Configurer l'authentification unique (SSO)

Rédigé par HubSpot Support | 7 Jul 2020 à 4:00:00

L'authentification unique (SSO) vous permet de donner aux membres de votre équipe accès un compte unique pour tous les systèmes que votre entreprise utilise. Si vous disposez d'un compte HubSpot Entreprise et si la SSO est configurée pour votre entreprise, vous pouvez demander aux utilisateurs de se connecter à HubSpot avec leurs identifiants SSO.

Remarque : Ce processus de configuration doit être effectué par un administrateur informatique expérimenté dans la création d'applications dans votre compte de fournisseur d'identité.

Configuration générale

Configuration initiale

  • Connectez-vous à votre compte de fournisseur d'identité.
  • Accédez à vos applications.
  • Créez une nouvelle application pour HubSpot.
    • Pour obtenir les valeurs URL de l'audience et URL d'authentification, Service consommateur d'assertion, Destinataire ou Redirection :
      • Depuis votre compte HubSpot, accédez à l'icône Paramètres settings dans l'angle supérieur droit.
      • Dans le menu latéral de gauche, sélectionnez Paramètres par défaut du compte.
      • Dans la section Authentification unique (SSO), cliquez sur Configurer.
      • Dans le volet droit, cliquez sur Copier à côté des valeurs nécessaires. Si vous utilisez Microsoft AD F, cliquez sur l'onglet Microsoft AD FS pour copier les valeurs nécessaires.
      • Collez-les dans votre compte de fournisseur d'identité.
    • Si cela est demandé, définir le format du nom d'utilisateur/identifiant du nom sur E-mail.
  • Copiez l'URL de l'identifiant ou de l'émetteur, l'URL d'authentification unique et le certificat de votre fournisseur d'identité et collez-les dans les champs correspondants dans le volet de configuration SSO dans HubSpot.
  • Cliquez sur Vérifier.
Les instructions de navigation et les noms des champs ci-dessus peuvent varier selon les fournisseurs d'identité. Vous trouverez des instructions plus précises pour configurer des applications chez les fournisseurs d'identité fréquemment utilisés ci-dessous :

Si vous utilisez Active Directory Federation Services, découvrez comment configurer l'authentification unique avec ADFS.

Exiger l'authentification unique pour tous les utilisateurs

  • Depuis votre compte HubSpot, accédez à l'icône Paramètres settings dans l'angle supérieur droit.
  • Dans le menu latéral de gauche, cliquez sur Paramètres par défaut du compte.
  • Dans la section Authentification unique (SSO), sélectionnez la case Exiger l'authentification unique pour se connecter.

Exclure certains utilisateurs de l'exigence SSO

  • Depuis votre compte HubSpot, accédez à l'icône Paramètres settings dans l'angle supérieur droit.
  • Dans le menu latéral de gauche, cliquez sur Paramètres par défaut du compte.
  • Pour permettre à certains utilisateurs de se connecter également avec leurs comptes HubSpot, sous la section Authentification unique (SSO), cliquez sur Exclure les utilisateurs.

  • Dans la boîte de dialogue, cliquez sur le menu déroulant Sélectionner des utilisateurs et sélectionnez les utilisateurs qui pourront se connecter avec leurs comptes HubSpot. Par exemple, vous pouvez sélectionner des partenaires et des sous-traitants s'ils n'ont pas d'identifiant SSO.
  • Cliquez sur Enregistrer.

Remarque : L'utilisateur qui sélectionne la case à cocher Exiger l'authentification unique pour se connecter sera automatiquement ajouté aux utilisateurs exclus. Il est recommandé d'exclure au moins un utilisateur avec les autorisations de super administrateur. Dans le cas où votre fournisseur d'identité est indisponible, ils peuvent se connecter et décocher la case Exiger l'authentification unique pour se connecter pour permettre à tous les utilisateurs de se connecter avec leurs comptes HubSpot.

Instructions pour les fournisseurs d'identité spécifiques

Okta

Remarque : Vous avez besoin d'un accès administratif à votre instance d'Okta. Ce processus n'est accessible que dans l'interface utilisateur Classique dans Okta.

  • Connectez-vous à Okta. Vérifiez que vous êtes dans l'instance administrative de votre compte de développeur Okta.
  • Cliquez sur Applications dans la barre de navigation supérieure.
  • Cliquez sur Ajouter une application.
  • Recherchez HubSpot SAML, puis cliquez sur Ajouter.
  • Sur l'écran Paramètres généraux, cliquez sur Terminé.
  • Sur la page Détails de l'application, cliquez sur l'onglet Inscription.
  • Sous le message « SAML 2.0 n'est pas configuré tant que vous n'avez pas terminé les instructions de configuration », cliquez sur Afficher les instructions de configuration. Un nouvel onglet s'ouvre. Gardez-le ouvert, puis revenez à l'onglet initial dans Okta.
  • Sur le même onglet, faites défiler la page jusqu'aux Paramètres d'authentification avancés et ajoutez votre HubID dans le champ ID de portail. Découvrez comment accéder à votre HubID.
  • Accédez à vos paramètres d'utilisateur. Attribuez la nouvelle application à tous les utilisateurs de votre compte HubSpot, y compris vous-même.
  • Revenez à l'onglet Afficher les instructions de configuration. Copiez chaque URL ainsi que le certificat et collez-les dans HubSpot, dans le champ Identifiant du fournisseur d'identité ou URL de l'émetteur, le champ URL d'authentification unique du fournisseur d'identité et le champ Certificat X.509.
  • Cliquez sur Vérifier. Vous êtes alors invité à vous connecter avec votre compte Okta pour terminer la configuration et enregistrer les paramètres.

Une fois que la configuration SSO a été vérifiée, accédez à https://app.hubspot.com/login/sso et saisissez votre adresse e-mail. HubSpot recherche la configuration de l'authentification unique de votre portail et vous renvoie vers votre fournisseur d'identité pour la connexion. Le bouton Se connecter avec SSO est affiché lorsque vous utilisez un lien d'accès direct à votre compte.

OneLogin

Remarque : Vous avez besoin d'un accès administratif à l'instance OneLogin pour créer une nouvelle application SAML 2.0 dans OneLogin, selon les besoins.

  • Connectez-vous à OneLogin.

  • Accédez à Applications.

  • Recherchez HubSpot.

  • Cliquez sur l'application qui indique « SAML2.0 ».

  • Cliquez sur Enregistrer dans l'angle supérieur droit.

  • Cliquez sur l'onglet Configuration.

  • Dans le champ ID de compte HubSpot, ajoutez votre HubID. Découvrez comment accéder à votre HubID.

  • Cliquez sur l'onglet SSO.
  • Copiez les champs suivants depuis OneLogin et collez-les dans les champs correspondants du panneau de configuration SSO dans HubSpot :
    • Copiez la valeur dans URL de l'émetteur et collez-la dans Identifiant du fournisseur d'identité ou URL de l'émetteur.
    • Copiez la valeur dans SAML 2.0 Endpoint (HTTP) et collez-la dans URL d'authentification unique du fournisseur d'identité.
    • Sous Certificat X.509, cliquez sur Afficher les détails, puis copiez le certificat et collez-la dans Certificat X.509.

  • Dans l'angle supérieur droit de votre compte OneLogin, cliquez sur Enregistrer.

Une fois que la configuration SSO a été vérifiée, accédez à https://app.hubspot.com/login/sso et saisissez votre adresse e-mail. HubSpot recherche la configuration de l'authentification unique de votre portail et vous renvoie vers votre fournisseur d'identité pour la connexion. Le bouton Se connecter avec SSO est affiché lorsque vous utilisez un lien d'accès direct à votre compte.

Azure Active Directory

Les utilisateurs d'Azure Active Directory doivent installer l'application HubSpot dans le Marketplace Microsoft Azure et suivre les instructions de configuration. Cela permet d'utiliser Azure AD pour gérer l'accès utilisateur et activer l'authentification unique avec HubSpot.

Une fois que la configuration SSO a été vérifiée, accédez à https://app.hubspot.com/login/sso et saisissez votre adresse e-mail. HubSpot recherche la configuration de l'authentification unique de votre portail et vous renvoie vers votre fournisseur SSO pour la connexion. Le bouton Se connecter avec SSO est affiché lorsque vous utilisez un lien d'accès direct à votre compte.

Google

Consultez les instructions de Google sur la façon dont vous pouvez configurer l'authentification unique de HubSpot avec G-Suite en tant que fournisseur d'identité.

Une fois que la configuration SSO a été vérifiée, accédez à https://app.hubspot.com/login/sso et saisissez votre adresse e-mail. HubSpot recherche la configuration de l'authentification unique de votre portail et vous renvoie vers votre fournisseur SSO pour la connexion. Le bouton Se connecter avec SSO est affiché lorsque vous utilisez un lien d'accès direct à votre compte.

FAQ

Quels liens sont utilisés par HubSpot en tant que fournisseur de service SAML ?

HubSpot utilise HTTP Post.

J'utilise Active Directory Federation Services. Que dois-je utiliser comme Relying Party Trust (RPT) ?

Découvrez-en davantage sur la configuration de l'authentification unique avec ADFS.
 
Quel format de nom d'utilisateur doit-je définir dans mon application SAML ?

Les utilisateurs HubSpot sont identifiés par leur adresse e-mail. Vérifiez que votre fournisseur d'ID envoie un NameID dans le format d'e-mail qui correspond à l'adresse e-mail de l'utilisateur HubSpot.

Quel algorithme de signature est compatible avec HubSpot ?

HubSpot prend en charge les algorithmes de signature SHA-1 et SHA-256. Il est recommandé de signer vos demandes avec SHA-256.

Dans quel format dois-je fournir mon certificat x509 ?

HubSpot exige un certificat x509 au format PEM. Vous devez copier le contenu textuel du fichier PEM dans le champ du certificat x509 dans HubSpot. La valeur doit également inclure le -----CERTIFICAT DE DÉBUT----- et le -----CERTIFICAT DE FIN-----.

Puis-je activer une authentification à deux facteurs, une authentification à deux facteurs obligatoire, un SSO et un SSO obligatoire au même moment ? 

Oui. Lorsque vous disposez d'une authentification à deux facteurs, celle-ci est activée pour n'importe quelle connexion avec votre nom d'utilisateur et votre mot de passe HubSpot. Activer l'authentification à deux facteurs dans HubSpot n'empêche pas la connexion via l'authentification à deux facteurs ou la SSO de Google. Par conséquent, si les utilisateurs sont exclus de l'exigence SSO, vous pouvez exiger l'authentification à deux facteurs de HubSpot afin que toutes les connexions contournant la SSO passent par l'authentification à deux facteurs ou Google.

Si vous activez l'authentification à deux facteurs pour votre compte Google, vous le faites indépendamment de la configuration HubSpot. Toutefois, lorsque vous vous connectez à HubSpot avec votre compte Google, l'authentification à deux facteurs de Google protège votre compte HubSpot.

Si vous disposez d'une authentification à deux facteurs ou d'une SSO requise ou activée dans votre compte en même temps, les événements suivants se produiront :

  • Si vous devez vous connecter à votre compte via la SSO, vous ne pouvez vous connecter qu'avec la SSO.
  • Si votre compte nécessite une SSO mais que vous êtes exclu, vous pouvez vous connecter avec l'authentification à deux facteurs ou avec Google.
  • Si vous devez vous connecter avec une authentification à deux facteurs sans SSO configurée, vous pouvez vous connecter avec l'authentification à deux facteurs ou avec Google.
  • Si votre compte n'est soumis à aucune exigence mais que vous avez activé la SSO, vous pouvez vous connecter avec n'importe quelle méthode, y compris la SSO.
Voir l'article complet