Intégration SSO | Gfacility

Intégrations · Authentification · 1.4

Avec l’authentification unique (SSO), les employés se connectent à Gfacility via le fournisseur d’identité de votre propre organisation, comme Microsoft Entra ID (anciennement Azure AD) ou OneLogin. C’est votre service IT qui décide qui peut se connecter et à quelles conditions. Gfacility prend en charge OpenID Connect et SAML 2.0.

SSO ou Se connecter avec Microsoft ?

Les deux permettent aux employés de se connecter avec leur compte Microsoft professionnel, mais via une application différente dans votre tenant Entra. Choisissez l’une des deux.

	Se connecter avec Microsoft	Authentification unique (SSO)
Quelle application	L'application Gfacility	Une application créée par votre service IT
Mise en place	Un administrateur donne son accord une seule fois via un lien	Le service IT crée une inscription d'application, l'administrateur Gfacility saisit les informations
Qui gère l'application	Gfacility	Votre propre service IT (qui peut se connecter, combien de temps un secret reste valide)
Idéal pour	Démarrer vite, avec peu de travail côté IT	Les organisations qui veulent garder la main

Vous optez pour Se connecter avec Microsoft ? Consultez Connexion avec Microsoft. Cet article traite du SSO.

Cet article indique toujours les URL de production (app.gfacility.com) et d’UAT/test (uat.gfacility.com). Utilisez l’URL de l’environnement que vous configurez.

1. Configuration via OpenID Connect (recommandée)

OpenID Connect est le plus rapide à mettre en place. Le travail se répartit entre deux personnes : l’administrateur IT de votre organisation (étape A) et l’administrateur Gfacility (étape B).

A. Dans Microsoft Entra ID (administrateur IT)

Étape	Que faire
1	Allez dans entra.microsoft.com → Inscriptions d'applications → Nouvelle inscription. Saisissez un nom (par ex. Gfacility SSO) et choisissez Comptes dans cet annuaire organisationnel uniquement.
2	Sous URI de redirection, choisissez la plateforme Web et saisissez : PROD : `https://app.gfacility.com/login/sso` UAT : `https://uat.gfacility.com/login/sso` Cliquez sur S'inscrire.
3	Dans la Vue d'ensemble, notez l'ID d'application (client) et l'ID de l'annuaire (locataire).
4	Cliquez sur Points de terminaison et copiez le point de terminaison d'autorisation OAuth 2.0 (v2). Il se termine par `/oauth2/v2.0/authorize`.
5	Allez dans Authentification et cochez Jetons d'ID. Cliquez sur Enregistrer.
6	Allez dans Certificats et secrets → Nouveau secret client. Copiez immédiatement la Valeur (et non l'ID du secret) : elle ne s'affiche qu'une seule fois. Notez la date d'expiration.
7	Allez dans Autorisations d'API. Vérifiez que `openid`, `profile` et `User.Read` figurent sous Microsoft Graph (déléguées). Cliquez sur Accorder un consentement d'administrateur pour [organisation] et confirmez.
8	Allez dans Applications d'entreprise → [nom de l'application] → Utilisateurs et groupes et ajoutez les employés ou les groupes autorisés à se connecter.

B. Dans Gfacility (administrateur Gfacility)

Allez dans Intégrations & Connexion → Authentification unique (SSO) → Ajouter un fournisseur d’identité et choisissez Microsoft Entra ID (OpenID). Renseignez :

Champ dans Gfacility	Valeur à saisir
URL d'autorité	Le point de terminaison d'autorisation de l'étape 4, qui se termine par `/oauth2/v2.0/authorize`
URL de redirection	Exactement la même URL qu'à l'étape 2
URL de redirection après déconnexion	Facultatif, par ex. `https://app.gfacility.com/login`
Scope	Laissez vide (Gfacility utilise alors `openid profile`)
ID de tenant	L'ID de l'annuaire (locataire) de l'étape 3
ID client	L'ID d'application (client) de l'étape 3
Secret client	La valeur de l'étape 6

Cliquez sur Tester la connexion. N’activez l’authentification unique pour tout le monde qu’après avoir testé avec un seul utilisateur (voir ci-dessous).

Tester

Ouvrez une nouvelle fenêtre de navigation privée et allez sur https://app.gfacility.com/login/sso?email=nom@votreentreprise.fr (ou uat. pour l’environnement de test). Connectez-vous avec ce compte. Si vous arrivez dans Gfacility, tout fonctionne.

Vous voyez	Cause et solution
« Approbation administrateur requise »	Le consentement administrateur de l'étape 7 manque. Si l'écran mentionne l'application Gfacility au lieu de votre propre application, la connexion passe par Se connecter avec Microsoft : utilisez le lien avec `/login/sso`.
Erreur sur l'URL de réponse ou l'URI de redirection	L'URL de redirection n'est pas exactement la même dans Gfacility et dans Entra. Vérifiez `https`, `app` ou `uat`, et une éventuelle `/` finale.
« not assigned to a role » ou message similaire	L'utilisateur n'a pas été ajouté à l'étape 8.
De retour dans Gfacility, mais pas connecté	L'adresse e-mail de l'utilisateur dans Gfacility doit correspondre à son nom de connexion Microsoft.

2. Configuration via SAML 2.0

SAML nécessite une configuration unique de la part de Gfacility. Convenez donc d’abord avec nous du nom d’entreprise à utiliser dans les URL. Suivez ensuite ces étapes dans Microsoft Entra ID :

Étape	Que faire
1	Allez dans Applications → Applications d'entreprise → Vue d'ensemble.
2	Ouvrez l'Azure AD SAML Toolkit. Il n'y figure pas ? Cliquez sur + Nouvelle application.
3	Dans le menu de gauche : Authentification unique.
4	Cliquez sur Modifier à côté de la configuration SAML de base et renseignez les URL (voir ci-dessous).
5	Transmettez-nous les informations de l'étape 3 (certificats SAML) et de l'étape 4 (Toolkit).

URL pour l’étape 4

Remplacez {nom-entreprise} par le nom convenu avec Gfacility.

Production

Identificateur (ID d'entité) : https://app.gfacility.com/api/sso/{nom-entreprise}/metadata
URL de réponse (ACS) : https://app.gfacility.com/api/sso/{nom-entreprise}/acs
URL de connexion : https://app.gfacility.com/login/sso

UAT / Test

Identificateur (ID d'entité) : https://uat.gfacility.com/api/sso/{nom-entreprise}/metadata
URL de réponse (ACS) : https://uat.gfacility.com/api/sso/{nom-entreprise}/acs
URL de connexion : https://uat.gfacility.com/login/sso

Que transmettre à Gfacility ?

Étape 3 (certificats SAML) : l’URL des métadonnées de fédération d’application.
Étape 4 (SAML Toolkit) : l’URL de connexion, l’identificateur Microsoft Entra et l’URL de déconnexion.

Une fois la connexion configurée par Gfacility, ajoutez dans Gfacility un fournisseur d’identité de type Microsoft Entra ID (SAML) sous Intégrations & Connexion → Authentification unique (SSO). Saisissez l’URL de connexion d’Entra comme URL de redirection.

Consultez aussi l’article de Microsoft sur la configuration de SAML dans Entra pour aller plus loin.

Se connecter avec le SSO

Sur l’écran de connexion, les utilisateurs finaux choisissent « Se connecter avec SSO ». Une URL directe simplifie encore les choses :

Détection automatique

L'utilisateur saisit son adresse e-mail une seule fois. Le navigateur s'en souvient lors des visites suivantes. Pratique à placer sur l'intranet.

PROD : https://app.gfacility.com/login/sso?email=auto

UAT : https://uat.gfacility.com/login/sso?email=auto

URL spécifique

Transmettez l'adresse e-mail dans l'URL (par ex. via votre intranet). L'utilisateur n'a rien à saisir.

PROD : app.gfacility.com/login/sso?email=mail@utilisateur.com

UAT : uat.gfacility.com/login/sso?email=mail@utilisateur.com

← Précédent : Connexion avec Microsoft Suivant : Configurer l'envoi des e-mails→