Guide d’intégration SAML SSO

​

Aperçu

Ce guide s’adresse aux administrateurs TI qui connectent un fournisseur d’identité SAML 2.0 à l’authentification globale de Legora. Les membres se connectent ensuite à Legora avec leurs identifiants professionnels. Les mêmes étapes s’appliquent lorsque vous sélectionnez SAML, ADFS ou PingFederate dans Legora. Microsoft Entra ID sur l’authentification globale de Legora utilise OpenID Connect. Consultez Aperçu de l’intégration — authentification unique Entra ID.

​

Fonctionnement

Vous créez une application SAML dans votre fournisseur d’identité et lui donnez les détails du fournisseur de services Legora. Vous saisissez ensuite les détails de votre fournisseur d’identité dans Legora. Cet échange permet à Legora de faire confiance à la connexion.

​

Prérequis

Vous avez besoin des deux éléments suivants avant de commencer :

• Un accès administrateur au fournisseur d’identité SAML 2.0 de votre organisation.
• Manage authentication security dans l’organisation Legora.

​

Configurer la connexion

Faites d’abord les étapes du fournisseur d’identité, puis les étapes Legora. Les valeurs du fournisseur de services sont les mêmes pour chaque organisation sur l’authentification globale de Legora.

​

Créer l’application SAML

Commencez dans la console d’administration de votre fournisseur d’identité.

1. Créez une nouvelle application SAML 2.0 pour Legora.
2. Si l’organisation a déjà une application SAML Legora, conservez-la et créez celle-ci à côté. La section sur la migration plus bas indique quand cela s’applique.

​

Saisir les détails du fournisseur de services Legora

Copiez ces valeurs dans la nouvelle application. Elles ne changent pas selon la région.

• Entity ID, Audience URI, ou Identifier: https://sso.legora.com
• ACS URL, Single Sign-On URL, ou Reply URL: https://sso.legora.com/api/oauth/saml

https://sso.legora.com est un service de connexion, pas un site Web. L’ouverture de cette adresse racine affiche 404 Not Found par conception. Utilisez l’URL ACS complète. Après la création de la connexion, ACS URL sur la connexion affiche la même URL de réponse. Entity ID sur la connexion affiche l’identifiant de votre fournisseur d’identité. Saisissez https://sso.legora.com dans le fournisseur d’identité comme Entity ID de Legora. Legora exige une revendication email. given_name et family_name sont recommandés. Mappez les attributs de votre fournisseur d’identité à ces noms.

​

Ajouter le fournisseur d’identité dans Legora

Saisissez les détails de votre fournisseur d’identité pour que Legora envoie les membres à la bonne page de connexion.

1. À partir de votre nom dans le menu, sélectionnez Settings > People > Authentication.
2. Sous SSO, sélectionnez Add, puis choisissez SAML, ADFS ou PingFederate.
3. Saisissez un Display Name. Les membres voient ce nom sur l’écran de connexion.
4. Saisissez les détails de votre fournisseur d’identité. Utilisez l’une de ces options :
   • Metadata URL: Legora récupère le point de terminaison de connexion et le certificat à cette adresse. C’est le choix habituel.
   • Ou saisissez l’Entity ID, la Sign-In Endpoint URL et le Signing Certificate (PEM) de votre fournisseur d’identité.
5. Sélectionnez Create connection. Legora ouvre la nouvelle connexion.

Edit sur une connexion SAML ne change que le nom d’affichage. Pour modifier les métadonnées, créez une nouvelle connexion.

​

Tester et activer la connexion

Confirmez la connexion avant que les membres s’en servent.

1. Dans votre fournisseur d’identité, assignez un utilisateur de test à l’application SAML Legora.
2. Dans Legora, ouvrez la connexion et sélectionnez Test connection. Une fenêtre de connexion s’ouvre.
3. Connectez-vous avec l’utilisateur de test. Vous devriez revenir à Legora.
4. Activez Status pour que les membres puissent se connecter avec cette connexion.

Si le test échoue, comparez l’URL ACS et l’Entity ID dans votre fournisseur d’identité aux valeurs des étapes précédentes. Confirmez aussi que l’assertion inclut email.

​

Migrer vers l’authentification globale de Legora

Utilisez cette section seulement lorsque l’organisation a déjà une application SAML pour Legora et que vous la faites passer à l’authentification globale de Legora. Une première configuration est terminée après l’activation de Status. Une application SAML est liée à l’Entity ID du fournisseur de services. Vous ne pouvez pas pointer l’application existante vers l’authentification globale de Legora. Créez une nouvelle application SAML avec les valeurs ci-dessus. Laissez l’application existante inchangée jusqu’à la fin de la migration. Pour tester pendant la migration, à partir de votre nom dans le menu, sélectionnez Settings > People > Authentication migration. Exécutez le test de connexion et confirmez qu’il affiche Passed. Legora ne prend pas en charge plus d’une application SAML dans le même locataire Microsoft Entra. Déplacez ces connexions vers OpenID Connect. Consultez Aperçu de l’intégration — authentification unique Entra ID. Pour les URL de rappel d’intégration, les règles de pare-feu et le reste du déplacement, consultez Guide admin TI : l’authentification globale de Legora.

​

Dépannage

Commencez par l’assertion et les deux URL Legora.

​

La connexion échoue ou l’utilisateur est introuvable

Legora exige une revendication email et refuse une assertion qui marque le courriel comme non vérifié. Confirmez que le fournisseur d’identité envoie email, et que given_name et family_name utilisent ces noms lorsque vous les envoyez. Confirmez aussi que l’utilisateur de test est assigné à l’application.

​

L’URL de réponse ou l’entity ID est rejeté

L’URL ACS et l’Entity ID dans votre fournisseur d’identité doivent correspondre exactement aux valeurs de ce guide. Utilisez https://sso.legora.com sans barre oblique finale, et utilisez l’URL ACS complète https://sso.legora.com/api/oauth/saml. Si ces vérifications ne règlent pas le problème, contactez support@legora.com.