Le langage SAML (Security Assertion Markup Lang uage)permet aux utilisateurs d’accéder à monday.com (SP) par l’intermédiaire d’un fournisseur d’identité (IDP) de votre choix. Il consiste à transférer l’identité de l’utilisateur d’un endroit (le fournisseur d’identité) à un autre (monday.com). Il est facile d'activer le SAML via monday.com en quelques étapes.

Remarque : l'authentification SSO SAML n'est disponible que dans le forfait Entreprise. L'authentification unique Google est disponible dans les forfaits Pro et Entreprise. Pour en savoir plus sur l'authentification unique Google, cliquez ici. 

Configurer votre fournisseur d'identité

Avant de configurer le SSO SAML dans monday.com, vous devez d’abord configurer une connexion SSO monday, également appelée connecteur, avec votre fournisseur d’identité. monday.com prend actuellement en charge trois principaux fournisseurs : Okta, Entra ID (anciennement Azure AD) et OneLogin. Vous pouvez également utiliser un fournisseur personnalisé.

• Pour activer SAML avec Okta,  consultez l'article correspondant. 
• Pour activer SAML avec OneLogin,  consultez l'article correspondant. 
• Entra ID (précédemment Azure AD),  consultez l'article correspondant. 
• Pour activer SAML avec SAML 2.0,  consultez l'article correspondant.

Remarque : par défaut, vous pouvez connecter un fournisseur d’identité à un compte monday. Si votre compte dispose de l’extension Enterprise Guardian, vous pouvez configurer plusieurs fournisseurs SSO dans le même compte. Plusieurs comptes monday peuvent également être connectés à un seul fournisseur d’identité.

Maintenant que vous avez terminé cette étape, il est temps d'entrer dans votre compte monday.com pour continuer à configurer SAML SSO. Suivez les étapes ci-dessous pour continuer.

SSO SAML pour monday.com

Une fois votre fournisseur d'identité configuré , il ne vous reste qu'à activer le SAML sur monday.com. Pour ce faire, cliquez sur votre photo de profil dans le coin supérieur droit de votre écran et sélectionnez Administration.

Une fois dans la section administrateur, sélectionnez la section Sécurité dans le panneau de gauche. Cliquez sur Authentification unique (SSO) dans l’onglet Politiques d’authentification. Cliquez ensuite sur Ajouter une politique SSO. Nous utiliserons OKTA dans notre exemple, mais vous pouvez choisir l'option de votre choix.

Sélectionnez votre fournisseur d'e-mail dans la liste :

Remarque : les formats de l’URL SAML SSO et du champ émetteur du fournisseur d’identité diffèrent légèrement selon le fournisseur. La sélection d’un fournisseur d’identité dans la liste affichera le format de valeur attendu pour ces champs. Si votre fournisseur d’identité n’apparaît pas dans la liste, sélectionnez SAML personnalisé 2.0 et copiez les valeurs de l’URL SAML SSO et de l’émetteur du fournisseur d’identité depuis votre fournisseur d’identité.

Remplissez les champs suivants avec les données de votre fournisseur d'identité :

• URL SAML SSO
• Fournisseur d’IdP
• Certificat public

Remarque : si votre entreprise prévoit d'envoyer des réponses SAML chiffrées, sélectionnez Activer le certificat monday. Vous obtiendrez ainsi le certificat de chiffrement public à saisir dans l'IDP qui garantit que monday.com pourra déchiffrer la réponse SAML.

Testez votre connexion SSO

Une fois que vous avez rempli tous les détails nécessaires pour votre fournisseur SSO, il est temps de tester votre connexion. Attention, cette étape est obligatoire pour pouvoir activer SAML sur votre compte, ou avant d'effectuer d'autres changements. Cliquez sur Test de connexion SSO.

Activez le fournisseur SSO

Après avoir suivi les étapes énumérées ci-dessus, activez votre fournisseur SSO. Cliquez sur le bouton Ajouter un fournisseur SSO et tous les utilisateurs de monday.com recevront un e-mail expliquant comment se connecter en utilisant le fournisseur SSO sélectionné.

Modifier la politique en matière d'e-mails et de mots de passe

Les administrateurs disposent d'une plus grande souplesse dans la gestion des politiques de connexion grâce à la possibilité de personnaliser la politique en matière d'e-mail et de mot de passe. Ce paramètre permet d'exclure facilement des utilisateurs spécifiques de l'exigence SSO, offrant ainsi une solution flexible pour adapter les préférences de connexion aux besoins uniques de votre équipe.

En cliquant sur les trois points situés à côté de la section E-mail et mot de passe et en choisissant Modifier, l'administrateur peut sélectionner les membres de la politique, ce qui signifie qu'il peut définir à qui s'applique la politique en matière d'e-mail et de mot de passe - à tout le monde ou seulement à certaines personnes (par exemple, invités, un seul utilisateur).

Avant l'activation du SSO, la politique en matière d'e-mail et de mot de passe ne peut pas être modifiée. Par défaut, après l'activation du SSO, la politique en matière d'e-mails et de mots de passe change de Tout le monde à Invités.

Deux options sont proposées dans la section relative à la politique en matière d'e-mail et de mot de passe :

Option 1 : Tous les utilisateurs (y compris les invités) peuvent se connecter à monday.com en utilisant l'e-mail et le mot de passe prévus par la politique.

Option 2 : Seules certaines personnes (invités, utilisateur unique ou les deux) peuvent utiliser l'e-mail et le mot de passe pour se connecter à monday.com.

Choisir Invités sous Certaines personnes seulement signifie que les invités peuvent se connecter en utilisant la politique d'e-mail et de mot de passe (et pas seulement le SSO). Il s'agit de l'option la plus couramment utilisée, car les invités sont souvent des utilisateurs externes qui ne sont pas gérés par le service informatique interne d'une organisation.

Choisir Un seul utilisateur sous Seulement certaines personnes signifierait qu'un seul collaborateur choisi peut se connecter en utilisant l'option e-mail et mot de passe (et pas seulement le SSO).

Remarque: Cet accès est utilisé si, par exemple, il y a un problème avec votre fournisseur SSO et que vous avez besoin d'accéder à la plateforme pour effectuer des changements de paramètres.

Si la politique de sécurité de votre entreprise le permet, nous vous recommandons d'utiliser les options Invités ou Invités et un seul utilisateur pour Certaines personnes seulement. Cela signifie que tous les utilisateurs du compte, à l'exception des invités et de l'utilisateur unique désigné, doivent se connecter à l'aide du SSO. Les invités peuvent être invités à rejoindre des tableaux partagés et se connecter normalement avec une adresse e-mail et un mot de passe. Dans ce cas, il n'est pas nécessaire que les adresses e-mail des invités soient actives sur l'IDP du compte pour qu'ils puissent se connecter. L'option utilisateur unique offre une flexibilité supplémentaire, permettant à un collaborateur de se connecter à l'aide de son e-mail et de son mot de passe pour un accès d'urgence en cas de besoin.

Provisionnement

Par défaut, monday.com utilise le provisionnement juste à temps, ce qui signifie que l'utilisateur est créé sur monday.com lors de sa première connexion s'il n'existe pas déjà.

Si vous souhaitez activer le provisionnement SCIM, générez le jeton, puis suivez les instructions de votre IDP pour l'activer. monday.com prend en charge le flux initié par l'IDP ou le flux initié par le SP. Une application monday.com officielle existe dans le catalogue d'applications Okta. Pour l'activer,consultez l'article correspondant.

De plus, une application monday.com officielle figure dans le catalogue d'applications OneLogin. Pour l'activer, consultez l'article correspondant.

De plus, une application monday.com officielle figure dans le catalogue d'applications Entra ID. Pour l'activer, consultez l'article correspondant.

Remarque : le provisionnement SCIM n'est disponible que dans le forfait Entreprise.

Que se passe-t-il une fois que l'authentification SSO est activée ?

Une fois le SSO activé dans le compte, chaque administrateur recevra un e-mail lui indiquant que le SSO a été activé dans le compte.
Voici un exemple de l'e-mail envoyé :

Erreurs courantes après la connexion au fournisseur d'authentification unique

Certains utilisateurs rencontrent des difficultés et ne parviennent pas à utiliser la SSO. Par exemple, après avoir renseigné ses informations d'identification sur la page de connexion du fournisseur de SSO, au lieu d'être redirigé vers la page monday.com, le collaborateur voit s'afficher un message d'erreur l'informant que l'utilisateur connecté « nomdutilisateur@email.com » n'est affecté à aucun rôle pour l'application (la formulation peut différer légèrement en fonction du fournisseur de SSO). Dans ce cas, les admins du compte doivent se rendre sur le fournisseur de SSO qu'utilise l'équipe afin d'affecter/ajouter cet utilisateur au compte monday.com. 

Autre problème courant : un utilisateur modifie son adresse e-mail, ce qui entraîne une erreur lorsqu'il tente de se connecter. Nous aborderons tout cela dans le prochain paragraphe.

Que se passe-t-il lorsqu'un utilisateur change d'adresse e-mail ?

Lorsqu'un utilisateur se connecte à monday.com en utilisant l'authentification unique, une connexion à un serveur frontal est établie entre le fournisseur d'identité (IDP) et l'ID de l'utilisateur sur monday.com. Cette connexion, appelée UID (ID d'utilisateur), relie l'identité d'une personne dans l'IDP (son nom, son adresse e-mail) à l'adresse e-mail associée à cet utilisateur sur monday.com.

C'est pourquoi si un utilisateur modifie son adresse e-mail, il ne pourra plus se connecter à monday.com tant que son UID (ID d'utilisateur) ne sera pas réinitialisé. En effet, son UID est lié à son ancienne adresse e-mail et s'il la met à jour, l'adresse e-mail ne sera pas automatiquement connectée à l'UID existant. Par conséquent, la réinitialisation de l'UID permettra d'interrompre la connexion précédente et de créer un nouveau lien entre l'UID et la nouvelle adresse e-mail.

Marche à suivre lorsque l'adresse e-mail d'un utilisateur change

Si un utilisateur modifie son adresse e-mail, il vous suffit de suivre les deux étapes décrites ci-dessous et il pourra à nouveau se connecter en un rien de temps.

   1 Modifier l'adresse e-mail de l'utilisateur dans le fournisseur d'identité et dans monday.com   

Il est important de changer l'adresse e-mail de l'utilisateur à la fois sur le fournisseur d'identité et sur monday.com. Pour changer son adresse e-mail sur monday.com, l'utilisateur concerné peut suivre la marche à suivre présentée dans cet article. 

Remarque : lorsqu'un administrateur modifie l'adresse e-mail d'un utilisateur, ce dernier doit confirmer sa nouvelle adresse e-mail.

   2 Réinitialiser l'UID de l'utilisateur    

Une fois l'adresse e-mail de l'utilisateur modifiée sur l'IDP et sur monday.com, il reste à réinitialiser son UID. Pour ce faire, rendez-vous dans la section Admin du compte et accédez à l'onglet Gestion des utilisateurs. Ensuite, localisez l'utilisateur qui a changé d'adresse e-mail, cliquez sur le menu latéral situé tout à droite de son nom, puis sélectionnez Réinitialisation de l'UID d'authentification unique :

Une fois cette option sélectionnée, l’utilisateur pourra se connecter avec succès à son compte monday en utilisant sa nouvelle adresse e-mail.

Modifier les domaines d'e-mail de plusieurs utilisateurs à la fois

En tant qu’administrateur, vous pouvez mettre à jour en masse le domaine e-mail pour plusieurs utilisateurs à la fois et réinitialiser instantanément leurs UID SSO. 

Pour ce faire, commencez par vous rendre dans la section Gestion des utilisateurs de votre compte. Sélectionnez ensuite les utilisateurs concernés en cochant la case à gauche de leurs icônes, puis cliquez sur  Changer le domaine d'adresse e-mail dans le volet inférieur. Ensuite, entrez le nouveau domaine d'e-mail et cliquez sur Modifier le domaine d'adresse e-mail. En même temps que la mise à jour du domaine d'e-mail, l'UID d'authentification unique sera également réinitialisé pour ces utilisateurs.

Une fois que les utilisateurs sélectionnés confirment la modification de leur adresse e-mail actuelle, tout sera prêt.

Remarque : cette action ne modifie pas le préfixe des e-mails (ce qui précède le @).