Connecter votre fournisseur d’identité (SSO et SCIM)

Guides par fournisseur d’identité

• Okta : SSO (OpenID Connect) et SCIM.
• Microsoft Entra ID : SSO (OpenID Connect) et SCIM. Le SCIM nécessite Entra ID P1 ou supérieur.
• Google Workspace : SSO (OpenID Connect). Le SCIM n’est pas disponible : on utilise à la place l’inscription automatique et l’inscription groupée à partir d’un tableau.

Les autres fournisseurs d’identité compatibles OpenID Connect peuvent aussi être connectés avec les valeurs de cette page.

À décider d’abord

1. Qui peut entrer. Ne peuvent se connecter que les personnes et les groupes attribués à l’application Aiyori dans votre fournisseur d’identité (pas tout le monde). Avec le SCIM, les groupes attribués, comme les services ou les années d’embauche, deviennent tels quels des groupes Aiyori.
2. Le mode de connexion. Uniquement avec le compte professionnel, ou aussi avec un code PIN. Pour les grandes entreprises, nous recommandons le compte professionnel uniquement (les personnes parties ne peuvent plus entrer avec un code PIN).
3. Comment inscrire les apprenants. Automatiquement par SCIM (Okta, Microsoft Entra ID), en inscrivant automatiquement chaque personne à sa première connexion avec un compte professionnel, ou par inscription groupée à partir d’un tableau (CSV), chaque mois. Google Workspace n’a pas de SCIM : ce sont donc les deux dernières options.

Valeurs Aiyori pour votre fournisseur d’identité

L’URI de redirection et l’URL de base SCIM s’affichent aussi sur l’écran du formateur, dans « Réglages » → « Connecter le fournisseur d’identité de l’entreprise », avec des boutons pour les copier. Ces réglages ne peuvent être modifiés que par l’administrateur de l’organisation (la personne qui l’a créée).

URI de redirection

https://app.aiyori.app/api/web/sso/callback
Enregistrez-la dans l’application Aiyori de votre fournisseur d’identité. La connexion échoue si un caractère diffère.

URL de base SCIM

https://app.aiyori.app/api/scim/v2
Saisissez-la comme SCIM connector base URL dans Okta, ou comme Tenant URL dans Entra ID.

Clé SCIM

Créez-la avec « Créer une clé » dans « Connecter le fournisseur d’identité de l’entreprise ». Elle ne s’affiche qu’une fois, à sa création (jusqu’à 5 clés par organisation). Saisissez-la comme Bearer token dans Okta, ou comme Secret Token dans Entra ID.

Point d’entrée de connexion (pour une vignette du portail de l’entreprise)

https://app.aiyori.app/api/web/sso/start?code=(code de l’organisation)
Saisissez-la comme Initiate login URI dans Okta, ou comme Home page URL dans Entra ID. Une vignette du portail de votre entreprise mène alors directement à la connexion de l’entreprise, sans saisir le code de l’organisation.

Valeurs à saisir dans Aiyori

Saisissez-les dans « SSO » de « Connecter le fournisseur d’identité de l’entreprise », puis appuyez sur « Enregistrer ».

URL de l’émetteur (Issuer)

Elle dépend du fournisseur d’identité : https://(votre-org).okta.com pour Okta, https://login.microsoftonline.com/(ID du locataire)/v2.0 pour Microsoft Entra ID et https://accounts.google.com pour Google Workspace.

ID client

L’ID de l’application dans votre fournisseur d’identité.

Secret client

Le secret de l’application dans votre fournisseur d’identité. Il est stocké chiffré et n’est plus affiché à l’écran après l’enregistrement.

Domaines d’adresse e-mail acceptés

Les domaines e-mail de votre entreprise (par ex. example.com), un par ligne. Renseignez-les toujours. Sans eux, toute personne acceptée par votre fournisseur d’identité peut entrer (avec Google Workspace, l’enregistrement est impossible sans eux).

Inscription automatique

Si vous n’utilisez pas le SCIM (par exemple avec Google Workspace), activez « Inscrire comme apprenant toute personne non encore inscrite qui se connecte ». Ne sont inscrites que les personnes dont le domaine correspond.

Désactiver la connexion par code PIN et n’autoriser que les comptes professionnels

Activez cette option une fois qu’une personne a vérifié qu’elle peut entrer avec un compte professionnel.

À l’enregistrement, Aiyori lit la configuration de l’émetteur (l’URL de l’émetteur suivie de /.well-known/openid-configuration). Si elle ne peut pas être lue, l’enregistrement est impossible. L’émetteur doit être une URL publique commençant par https (les noms internes et les adresses IP ne sont pas acceptés).

Après l’enregistrement, utilisez « Essayer avec mon compte professionnel » dans « Essayer de vous connecter vous-même » pour vérifier que vous pouvez vous connecter avec le compte professionnel de l’administrateur et revenir sur Aiyori (vous n’êtes pas inscrit comme apprenant).

Connexion des apprenants

• Sur l’écran de connexion du lien de formation, ils choisissent « Se connecter avec un compte professionnel » et saisissent le code de l’organisation → écran de connexion de votre entreprise → retour sur Aiyori.
• Pour placer une vignette dans le portail de votre entreprise (Microsoft My Apps, tableau de bord Okta), utilisez l’URL du point d’entrée de connexion ci-dessus. On entre sans saisir le code de l’organisation.
• Les personnes sont reconnues dans cet ordre : quelqu’un déjà lié par un compte professionnel → un apprenant ayant la même adresse e-mail professionnelle (pour Entra ID, aussi un apprenant dont le userName SCIM est identique à l’UPN). Si aucun des deux n’existe, la personne n’est inscrite que si l’inscription automatique est activée et que son domaine correspond.
• Si une personne ne peut pas entrer, la raison s’affiche à l’écran (domaine non accepté, pas encore inscrite, désactivée par les réglages de l’entreprise, ou utilisation terminée).

Ce que fait le SCIM

Les attributs de service (department) et de matricule (employeeNumber) ne sont pas utilisés par le SCIM (utilisez les groupes). Pour reconnaître les personnes par leur matricule, utilisez l’inscription groupée à partir d’un tableau (CSV).

C’est un formateur, sur la page de l’apprenant, qui décide de désactiver un apprenant (son historique est supprimé 30 jours plus tard), et non votre fournisseur d’identité.

Si une clé a fuité, révoquez-la avec « Révoquer » sur l’écran d’Aiyori, puis créez une nouvelle clé et saisissez-la de nouveau dans votre fournisseur d’identité. Cela n’arrête que la synchronisation : les apprenants peuvent toujours se connecter.

En cas de problème