenu du champ Certificat x.509
3. Collez la nouvelle clé dans ce champ
4. Faites défiler la page et cliquez sur Enregistrer
   Renouvellement d’un certificat x.509 dans Miro

Tester votre configuration SSO

Testez votre configuration SSO avant de l’activer afin de réduire les risques de problèmes de connexion pour vos utilisateurs.

1. Suivez les étapes ci-dessus pour configurer vos paramètres SSO. 
2. Cliquez sur le bouton Tester la configuration SSO.
3. Examinez les résultats :

• Si aucun problème n’est détecté, un message de confirmation Le test de configuration SSO a réussi s’affichera.
• Si des problèmes sont détectés, un message de confirmation Le test de configuration SSO a échoué s’affichera, suivi de messages d’erreur détaillés pour vous indiquer ce qui doit être corrigé.

Test de la configuration SSO

Paramètres d’authentification unique avancés facultatifs

La section des paramètres facultatifs est utilisée par les utilisateurs avancés qui s’y connaissent en matière de configuration de l’authentification unique.  

Provisionnement juste à temps (JIT) pour les nouveaux utilisateurs

Facilitez la tâche de vos utilisateurs pour qu’ils puissent commencer à utiliser Miro immédiatement, sans avoir à attendre une invitation ou à passer par un long processus d’intégration. Veillez également à ce qu’aucune équipe Free ne soit créée en dehors de votre abonnement géré (nécessite le contrôle de domaine). L’authentification unique est nécessaire pour activer le provisionnement Juste-à-temps (JIT) des nouveaux utilisateurs. Tous les utilisateurs provisionnés en Juste-à-temps se voient attribuer la licence par défaut de votre abonnement :

Comment activer le provisionnement Juste-à-temps

Une fois activé, le provisionnement Juste-à-temps s’appliquera automatiquement à tous les nouveaux utilisateurs qui s’inscrivent sur Miro. En revanche, les utilisateurs Miro existants devront être invités à rejoindre votre forfait. 

1. Rendez-vous dans les paramètres de l’authentification unique. 
2. Cochez la case Ajouter automatiquement à votre compte Enterprise tous les utilisateurs nouvellement enregistrés des domaines répertoriés
3. Choisissez une équipe par défaut pour les utilisateurs nouvellement enregistrés dans le menu déroulant. 
4. Cliquez sur Enregistrer.

Lorsque vous répertoriez des domaines spécifiques dans vos paramètres d’authentification unique (SSO), tous les utilisateurs qui s’inscrivent avec ces domaines seront automatiquement ajoutés à votre abonnement Enterprise. Ils seront assignés à l’équipe que vous avez sélectionnée dans les paramètres Juste-à-temps (JIT).

 

Activez la fonctionnalité de provisionnement Juste-à-temps sur la page des intégrations Enterprise

Tous les utilisateurs nouvellement enregistrés avec les domaines que vous avez listés dans les paramètres seront automatiquement ajoutés à votre abonnement Enterprise dans cette équipe en particulier lorsqu’ils s’inscrivent à Miro.

⚠️ Dans le forfait Enterprise, cette équipe sera également affichée dans la liste des équipes pouvant être trouvées si vous activez la découverte de l’équipe.

Définition de DisplayName comme nom d’utilisateur par défaut

Par défaut, Miro utilisera les attributs FirstName (Prénom) + LastName (Nom). Vous pouvez à la place demander à utiliser l’attribut DisplayName (Nom d’affichage). Dans ce cas, Miro utilisera DisplayName (Nom d’affichage) lorsqu’il est présent dans la réponse SAML de l’utilisateur. 

Si l’attribut DisplayName n’est pas présent, mais que les attributs FirstName + LastName le sont, Miro utilisera les attributs FirstName + LastName. Contactez le service d’assistance de Miro pour faire de l’attribut DisplayName votre nom d’utilisateur SSO préféré.

Si aucun des trois attributs n’est présent dans votre communication SAML, Miro affichera l’adresse e-mail de l’utilisateur comme nom d’utilisateur.

Si vous voyez quelque chose qui ne correspond pas à ce que vous attendiez, vous devrez peut-être vous authentifier via l’authentification unique. Il est aussi possible que la réponse SAML ne contienne pas les valeurs nécessaires pour la mise à jour.

Synchronisation des images de profil d’utilisateur à partir de l’IdP

⚠️ En général, il est recommandé d’activer cette option si vous n’activez pas le SCIM, ou si votre fournisseur d’identité ne prend pas en charge l’attribut ProfilePicture  (par exemple, ProfilePicture n’est pas pris en charge par Entra). Dans les autres cas, il est recommandé de transmettre ProfilePicture via SCIM avec des mises à jour immédiates.

Lorsque ce paramètre est activé :

• L’image de profil définie du côté du fournisseur d’identité sera appliquée au profil Miro de l’utilisateur
• Les utilisateurs ne pourront ni mettre à jour ni supprimer eux-mêmes leur image de profil

Comme pour l’attribut du nom d’utilisateur, les utilisateurs ne pourront pas modifier immédiatement leurs données côté Miro, mais la synchronisation des données n’est pas immédiate, le fournisseur d’identité n’enverra la mise à jour à Miro que lors de laprochaine authentification SSO de l’utilisateur (à condition que le paramètre “Synchroniser les photos de profil depuis le fournisseur d’identité” soit toujours actif à ce moment-là).

Si l’image de profil est définie chez le fournisseur d’identité et que vous souhaitez que l’attribut soit transmis dans la communication SAML, Miro attendra le schéma suivant :

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO et résidence des données

Si vous utilisez le service de résidence des données de Miro et disposez d’une URL dédiée, par exemple workspacedomain.miro.com, vous devez ajuster la configuration de votre fournisseur d’identité.

✏️ Pour les organisations dont la résidence des données est en Australie, au Japon et aux États-Unis, la connexion via un compte social n’est pas disponible. Pour plus d’informations sur la résidence des données, consultez Résidence des données chez Miro.

Pour ce faire, vous devez ajouter l’ID de votre organisation à l’URL.

Vous trouverez l’ID de votre organisation sur le tableau de bord Miro en cliquant sur votre Profil dans le coin supérieur droit > Paramètres > il est affiché dans l’URL dans la barre d’adresse.

Mise en place de l’authentification multifacteur (2FA) pour les utilisateurs extérieurs à l’authentification unique

L’authentification à deux facteurs (2FA) fournit une couche de sécurité supplémentaire. Avec l’authentification à deux facteurs, les utilisateurs doivent passer par une étape supplémentaire lorsqu’ils se connectent, afin de vérifier leur identité. Cette mesure supplémentaire permet de s’assurer que seules les personnes autorisées peuvent accéder à votre abonnement.
Pour en savoir plus, consultez notre guide d’administration de l’authentification à deux facteurs.

Foire aux questions et résolution des problèmes éventuels

Si un ou tous vos utilisateurs rencontrent une erreur lorsqu’ils essaient de se connecter à Miro, consultez cette liste des erreurs courantes et leurs solutions.