Connexion par SSO

Vos membres se connectent au tableau de bord par le fournisseur d’identité de votre organisation. Le réglage vit dans Paramètres, Sécurité, Connexion par SSO. Seuls le propriétaire et les administrateurs y ont accès.

Vérifier un domaine

Le SSO ne sert qu’aux adresses d’un domaine que vous avez prouvé tenir.

Ajoutez le domaine, par exemple exemple.fr.
Chez votre hébergeur DNS, créez l’enregistrement TXT affiché : nom _ophelix-verification.exemple.fr, valeur ophelix-domain-verification=….
Cliquez sur Vérifier. La propagation peut prendre du temps : la vérification se rejoue autant qu’il faut.

Un domaine vérifié n’appartient qu’à une organisation.

Brancher le fournisseur

OpenID Connect : déclarez chez votre fournisseur une application web avec l’adresse de retour affichée, puis renseignez l’émetteur, l’identifiant et le secret du client. Ophelix lit la configuration publiée par l’émetteur, et demande le code avec PKCE. Le secret est gardé chiffré et ne s’affiche plus.

SAML 2 : donnez à votre fournisseur l’identifiant d’Ophelix et l’adresse de retour (ACS), ou l’adresse des métadonnées d’Ophelix. Renseignez ensuite l’adresse des métadonnées du fournisseur, ou collez-les. Chaque assertion doit être signée, en SHA-256 au moins. L’adresse doit arriver dans l’attribut email (ou mail), sinon dans le NameID.

Première connexion

Le bouton Se connecter avec le SSO de votre organisation, sur la page de connexion, demande l’adresse puis mène au fournisseur. Un membre qui se connecte pour la première fois reçoit un compte, sans mot de passe, et le rôle choisi : développeur ou support en lecture seule.

Le second facteur reste obligatoire. Si votre fournisseur atteste une authentification à deux facteurs (amr à mfa, ou un contexte d’authentification à deux facteurs en SAML), Ophelix ne le redemande pas. Sinon, le membre utilise le second facteur d’Ophelix, ou l’active à sa première connexion.

Imposer le SSO

Une fois le SSO activé derrière un domaine vérifié, Imposer le SSO ferme le mot de passe et la passkey aux membres dont l’adresse est sur ce domaine : ils reçoivent l’erreur sso_required. Le propriétaire garde son mot de passe et son second facteur, pour ne jamais rester dehors si le fournisseur tombe.

Chaque connexion s’inscrit au journal d’audit avec sa méthode : mot de passe, passkey, SSO OpenID Connect ou SSO SAML, et ce qui a tenu lieu de second facteur.