Passer au contenu principal
Ce guide vous accompagne dans la configuration d’Okta en tant que fournisseur d’identité (IdP) pour SAML SSO sur votre instance EK sur site. Il couvre les paramètres SAML à saisir dans Okta, la récupération de vos métadonnées Okta et l’enregistrement du domaine dans EK pour finaliser l’intégration.
Le flux SAML générique d’EK fonctionne avec Okta prêt à l’emploi. Si vous ne l’avez pas déjà fait, consultez la Vue d’ensemble de SAML SSO pour comprendre le fonctionnement de l’intégration avant de commencer.

​
Conditions préalables

  • Vous disposez d’un accès administrateur à votre organisation Okta.
  • Vous disposez d’un accès Super Admin à votre instance EK sur site.
  • Vous connaissez le nom de domaine pleinement qualifié (FQDN) de votre hôte backend EK (par exemple ek-api.corp.acme.com).
  • Vous connaissez le domaine de messagerie pour lequel vous souhaitez activer SSO (par exemple acme.com).

​
Partie 1 — Configurer Okta

​
Créer une nouvelle application SAML dans Okta

1

Créer une nouvelle intégration d'application

Dans votre console d’administration Okta, accédez à Applications → Applications et cliquez sur Créer une intégration d’application. Sélectionnez SAML 2.0 comme méthode de connexion.
2

Saisir les paramètres SAML

À l’étape Configurer SAML, saisissez les valeurs suivantes :
ChampValeur
URL d’authentification uniquehttps://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
URL du destinatairehttps://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
URL de destinationhttps://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
Restriction d’audience (ID d’entité)https://<your-FQDN>/backend/user/generic/sso/saml/acs/admin
État de relais par défautdefault ou définissez le nom de domaine
3

Ajouter des déclarations d'attributs

Toujours à l’étape Configurer SAML, faites défiler vers le bas jusqu’à Déclarations d’attributs et ajoutez les éléments suivants :
NomFormat de nomValeur
emailBasicuser.email
first_nameBasicuser.firstName
last_nameBasicuser.lastName
user_nameBasicuser.login
DisplayNameBasicuser.displayName
objectIdentifierNon spécifiéuser.getInternalProperty("id")
4

Terminer la configuration

Terminez l’assistant de création d’application. Attribuez l’application aux utilisateurs ou groupes qui doivent avoir accès à EK via SSO.

​
Partie 2 — Récupérer les métadonnées Okta

Une fois l’application Okta créée, récupérez l’URL des métadonnées IdP :
1

Accéder à l'onglet Connexion

Ouvrez l’application dans Okta et accédez à l’onglet Connexion.
2

Localiser l'URL des métadonnées

Sous Paramètres → SAML 2.0 → Détails des métadonnées, copiez l’URL des métadonnées.Le chemin est :
Connexion > Paramètres > SAML 2.0 > Détails des métadonnées > URL des métadonnées
Vous aurez besoin de cette URL à la Partie 3.
URL des métadonnées Okta

​
Partie 3 — Enregistrer le domaine dans EK

Envoyez une requête POST au point de terminaison d’enregistrement de domaine : 
curl -X POST "https://<your-backend-host>/backend/sso/add_new_configuration" \
  -H "Content-Type: application/json" \
  -H "X-API-KEY: YOUR_API_KEY" \
  -H "X-API-SECRET: YOUR_API_SECRET" \
  -d '{
    "enterprise_id": "acme.com",
    "provider": "okta",
    "metadata_url": "https://your-okta-metadata-url",
    "backend_root_url": "<your-backend-host>/backend"
  }'

​
Champs obligatoires

ChampDescription
enterprise_idLe domaine de messagerie de vos utilisateurs (par exemple acme.com).
provider"okta"
metadata_urlL’URL des métadonnées de la Partie 2.
backend_root_url(Optionnel) Obligatoire uniquement dans les configurations de proxy pour assurer un routage correct.

​
Authentification

Le point de terminaison nécessite votre clé API EK et votre secret passés en tant qu’en-têtes X-API-KEY et X-API-SECRET. En cas de succès, un enregistrement est créé dans la table sso_providers sur le backend.

​
Partie 4 — Configurer le frontend

Une fois le domaine enregistré, définissez la variable d’environnement du frontend et redémarrez le service frontend.
1

Ouvrir le fichier d'environnement du frontend

Sur votre serveur de déploiement sur site, ouvrez onprem-deployment/.env.web.
2

Ajouter la variable d'environnement

Ajoutez la ligne suivante, en remplaçant acme.com par votre domaine de messagerie réel :
VITE_SSO_ENTERPRISE_ID=acme.com
3

Redémarrer les services frontend

docker compose -f docker-compose down
docker compose -f docker-compose up -d

​
Tester l’intégration

Connectez-vous à EK avec un utilisateur réel @<domain> pour confirmer que le flux fonctionne de bout en bout. Si l’utilisateur s’authentifie correctement mais qu’il lui est refusé l’accès, vérifiez votre configuration de contrôle d’accès SAML — consultez le guide EK SAML Access Controls and Automated Team/Project Assignment.