Authentification unique et connexions de connexion

L'authentification unique permet à toute personne de votre espace de travail de se connecter avec Google, GitHub ou Microsoft au lieu d'un mot de passe. Cet article s'adresse aux propriétaires et administrateurs d'espace de travail qui souhaitent contrôler la façon dont les membres se connectent, quels domaines e-mail sont approuvés, et si la connexion via votre fournisseur d'identité devient l'unique moyen d'accès.

#Vue d'ensemble

• Une connexion de connexion est la politique de votre espace de travail pour un fournisseur (Google, GitHub ou Microsoft) — quels domaines e-mail elle accepte et ce qui se passe lorsqu'une nouvelle personne se connecte avec celui-ci.
• Vous pouvez exiger que tout le monde utilise l'authentification unique, limiter les connexions à vos propres domaines e-mail, et marquer les prestataires externes comme externes afin qu'ils ne soient pas bloqués.
• Rien ici ne modifie le rôle ou les permissions de quiconque, et chaque modification est enregistrée dans votre Journal d'audit.

#Ajouter une connexion de connexion

1. Allez dans Paramètres → Connexion.
2. Sous Sign-in connections, choisissez un fournisseur à ajouter.
3. La connexion est activée immédiatement — toute personne de votre espace de travail peut désormais utiliser ce fournisseur.

NoteSi un fournisseur n'est pas proposé, il n'a pas encore été configuré pour la plateforme — demandez à votre administrateur InfraNest.

#Limiter la connexion à vos propres domaines e-mail

Par défaut, une connexion accepte n'importe quelle adresse. Pour la restreindre :

1. Ouvrez les paramètres de la connexion.
2. Saisissez les domaines que vous souhaitez autoriser dans Allowed email domains, un par ligne — ou activez Use our verified domains afin que la connexion suive automatiquement les domaines que vous avez déjà vérifiés.
3. Vérifiez la ligne, qui indique toujours ce que la restriction accepte actuellement.

Deux choses à savoir :

• Les sous-domaines ne sont pas inclus. Autoriser acme.com n'autorise pas mail.acme.com. Ajoutez-le séparément si nécessaire.
• Activer « Use our verified domains » avant d'avoir vérifié un domaine accepte tout. La ligne l'indique lorsque c'est le cas.

Les membres qui ne peuvent utiliser aucune de vos connexions sont protégés : si une restriction devait exclure quelqu'un alors que l'authentification unique est exigée, InfraNest refuse de l'enregistrer et indique les personnes concernées.

#Exiger l'authentification unique

Activer Require single sign-on signifie que votre espace de travail ne s'ouvre plus que pour les personnes qui se sont connectées via l'une de ses connexions. Un propriétaire peut également y accéder avec une clé d'accès, comme moyen d'accès d'urgence. Les clés d'accès des autres membres ne comptent pas, donc supprimer quelqu'un chez votre fournisseur d'identité met réellement fin à son accès.

1. Avant de l'activer, enregistrez une clé d'accès pour au moins un propriétaire, sous Mon compte → Sign-in & security.
2. Allez dans Paramètres → Connexion.
3. Vérifiez la liste sous l'interrupteur — elle montre exactement ce qui permettra d'accéder : chaque connexion activée, les clés d'accès des propriétaires et les membres externes.
4. Activez Require single sign-on.

Cela s'applique à votre espace de travail, pas au compte entier de chacun de ses membres. Une personne qui appartient aussi à un autre espace de travail peut toujours se connecter avec un mot de passe pour y accéder. Lorsqu'elle ouvre ensuite le vôtre, InfraNest lui demande de se connecter via votre authentification unique, et elle reste connectée aux deux. Jusque-là, elle ne voit rien du vôtre : vos notifications sont exclues de sa cloche, et votre espace de travail apparaît dans sa liste d'espaces de travail uniquement par son nom, avec une clé à côté. Une personne qui n'appartient qu'à des espaces de travail exigeant l'authentification unique ne peut pas du tout utiliser de mot de passe.

Pour ces personnes, leur page Mon compte → Sign-in & security indique quel fournisseur les connecte, et ne propose ni mot de passe, ni vérification en deux étapes, ni clés d'accès : aucun de ces moyens ne leur permettrait d'accéder à votre espace de travail. InfraNest refuse également de les créer d'une autre manière, comme via un e-mail de réinitialisation de mot de passe, et ne lie pas un compte Google ou GitHub que votre espace de travail n'accepte pas. Les propriétaires conservent leurs clés d'accès, car c'est le moyen d'accès d'urgence. Les personnes qui appartiennent aussi à un autre espace de travail conservent tout, avec une ligne expliquant que cela concerne leurs autres espaces de travail.

Comme aucun mot de passe n'ouvre plus votre espace de travail, vos règles de mot de passe cessent de s'appliquer tant que l'authentification unique est exigée : longueur minimale, symboles requis et durée de validité maximale du mot de passe. Elles sont affichées en grisé, de sorte qu'elles ne régissent plus les mots de passe que vos membres conservent pour leurs autres espaces de travail. Elles sont conservées telles que vous les avez définies et s'appliquent à nouveau si vous désactivez l'exigence. Require two-factor authentication reste actif : les membres qui se connectent via votre propre fournisseur d'identité satisfont déjà cette exigence grâce à la vérification en deux étapes propre à ce fournisseur, mais elle s'applique toujours à un propriétaire se connectant avec une clé d'accès et aux connexions Google, GitHub ou Microsoft.

Avant de pouvoir l'activer, InfraNest vérifie que personne ne se retrouve bloqué :

• chaque membre doit pouvoir utiliser l'une de vos connexions, et
• au moins un propriétaire doit avoir une clé d'accès enregistrée.

WarningVerrouillé malgré tout — le propriétaire de la clé d'accès est parti, ou l'appareil a disparu ? Contactez le support InfraNest. Un administrateur peut vous restaurer la connexion par mot de passe. Ceci est enregistré dans votre journal d'audit et vos propriétaires en sont informés, afin que vous puissiez toujours constater que cela s'est produit.

#Ajouter des personnes extérieures à votre espace de travail

L'ingénieur d'un MSP, un auditeur ou un prestataire externe n'est généralement pas dans votre fournisseur d'identité, votre authentification unique ne pourrait donc jamais le laisser entrer.

1. Allez dans Paramètres → Membres.
2. Ouvrez le menu ⋯ sur sa ligne.
3. Choisissez Mark as external.

Un membre externe se connecte de la façon exigée par sa propre entreprise, et votre espace de travail le laisse entrer quelle que soit la manière dont il s'est connecté. Ceci est enregistré dans votre Journal d'audit. Un propriétaire ne peut jamais être externe.

#Désactiver une connexion

1. Allez dans Paramètres → Connexion.
2. Utilisez l'interrupteur sur la connexion pour empêcher les gens de se connecter avec, ou choisissez Remove pour la supprimer entièrement.

Si l'authentification unique est exigée et qu'il s'agit de votre seule connexion, InfraNest refuse — désactivez d'abord l'exigence.

TipL'interrupteur est presque toujours ce que vous voulez. Désactiver une connexion arrête immédiatement les connexions, conserve les comptes de tous liés à celle-ci, et peut être réactivée. Supprimer une connexion délie également tout le monde qui se connecte par ce biais, et une personne qui ne s'est toujours connectée que de cette façon n'a pas de mot de passe de secours. Dès que quelqu'un se connecte via une connexion, InfraNest vous empêche de la supprimer et grise le bouton de suppression — désactivez-la plutôt.

#Bon à savoir

• Se connecter avec un fournisseur ne modifie jamais le rôle ou les permissions de quiconque.
• Chaque modification ici est inscrite dans votre Journal d'audit.
• Tant que l'authentification unique est exigée, seules les clés d'accès des propriétaires permettent d'entrer. C'est voulu : c'est le moyen d'accès d'urgence, et un membre qui quitte votre entreprise ne doit pas conserver un moyen de contourner votre fournisseur d'identité.
• Activer l'exigence met également fin aux sessions qui avaient été démarrées d'une autre façon auparavant : il est demandé aux personnes de se connecter via votre fournisseur la prochaine fois qu'elles ouvrent l'espace de travail.