Comprendre la connexion SSO

Réponse courte

Le SSO délègue l’authentification à un fournisseur d’identité configuré pour l’organisation. CRA Manager vérifie ensuite l’identité renvoyée, le domaine, l’e-mail saisi au départ et l’accès actif à l’organisation.

Disponibilité produit : Disponible pour les fournisseurs OIDC configurés, notamment Microsoft Entra ID.

Définition

Le Single Sign-On permet d’utiliser le compte professionnel géré par l’organisation. Dans le parcours email-first, l’adresse saisie sert à découvrir la configuration SSO ; elle ne prouve pas l’identité.

L’identité authentifiée est celle validée dans le jeton OIDC signé. CRA Manager utilise un identifiant externe stable fourni par l’IdP et exige une adresse exploitable.

Pourquoi c’est important

Une session Microsoft déjà active peut correspondre à une autre personne que l’adresse saisie. CRA Manager doit refuser la connexion si l’adresse attendue et l’identité réellement authentifiée diffèrent, même si elles partagent le même domaine.

Comment CRA Manager le modélise

Le flux contrôle notamment :

• la tentative SSO et son état ;
• la signature, l’émetteur, l’audience et le nonce OIDC ;
• le domaine autorisé ;
• la correspondance stricte entre l’e-mail attendu et l’adresse normalisée de l’identité ;
• l’unicité de l’identifiant externe stable ;
• le statut de l’utilisateur et du membership dans l’organisation cible.

Pour Microsoft Entra ID validé, l’absence du claim email_verified peut être admise ; une valeur explicitement fausse reste refusée. Cette exception ne s’applique pas automatiquement aux fournisseurs OIDC génériques.

Exemple concret

Une personne saisit utilisateur@exemple.fr, mais le navigateur renvoie une session Microsoft différente. CRA Manager refuse le callback, ne crée aucune session et ne lie aucune identité. La personne doit recommencer avec le compte Microsoft correspondant.

Limites / points d’attention

Le SSO ne crée pas un membership artificiel et ne transforme pas un rôle plateforme en accès organisation. L’auto-provisionnement, lorsqu’il est activé et configuré, reste limité à l’organisation du fournisseur et à ses règles. Ne copiez jamais un code, jeton, cookie ou secret dans un ticket.

Contexte métier approfondi

Comprendre la connexion SSO s’inscrit dans une chaîne de pilotage : définir le périmètre, collecter des informations vérifiables, prendre une décision, affecter un responsable puis conserver une trace. Une donnée isolée est rarement suffisante. Elle doit être rattachée au bon produit, à une version ou une période et à la personne qui l’a confirmée.

Dans Administration et sécurité, CRA Manager sert de support de coordination. L’outil rend les informations comparables et facilite les revues, mais la qualité du résultat dépend des données saisies et de la validation des équipes compétentes. Une estimation, un statut ou un export ne constitue donc ni une certification, ni un avis juridique, ni une évaluation de conformité officielle.

Exemple de mise en situation

Une équipe prépare la revue d’un produit exposé sur Internet. Elle vérifie d’abord que la fiche décrit la version réellement distribuée, puis rapproche inventaire, signaux, risques, actions et preuves. Les désaccords sont consignés au lieu d’être masqués. Le responsable peut alors expliquer ce qui est confirmé, ce qui reste à vérifier et quelle décision est attendue.

Questions à poser pendant une revue

• Le périmètre et la version concernés sont-ils explicites ?
• La source de l’information est-elle identifiable et suffisamment récente ?
• Une hypothèse a-t-elle été présentée comme un fait ?
• La décision est-elle confirmée par la fonction compétente ?
• Les limites et éléments encore inconnus sont-ils visibles ?

Bonnes pratiques complémentaires

Privilégiez des informations courtes mais vérifiables. Nommez les responsables par fonction lorsque l’organisation change souvent. Reliez les preuves à l’objet qu’elles étayent et conservez l’historique des décisions importantes. En revue, commencez par les données les moins fiables ou les enjeux les plus élevés plutôt que par les éléments déjà complets.

Erreurs fréquentes à éviter

• Copier une conclusion d’un autre produit sans vérifier son applicabilité.
• Confondre une donnée importée avec une qualification humaine.
• Utiliser une valeur par défaut pour faire disparaître un champ incomplet.
• Clôturer un travail sans résultat attendu ni preuve exploitable.
• Présenter un indicateur CRA Manager comme une décision réglementaire.

Limites et précautions

Le contenu doit être adapté au rôle de l’organisation, au produit et à sa mise à disposition. En cas de doute sur le champ du règlement (UE) 2024/2847, la procédure d’évaluation ou une obligation de notification, sollicitez les fonctions juridiques, cybersécurité ou conformité compétentes. CRA Manager aide à préparer et tracer leur analyse ; il ne s’y substitue pas.

Exemple concret de revue

Lors d’une revue trimestrielle consacrée à « Comprendre la connexion SSO », le pilote présente le produit et la version concernés, puis sépare les informations confirmées des hypothèses. Il montre la source, la date de collecte, les décisions prises et les travaux encore ouverts. Une autre personne vérifie que les éléments appartiennent bien au bon périmètre et que les preuves permettent de comprendre le résultat sans connaissance implicite du projet.

Si une donnée importée contredit une information déclarée, l’équipe ne choisit pas arbitrairement la valeur la plus favorable. Elle recherche la cause, documente l’écart et affecte la vérification à un responsable. Le compte rendu précise enfin la prochaine échéance et les conditions nécessaires à la clôture. Cette discipline rend la décision explicable dans le temps et évite qu’un indicateur synthétique masque une information fragile.

Point de vigilance supplémentaire

Avant toute diffusion externe, relisez les termes réglementaires, retirez les données inutiles et vérifiez que les limites sont visibles. Une capture, un export ou un statut isolé ne doit pas être présenté comme une validation officielle.

À retenir

Le SSO délègue l’authentification à un fournisseur d’identité configuré pour l’organisation. CRA Manager vérifie ensuite l’identité, le domaine, l’e-mail attendu et l’accès organisation.

Articles liés

• Résoudre un problème d’accès
• Comprendre les rôles et permissions

Bloc IA support

Intention principale

Expliquer le fonctionnement et les contrôles de la connexion SSO.

Questions utilisateur couvertes

• Pourquoi dois-je ressaisir ou choisir un compte Microsoft ?
• Pourquoi mon domaine autorisé ne suffit-il pas ?

Réponse courte recommandée

L’adresse saisie découvre le SSO ; l’identité réelle vient du fournisseur. Les deux adresses, le domaine et l’accès organisation doivent tous être valides.

Réponse détaillée recommandée

Décrire les validations OIDC, la comparaison stricte des adresses et la liaison par identifiant externe stable.

Ne pas répondre automatiquement si

• Une identité inattendue ou un conflit de liaison est signalé.
• L’utilisateur partage un secret, un code ou un jeton.

Articles à proposer ensuite

• resoudre-probleme-acces
• roles-et-permissions

Article issu de la base de connaissance CRA Manager.