Les sections suivantes contiennent des informations pertinentes pour débuter avec le SAML sur OneSpan Sign :
Configuration d’un ou plusieurs comptes pour les expéditeurs
Cette section n’est pertinente que si vous souhaitez configurer SSO pour les « expéditeurs » (membres d’un compte OneSpan Sign).
L’un des sujets suivants s’applique à votre situation :
Configuration d’un seul compte
OneSpan Sign propose un paramètre pour les comptes individuels, appelé Fournissage automatique de l’expéditeur. L’auto-provisionnement est activé pour un compte lorsque le paramètre allowSenderCreation dans le fichier saml.config a une valeur définie de true. Cette fonctionnalité est activée par défaut.
Si cette fonctionnalité est activée, la première fois qu’un expéditeur tente de se connecter via SSO, OneSpan Sign créera un compte pour lui et lui donnera accès à l’interface utilisateur de OneSpan Sign pour les expéditeurs.
Si cette fonctionnalité est désactivée, une organisation doit ajouter manuellement un expéditeur à un compte OneSpan Sign avant de pouvoir se connecter via SSO.
SSO et rôles et permissions
Si le Provision Automatique de l’Expéditeur est désactivé, un expéditeur sera automatiquement activé lors de sa première connexion (en supposant que son statut d’activation soit En attente et non Verrouillé). Si Roles and Permissions ont été activées, alors cette fonctionnalité fonctionne dans les scénarios suivants :
Utilisateur en attente sans rôle
Utilisateur en attente avec rôle
Utilisateur actif sans rôle
Utilisateur actif avec rôle
Configuration de plusieurs comptes
En option, plusieurs comptes OneSpan Sign peuvent être configurés pour utiliser le même fournisseur d’identité pour SSO.
Paramètres optionnels du compte pour les expéditeurs
Cette section n’est pertinente que si vous souhaitez configurer SSO pour les « expéditeurs » (membres d’un compte OneSpan Sign).
Les paramètres optionnels suivants liés au SSO peuvent être configurés au niveau du compte :
Forcer la connexion SSO
Pour forcer les expéditeurs d’un compte à se connecter à OneSpan Sign via SSO, vous devez activer la connexion SSO au niveau du compte. Pour organiser cela, veuillez contacter notre équipe de support.
Ce paramètre empêchera les utilisateurs d’accéder à OneSpan Sign via sa page de connexion .
URL de redirection personnalisées
En réponse à certains événements, OneSpan Sign redirige par défaut les utilisateurs vers la page principale de connexion de OneSpan Sign.
Cela peut être indésirable lors de l’utilisation de SSO, car un utilisateur typique n’aura pas de nom d’utilisateur ni de mot de passe pour cette page (il utilise plutôt une URL de connexion SSO).
La meilleure pratique est de contourner ces URL de redirection. Vous devriez donc fournir les URL de votre choix pour les éléments suivants :
URL | Définition |
|---|---|
URL de transfert | Pour plus d’informations, voir URL de transfert. |
Délai d’expiration de session pour l’expéditeur | Les expéditeurs seront redirigés vers cette URL lorsque leur session expire. |
Déconnexion de l’expéditeur | Les expéditeurs seront redirigés vers cette URL lorsqu’ils se déconnectent de l’application OneSpan Sign. |
Temps mort de session pour le signataire | Les signataires seront redirigés vers cette URL à la fin de leur session. |
Modèles d’e-mails pour l’expéditeur
La fonctionnalité SAML de OneSpan Sign propose des modèles d’e-mail qui peuvent être utilisés pour envoyer des notifications par email aux expéditeurs sous les conditions suivantes :
J’ai oublié ton mot de passe
Se désengager
Décliner
Invitation au compte
Expirer
Rebondi
Plainte
Hors du bureau
Réaffectation de l’émetteur
Prêt à être terminé
Signataire de serrure
Verrouillage de la connexion
Défaillance du KBA
Les modèles d’email ci-dessus contiennent la variable $LINK_URL;, qui redirige les expéditeurs vers la page de connexion de OneSpan Sign. À la place, vous voudrez rediriger les expéditeurs vers l’URL SSO. Pour organiser cela, veuillez contacter notre équipe de support. Note : Passer à l’URL SSO empêche les expéditeurs d’utiliser le lien Mot de passe oublié sur la page principale de OneSpan Sign.
L’e-mail d’invitation au compte ne sera pas envoyé aux expéditeurs s’ils sont automatiquement provisionnés lors de la connexion SSO (voir Configuring a Single Account), ou s’ils sont provisionnés via l’API REST ou le SDK.
Configuration du SSO pour les destinataires
Cette section n’est pertinente que si vous souhaitez configurer SSO pour les « destinataires » (et non pour les membres d’un compte OneSpan Sign).
Pour une transaction donnée, l’authentification SSO peut être attribuée à un ou plusieurs « destinataires » de l’une des manières suivantes :
Configuration du SSO via la nouvelle expérience utilisateur
Configuration du SSO via le SDK et l’API REST