Skip to main content
Le SSO est disponible avec l’offre Enterprise ou grâce à une activation explicite de la fonctionnalité. Seul le Propriétaire de l’équipe peut le gérer.
Ouvrez Gestion de l’équipe > SSO pour configurer un fournisseur OpenID Connect utilisant le flux Authorization Code avec PKCE.

​
Préparer le fournisseur d’identité

Créez une application web OIDC avec l’URL de rappel affichée sur la page SSO de Qwairy. Le chemin de rappel par défaut est :
L’origine doit correspondre au domaine utilisé pour la connexion. Un domaine personnalisé en marque blanche nécessite donc sa propre origine de rappel. Récupérez l’URL de l’émetteur, l’ID client et le secret client. L’émetteur doit prendre en charge la découverte OIDC et la récupération des JWKS.

​
Créer la connexion

  1. Saisissez un nom d’affichage pour le fournisseur.
  2. Saisissez l’URL de l’émetteur, l’ID client et le secret client.
  3. Choisissez le rôle par défaut du provisionnement à la volée.
  4. Enregistrez la connexion.
  5. Utilisez Tester la connexion pour vérifier la découverte et l’accès aux clés de signature.
Les rôles par défaut disponibles sont Membre et Lecteur. Un Lecteur nouvellement provisionné a encore besoin d’un accès à un workspace avant de pouvoir le consulter.

​
Vérifier un domaine

Sélectionnez Ajouter un domaine pour ajouter le domaine email de l’organisation, puis publiez l’enregistrement TXT affiché par l’interface. Sélectionnez Vérifier une fois que le DNS peut résoudre l’enregistrement. Chaque domaine ne peut appartenir qu’à une connexion SSO. Retirer le dernier domaine vérifié désactive le SSO et son obligation pour cette connexion.

​
Activer et imposer

Il faut au moins un domaine vérifié pour activer le SSO. Les utilisateurs correspondants peuvent alors s’authentifier via le fournisseur configuré et être provisionnés avec le rôle par défaut. Imposer le SSO nécessite que le SSO soit activé. Testez la connexion avec le domaine visé avant de l’imposer. Sinon, les utilisateurs dont l’identité correspondante ne peut pas s’authentifier risquent de perdre l’accès.

​
Dépannage

  • Échec de la découverte : vérifiez l’URL racine de l’émetteur et l’accès réseau à son document de découverte et à ses JWKS.
  • Erreur de redirection : copiez exactement l’origine et le chemin /api/auth/sso/callback affichés dans Qwairy.
  • Domaine non vérifié : vérifiez l’hôte et la valeur TXT dans le DNS public.
  • Utilisateur non provisionné : vérifiez la présence d’un email vérifié dans les claims, la correspondance du domaine et le rôle par défaut.
Supprimer la connexion SSO supprime aussi les enregistrements de domaines associés dans Qwairy. Coordonnez ce changement avant la suppression.