Ajout d’une connexion SSO pour une organisation

À propos de l’ajout d’une connexion

Cette page explique comment connecter votre organisation Qualtrics à la connexion unique SAML ou OAuth 2.0. Pour commencer, accédez à l’onglet SSO de vos Paramètres de l’organisation et sélectionnez Ajouter une connexion.

Seuls les administrateurs de la marque peuvent suivre ces étapes.

Informations générales

• Nom : Nommez la connexion. Ce champ est obligatoire.
  Astuce Qualtrics : ce nom apparaît dans l’onglet SSO de votre paramètre d’organisation afin que vous puissiez distinguer les différentes connexions que vous avez ajoutées. Cela n’apparaîtra pas sur votre page de connexion.
• Contact technique : ajoutez l’adresse e-mail d’un contact technique qui sera probablement une personne de votre équipe informatique. Il s’agit de la personne que Qualtrics peut contacter en cas de questions techniques ou de mises à jour liées à cette connexion SSO. Ce champ est facultatif mais fortement recommandé.
• Nom d’affichage : le nom d’affichage est ce qui sera affiché sur la page de connexion de votre organisation lorsque les utilisateurs sont invités à sélectionner une connexion SSO. Les noms d’affichage peuvent comporter jusqu’à 120 caractères. Pour plus d’informations, voir Activation et désactivation des connexions SSO.
  Astuce Qualtrics : cela ne peut s’appliquer qu’aux connexions SSO. Le nom d’affichage ne peut pas être modifié pour la connexion Qualtrics par défaut.

Configuration d’une connexion Google

Un type d’OAuth 2.0 que vous pouvez ajouter est une connexion Google. La connexion de votre organisation à l’authentification unique Google permettra à vos utilisateurs de s’inscrire ou de se connecter à l’aide de leurs comptes Google.

1. Sous Informations de protocole, sélectionnez OAuth 2.0.
2. Sous Sélectionner un type OAUth, sélectionnez Google.
3. Configurez les options de provisioning utilisateur que vous souhaitez inclure.
4. Sous Domaines de messagerie valides, saisissez les domaines de messagerie qui peuvent être utilisés pour vous inscrire à un compte Qualtrics sous votre licence. Si vous ajoutez un astérisque (* ), l’un des domaines de votre organisation peut être utilisé pour s’inscrire.
   Exemple : Barnaby travaille chez Tread, où tous les employés ont un e-mail personnalisé, par exemple barnabys@treadmade.org. Ses domaines de messagerie valides seraient treadmade.org
   Astuce Qualtrics : ce champ est vide par défaut. Veillez donc à ajouter un astérisque (*) ou les domaines Gmail de votre société. Séparez plusieurs domaines par des virgules.
5. Configurez les options de migration des utilisateurs.
6. Appliquez vos modifications.

Configuration dune connexion OAuth 2.0

Une fois que vous avez défini vos informations de protocole sur OAuth 2.0, plusieurs champs s’affichent. Tous ces champs sont requis pour configurer votre connexion OAuth 2.0, à l’exception du nom.

1. Sous Informations de protocole, sélectionnez OAuth 2.0.
   
2. Sous Sélectionner un type OAuth, sélectionnez Personnalisé.
3. Écrivez un nom pour votre connexion. (Facultatif)
4. Indiquez un ID client.
   Astuce Qualtrics : les ID client identifient et authentifient le client (dans ce cas, Qualtrics). L’ID client peut être acquis auprès du serveur d’autorisation (c’est-à-dire votre fournisseur OAuth).
5. Indiquez une clé secrète client.
   Astuce Qualtrics : la clé secrète du client identifie et authentifie le client. Elle est acquise auprès du serveur d’autorisation.
   Astuce Qualtrics : cliquez sur l’icône en forme d’œil pour afficher la clé secrète du client.
6. Collez l’URL correcte dans le champ Point de terminaison d’autorisation.
   Astuce Qualtrics : un point de terminaison d’autorisation gère l’authentification et le consentement de l’utilisateur. Une fois que l’utilisateur s’est authentifié et a consenti à l’accès à ses ressources, un code d’autorisation est renvoyé au client.
7. Collez l’URL correcte dans le champ Point de terminaison du jeton.
   
   Astuce Qualtrics : le point de terminaison du jeton est un point de terminaison du serveur d’autorisation qui gère l’échange de codes d’autorisation pour les jetons d’accès.
8. Sélectionnez une méthode d’autorisation de point de terminaison de jeton ou les deux. Il est utilisé pour le point de terminaison du jeton.
   • Clé secrète client de base : la clé secrète client est codée dans l’en-tête d’autorisation.
   • Secret client Post : la clé secrète client est incluse dans le corps de la demande en tant que paramètre de formulaire.
9. Collez l’URL correcte dans le champ Point de terminaison des informations utilisateur.
   Astuce Qualtrics : le point de terminaison des informations utilisateur dans le serveur de ressources accepte et valide un jeton d’accès du client et renvoie les informations utilisateur au client.
10. Collez l’URL correcte dans le champ Point de terminaison des clés publiques.
    Astuce Qualtrics : ce point de terminaison des clés publiques est utilisé pendant la validation du jeton d’ID. Le client (Qualtrics) accède à ce point de terminaison pour récupérer les clés publiques et pour essayer de faire correspondre l’ID de clé trouvé dans le jeton d’ID à l’une des clés publiques. Ce champ n’est pas nécessaire si le jeton id est signé avec un algorithme basé sur MAC (par exemple, HMAC256, HMAC512).
11. Collez l’URL correcte dans le champ Émetteur de jeton.
    Astuce Qualtrics : le champ Émetteur de jeton est utilisé pendant la validation du jeton d’ID.
12. Ajoutez le ou les algorithmes utilisés pour signer le jeton d’ID.
    Astuce Qualtrics : ce champ est utilisé pour la validation du jeton d’identifiant lorsque le périmètre openid est spécifié dans le champ Périmètre (étape 14). Vous pouvez ajouter plusieurs algorithmes qui peuvent être utilisés pour signer le jeton ID. La valeur par défaut est RS256. Vous n’avez pas besoin d’ajouter des algorithmes si le jeton id est signé avec un algorithme basé sur MAC.
13. Sélectionnez un type de liaison Type de demande authentifié. Il est utilisé pour le point de terminaison des informations utilisateur.
    
    • En-tête : le jeton d’accès est inclus dans l’en-tête d’autorisation.
    • Corps : le jeton d’accès est inclus dans le corps de la réponse en tant que paramètre de formulaire.
    • Requête : le jeton d’accès est inclus dans le corps de la réponse en tant que paramètre de requête.
14. Saisissez un périmètre.
    Astuce Qualtrics : le périmètre est utilisé pour spécifier les ressources demandées au point de terminaison des informations utilisateur (c’est-à-dire la liste des ressources que le propriétaire de la ressource envoie au client). Les exemples de périmètres incluent openid, email et profile.
15. Le champ Type de réponse est défini sur « code » et ne peut pas être modifié. Actuellement, Qualtrics prend uniquement en charge le flux de codes d’autorisation.
16. Le champ Type d’attribution est défini sur « authorization_code » et ne peut pas être modifié. Actuellement, Qualtrics prend uniquement en charge le flux de codes d’autorisation pour le moment.
17. Vous recevrez un point de terminaison de redirection OAuth. Il s’agit du point de terminaison vers lequel le fournisseur d’identités redirige avec un code d’autorisation. L’échange de jetons et d’informations utilisateur a lieu à ce point de terminaison.
    Astuce Qualtrics : Vous et votre équipe informatique devez configurer votre fournisseur d’identités de votre côté. Les représentants Qualtrics ne peuvent pas effectuer cette étape pour vous.
18. Ajoutez des champs d’attribut utilisateur.
19. Configurez les options de mappage.
    
20. Configurez les options de provisioning utilisateur.
21. Configurez les options de migration des utilisateurs.
    
22. Configurez les attributs du tableau de bord.
23. Appliquez vos modifications.

Configuration d’une connexion SAML

1. Sous Informations de protocole, sélectionnez SAML.
   
2. Chargez les options du fournisseur d’identités.
3. Configurez des options supplémentaires.
4. Configurez les options du fournisseur de services.
5. Ajoutez des champs d’attribut utilisateur.
6. Configurez les options de mappage.
7. Configurez les options de provisioning utilisateur.
8. Configurez les options de migration des utilisateurs.
9. Configurez les attributs du tableau de bord.
10. Appliquez vos modifications.

Chargement des options du fournisseur d’identités (SAML)

Si vos informations de métadonnées IdP sont disponibles au format XML, cliquez sur Charger les métadonnées IdP et collez-les dans la fenêtre qui s’ouvre. Cela remplira les champs des étapes suivantes (ID d’entité, liaisons de service d’authentification unique, certificats) avec les informations que vous fournissez.

Identifiant d’entité

L’ID d’entité est l’identifiant unique de votre fournisseur d’identité et se trouve dans vos métadonnées IdP. Ce champ se remplira automatiquement depuis votre téléchargement de métadonnées ou vous pouvez l’ajouter manuellement.

Liaisons de service d’authentification unique

Les liaisons de service d’authentification unique sont des points de terminaison utilisés pour se connecter au fournisseur d’identité et se trouvent dans vos métadonnées IdP.

Pour ajouter une nouvelle liaison manuellement,

1. Sélectionnez un type de liaison. Qualtrics prend actuellement en charge HTTP POST et HTTP Redirect.
   Astuce Qualtrics : si HTTP POST est activé, la demande SAML sera signée.
2. Sous Emplacement de liaison, saisissez l’URL.
3. Cliquez sur Ajouter une liaison.
4. Une fois que vous avez ajouté une liaison, elle sera répertoriée en haut. Si vous avez ajouté plusieurs liaisons, vous pouvez uniquement sélectionner 1 pour l’activer.

Vous pouvez supprimer des liaisons en utilisant l’icône Corbeille à droite d’une liaison.

Certificats

Le certificat est la clé utilisée pour authentifier la connexion SAML. Qualtrics exige un certificat de signature pour les connexions initiées par le PS, il se trouve dans vos métadonnées IdP. Si vous prévoyez d’utiliser uniquement les connexions initiées par l’IdP, un certificat de signature n’est pas obligatoire.

Pour ajouter un nouveau certificat,

1. Définissez le Type de certificat sur Signature.
2. Sous Certificat, collez la clé.
3. Cliquez sur Ajouter un certificat.

Vous pouvez ajouter plusieurs certificats de signature.

Vous pouvez supprimer des certificats en utilisant l’icône Corbeille à droite d’un certificat.

Options supplémentaires (SAML)

Les paramètres suivants sont tous facultatifs. Lisez attentivement les actions permises par chacun avant de les activer ou de les désactiver.

• Signer la demande : si vous avez une liaison qui est une demande AuthN et que vous avez besoin que nous la signions, activez ce paramètre. Pour garantir que la demande provient de Qualtrics et non d’une personne susceptible d’avoir intercepté le message, nous signerons la demande envoyée au fournisseur d’identité.
• Forcer l’authentification : lorsque cette option est activée, Qualtrics forcera les utilisateurs de votre fournisseur d’identités à s’authentifier, même s’il existe une session active. Ne fonctionne que si votre IdP prend en charge ce type de paramètre.
• Activer la prévention de la répétition d’assertion : lorsque cette option est activée, Qualtrics ne réutilisera pas une assertion que nous avons déjà vue, ce qui est un moyen d’empêcher les attaques par rediffusion SAML. Nous vous recommandons d’activer cette option.

&nbsp ;

Options du fournisseur de services (SAML)

Après avoir défini vos informations de protocole sur SAML, vous devrez saisir les paramètres de votre fournisseur d’identités et pourrez télécharger nos métadonnées de fournisseur de services en cliquant sur Télécharger les métadonnées du fournisseur de services. Elle n’est disponible qu’après avoir enregistré vos paramètres de connexion pour la première fois.

Lors de la configuration des métadonnées du fournisseur de services (SP) sur votre portail IdP, n’hésitez pas à consulter notre guide sur les fournisseurs d’identités communs. Si vous prévoyez d’utiliser les connexions initiées par le fournisseur d’identités, appliquez le statut de relais par défaut à la configuration de votre fournisseur d’identités.

Zones d’attribut utilisateur (les deux)

Dans cette section, vous allez saisir les noms des attributs que vous prévoyez d’envoyer dans l’échange SSO. Le seul champ obligatoire est l’adresse e-mail, mais nous vous recommandons fortement d’inclure un champ prénom, nom et nom d’utilisateur afin de compléter le profil utilisateur dans Qualtrics. Les champs Type d’utilisateur, Division et Groupe sont des champs facultatifs qui peuvent être utilisés pour le mappage de rôles.

Pour une réponse SAML, tous les noms d’attributs sont sensibles à la casse et doivent être orthographiés exactement tels qu’ils apparaissent dans la section Instruction d’attribut de votre réponse SAML. Qualtrics ne peut pas s’authentifier à partir du champ “NameID” (Identifiantdenom) de votre réponse SAML.

• Champ E-mail : nom du champ contenant les e-mails des utilisateurs. Ce champ est obligatoire.
• Champ Nom d’utilisateur : champ contenant les noms d’utilisateur si vous souhaitez qu’ils soient distincts des adresses e-mail. Ce champ est facultatif et sera par défaut le champ de l’e-mail si aucune valeur n’est saisie.
  Attention : si vous utilisez l’attribution de privilèges d’accès Juste à temps et que vous souhaitez modifier l’attribut mis en correspondance avec le champ Nom d’utilisateur, veuillez contacter le support de Qualtrics. La modification de cette valeur d’attribut après sa configuration peut affecter les connexions SSO.
  Avertissement : si plusieurs connexions SSO sont activées, il est possible de dupliquer les noms d’utilisateur parmi les fournisseurs SSO. Dans une telle situation, Qualtrics les considérera comme le même utilisateur et accordera l’accès au compte associé audit nom d’utilisateur. Pour éviter cette situation, utilisez une zone unique et non modifiée dans tous les fournisseurs SSO.
  Astuce : la meilleure pratique consiste à utiliser un champ unique sans modification pour le nom d’utilisateur. Il peut s’agir d’une adresse e-mail ou d’un identifiant unique tel qu’un identifiant d’employé.
• Champ Prénom : Prénoms des utilisateurs. La valeur par défaut est l’e-mail si aucune valeur n’est saisie.
• Champ Nom de famille : Noms des utilisateurs. La valeur par défaut est l’e-mail si aucune valeur n’est saisie.
• Champ Type d’utilisateur : vous pouvez souhaiter que les utilisateurs soient affectés à un certain type d’utilisateur dès leur première connexion à Qualtrics. Pour plus d’informations, voir Affectation d’autorisations utilisateur.
  Astuce Qualtrics : si rien n’est défini, tous les utilisateurs utiliseront par défaut le type d’utilisateur par défaut de votre marque.
• Champ Division : vous pouvez souhaiter que les utilisateurs soient affectés à une certaine division dès leur première connexion à Qualtrics. Pour plus d’informations, voir Affectation d’autorisations utilisateur.
• Champ de groupe : vous pouvez souhaiter que les utilisateurs soient affectés à un certain groupe dès leur première connexion à Qualtrics. Si aucune valeur n’est saisie, les utilisateurs ne seront pas affectés à des groupes. Pour plus d’informations, voir Affectation d’autorisations utilisateur.
• Activez l’option Mettre à jour les attributs utilisateur à chaque fois que vous souhaitez que les attributs de votre utilisateur soient mis à jour à chaque connexion. Qualtrics mettra à jour ses attributs d’utilisateur sur la valeur fournie par le fournisseur d’identités lors de la connexion.

Après avoir saisi ces noms d’attribut, vous pouvez configurer le reste du mappage dans la section suivante, sous Options de mappage.

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Options de mappage (les deux)

Si vous avez choisi de définir des types d’utilisateurs, des groupes ou des divisions, vous devrez alors mapper les valeurs d’attribut avec les champs existants dans Qualtrics. Vous indiquerez quelles valeurs correspondent à quels types d’utilisateurs, groupes ou divisions dans Qualtrics.

Sous Valeur du fournisseur d’identités, saisissez la valeur telle qu’elle est configurée dans votre fournisseur d’identités. Sous Valeur Qualtrics, sélectionnez le type, le groupe ou la division correspondant(e). Cliquez ensuite sur Ajouter un mappage. Vous devrez effectuer ces étapes pour chaque valeur définie par votre fournisseur d’identité.

Pour limiter l’accès à la plate-forme aux seuls types d’utilisateur mappés, vous pouvez activer la validation du type d’utilisateur. Cela signifie que chaque fois qu’un utilisateur tente de se connecter à Qualtrics via l’authentification unique (SSO), le système lui demandera d’avoir un type d’utilisateur correspondant à 1 des mappages que vous avez créés. Cela est utile si la valeur associée au champ du type d’utilisateur change dans le fournisseur d’identités et permet aux administrateurs de modifier rapidement les autorisations utilisateur.

Des mappages similaires peuvent être effectués pour les groupes et les divisions, tant que vous avez défini ces champs sous Champs d’attribut utilisateur.

Si vous choisissez de ne pas mapper des types d’utilisateurs, des divisions ou des groupes, le type d’utilisateur d’auto-inscription par défaut sélectionné dans votre onglet Admin sous Types d’utilisateur sera affecté à tous les utilisateurs.

Options d’attribution de privilèges d’accès utilisateur (les deux)

• Attribution de privilèges d’accès juste à temps : si un utilisateur n’existe pas dans Qualtrics et qu’il s’est connecté avec succès via SSO avec un domaine de messagerie approuvé, créez un nouvel utilisateur.
• Informer les administrateurs de la création d’utilisateurs : Informez les administrateurs spécifiques lorsqu’un utilisateur est créé dans sa marque Qualtrics. Vous pouvez indiquer qui reçoit cette notification sous Notification par e-mail d’auto-inscription.
• Domaines de messagerie valides : saisissez les domaines de messagerie pouvant être utilisés pour vous inscrire à un compte Qualtrics sous votre licence. La valeur par défaut est un astérisque ( * ), indiquant que n’importe quel domaine peut être utilisé pour s’inscrire. Séparez plusieurs domaines par des virgules.
  Astuce Qualtrics : cette liste a un impact sur l’inscription SSO et l’authentification ultérieure dans le produit.

Options de migration des utilisateurs (les deux)

Une fois que vous avez testé et activé votre nouvelle connexion SSO, vous devrez peut-être mettre à jour les noms d’utilisateur de tous les utilisateurs existants de votre licence. Lorsque les utilisateurs se connectent via une authentification SSO, Qualtrics vérifie s’ils ont bien un compte en utilisant l’attribut que vous avez indiqué en tant que champ Nom d’utilisateur. Afin de garantir que la connexion SSO correspond au compte utilisateur existant approprié, le nom d’utilisateur de l’utilisateur indiqué dans l’onglet Admin doit être au format suivant.

Value_of_Username_field_Attribute#brandID

Vous pouvez mettre à jour les noms d’utilisateur sous ce format en utilisant l’une des cinq méthodes suivantes :

Méthode 1 : ajout de #BrandID aux noms d’utilisateur existants

Si vous avez seulement besoin d’ajouter #brandID à la fin des noms d’utilisateur des utilisateurs existants, vous pouvez activer l’option Modifier le nom d’utilisateur existant à la connexion. Lorsque l’utilisateur se connecte via SSO pour la première fois, le #brandID est automatiquement ajouté à la fin de son nom d’utilisateur.

Méthode 2 : mise à disposition Juste-à-Temps

Si l’attribution de privilèges d‘accès Juste-à-Temps est activée sous Options d’attribution de privilèges d’accès utilisateur, vous pouvez sélectionner l’option Fusionner avec l’utilisateur existant lors de la connexion. Si les conditions suivantes sont remplies, l’utilisateur sera dirigé vers l’écran suivant :

• Il n’y a pas encore de compte au sein de la marque avec un nom d’utilisateur correspondant à la valeur du nom d’utilisateur SSO pour l’utilisateur.
• L’utilisateur se connecte pour la première fois après l’activation de l’authentification unique pour la marque.

1. L’utilisateur doit sélectionner Oui, j’ai un compte préexistant ici s’il possède déjà un compte Qualtrics au sein de la marque. L’utilisateur doit ensuite saisir les identifiants de son compte Qualtrics et cliquer sur Vérifier le compte. Cela mettra à jour le nom d’utilisateur de son compte Qualtrics afin qu’il corresponde à la valeur du nom d’utilisateur SSO de l’utilisateur transmise lors de la connexion. L’utilisateur ne verra pas cet écran par la suite :
   
2. L’utilisateur doit sélectionner Non, je n’ai pas de compte préexistant ici s’il n’a pas encore de compte Qualtrics au sein de l’organisation. L’utilisateur doit ensuite cliquer sur Connexion lorsque vous y êtes invité. Cela créera un compte Qualtrics avec la valeur du nom d’utilisateur SSO de l’utilisateur transmise lors de la connexion. L’utilisateur ne verra pas cet écran par la suite :

Méthode 3 : petit nombre d’utilisateurs

Si vous avez un petit nombre d’utilisateurs existants, vous pouvez mettre à jour les noms d’utilisateur manuellement dans votre page Admin.

Méthode 4 : grand nombre d’utilisateurs

Si vous disposez d’un grand nombre d’utilisateurs existants et que l’API est activée pour votre licence, vous pouvez utiliser notre API publique pour mettre à jour les noms d’utilisateur.

Méthode 5 : licence Employee Experience

Si vous utilisez la plateforme Employee Experience, vous pouvez mettre à jour les noms d’utilisateur via la fonctionnalité de chargement de fichier.

Attributs du tableau de bord (les deux)

Si votre licence inclut des tableaux de bord expérience client ou l’un de nos produits Employee Experience, vous pouvez transmettre des attributs supplémentaires par rapport à ceux définis dans la section « Attributs utilisateur ». Pour les tableaux de bord expérience client, ces attributs supplémentaires peuvent être utilisés pour affecter automatiquement des rôles aux utilisateurs lors de l’authentification SSO. Pour nos produits Employee Experience, vous ne pourrez capturer qu’un seul attribut supplémentaire appelé Identifiant unique. Ce champ est obligatoire pour tous les participants et peut être affecté via l’authentification SSO ou via la fonctionnalité de chargement de fichier.

Pour ajouter des attributs supplémentaires, activez Capturer des attributs supplémentaires pour les tableaux de bord.

Une fois cette option activée, vous saisirez les noms d’attributs que vous souhaitez capturer exactement tels qu’ils apparaissent dans la section “Instruction d’attribut” de votre réponse SAML.

Application et annulation des modifications (les deux)

Pour sauvegarder vos modifications, cliquez sur Appliquer.

Si vous voulez rétablir la dernière version enregistrée des modifications apportées à l’écran au lieu de les appliquer, cliquez sur Annuler.