Comprendre la connexion SSO

Réponse courte

Le SSO délègue l’authentification à un fournisseur d’identité configuré pour l’organisation. CRA Manager vérifie ensuite l’identité renvoyée, le domaine, l’e-mail saisi au départ et l’accès actif à l’organisation.

Disponibilité produit : Disponible pour les fournisseurs OIDC configurés, notamment Microsoft Entra ID.

Définition

Le Single Sign-On permet d’utiliser le compte professionnel géré par l’organisation. Dans le parcours email-first, l’adresse saisie sert à découvrir la configuration SSO ; elle ne prouve pas l’identité.

L’identité authentifiée est celle validée dans le jeton OIDC signé. CRA Manager utilise un identifiant externe stable fourni par l’IdP et exige une adresse exploitable.

Pourquoi c’est important

Une session Microsoft déjà active peut correspondre à une autre personne que l’adresse saisie. CRA Manager doit refuser la connexion si l’adresse attendue et l’identité réellement authentifiée diffèrent, même si elles partagent le même domaine.

Comment CRA Manager le modélise

Le flux contrôle notamment :

• la tentative SSO et son état ;
• la signature, l’émetteur, l’audience et le nonce OIDC ;
• le domaine autorisé ;
• la correspondance stricte entre l’e-mail attendu et l’adresse normalisée de l’identité ;
• l’unicité de l’identifiant externe stable ;
• le statut de l’utilisateur et du membership dans l’organisation cible.

Pour Microsoft Entra ID validé, l’absence du claim email_verified peut être admise ; une valeur explicitement fausse reste refusée. Cette exception ne s’applique pas automatiquement aux fournisseurs OIDC génériques.

Exemple concret

Une personne saisit utilisateur@exemple.fr, mais le navigateur renvoie une session Microsoft différente. CRA Manager refuse le callback, ne crée aucune session et ne lie aucune identité. La personne doit recommencer avec le compte Microsoft correspondant.

Limites / points d’attention

Le SSO ne crée pas un membership artificiel et ne transforme pas un rôle plateforme en accès organisation. L’auto-provisionnement, lorsqu’il est activé et configuré, reste limité à l’organisation du fournisseur et à ses règles. Ne copiez jamais un code, jeton, cookie ou secret dans un ticket.

À retenir

Le SSO délègue l’authentification à un fournisseur d’identité configuré pour l’organisation. CRA Manager vérifie ensuite l’identité, le domaine, l’e-mail attendu et l’accès organisation.

Articles liés

• Résoudre un problème d’accès
• Comprendre les rôles et permissions

Article issu de la base de connaissance CRA Manager.