Aperçu de l’intégration — authentification unique Entra ID

​

Aperçu

Ce guide s’adresse aux administrateurs TI qui connectent Microsoft Entra ID à l’authentification globale de Legora pour l’authentification unique (SSO). Les membres se connectent ensuite à Legora avec leurs comptes Entra ID. Vous travaillez à deux endroits : le centre d’administration Microsoft Entra et Authentication dans Legora. Entra ID utilise OpenID Connect avec l’authentification globale de Legora.

​

Fonctionnement

Chaque étape indique où la faire. Terminez les étapes Entra avant de tester la connexion dans Legora.

​

Étape 1 : Créer l’inscription d’application (dans Entra)

Créez une inscription d’application dans Entra que Legora utilise pour connecter les membres.

1. Connectez-vous au centre d’administration Microsoft Entra.
2. Allez à Entra ID > App registrations et sélectionnez New registration.
3. Remplissez le formulaire et sélectionnez Register :
   • Name: Un nom qui décrit l’application, par exemple « Legora SSO. »
   • Supported account types: Laissez la valeur par défaut, Accounts in this organizational directory only (locataire unique).
   • Redirect URI: Laissez le champ vide pour l’instant. Vous l’ajoutez à l’étape 2.
4. Sur la page Overview de l’application, copiez ces valeurs pour l’étape 4 :
   • Application (client) ID
   • Directory (tenant) ID

​

Étape 2 : Ajouter l’URI de redirection (dans Entra)

Enregistrez le rappel de Legora pour qu’Entra puisse renvoyer les membres après la connexion.

1. Dans votre inscription d’application, allez à Authentication.
2. Sélectionnez Add a platform, puis choisissez Web.
3. Collez cet URI de redirection et sélectionnez Configure :

https://sso.legora.com/api/oauth/oidc Utilisez cet URI pour chaque organisation sur l’authentification globale de Legora. Après la création de la connexion à l’étape 4, Redirect URL sur la connexion affiche la même valeur. Si Entra demande les portées OpenID Connect à autoriser, activez openid, profile et email. Legora a besoin de l’adresse courriel après la connexion. Le prénom et le nom de famille sont recommandés. Si cette inscription d’application a déjà des URI de redirection d’une ancienne configuration de connexion Legora, laissez-les en place et ajoutez l’URI ci-dessus. Retirez les anciens URI seulement après que votre organisation a terminé le passage à l’authentification globale de Legora. La liste complète des tâches se trouve dans Guide admin TI : l’authentification globale de Legora.

​

Étape 3 : Créer un secret client (dans Entra)

Créez le secret que Legora utilise pour se connecter à votre inscription d’application.

1. Dans votre inscription d’application, allez à Certificates & secrets > Client secrets et sélectionnez New client secret.
2. Ajoutez une description, par exemple « Legora SSO secret, » et choisissez la date d’expiration.
3. Sélectionnez Add, puis copiez la Value et enregistrez-la dans un endroit sûr. Entra affiche la Value une seule fois. L’ID du secret ne peut pas être collé dans Legora.

Définissez un rappel quelques jours avant l’expiration du secret. Lorsque le secret client expire Créez un nouveau secret client dans Entra, puis mettez Legora à jour :

1. À partir de votre nom dans le menu, sélectionnez Settings > People > Authentication.
2. Sous SSO, sélectionnez la connexion.
3. Sous Connection details, sélectionnez Edit.
4. Saisissez la nouvelle valeur dans Client secret. Laissez le champ vide seulement si vous voulez conserver le secret actuel.
5. Enregistrez.

Vous n’avez pas besoin d’une nouvelle connexion pour renouveler un secret.

​

Étape 4 : Ajouter les détails de connexion (dans Legora)

Saisissez dans Legora les valeurs des étapes 1 à 3. Pour le domaine, utilisez un domaine que votre organisation possède. Dans le centre d’administration Entra, trouvez-le sous Entra ID > Domain names. Utilisez un domaine vérifié comme legora.com. Ignorez un domaine qui se termine par onmicrosoft.com.

1. À partir de votre nom dans le menu, sélectionnez Settings > People > Authentication.
2. Sous SSO, sélectionnez Add, puis choisissez Entra ID.
3. Remplissez le formulaire :
   • Display Name: Le nom que les membres voient sur l’écran de connexion.
   • Domain: Le domaine de votre organisation.
   • Tenant ID: Le Directory (tenant) ID de l’étape 1.
   • Client ID: L’Application (client) ID de l’étape 1.
   • Client Secret: La valeur du secret de l’étape 3.
4. Sélectionnez Create connection. Legora ouvre la nouvelle connexion.

Vérifiez le domaine, l’ID de locataire et l’ID client avant de créer la connexion. Pour utiliser d’autres valeurs plus tard, créez une nouvelle connexion. Edit peut modifier le nom d’affichage, l’URL de découverte et le secret client.

​

Étape 5 : Assigner les utilisateurs et groupes (dans Entra)

Choisissez qui peut se connecter à Legora par Entra.

1. Ouvrez l’application d’entreprise qu’Entra a créée pour votre inscription d’application. Sélectionnez Managed application in local directory sur la page Overview de l’inscription, ou allez à Entra ID > Enterprise applications et sélectionnez l’application.
2. Dans Properties, choisissez si chaque utilisateur de votre répertoire peut se connecter ou seulement les utilisateurs que vous assignez. Assignment required? est No par défaut. Réglez-le à Yes pour n’autoriser que les utilisateurs et groupes assignés.
3. Si l’assignation est obligatoire, allez à Users and groups et sélectionnez Add user/group.
4. Sélectionnez les utilisateurs ou groupes qui doivent avoir accès à Legora, puis sélectionnez Assign.

​

Étape 6 : Tester la connexion (dans Legora)

Confirmez que la connexion fonctionne avant que les membres s’en servent.

1. À partir de votre nom dans le menu, sélectionnez Settings > People > Authentication.
2. Sous SSO, sélectionnez la connexion.
3. Sélectionnez Test connection. Une fenêtre de connexion s’ouvre.

Si Microsoft demande d’approuver des autorisations, un administrateur Entra peut devoir accorder le consentement avant la fin du test. Si le test échoue, vérifiez l’URI de redirection, l’ID client et le secret client, puis relancez le test. S’il échoue encore, contactez support@legora.com.

​

Étape 7 : Activer la connexion (dans Legora)

Rendez la connexion disponible aux membres. Sur la connexion, activez Status. Les membres peuvent alors se connecter avec Entra ID. Tant que vous ne le faites pas, la connexion reste configurée mais n’apparaît pas comme méthode de connexion.

---

​

Qui peut se joindre

Entra contrôle qui peut s’authentifier. Legora contrôle qui devient membre. Vous définissez l’adhésion sur la connexion, sous Auto-provision et Email domains.

​

Auto-provision activé

Lorsque Auto-provision est activé, Legora ajoute une personne la première fois qu’elle se connecte avec une adresse courriel d’un domaine répertorié. Elle doit tout de même avoir la permission de s’authentifier dans Entra. L’assignation d’application, l’accès conditionnel et l’authentification multifacteur restent dans Entra. Ajoutez au moins un domaine sous Email domains avant d’activer Auto-provision. La connexion doit être active. Si Directory Sync est activé pour la connexion, utilisez Directory Sync pour gérer l’adhésion. Consultez Directory Sync.

​

Auto-provision désactivé

Lorsque Auto-provision est désactivé, une personne peut tout de même s’authentifier dans Entra. Legora l’ajoute seulement après qu’un Admin l’invite et qu’elle accepte. Sans adhésion active, la connexion s’arrête. Legora affiche : « User has no active membership in any of the connection organisations. » Pour accorder l’accès, autorisez la personne dans Entra et invitez-la dans Legora. Pour retirer l’accès, retirez-la de l’application Entra, ou retirez-la de l’organisation dans Legora.

---

​

Foire aux questions

Ces réponses couvrent les problèmes de connexion que les administrateurs signalent le plus souvent une fois la connexion activée.

​

Que se passe-t-il lorsqu’un utilisateur est retiré de l’application d’entreprise dans Entra ?

Il ne peut plus se connecter par cette application. Son profil Legora demeure. Si vous l’assignez de nouveau à l’application, il peut se connecter, s’il est encore membre ou si Auto-provision peut l’ajouter. Si l’organisation utilise aussi Directory Sync, la désactivation ou le retrait de l’utilisateur dans Entra révoque son accès à l’organisation. Cela ne supprime pas son profil Legora.

​

Pourquoi un utilisateur se connecte-t-il à un compte Legora vide ?

Lorsque Auto-provision est activé, Legora crée le compte à partir de l’adresse courriel qu’Entra envoie. Si cette adresse diffère de celle de l’invitation, par exemple jdoe@example.com au lieu de jane.doe@example.com, Legora crée un compte distinct pour l’adresse Entra. Faites correspondre le courriel dans Entra à l’adresse utilisée dans Legora, ou contactez support@legora.com.

​

Pourquoi une personne n’arrive-t-elle pas à terminer la connexion ?

Cela signifie généralement que Auto-provision est désactivé et que la personne n’a pas été invitée, ou que son adhésion a été retirée. Legora affiche : « User has no active membership in any of the connection organisations. » Invitez-la dans Legora, ou activez Auto-provision pour son domaine de courriel. Elle a aussi besoin d’accès à l’application Legora dans Entra.

​

Nous avons plusieurs domaines, mais le SSO ne démarre pas pour tous

Ajoutez chaque domaine sous Email domains sur la connexion. Incluez aussi ces domaines dans les domaines autorisés de l’organisation. À partir de votre nom dans le menu, sélectionnez Settings > People > Authentication. Sous Restrictions, sélectionnez Approved email domains, puis modifiez Allowed domains. Avec une seule connexion SSO, Legora peut acheminer la connexion avec les domaines autorisés de l’organisation. Avec plus d’une connexion, seuls les domaines d’une connexion dont Auto-provision est activé servent à choisir cette connexion.

​

Ressources supplémentaires

Ces pages couvrent le reste de la configuration de connexion et les étapes d’inscription d’application de Microsoft.

• Comment gérer l’authentification pour mon organisation ?
• Guide admin TI : l’authentification globale de Legora
• Microsoft identity platform app registration