Connecter Google Workspace (SSO)

Ce qui fonctionne et ce qui ne fonctionne pas

SSO (OpenID Connect)

Oui. Les personnes se connectent avec le compte Google de leur entreprise.

SCIM

Non. Google Workspace n’envoie des personnes par SCIM qu’aux applications du catalogue Google.

À la place du SCIM

• Activez « Inscrire comme apprenant toute personne non encore inscrite qui se connecte » dans Aiyori. Les personnes du domaine de votre entreprise deviennent apprenants à leur première connexion.
• Pour répartir les personnes en groupes, comme les services, ou pour les inscrire à l’avance, exportez la liste depuis la Google Admin console et ajoutez-la avec « Inscription groupée » (CSV) dans Aiyori (partie 4 ci-dessous).
• Quand quelqu’un part, la suspension de son compte Google l’empêche de se connecter. Son compte d’apprenant reste dans Aiyori : un formateur le suspend ou le désactive sur la page de l’apprenant, par exemple lors de l’import mensuel de la liste.
• Si l’automatisation est indispensable, placez Okta ou Microsoft Entra ID devant Google et utilisez le SCIM par leur intermédiaire.

Ce qu’il vous faut

• Une personne pouvant créer un projet dans l’organisation de votre entreprise, dans la Google Cloud console (https://console.cloud.google.com).
• Aucun super administrateur de la Google Workspace Admin console n’est nécessaire (Aiyori ne demande que openid email profile et n’utilise aucun champ d’application sensible).
• C’est gratuit (les clients OAuth sont gratuits).

1. Projet et écran de consentement

1. Google Cloud console → sélecteur de projet en haut → New Project → nommez-le aiyori-sso, choisissez l’organisation de votre entreprise sous Organization, puis Create.
2. Google Auth Platform (accessible depuis APIs & Services → OAuth consent screen dans le menu) → Get started. Saisissez Aiyori comme App name et l’adresse de votre équipe informatique comme User support email et Contact information, réglez Audience sur Internal, acceptez, puis Create.
3. N’ajoutez rien sous Data Access (openid, email et profile sont disponibles d’emblée).

Avec Audience réglé sur Internal, la connexion est réservée aux personnes du Google Workspace de votre entreprise. Les comptes Google extérieurs à votre entreprise sont arrêtés sur l’écran de Google.

2. Client OAuth

1. Google Auth Platform → Clients → + Create client.
2. Réglez Application type sur Web application, et le nom sur Aiyori.
3. Authorized redirect URIs → + Add URI → https://app.aiyori.app/api/web/sso/callback. Authorized JavaScript origins peut rester vide.
4. Create → notez le Client ID et le Client secret. Il se peut que le secret ne soit plus consultable ensuite. Si vous avez oublié de le noter, ajoutez un nouveau secret sur la page du client et remplacez l’ancien.

3. Saisir les valeurs dans Aiyori

Sur l’écran du formateur d’Aiyori, allez dans « Réglages » → « Connecter le fournisseur d’identité de l’entreprise » → « SSO », saisissez les valeurs et appuyez sur « Enregistrer ».

URL de l’émetteur (Issuer)

https://accounts.google.com

ID client

La valeur notée dans la partie 2 (….apps.googleusercontent.com)

Secret client

La valeur notée dans la partie 2

Domaines d’adresse e-mail acceptés

Obligatoire (l’enregistrement est impossible sans). Le domaine principal Google Workspace de votre entreprise (par ex. example.com), ainsi que les autres domaines utilisés pour les adresses e-mail des salariés (domaines secondaires), un par ligne.

Inscription automatique

Activez « Inscrire comme apprenant toute personne non encore inscrite qui se connecte » (il n’y a pas de SCIM).

Après l’enregistrement, connectez-vous avec un compte professionnel pour vérifier (écran de connexion → « Se connecter avec un compte professionnel » → code de l’organisation → choix du compte Google → retour sur Aiyori). Les administrateurs peuvent aussi tester avec « Essayer avec mon compte professionnel » dans « Essayer de vous connecter vous-même ».

L’émetteur https://accounts.google.com est le même pour tous les comptes Google. Qui peut entrer se règle à deux endroits : Internal sur l’écran de consentement, et les domaines acceptés dans Aiyori. Configurez toujours les deux.

4. Liste et groupes

1. Google Admin console → Directory → Users → Download users (CSV).
2. Ouvrez le fichier dans un tableur, gardez trois colonnes, Nom (prénom et nom dans une même colonne), Adresse e-mail et Service (par exemple l’Org Unit Path, renommé de façon lisible), et remplacez les en-têtes par ces noms. Les en-têtes de Google (comme Email Address [Required]) ne peuvent pas être lus tels quels.
3. Sur la page des apprenants d’Aiyori → collez dans « Inscription groupée » ou choisissez le CSV → « Vérifier » → inscrivez. La colonne Service devient des groupes (jusqu’à 1 000 personnes à la fois).
4. Recommencez à chaque arrivée ou mutation (ou chaque mois). Une même personne est seulement mise à jour, jamais dupliquée (reconnue par son matricule, puis par son adresse e-mail).

5. À vérifier le jour de la connexion

• On peut entrer avec un compte professionnel. Les personnes qui se connectent pour la première fois sont inscrites comme apprenants.
• Les comptes Google extérieurs à votre entreprise (gmail.com personnels) sont arrêtés sur l’écran de Google (car l’écran de consentement est sur Internal). Même s’ils passent, Aiyori ne les laisse pas entrer (car il n’y a pas de hd).
• Les personnes dont le compte Google est suspendu ne peuvent pas entrer avec un compte professionnel.

Fonctionnement de Google Workspace avec Aiyori

Après une connexion Google, Aiyori vérifie les points suivants.

• L’émetteur du jeton d’ID (iss) est https://accounts.google.com ou accounts.google.com (Google utilise les deux).
• hd (le domaine principal Google Workspace de la personne) fait partie des domaines acceptés. Les comptes Google personnels (gmail.com, etc., qui n’ont pas de hd) et les personnes du Workspace d’autres entreprises ne peuvent pas entrer (ce contrôle les arrête même si l’écran de consentement a été réglé par erreur sur External).
• Le domaine de l’adresse e-mail (email) fait aussi partie des domaines acceptés. Les personnes dont email_verified vaut false ne peuvent pas entrer.
• Les personnes qui se connectent pour la première fois sont inscrites comme apprenants si l’inscription automatique est activée (l’identifiant est la partie de l’adresse e-mail avant le @, et le nom est leur nom d’affichage Google). Les fois suivantes, elles sont reconnues par leur sub Google.