Intégration avec votre fournisseur d'identité (SSO/SAML)

Une intégration fluide avec votre infrastructure d’identité

Les outils de collaboration d’entreprise doivent s’intégrer à l’infrastructure existante de gestion des identités et des accès. Exiger des utilisateurs qu’ils gèrent encore un autre jeu d’identifiants n’est pas simplement gênant — c’est une faille de sécurité. Mots de passe oubliés, réutilisation d’identifiants et accès non gouvernés augmentent tous la surface d’attaque.

Mandraki prend en charge l’intégration avec le fournisseur d’identité (IdP) de votre organisation via des protocoles standards de l’industrie, permettant l’authentification unique, le provisionnement automatisé des utilisateurs et la gouvernance d’accès centralisée.

Protocoles pris en charge

SAML 2.0

Mandraki agit en tant que Fournisseur de Service (SP) SAML, s’intégrant à tout Fournisseur d’Identité conforme à SAML 2.0. Cela inclut Microsoft Entra ID (anciennement Azure AD), Okta, OneLogin, Ping Identity, Keycloak et ADFS.

La configuration nécessite l’échange de métadonnées entre votre IdP et Mandraki. Une fois configuré, les utilisateurs s’authentifient via le flux de connexion de votre IdP et sont redirigés vers Mandraki avec une assertion signée. Mandraki valide l’assertion, provisionne ou met à jour l’enregistrement utilisateur et établit une session.

OpenID Connect (OIDC)

Pour les organisations qui préfèrent OIDC, Mandraki prend en charge le flux Authorization Code avec PKCE. C’est particulièrement pertinent pour les organisations utilisant des plateformes d’identité modernes ou des services d’authentification sur mesure qui exposent des points de terminaison OIDC.

Provisionnement automatisé des utilisateurs

Provisionnement Just-in-Time (JIT)

Lorsqu’un utilisateur s’authentifie via SSO pour la première fois, Mandraki crée automatiquement son compte et l’attribue à l’organisation appropriée en fonction des attributs d’identité dans l’assertion SAML ou les claims OIDC. Aucune création manuelle de compte n’est requise.

Les attributs typiquement mappés depuis l’IdP incluent :

• Adresse e-mail (obligatoire)
• Nom d’affichage
• Service ou appartenance à un groupe
• Rôle (mappé aux rôles Mandraki : Owner, Admin ou Member)

Provisionnement SCIM

Pour les organisations qui exigent une gestion du cycle de vie — création de comptes avant la première connexion, mise à jour des attributs et désactivation des comptes lors du départ des employés — Mandraki prend en charge le protocole SCIM 2.0. Votre IdP pousse les changements d’utilisateurs et de groupes vers le point de terminaison SCIM de Mandraki, gardant l’annuaire utilisateur synchronisé automatiquement.

Cela garantit que lorsqu’un employé est désactivé dans votre IdP, son accès Mandraki est révoqué immédiatement, sans attendre qu’un administrateur se souvienne de désactiver manuellement le compte.

Vérification de domaine et capture automatique

Les organisations peuvent revendiquer et vérifier leur domaine de messagerie au sein de Mandraki. Une fois vérifiées, plusieurs fonctionnalités de gouvernance puissantes deviennent disponibles.

Capture automatique. Les nouveaux utilisateurs qui s’inscrivent avec une adresse e-mail correspondant à votre domaine vérifié sont automatiquement ajoutés à votre organisation, plutôt que de créer un compte personnel autonome. Cela empêche le Shadow IT — l’adoption de Mandraki par des utilisateurs en dehors de la gouvernance de votre organisation.

Blocage de l’inscription personnelle. Vous pouvez empêcher entièrement les utilisateurs de votre domaine de créer des comptes personnels, garantissant que toute utilisation de Mandraki par vos employés se fait au sein de votre organisation gérée.

Vérification DNS. La propriété du domaine est vérifiée en ajoutant un enregistrement TXT au DNS de votre domaine. Il s’agit d’une configuration unique qui fournit un contrôle de gouvernance permanent.

Support multi-organisations

Le modèle d’identité de Mandraki prend en charge les utilisateurs appartenant à plusieurs organisations. Un consultant qui travaille avec trois clients, chacun ayant sa propre organisation Mandraki, peut basculer entre elles sans se déconnecter et se reconnecter. L’intégration SSO respecte ce modèle — chaque organisation peut avoir sa propre configuration d’IdP, et les utilisateurs s’authentifient auprès de l’IdP approprié pour chaque organisation.

Considérations de sécurité

Aucun stockage de mot de passe pour les utilisateurs SSO. Lorsque le SSO est activé, Mandraki ne stocke pas les mots de passe pour les utilisateurs fédérés. L’authentification est entièrement déléguée à votre IdP, et Mandraki ne stocke que l’identifiant externe et les attributs mappés.

SSO obligatoire. Les organisations peuvent exiger que tous les membres s’authentifient via SSO, empêchant l’utilisation de la connexion par e-mail/mot de passe. Cela garantit que les politiques d’authentification de votre IdP — authentification multifacteur, accès conditionnel, durée de session — s’appliquent de manière cohérente.

Gestion des sessions. Mandraki émet ses propres jetons JWT après l’authentification SSO, avec une expiration configurable. Lorsqu’une session IdP d’un utilisateur est révoquée, sa session Mandraki expire au prochain rafraîchissement de jeton, garantissant une révocation d’accès rapide.

Pour commencer

La configuration du SSO prend généralement moins de trente minutes. Votre administrateur informatique ajoute Mandraki en tant qu’application SAML ou OIDC dans votre IdP, échange les métadonnées et active le SSO dans les paramètres de l’organisation Mandraki. Des guides de configuration détaillés pour chaque grand fournisseur d’identité sont disponibles dans notre base de connaissances.