Se connecter à InfraNest avec Google Workspace

Connectez le Google Workspace de votre entreprise à InfraNest afin que votre équipe puisse se connecter avec ses comptes professionnels habituels — conçu pour les administrateurs InfraNest sur une offre Enterprise.

Vue d’ensemble

• Permet à tous les membres de votre Google Workspace de se connecter à InfraNest avec leur compte Workspace existant.
• Il s’agit de votre propre connexion, configurée dans votre propre projet Google Cloud — seuls les comptes de votre Workspace peuvent l’utiliser.
• Si quelqu’un est suspendu ou supprimé dans Google Workspace, il perd immédiatement aussi l’accès à InfraNest.
• Différent de la connexion Google quotidienne via Continue with …, disponible pour tous et qui fonctionne avec n’importe quel compte Google. Pour cette option, consultez Authentification unique et connexions de connexion.
• Prend environ dix minutes, réparties entre la console Google Cloud et Paramètres → Sign-in d’InfraNest.

NoteGoogle n’envoie pas d’informations de groupe, cette connexion ne peut donc pas attribuer de rôles en fonction des groupes Google d’une personne. Toute personne qui rejoint obtient le rôle que vous choisissez lors de la configuration, et vous pouvez modifier les rôles par la suite dans InfraNest.

Avant de commencer

• Utilisez un projet Google Cloud appartenant à votre organisation Workspace. Le paramètre qui empêche les comptes Google externes (Internal) n’apparaît que pour les projets situés dans l’organisation Google Cloud de votre entreprise. Un projet créé en étant connecté avec votre compte Workspace s’y retrouve normalement ; un projet créé avec un compte Google personnel non.
• Assurez-vous de pouvoir créer un projet dans l’organisation Google Cloud de votre entreprise, et d’être administrateur dans InfraNest.

Commencer dans InfraNest

1. Allez dans Paramètres → Sign-in et choisissez Set up single sign-on.
2. Choisissez Google Workspace.
3. Sous Email domain, vérifiez le domaine qu’InfraNest propose. Il est recommandé de le vérifier — les personnes peuvent alors saisir leur adresse professionnelle sur la page de connexion, et les nouvelles personnes peuvent rejoindre automatiquement. Vous pouvez ignorer la vérification ; votre équipe utilise alors le lien de connexion de votre organisation à la place, et les nouvelles personnes rejoignent par invitation. S’il n’est pas encore vérifié, InfraNest affiche l’enregistrement DNS à ajouter — choisissez Add it for me si InfraNest gère déjà cette zone DNS, ou ajoutez l’enregistrement vous-même et choisissez Check now.
4. À l’étape Create the app, copiez la Redirect URL en haut. Gardez cet onglet ouvert — vous y reviendrez bientôt.

Configurer l’écran de connexion dans Google Cloud

1. Dans un deuxième onglet, ouvrez la console Google Cloud et sélectionnez votre projet, ou créez-en un pour InfraNest, à l’intérieur de l’organisation de votre entreprise.
2. Ouvrez le menu et allez dans Google Auth Platform → Branding. Si Google n’a pas encore été configuré pour ce projet, choisissez Get started.
3. Remplissez le formulaire :
   • App name : InfraNest — vos collaborateurs voient ce nom lorsqu’ils se connectent.
   • User support email : une adresse à laquelle vos collaborateurs peuvent écrire, comme celle de votre équipe informatique.
   • Audience : Internal — seuls les comptes de votre Workspace peuvent alors se connecter.
   • Contact information : une adresse à laquelle Google peut écrire au sujet de ce projet.
4. Acceptez la Google API Services User Data Policy, puis choisissez Create.

WarningSi Internal n’est pas proposé, le projet ne se trouve pas dans l’organisation de votre Workspace. Recréez le projet depuis votre compte Workspace plutôt que de choisir External — une application externe permet à n’importe quel compte Google d’accéder à la connexion.

Vous n’avez pas besoin d’ajouter de scopes sous Data Access. InfraNest ne demande à Google que le nom et l’adresse e-mail d’une personne, ce que toute application peut demander.

Créer le client OAuth

1. Allez dans Google Auth Platform → Clients et choisissez Create client.
2. Remplissez le formulaire :
   • Application type : Web application.
   • Name : InfraNest — seul vous voyez ce nom.
   • Authorized JavaScript origins : laissez vide.
   • Authorized redirect URIs : choisissez Add URI et collez la Redirect URL copiée depuis InfraNest.
3. Choisissez Create.
4. Copiez immédiatement le Client ID et le Client secret. Google n’affiche le secret complet qu’à ce moment-là ; par la suite, il n’en montre plus que les derniers caractères.

Terminer la connexion dans InfraNest

1. De retour dans l’onglet InfraNest, à l’étape Create the app, collez le Client ID et le Client secret.
2. Il n’y a rien d’autre à renseigner — InfraNest récupère tout le reste directement auprès de Google.

Tester, décider qui peut accéder, puis activer

1. À l’étape Try it, choisissez Sign in with Google Workspace to test. Un nouvel onglet s’ouvre chez Google — connectez-vous avec votre propre compte Workspace. Si cela fonctionne, l’étape devient verte. Un test est requis avant de pouvoir activer la connexion.
2. À l’étape Who gets in, choisissez ce qui se passe When somebody new signs in :
   • Add them straight away est présélectionné. Les nouvelles personnes rejoignent avec le rôle défini sous Role for new members, qui commence par Member (lecture seule).
   • Ask an admin transforme la connexion de chaque nouvelle personne en demande d’adhésion qu’un administrateur doit approuver.
   • Do nothing signifie que les personnes ont toujours besoin d’une invitation.
3. Choisissez Switch on. La liste de statut de la connexion devrait maintenant afficher : Connected to Google Workspace · Email domain verified · Test sign-in passed · Switched on.

WarningContrairement à Okta ou Entra ID, une connexion Google Workspace n’a pas de liste de personnes affectées à l’application — tout compte actif de votre Workspace peut se connecter, y compris les comptes partagés et les prestataires disposant d’un compte Workspace. Si cela est plus large que ce qui devrait voir votre infrastructure, choisissez plutôt Ask an admin.

Votre administrateur Workspace pourra peut-être restreindre cela davantage dans la console Google Admin, sous Security → Access and data control → API controls, qui peut limiter une application à certaines unités organisationnelles. Nous n’avons pas vérifié comment ce paramètre traite une application qui se contente de connecter les utilisateurs.

Votre équipe se connecte depuis la page de connexion InfraNest habituelle : elle saisit son adresse professionnelle et choisit Continue with ….

Bon à savoir

• Démarrer depuis InfraNest. Les personnes se connectent depuis la page de connexion InfraNest avec leur adresse professionnelle. Il n’existe pas de vignette InfraNest à lancer depuis Google.
• Renouveler le secret du client. Si vous créez un nouveau secret pour le client dans Google Cloud, collez-le dans la connexion sous Credentials and claim names et choisissez Replace. Tant que vous ne l’avez pas fait, personne ne peut se connecter via Google Workspace.
• Plusieurs domaines de messagerie. Les personnes peuvent se connecter avec n’importe quelle adresse d’un domaine que vous avez vérifié dans InfraNest. Si votre Workspace comporte plusieurs domaines, vérifiez chacun de ceux utilisés pour la connexion.
• Confirmer des actions sensibles. Lorsque votre organisation demande aux personnes de confirmer des suppressions en se reconnectant, Google Workspace n’est pas l’un des moyens de le faire. Google n’offre aucun moyen de forcer une nouvelle connexion, les personnes confirment donc avec une clé d’accès, une application d’authentification ou leur mot de passe à la place.
• Exiger Google Workspace pour tout le monde. Une fois la connexion fonctionnelle, vous pouvez exiger l’authentification unique pour toute votre organisation sous Paramètres → Sign-in. InfraNest demande d’abord au moins un propriétaire disposant d’une clé d’accès, afin qu’un problème chez Google ne puisse jamais vous bloquer. Consultez Authentification unique et connexions de connexion.

Nous avons rédigé ces étapes à partir de la documentation actuelle de Google, mais nous ne les avons pas encore testées sur un Google Workspace réel. Si un écran de votre console se présente différemment, les noms ci-dessus correspondent à ceux que Google utilise actuellement pour ces paramètres.

Dépannage

• Google affiche « Error 400: redirect_uri_mismatch » : l’adresse sous Authorized redirect URIs ne correspond pas à la Redirect URL dans InfraNest. Copiez-la à nouveau — elle doit correspondre exactement, y compris https:// et toute barre oblique finale. Une modification du client peut mettre quelques minutes, parfois plus, à s’appliquer chez Google.
• Google affiche « Error 403: org_internal » : le compte utilisé pour se connecter ne fait pas partie de votre Workspace. Connectez-vous avec un compte Workspace, ou vérifiez que le projet appartient à la bonne organisation.
• Google affiche « Error 401: invalid_client » : le Client ID dans InfraNest est mal saisi, ou le client a été supprimé dans Google Cloud.
• Quelqu’un se connecte chez Google mais InfraNest ne le laisse pas entrer : son adresse n’appartient pas à un domaine que vous avez vérifié dans InfraNest.
• Vos administrateurs peuvent consulter chaque tentative échouée, avec la raison, dans Paramètres → Journal d'audit.