Portail de support Workiva

Les administrateurs sécurité de l’organisation peut suivre les étapes ci-dessous pour configurer l’authentification unique SAML paramètres pour l’organisation. L’authentification unique (SSO) basée sur SAML permet aux membres d’accéder à Workiva par l’intermédiaire d’un fournisseur d’identité (IdP). Avant de configurer les paramètres, assurez-vous d’avoir lu Qu’est-ce que l’authentification unique SAML ?.

Note : Les Administrateurs sécurité de l’organisation doivent être ajoutés à un espace de travail pour pouvoir accéder à l’administration de l’Organisation.

Étape 1 : Accéder aux paramètres SAML SSO

1. Accédez à l’administration de l’organisation.
2. Cliquez sur Gestion des identités et des accès dans le menu de gauche.
3. Assurez-vous d’être sur l’onglet Authentification.
4. Cliquez sur la page Configuration de la SSO.
   

Si vous avez une configuration SSO existante, la page ressemblera à ceci :

Étape 2 : Créez votre configuration SAML SSO et sélectionnez votre fournisseur d’identité

1. Cliquez sur Créer une configuration SSO.
   
2. Entrez un nom de configuration et sélectionnez le fournisseur d’identité (IdP) dans le menu déroulant.
3. Cliquez sur Créer une configuration pour continuer.

Étape 3 : Envoyez les métadonnées Workiva à l’admin de votre fournisseur d’identité

1. Dans la section Métadonnées Workiva , vous verrez l’Identifiant (ID de l’entité) et l’URL de réponse.
2. Cliquez sur Options avancées pour voir l’URL de connexion et l’URL de déconnexion.
   Ces URL sont propres à chaque organisation et ne peuvent pas être modifiées ; elles contiennent l’un des marqueurs de région suivants : app.wdesk.com, apac.wdesk.com, ca.wdesk.com ou eu.wdesk.com.
3. Envoyez ces URL de métadonnées Workiva à l’admin de votre fournisseur d’identité.
   Vous pouvez également cliquer sur Télécharger les métadonnées XML de Workiva pour télécharger et envoyer le fichier XML des métadonnées Workiva à l’admin de votre fournisseur d’identité à la place.

4. Vous pouvez ajuster votre Tolérance de biais d’horloge. Tolérance de biais d’horloge correspond à la différence de temps maximale autorisée entre votre fournisseur d’identité SAML et Workiva. La valeur par défaut est de 300 secondes (5 minutes).

   Astuce : Une valeur plus élevée élargit la « fenêtre d’acceptation » pour les différences de temps. Bien que cela améliore la fiabilité en réduisant les requêtes rejetées, cela introduit également des risques de sécurité et de performance. Inversement, une valeur plus faible augmente la probabilité d’échecs d’authentification dus aux délais d’expiration.

5. Si vous utilisez Microsoft Azure comme fournisseur d’identité, l’admin de votre fournisseur d’identité peut se référer à l’étape 2 de l’onglet Azure dans Configurer SAML SSO avec votre fournisseur d’identité.
6. Si vous utilisez Okta comme fournisseur d’identité, l’admin de votre fournisseur d’identité peut se référer à l’étape 3 de l’onglet Okta dans Configurer SAML SSO avec votre fournisseur d’identité.
7. Si vous utilisez un fournisseur d’identité autre que Microsoft Azure ou Okta, contactez le support client de votre fournisseur d’identité si vous avez besoin d’aide.

Étape 4 : Entrez les métadonnées de votre fournisseur d’identité dans Workiva

Prérequis : Vous devez obtenir les informations de métadonnées de fournisseur d’identité requises auprès de l’admin de votre fournisseur d’identité avant de continuer.

• Si vous utilisez Microsoft Azure comme fournisseur d’identité, l’admin de votre fournisseur d’identité peut se référer à l’étape 4 de l’onglet Azure dans Configurer SAML SSO avec votre fournisseur d’identité.
• Si vous utilisez Okta comme fournisseur d’identité, l’admin de votre fournisseur d’identité peut se référer à l’étape 2 de l’onglet Okta dans Configurer SAML SSO avec votre fournisseur d’identité.
• Si vous utilisez un fournisseur d’identité autre que Microsoft Azure ou Okta, contactez le support client de votre fournisseur d’identité pour obtenir ces informations.

Dans la section des métadonnées du fournisseur d’identité (par exemple, métadonnées Microsoft Azure), entrez les métadonnées du fournisseur d’identité.

1. Tout d’abord, dans le menu déroulant Méthode d’entrée préférée , sélectionnez la méthode d’entrée des métadonnées du fournisseur d’identité. Vous pouvez entrer une URL des métadonnées de la fédération, charger un fichier XML de métadonnées, ou entrer les métadonnées via une entrée manuelle.
   

2. Dans la boîte de dialogue de sélection de fichier, sélectionnez le fichier contenant les informations de métadonnées du fournisseur d’identité, puis cliquez sur Importer.

   

   Vous pouvez également entrer les valeurs manuellement :
   

Étape 5 : Définissez le mappage des utilisateurs

Dans la section Mappage des utilisateurs, cliquez sur le menu déroulant, et sélectionnez soit :

• Faire correspondre les utilisateurs à leur nom d’utilisateur Workiva (recommandé)
• Cartographier les utilisateurs manuellement

Note : Si vous avez entré les informations de métadonnées du fournisseur d’identité manuellement, vous devrez activer les options avancées pour cette section.

Mapper les utilisateurs à leur nom d’utilisateur Workiva

Si vous avez sélectionné Faire correspondre les utilisateurs à leur nom d’utilisateur Workiva dans le menu déroulant, Workiva s’attendra alors à ce que l’attribut Primary NameID entrant corresponde au nom d’utilisateur Workiva, sans distinction de casse, lorsque l’utilisateur se connecte. Par exemple, cela permet à User.Name.Example de correspondre à user.name.example.

Vous pouvez ensuite cliquer sur le menu déroulant Définir la cartographie , et sélectionner Définir tous les ID SSO au nom d’utilisateur Workiva pour remplir le tableau.

Cliquez sur Créer une configuration pour continuer.

Faire correspondre les utilisateurs manuellement

Si vous avez sélectionné Faire correspondre les utilisateurs manuellement dans le menu déroulant, vérifiez d’abord les options avancées. Sous Emplacement de NameIdentifier, la plupart des configurations auront l’option NameIdentifier est dans l’énoncé du sujet sélectionnée. Cela signifie que Workiva recherchera l’élément NameIdentifier dans l’énoncé du sujet.

Toutefois, vous pouvez sélectionner l’option NameIdentifier se trouve dans un attribut d’élément différent et entrer l’attribut d’élément NameIdentifier, afin que l’application recherche l’attribut dans la réponse SAML.

Note : La plupart des Administrateurs sécurité de l’organisation ne modifient pas l’emplacement du NameIdentifier par rapport à la valeur par défaut. Avant d’effectuer des modifications, contactez l’équipe du Support Workiva pour obtenir de l’aide.

Faire correspondre les utilisateurs via l’importation d’un fichier

Cliquez sur Définir la cartographie, et sélectionnez Importer les ID SSO via un fichier pour faire correspondre les utilisateurs aux ID SSO dans un fichier de correspondance .csv (voir Exigences relatives au fichier de correspondance SAML ID .csv).

• Aucun en-tête n’est nécessaire dans le fichier de correspondance.
• Toutes les lignes seront traitées, et toute ligne invalide sera ignorée.
• En cas de noms d’utilisateur en double, seule la première ligne comportant ce nom d’utilisateur sera utilisée.
• Si un nom d’utilisateur fourni a déjà une correspondance existante, sa correspondance sera mise à jour selon ce qui est fourni dans le fichier de correspondance.
• Si des lignes sont ignorées, les échecs seront consignés dans le journal d’activité de l’authentification unique SAML.

Faire correspondre les utilisateurs individuellement

Si vous devez définir ou modifier les ID SSO pour des utilisateurs individuellement, recherchez l’utilisateur et/ou utilisez le filtre Statut de l’ID SSO pour trouver plus facilement l’utilisateur. Ensuite, dans le tableau, double-cliquez sur le champ ID SSO à côté de l’utilisateur, et entrez l’ID SSO correct.

Après avoir défini la correspondance des utilisateurs, cliquez sur Créer une configuration pour continuer.

Exigences relatives au fichier de correspondance SAML ID .csv

Une ligne valide dans le fichier de correspondance SAML ID .csv suit le format suivant :

samlId,username

Une ligne peut être invalide si

• Il y a moins de deux éléments dans la ligne
• L’identifiant SAML et/ou le nom d’utilisateur ne sont pas fournis
• Le nom d’utilisateur fourni n’existe pas
• L’utilisateur avec le nom d’utilisateur fourni n’est pas membre de l’organisation
• L’organisation principale de l’utilisateur avec le nom d’utilisateur fourni n’est pas la même que l’organisation en cours de modification
• L’identifiant SAML fourni a déjà été utilisé par un autre utilisateur

Un exemple de fichier de mappage valide ressemble à ceci :

exampleSamlId,exampleUsername exampleSamlId2,exampleUsername2 exampleSamlId3,exampleUsername3

Étape 6 : Activez votre configuration SAML SSO

Après avoir créé votre configuration SAML SSO, vous devrez l’activer explicitement pour qu’elle prenne effet.

Cliquez sur Activer sur la configuration. Votre configuration s’affichera alors comme Actif.

Étape 7 : Mettez à jour les options d’authentification SAML SSO

Workiva recommande fortement de forcer les utilisateurs à se connecter via SSO comme bonne pratique pour simplifier votre processus de connexion et offrir une meilleure expérience globale. Après avoir créé et activé votre configuration SAML SSO :

1. Sous l’onglet Authentification unique, la section Forcer la SSO et exceptions présente deux options d’authentification :

   • Forcer les utilisateurs à se connecter via SSO (recommandé) : Les utilisateurs non-admin sont obligés d’utiliser le SSO, tandis que les Administrateurs sécurité de l’organisation peuvent continuer à se connecter avec leur nom d’utilisateur et leur mot de passe. Cette option est la plus adaptée si votre entreprise souhaite forcer la SSO tout en permettant aux administrateurs sécurité de l’organisation d’accéder à la plateforme en cas de problème avec la SSO.

     Note : Assurez-vous d’effectuer des tests complets et d’avoir pleinement confiance dans votre configuration SAML SSO avant d’activer cette option.

   • Forcer les administrateurs de sécurité de l’org. à utiliser la SSO pour se connecter : les administrateurs sécurité de l’organisation sont obligés d’utiliser la SSO. Cette option fonctionne mieux si les politiques de sécurité de l’entreprise ne veulent pas dispenser les utilisateurs de l’exigence de SSO. Pour activer cette option, vous devrez également cocher Forcer les utilisateurs à se connecter via SSO. Cette option se trouve sur la page Exigences SSO sous l’onglet Authentification .
     
2. Après avoir sélectionné vos options, cliquez sur Enregistrer.

Si vous le souhaitez, vous pouvez autoriser des utilisateurs spécifiques à se connecter sans SAML SSO en les ajoutant à la liste d’exception SSO.

Note : Avant de forcer le SAML SSO, veillez à ajouter les utilisateurs nécessaires à la liste d’exceptions SSO pour éviter de bloquer l’accès des utilisateurs à leurs comptes.