> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/identity-providers.md).
# Fournisseurs d’identité (SSO)
Laissez vos utilisateurs se connecter à Dispel avec votre fournisseur d’identité existant. Connectez Microsoft Entra ID, Okta ou PingIdentity via OAuth (OIDC) ou SAML pour l’authentification unique.
## Aperçu
La connexion d’un fournisseur d’identité (IdP) permet à vos utilisateurs de se connecter à Dispel avec les mêmes identifiants d’entreprise qu’ils utilisent déjà partout ailleurs — l’authentification unique (SSO). Au lieu de gérer un mot de passe Dispel distinct, votre IdP gère l’authentification et indique à Dispel qui est l’utilisateur.
Dispel prend en charge quatre fournisseurs d’identité. Active Directory se connecte via LDAP(S) ; Microsoft Entra ID, Okta et Ping Identity se connectent chacun via OAuth (OIDC) ou SAML :
* [**Active Directory**](/documentation/documentation-fr/securiser-et-gouverner/identity-providers/active-directory.md) — le service d’annuaire sur site de Microsoft.
* [**Microsoft Entra ID**](/documentation/documentation-fr/securiser-et-gouverner/identity-providers/microsoft-entra-id.md) — la plateforme d’identité cloud de Microsoft (anciennement Azure AD).
* [**Okta**](/documentation/documentation-fr/securiser-et-gouverner/identity-providers/okta.md) — la plateforme d’identité d’entreprise d’Okta.
* [**PingIdentity**](/documentation/documentation-fr/securiser-et-gouverner/identity-providers/ping-identity.md) — la plateforme d’identité fédérée de Ping.
{% hint style="info" %}
**Où le trouver.** Connectez-vous en tant qu’administrateur de l’organisation et ouvrez **Paramètres → Intégrations** (ou la page dédiée **Paramètres → Authentification** ). Les fournisseurs apparaissent dans la **Identité et authentification (IdP / SSO)** section. Cliquez sur **Connecter** sur un fournisseur pour commencer.
{% endhint %}
{% hint style="warning" %}
**Un fournisseur d’identité par organisation.** Une organisation ne peut avoir qu’un seul IdP actif à la fois, en utilisant un seul protocole. Pour changer de fournisseur — ou pour basculer un fournisseur existant entre OAuth et SAML — vous devez d’abord déconnecter celui en cours.
{% endhint %}
## Choix d’un protocole
Le protocole que vous utiliserez dépend du fournisseur que vous connectez :
* Active Directory se connecte uniquement via LDAP(S).
* Microsoft Entra ID, Okta et Ping Identity prennent chacun en charge OAuth (OIDC) et SAML. Lorsque vous configurez l’un d’eux, vous pourrez choisir entre ces deux protocoles. Un seul peut être actif par fournisseur à la fois.
Pour ces trois fournisseurs cloud, choisissez entre OIDC et SAML selon la configuration de votre application IdP :
| Protocole | Ce que c’est | À choisir lorsque |
| ---------------- | ---------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------- |
| **OAuth** (OIDC) | Une norme ouverte de délégation d’accès, couramment utilisée pour l’authentification basée sur des jetons. | Votre application IdP est configurée comme une application OIDC / OAuth. |
| **SAML** | Un cadre basé sur XML pour l’échange de données d’authentification et d’autorisation entre des parties. | Votre application IdP est configurée comme une application SAML, ou votre organisation standardise SAML. |
> Active Directory utilise LDAP(S) — un protocole permettant d’interroger un serveur d’annuaire et de s’y authentifier, sécurisé par TLS. Comme AD ne prend en charge que LDAP(S), il n’y a pas d’étape de sélection de protocole.
## Ce que vous fournissez, et ce que Dispel fournit
La mise en place du SSO est un échange bidirectionnel. Vous fournissez à Dispel des informations sur votre IdP, et — pour SAML — vous collez les détails du fournisseur de services de Dispel dans votre IdP.
#### OAuth (OIDC)
Vous saisissez les éléments suivants dans Dispel :
| Champ | À saisir |
| ------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **URL client** | L’URL vers laquelle les jetons OAuth sont envoyés — à trouver dans les paramètres de votre IdP. |
| **ID client** | L’identifiant unique de votre IdP (souvent une URL ou un URN), disponible dans les paramètres de votre IdP. |
| **Secret client** | Le secret client émis par votre IdP. |
| **Identifiant d’organisation** | Un identifiant unique *que vous* choisissez. Vos utilisateurs le saisissent sur l’écran de connexion Dispel. Lettres, chiffres, tirets et traits de soulignement uniquement. |
Côté IdP, enregistrez Dispel comme application et définissez son **URI de redirection** sur votre adresse Dispel suivie de `/oauth/login-callback` (par exemple, `https://app.dispel.com/oauth/login-callback`). Si vous n’êtes pas sûr de l’adresse exacte pour votre environnement, confirmez-la auprès de votre représentant Dispel.
#### SAML
Dispel affiche deux valeurs en lecture seule en haut du formulaire SAML — collez-les dans l’application SAML de votre IdP :
| Dispel fournit | À coller dans votre IdP en tant que |
| ----------------------------------------------- | ----------------------------------------------------------- |
| **ID d’entité du fournisseur de services (SP)** | L’ID d’entité / audience du SP. |
| **URL du service consommateur d’assertions** | L’URL ACS / URL de réponse / URL d’authentification unique. |
Utilisez les **Copier l’ID** et **Copier l’URL** boutons à côté de chacun. Saisissez ensuite les éléments suivants dans Dispel :
| Champ | À saisir |
| ----------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ |
| **URL SSO** | L’URL vers laquelle l’assertion SAML est envoyée — à trouver dans les paramètres de votre IdP. |
| **ID d’entité du fournisseur d’identité** | L’identifiant unique de votre IdP (souvent une URL ou un URN). |
| **Certificat de signature Base64** | Le certificat utilisé par votre IdP pour signer les assertions SAML. Collez-le, ou utilisez **Téléverser le certificat** (1 Mo max). |
| **Identifiant d’organisation** | Un identifiant unique *que vous* choisissez. Vos utilisateurs le saisissent sur l’écran de connexion Dispel. |
#### LDAP(S)
Contrairement aux flux SSO, LDAP n’est pas une poignée de main basée sur une redirection — Dispel se connecte directement à votre annuaire et authentifie les utilisateurs dessus. Il n’y a rien à renvoyer dans un autre système ; toute la configuration se trouve dans Dispel. Les valeurs ci-dessous proviennent de votre administrateur Active Directory.
Vous saisissez les éléments suivants dans Dispel :
| Champ | À saisir |
| ------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Identifiant de connexion** | Un identifiant unique *que vous* choisissez. Vos utilisateurs le saisissent sur l’écran de connexion Dispel. |
| **Domaine Active Directory** | Votre domaine DNS AD — par ex. `corp.example.com`. |
| **Contrôleurs de domaine** | Le ou les noms d’hôte des contrôleurs de domaine auxquels Dispel se connecte via LDAPS (port 636) — par ex. `dc01.corp.example.com`. |
| **Confiance du certificat + certificat de l’AC** | La manière dont Dispel valide la connexion TLS, et (recommandé) le certificat de l’AC ayant émis les certificats de vos contrôleurs de domaine. À obtenir auprès de votre administrateur PKI ou AD ; PEM, CRT ou CER. |
| **DN de liaison ou UPN** | Le compte de service en lecture seule sous lequel Dispel s’authentifie — par ex. `svc-dispel@corp.example.com`. |
| **Mot de passe de liaison** | Le mot de passe du compte de service. |
| **Base de recherche des utilisateurs** | L’emplacement du répertoire (OU) où rechercher les utilisateurs — par ex. `OU=Users,DC=corp,DC=example,DC=com`. |
| **Base de recherche des groupes** | L’emplacement du répertoire (OU) où rechercher les groupes. |
| **Attribut de connexion** | L’attribut que les utilisateurs saisissent comme nom d’utilisateur — généralement `sAMAccountName`. |
## Configuration d’un fournisseur
Les étapes exactes côté IdP varient selon le fournisseur — consultez la page de chaque fournisseur pour plus de détails. Le flux global est le même :
1. Accédez à **Paramètres → Intégrations** et cliquez sur **Connecter** sur la carte du fournisseur.
2. **Sélectionnez le protocole d’authentification** — OAuth ou SAML.
3. *(SAML uniquement)* Copiez **l’ID d’entité SP** et **l’URL ACS** dans l’application SAML de votre IdP.
4. Renseignez les champs de connexion avec les valeurs de votre IdP, et choisissez un **Identifiant d’organisation**.
5. Cliquez sur **Enregistrer les paramètres**.
6. *(SAML uniquement)* Cliquez sur **Tester la connexion**. Dispel vous redirige vers votre IdP pour vous connecter, puis affiche les attributs utilisateur qu’il a reçus (e-mail, prénom, nom). Si le test échoue, vérifiez que les détails correspondent à l’application SAML de votre IdP et que l’utilisateur de test existe dans votre IdP et est invité dans cette organisation.
> Vous connectez Active Directory ? AD utilise LDAP(S) et suit un flux différent — Dispel se connecte directement à votre annuaire plutôt que de passer par une poignée de main SSO, et il n’y a aucun protocole à choisir. Consultez le [guide de configuration d’Active Directory](/documentation/documentation-fr/securiser-et-gouverner/identity-providers/active-directory.md) pour le guide complet.
{% hint style="info" %}
**Les secrets sont masqués.** Après l’enregistrement, les champs secrets (secret client, certificat) sont masqués. Lors d’une modification ultérieure, laissez un champ masqué inchangé pour conserver la valeur stockée.
{% endhint %}
## Comment les utilisateurs se connectent
Une fois le SSO configuré, les utilisateurs se connectent avec votre IdP au lieu d’un mot de passe Dispel :
1. Sur l’écran de connexion Dispel, l’utilisateur saisit votre **Identifiant d’organisation**.
2. Dispel les redirige vers votre IdP pour les authentifier.
3. En cas de succès, ils sont renvoyés vers Dispel et connectés.
Dispel lit le **e-mail**, **prénom**, et **nom de famille** depuis la réponse de l’IdP.
{% hint style="info" %}
**Les utilisateurs doivent d’abord être invités.** Le SSO authentifie un utilisateur, mais ne lui donne pas accès à lui seul. Un utilisateur doit déjà être invité dans votre organisation dans Dispel avant de pouvoir se connecter via SSO. Voir [Inviter un utilisateur à Dispel](/documentation/documentation-fr/gerez-les-utilisateurs-et-les-acces/users/invite-a-user.md).
{% endhint %}
## Mappage des groupes
Vous pouvez automatiquement placer les utilisateurs SSO dans des groupes Dispel en fonction des groupes ou des revendications envoyés par votre IdP. L’appartenance aux groupes est réévaluée à chaque connexion, afin que les droits d’accès restent alignés avec votre IdP. Voir [Mappage des groupes OIDC](/documentation/documentation-fr/integrer-et-administrer/integrations/oidc-group-mapping.md).
## SSO et authentification multifacteur
Lorsque le SSO est utilisé, votre IdP est responsable de l’authentification — y compris toute MFA que vous y appliquez. En conséquence, les codes à usage unique par e-mail de Dispel ne sont pas appliqués aux utilisateurs qui se connectent via SSO. Gardez cela à l’esprit lors de la définition des exigences MFA dans le [Générateur de politiques](/documentation/documentation-fr/securiser-et-gouverner/policy-builder.md).
## Changer ou déconnecter un fournisseur
Pour changer de fournisseur, ou pour basculer un fournisseur entre OAuth et SAML, **Déconnectez** d’abord l’intégration actuelle, puis connectez la nouvelle.
{% hint style="warning" %}
**La déconnexion impose une réinitialisation du mot de passe.** La suppression d’une intégration SSO signifie que les utilisateurs concernés ne pourront plus se connecter via l’IdP — ils devront réinitialiser leurs mots de passe Dispel pour se reconnecter, et vous devrez ressaisir tous les champs pour reconnecter.
{% endhint %}
## Questions fréquentes
Puis-je utiliser plus d’un fournisseur d’identité à la fois ?
Non. Une organisation ne peut avoir qu’un seul IdP actif à la fois. Si vous êtes déjà connecté à un fournisseur, les autres sont indisponibles jusqu’à ce que vous vous déconnectiez — vous verrez une note indiquant que vous êtes actuellement connecté à un autre fournisseur et que vous devez d’abord le déconnecter.
Puis-je utiliser à la fois OAuth et SAML pour le même fournisseur ?
Non. Un seul protocole d’authentification est pris en charge par fournisseur d’identité à la fois. Pour changer de protocole, déconnectez puis reconnectez avec l’autre.
Qu’est-ce que l’identifiant d’organisation ?
C’est une étiquette courte et unique que vous choisissez (lettres, chiffres, tirets et traits de soulignement). Vos utilisateurs la saisissent sur l’écran de connexion Dispel afin que Dispel sache vers quel IdP les envoyer.
Un utilisateur obtient-il automatiquement un compte lors de sa première connexion SSO ?
Seulement s’il a déjà été invité dans votre organisation. Le SSO prouve l’identité de l’utilisateur, mais il doit avoir une invitation dans Dispel pour obtenir l’accès.
Qui peut configurer le SSO ?
Un administrateur de l’organisation. La configuration ou la déconnexion d’un fournisseur d’identité nécessite l’autorisation de modification de l’organisation.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/identity-providers.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.