Configurer les paramètres d’authentification unique de l’organisation

À propos de la configuration des paramètres d’authentification unique

En tant qu’ Administrateur de la Marque, vous pouvez créer et gérer vos connexions SAML et OAuth 2.0 Single Sign-On (SSO). Vous pourrez ajouter de nouvelles connexions, mettre à jour des certificats sur des connexions existantes, modifier des paramètres tels que le provisionnement juste à temps, et plus encore. Ces connexions peuvent être utilisées pour gérer la manière dont les utilisateurs de votre organisation se connectent à leurs comptes Qualtrics et les options d’authentification des enquêtes disponibles. Pour commencer :

1. Accédez à la page Admin.
   
2. Accédez à Paramètres de l’organisation.
   
3. Sélectionnez SSO.

Ajouter une connexion

Pour une description détaillée de toutes les étapes et de tous les paramètres, voir Ajout d’une connexion SSO pour une organisation.

Gestion des connexions SSO pour la connexion de l’organisation

Cette section explique comment activer et désactiver les connexions SSO afin de contrôler l’expérience de connexion utilisateur de l’organisation.

Vous verrez une connexion intitulée Connexion Qualtrics pour [ID de votre organisation]. La désactivation de cette connexion obligera tous les utilisateurs à se connecter avec une authentification SSO et supprimera l’option permettant aux utilisateurs de se connecter avec leur nom d’utilisateur et mot de passe Qualtrics.

Lorsque vous ajoutez une connexion pour la première fois, elle prend par défaut le statut Désactivé dans la colonne “Utiliser pour la connexion à l’organisation”. L’activation d’une connexion SSO pour la connexion de l’organisation indique que la connexion SSO est désormais active sur votre licence pour l’ensemble de votre base d’utilisateurs.

Après avoir activé et désactivé les connexions souhaitées, l’expérience utilisateur au niveau de votre URL organisationnelle (https://OrganizationID.qualtrics.com) sera l’un des scénarios suivants :

EXPÉRIENCE UTILISATEUR LORSQUE UNIQUEMENT LA CONNEXION QUALTRICS EST ACTIVÉE

Lorsque la seule connexion de connexion de l’entité activée est « Connexion Qualtrics pour [ID de votre organisation] », l’URL de votre organisation (https://OrganizationID.qualtrics.com) sera dirigée vers notre écran de connexion Qualtrics standard et tous les utilisateurs s’authentifieront avec leur nom d’utilisateur et leur mot de passe Qualtrics.

EXPÉRIENCE UTILISATEUR LORSQUE UNE SEULE CONNEXION SSO EST ACTIVÉE

Lorsque la connexion « Connexion Qualtrics pour [ID de votre organisation] » est désactivée et qu’une seule connexion SSO est activée pour la connexion de l’organisation, l’utilisateur accède à son URL organisationnelle et est automatiquement redirigé via votre flux d’authentification SSO. Tous les utilisateurs devront se connecter via SSO.

EXPÉRIENCE UTILISATEUR LORS D’UNE AUTRE CONNEXION SSO

Lorsque la connexion « Connexion Qualtrics pour [ID de votre organisation] » est désactivée et que plusieurs connexions SSO sont activées pour la connexion de l’organisation, l’utilisateur accède à son URL d’organisation et voit une liste de toutes les connexions SSO activées. L’utilisateur devra choisir la connexion SSO avec laquelle il souhaite s’authentifier.

EXPÉRIENCE UTILISATEUR LORSQUE UNE CONNEXION SSO EST ACTIVÉE ET LA CONNEXION QUALTRICS EST ACTIVÉE

Lorsque la connexion « Connexion Qualtrics pour [ID de votre organisation] » est activée et que plusieurs connexions SSO sont activées pour la connexion de l’organisation, vous avez la possibilité de rediriger l’utilisateur vers une page de destination avec toutes les options disponibles. Lorsque cette option est activée, l’utilisateur accède à l’URL de son organisation et voit une liste de toutes les connexions SSO activées ainsi que l’option Connexion Qualtrics. L’utilisateur devra choisir la méthode d’authentification qu’il préfère.

Pour activer cette page de destination :

1. Trouvez la connexion nommée Connexion Qualtrics pour [Votre ID d’organisation].
   
2. Sélectionnez Modifier.
3. Sélectionnez Activer la connexion sur l’URL de l’organisation.
   
4. Cliquez sur Appliquer pour sauvegarder vos modifications.

Si vous ne sélectionnez pas cette option, l’URL de votre organisation sera redirigée vers votre flux d’authentification SSO. Les utilisateurs qui souhaitent se connecter sans SSO peuvent utiliser l’un des liens suivants :

• Pour les utilisateurs de FedRAMP : https://gov1.qualtrics.com
• Pour tous les autres utilisateurs : https://qualtrics.com/login

Gestion des connexions SSO pour l’authentification de l’enquête

Lorsque vous ajoutez une connexion pour la première fois, le statut par défaut est désactivé dans la colonne Utiliser pour l’authentificateur de l’enquête. L’activation d’une connexion SSO pour un authentificateur d’enquête indique que la connexion SSO est disponible comme option pour les authentificateurs d’enquête.

Connexions SSO SAML par défaut

La connexion SAML par défaut sera utilisée chaque fois que Qualtrics recevra une demande ne spécifiant pas la connexion SAML particulière à utiliser. Cela est particulièrement important pour les demandes de connexion initiées par le fournisseur d’identités SAML.

• Connexion SAML de connexion à l’organisation par défaut : la connexion de connexion à l’organisation par défaut sera utilisée dans le flux SAML initié par idp lorsque la réponse SAML du fournisseur d’identités n’utilise pas le nouveau format d’état du relais et utilise l’ancien format.
• Connexion SAML de l’authentificateur par défaut : cette valeur par défaut est requise pour prendre en charge les enquêtes configurées avec des authentificateurs SSO avant le 1er décembre 2021. Les enquêtes créées avant cette mise à jour seront associées à la connexion de l’authentificateur par défaut.

Gestion des connexions existantes

Dans la section SSO de l’onglet Paramètres de l’organisation, vous verrez un résumé de toutes les connexions configurées dans votre licence. Vous pourrez ajouter de nouvelles connexions, supprimer ou désactiver des connexions, modifier des connexions existantes et tester des connexions lors de la configuration.

Activer ou désactiver une connexion

Sous Utiliser pour la connexion de l’organisation, vous pouvez basculer entre la désactivation et l’activation de la connexion. Veuillez consulter Gestion des connexions SSO pour la connexion de l’organisation pour obtenir les détails et avertissements pertinents.

Sous Utiliser pour l’authentificateur d’enquête, vous pouvez basculer entre la désactivation et l’activation de la connexion. Veuillez consulter Gestion des connexions SSO pour l’authentification de l’enquête pour plus de détails et d’avertissements.

Édition, test, &amarrage, suppression de connexions

En cliquant sur les trois points sous la colonne Actions, vous verrez les options permettant de supprimer, modifier ou tester une connexion.

• Modifier : Modifiez l’un des paramètres de la connexion. Cette option est particulièrement utile pour les rotations de certificats.
  Attention : Lors de la modification d’une connexion activée, soyez prudent en modifiant les champs susceptibles de perturber les connexions de votre base d’utilisateurs.
• Test : Testez la connexion pour vous assurer qu’elle fonctionne comme prévu. Pour en savoir plus, voir la section mise en lien.
• Supprimer : un Clicclic sur Supprimer entraînera ​ la suppression définitive de la connexion. En cliquant sur le bouton, un modal s’ouvrira avec un message d’avertissement. Vous devrez cliquer sur Supprimer dans cette fenêtre modale pour confirmer l’action.
  Avertissement : lorsque vous supprimez une connexion, gardez à l’esprit l’impact qu’elle aura sur votre base d’utilisateurs. Une fois qu’une connexion est supprimée, cette action ne peut pas être annulée.
  Astuce Qualtrics : vous ne pouvez pas supprimer une connexion tant que son statut n’est pas passé à Désactivé. Ne supprimez pas une connexion tant que vous n’avez pas vérifié que vos utilisateurs ne seront pas affectés par votre modification.

Certificats IdP rotatifs

Les certificats expirent de temps à autres, vous devrez donc contacter votre équipe informatique pour vous assurer que les certificats utilisés pour les connexions Qualtrics sont mis à jour. Demandez à votre équipe informatique d’ajouter un nouveau certificat avant l’expiration de l’ancien et de tester la connexion pour vous assurer que la mise à jour se déroule correctement.

Si vous avez uniquement un certificat de signature, procédez comme suit :

1. Accédez à Paramètres de l’organisation dans Admin.
   
2. Accédez à SSO.
3. En regard de la connexion SSO pour laquelle vous faites pivoter le certificat, cliquez sur la liste déroulante Actions, puis sélectionnez Modifier.
4. Faites défiler vers le bas jusqu’à la section Certificats.
   
5. Cliquez sur Ajouter un certificat.
6. Collez votre nouveau certificat dans la zone Certificat.
   
7. Cliquez sur Ajouter.
8. Sélectionnez Demande de signature comme type de certificat.
   
   Astuce Qualtrics : si vous activez cette option, pour garantir que la demande provient de Qualtrics et non d’une personne qui a peut-être intercepté le message, nous signerons la demande envoyée au fournisseur d’identités. Cette option est toujours activée si vous avez sélectionné une liaison de service Single Sign-On HTTP Post.
9. Si vous le souhaitez, sélectionnez Forcer l’authentification.
   Astuce Qualtrics : si vous activez cette option et que votre fournisseur d’identités la prend en charge, nous demanderons au fournisseur d’identités de forcer les utilisateurs à s’authentifier, même si les utilisateurs sont déjà connectés.
10. Si vous le souhaitez, sélectionnez Activer la prévention de la répétition des assertions.
    Astuce Qualtrics : si vous activez cette option, Qualtrics ne réutilisera pas une assertion que nous avons déjà vue. C’est une façon d’empêcher les attaques par rejeu SAML.
11. Faites défiler la page jusqu’en bas et cliquez sur Appliquer pour enregistrer vos modifications.
    
12. Testezla connexion pour vous assurer que le certificat a été modifié correctement.
    
13. Cliquez sur Modifier.
14. Faites défiler vers le bas jusqu’à la section Certificats.
    
15. Cliquez sur l’icône de la corbeille à côté de votre ancien certificat pour le supprimer.
    Astuce Qualtrics : si votre test a échoué précédemment, supprimez le certificat que vous venez d’ajouter à la place et vérifiez qu’il est correct avant de répéter les étapes ci-dessus pour le rajouter.
16. Lorsque vous avez terminé, cliquez sur Appliquer.
    

Tester la connexion

Après avoir configuré une connexion SSO, vous pouvez la tester pour vous assurer qu’elle fonctionne comme vous le souhaitez. Cliquez sur Tester sur une connexion pour démarrer.

Un nouvel onglet s’ouvrira dans votre navigateur et vous serez redirigé vers votre IdP pour vous authentifier. Une fois la connexion réussie, vous serez redirigé vers une page affichant les attributs et les valeurs que nous avons correctement capturés à partir de votre IdP dans l’échange SSO.

Si la connexion a échoué, vous recevrez un message d’erreur.  Consultez la section Correction des erreurs pour connaître les étapes de base à suivre.

Résolution des problèmes

Si vous voyez un message d’erreur lors du test d’une connexion, cliquez sur le code ou consultez la liste ci-dessous pour en savoir plus sur cette erreur et ses causes possibles.

Si le problème ne peut pas être résolu, connectez-vous à votre Customer Success Hub pour obtenir de l’aide. Notre équipe SSO aura besoin du code d’erreur.

Codes d’erreur SSO généraux

• SSO_UNKNOWN_ERROR : une erreur inconnue s’est produite. Veuillez réessayer de vous connecter ou contacter l’assistance et fournir le code d’erreur généré.
• SSO_SPS_CONNECTION_ERROR : une erreur s’est produite. Veuillez essayer d’effacer vos cookies et votre cache et de vous reconnecter.

Erreurs SAML

• SSO_MISSING_USERNAME : aucune valeur de nom d’utilisateur ou d’attribut d’e-mail n’a été trouvée dans la réponse SSO de votre serveur. Étant donné que cet attribut est requis, assurez-vous que la section Déclaration d’attribut de votre réponse SAML contient un attribut correspondant au champ Nom d’utilisateur dans vos paramètres de connexion SSO.
  Astuce Qualtrics : par exemple, cela peut se produire parce que l’utilisateur qui tente de se connecter ne dispose pas d’un e-mail correspondant aux domaines de messagerie valides dans la section Options d’attribution de privilèges d’accès des utilisateurs.
• SSO_SAML_MISSING_SSO_BINDING : URL de liaison à connexion unique introuvable dans vos options SAML. Étant donné que cette valeur est obligatoire pour les connexions initiées par le PS, vérifiez vos paramètres de connexion SSO et réessayez.
• SSO_SAML_INVALID_DECRYPTION_CERT : une erreur s’est produite lors du décryptage de la réponse SAML. Vérifiez si le certificat de chiffrement dans votre fournisseur d’identité correspond au certificat de chiffrement dans le fichier de métadonnées du prestataire de services généré pour votre connexion SSO.
• SSO_SAML_INVALID_AUDIENCE_RESTRICTION : une erreur s’est produite dans la restriction d’audience de la réponse SAML. Vérifiez si la bonne valeur est définie dans votre fournisseur d’identité. Cela devrait correspondre à l’emplacement du service consommateur d’assertion fourni dans le fichier de métadonnées du prestataire de services généré pour votre connexion SSO.
• SSO_SAML_INVALID_RECIPIENT : une erreur s’est produite dans l’URL du destinataire dans la réponse SAML. Vérifiez si la bonne valeur est définie dans votre fournisseur d’identité. Cela devrait correspondre à l’emplacement du service consommateur d’assertion fourni dans le fichier de métadonnées du prestataire de services généré pour votre connexion SSO.
• SSO_SAML_VALIDATION_ERROR : une erreur s’est produite lors de la validation de la réponse SAML. Vérifiez les paramètres de votre fournisseur d’identité et de votre configuration de connexion Qualtrics SSO puis réessayez.

Erreurs OAuth 2.0

Pour connaître la signification de plusieurs termes, voir Création d’une connexion OAuth 2.0.

• SSO_OAUTH_INVALID_ID_TOKEN : une erreur s’est produite lors de la validation du jeton d’ID. Vérifiez le point de terminaison des clés publiques, l’émetteur du jeton et les algorithmes utilisés pour les champs de jeton d’ID de signature et réessayez.
• SSO_OAUTH_INVALID_OR_MISSING_EMAIL_DOMAIN : l’utilisateur qui tente de se connecter n’a pas d’e-mail correspondant aux domaines de messagerie valides. Veuillez vérifier le champ Domaines de messagerie valides dans la section Options de provisioning utilisateur et réessayer.
• SSO_OAUTH_USER_INFO_ERROR : erreur lors de l’accès aux informations utilisateur avec le jeton. Vérifiez les zones Point de terminaison des informations utilisateur et Type de liaison du type de demande authentifié et réessayez.
• SSO_OAUTH_ACCESS_TOKEN_ERROR : erreur lors de l’accès au jeton d’accès. Vérifiez les zones Clé secrète client, Point de terminaison du jeton et Méthodes d’autorisation du point de terminaison du jeton et réessayez.
• SSO_OAUTH_AUTHORIZATION_URI_ERROR : impossible de générer la demande client OAuth. Vérifiez les zones ID client, Point de terminaison d’autorisation et Périmètre, puis réessayez.