Guide de mise en œuvre du SSO Cintoo

Cet article décrit les avantages et les options possibles pour une authentification unique (Single Sign-On), ainsi que les informations à fournir à Cintoo pour configurer correctement le SSO.

TABLE DES MATIÈRES

• Vue d'ensemble
• Flux d'authentification
• Provisionnement des utilisateurs
• Utilisateurs externes
• Processus de mise en œuvre du SSO
  • Option 1 : OpenID Connect
    • Azure AD avec une application personnalisée
    • Okta
    • Autres fournisseurs
  • Option 2 : SAML

Vue d'ensemble

Cintoo peut être intégré à votre solution d'authentification unique (SSO) d'entreprise, afin de répondre aux exigences de sécurité de l'entreprise et de simplifier la gestion des utilisateurs.

Cintoo prend en charge les protocoles OpenID Connect (OIDC) et SAML, et est compatible avec les fournisseurs d'identité suivants :

• Azure AD (fournisseur privilégié)
• Microsoft ADFS
• Okta / Okta MyID
• Ping Federate

Contactez votre représentant commercial Cintoo ou écrivez à sales@cintoo.com pour souscrire l'option SSO pour votre compte Cintoo.

Flux d'authentification

L'authentification dans Cintoo se déroule en deux étapes :

• Saisie de l'identifiant (adresse e-mail)
• Selon le nom de domaine (la seconde partie de l'adresse e-mail, après le caractère @), redirection soit vers l'écran d'authentification natif de Cintoo (c'est-à-dire avec un identifiant et un mot de passe Cintoo), soit vers l'écran de connexion SSO de l'entreprise.

Cela signifie qu'une fois le SSO activé pour le domaine @corp.com, tout utilisateur dont l'identifiant est de la forme user@corp.com est redirigé vers l'écran de connexion du fournisseur d'identité correspondant, et qu'il n'existe aucun moyen de revenir à l'authentification native de Cintoo.

Provisionnement des utilisateurs

Le SSO est utilisé uniquement pour l'authentification et n'a aucun impact sur la manière dont les utilisateurs sont créés dans un compte Cintoo. Les utilisateurs doivent toujours être invités par un administrateur de compte, ou par un responsable de projet / BIM manager.

Tout utilisateur qui tente de s'authentifier via le SSO sans avoir été préalablement invité dans le compte ne pourra pas se connecter.

Utilisateurs externes

Si des utilisateurs externes (c'est-à-dire dont l'adresse e-mail appartient à un domaine que vous ne contrôlez pas) sont invités à vos projets, ces utilisateurs ne s'authentifieront pas par défaut avec votre SSO, car le SSO est configuré par nom de domaine.

Exemple :

• Le nom de domaine de votre entreprise est corp.com
• Vous invitez user@guest.com sur l'un de vos projets
• Si guest.com est également client de Cintoo et a souscrit l'option SSO, user@guest.com s'authentifiera via le SSO de guest.com (et non via le SSO de corp.com). Dans le cas contraire, cet utilisateur se connectera via l'authentification native de Cintoo.

Pour mieux contrôler vos utilisateurs externes, vous pouvez :

• Ajouter tous les utilisateurs externes en tant qu'invités dans votre propre annuaire d'utilisateurs (par exemple user-guest@corp.com)
• Souscrire un domaine Cintoo personnalisé, c'est-à-dire https://corp.cintoo.cloud (contactez le service commercial de Cintoo pour plus d'informations). Vous disposerez ainsi de votre propre tenant Cintoo, et tous vos projets ne seront accessibles que via https://corp.cintoo.cloud.
• Demander à l'équipe informatique de Cintoo de lier votre domaine personnalisé à votre fournisseur SSO. Ainsi, tout utilisateur qui tente d'ouvrir un projet sur https://corp.cintoo.cloud sera redirigé vers votre propre SSO, même s'il ne possède pas d'adresse e-mail @corp.com.

Processus de mise en œuvre du SSO

La mise en œuvre du SSO suit toujours les étapes suivantes :

• Contacter le service commercial de Cintoo pour souscrire l'option
• Configurer votre fournisseur d'identité avec OIDC ou SAML, et communiquer les informations requises à l'équipe informatique de Cintoo via support@cintoo.com (voir les détails ci-dessous)
• Valider la configuration SSO avec quelques utilisateurs, à l'aide d'une URL de connexion temporaire
• Convenir avec l'équipe informatique de Cintoo d'une date de bascule, à partir de laquelle tous les utilisateurs de votre domaine seront redirigés vers votre écran de connexion SSO

Configuration du fournisseur d'identité

Option 1 : OpenID Connect

Azure AD avec une application personnalisée

Vous devez créer votre propre application dans Azure AD.

Dans Azure AD, sélectionnez App registrations, puis New registration

Une fois l'application créée, modifiez les paramètres Authentication et activez l'option ID tokens.

Notez l'Application (client) ID et le Directory (tenant) ID de l'application, puis communiquez ces valeurs à l'équipe du support Cintoo.

Voici comment ajouter cette revendication facultative.

Il est obligatoire d'ajouter une autorisation d'API pour Microsoft Graph afin de lire l'adresse e-mail.

Okta

Dans l'Administration d'Okta, créez une nouvelle application.

Sélectionnez Web / OpenID Connect.

Ajoutez l'URL de redirection nécessaire.

Dans l'écran suivant, General Settings, cliquez sur Edit et ajoutez l'autorisation ID Token with implicit grant.

Une fois cette étape terminée, accédez à l'onglet Sign On et notez les champs Issuer et Audience dans la section OpenID Connect ID Token.

Ces valeurs devront être communiquées à l'équipe du support Cintoo.

Autres fournisseurs

Voici la configuration générique pour tout autre fournisseur d'identité utilisant OpenID Connect :

• Créez une application Cintoo
• Configurez l'URI de redirection : https:///login/oauthcb, où domain dépend de votre instance Cintoo (par exemple us.cintoo.cloud, eu.cintoo.cloud ou ca.cintoo.cloud)
• Autorisez l'ID token avec implicit grant
• Autorisez les scopes suivants : openID email profile
• Communiquez les informations suivantes à l'équipe du support Cintoo :

1. Client ID
   2. URL de découverte OpenID Connect (par exemple https:///.well-known/openid-configuration)
   Remarque : Cintoo fait correspondre le nom d'utilisateur à partir du champ email de la réponse OAuth. En l'absence de champ email, le champ upn est utilisé à la place.

Option 2 : SAML

Voici les métadonnées du fournisseur de services (Service Provider Metadata) que vous devrez configurer dans votre fournisseur d'identité SAML.

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://<domain>/saml"> 
    <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> 
        <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat> 
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://<domain>/saml" index="1"/> 
    </md:SPSSODescriptor> 
</md:EntityDescriptor>

Vous devrez communiquer à l'équipe du support Cintoo l'URL ou le fichier de métadonnées de votre IdP, ou au minimum les informations suivantes :

• ID d'entité du fournisseur d'identité (IDP entity ID)
• URL de connexion (Login URL)
• Certificat(s) de signature