Connecter Okta (SSO et SCIM)

Ce qu’il vous faut

• Le rôle Application Administrator ou supérieur dans l’Okta Admin Console (https://(votre-org)-admin.okta.com).
• Le SSO fonctionne avec Okta Single Sign-On. Le SCIM nécessite Lifecycle Management.
• L’administrateur de l’organisation Aiyori doit pouvoir ouvrir « Réglages » → « Connecter le fournisseur d’identité de l’entreprise » sur l’écran du formateur.

1. Créer l’application (OpenID Connect)

1. Admin Console → Applications → Applications → Create App Integration.
2. Pour Sign-in method, choisissez OIDC - OpenID Connect ; pour Application type, choisissez Web Application → Next.
3. Saisissez les valeurs du tableau ci-dessous, puis Save.
4. Dans l’onglet General, notez le Client ID et le Client secret. Affichez le secret avec l’icône en forme d’œil sur sa ligne, puis copiez-le.
5. Sous Client Credentials, choisissez Edit → cochez Require PKCE as additional verification → Save. Laissez Client authentication sur Client secret (par défaut). Aiyori envoie le PKCE.
6. Pour permettre la connexion depuis une vignette du tableau de bord Okta (facultatif), réglez Login initiated by sur Either Okta or App, et saisissez https://app.aiyori.app/api/web/sso/start?code=(code de l’organisation) comme Initiate login URI.

App integration name

Aiyori

Grant type

Authorization Code uniquement (par défaut)

Sign-in redirect URIs

https://app.aiyori.app/api/web/sso/callback

Sign-out redirect URIs

Peut rester vide

Assignments

Limit access to selected groups (attribution plus tard), ou Skip group assignment for now

2. Saisir les valeurs dans Aiyori (SSO)

Sur l’écran du formateur d’Aiyori, allez dans « Réglages » → « Connecter le fournisseur d’identité de l’entreprise » → « SSO », saisissez les valeurs et appuyez sur « Enregistrer ».

URL de l’émetteur (Issuer)

https://(votre-org).okta.com (le serveur d’autorisation de l’organisation Okta : l’URL de votre Admin Console sans -admin). Si votre entreprise utilise un domaine personnalisé, utilisez cette URL.

ID client et Secret client

Les valeurs notées dans la partie 1

Domaines d’adresse e-mail acceptés

Les domaines e-mail de votre entreprise (un par ligne)

Un serveur d’autorisation personnalisé se terminant par /oauth2/default fonctionne aussi (pour les entreprises disposant d’API Access Management). Pour choisir, ouvrez dans un navigateur l’URL de l’émetteur suivie de /.well-known/openid-configuration et saisissez exactement la valeur issuer qui y figure.

Attribuez une personne de test dans l’onglet Assignments. Si elle peut aller de l’écran de connexion d’Aiyori → « Se connecter avec un compte professionnel » → code de l’organisation → connexion Okta → retour sur Aiyori, la connexion fonctionne. Les administrateurs peuvent aussi tester avec « Essayer avec mon compte professionnel » dans « Essayer de vous connecter vous-même ».

3. SCIM (Provisioning)

1. Dans Aiyori, allez dans « Connecter le fournisseur d’identité de l’entreprise » → « SCIM », saisissez Okta dans « Nom de la clé » et appuyez sur « Créer une clé » → notez la clé qui s’affiche (elle n’est visible que sur cet écran).
2. Dans Okta, ouvrez l’application Aiyori → onglet General → Edit sous App Settings → réglez Provisioning sur SCIM → Save. Si cette option n’apparaît pas, procédez comme dans la partie 4 ci-dessous, avec une application distincte réservée au SCIM.
3. Onglet Provisioning → Integration → Edit : saisissez les valeurs du tableau ci-dessous, puis lancez Test Connector Configuration. Quand Create Users, Update User Attributes et Push Groups sont cochés, Save.
4. Onglet Provisioning → To App → Edit → Enable pour Create Users, Update User Attributes et Deactivate Users → Save. Laissez Sync Password désactivé, et désactivez l’option qui définit un mot de passe à la création des nouveaux utilisateurs (Aiyori ne stocke pas de mots de passe).
5. Les correspondances d’attributs (Aiyori User Profile Mappings) peuvent rester par défaut. Vérifiez que userName est l’adresse e-mail professionnelle (par défaut, c’est le nom d’utilisateur Okta, qui est en général l’adresse e-mail).
6. Dans l’onglet Assignments, attribuez les groupes qui doivent utiliser Aiyori. Les personnes attribuées deviennent des apprenants Aiyori.
7. Onglet Push Groups → + Push Groups → choisissez des groupes, comme les services → Save. Ils deviennent des groupes Aiyori.

SCIM connector base URL

https://app.aiyori.app/api/scim/v2

Unique identifier field for users

userName

Supported provisioning actions

Cochez Push New Users, Push Profile Updates et Push Groups (Import New Users and Profile Updates n’est pas nécessaire)

Authentication Mode

HTTP Header. Mettez la clé de l’étape 1 dans Authorization (Bearer)

4. SCIM par une application distincte (si l’option de la partie 3 n’apparaît pas)

Il arrive que l’onglet General d’une application OpenID Connect n’ait pas d’option Provisioning. Dans ce cas, connectez uniquement le SCIM, avec une application du catalogue Okta.

1. Applications → Applications → Browse App Catalog → recherchez SCIM 2.0 Test App → SCIM 2.0 Test App (Header Auth) → Add Integration.
2. General settings : réglez Application label sur Aiyori SCIM, cochez Do not display application icon to users (les apprenants ne voient pas de vignette), décochez Browser plugin auto-submit, puis Next.
3. Les Sign-on options peuvent rester par défaut (la connexion passe par l’application de la partie 1, elles ne servent donc pas). Réglez Application username format sur Email, puis Done.
4. Onglet Provisioning → Configure API Integration → cochez Enable API integration → saisissez https://app.aiyori.app/api/scim/v2 comme Base URL et collez telle quelle la clé de la partie 3, étape 1, comme API Token → Test API Credentials → Save.
5. La suite est identique à la partie 3, étapes 4 à 7 (To App, correspondances d’attributs, attributions, Push Groups).
6. Attribuez les mêmes groupes à l’application SSO (Aiyori) et à l’application SCIM (Aiyori SCIM).

Cette application envoie la valeur de l’API Token telle quelle, sans Bearer devant. Aiyori accepte les deux formes.

5. À vérifier le jour de la connexion

• Une personne attribuée peut entrer avec un compte professionnel. Les personnes non attribuées sont arrêtées sur l’écran d’Okta.
• Les personnes attribuées apparaissent comme apprenants Aiyori et font partie des groupes envoyés avec Push Groups.
• Quand vous retirez l’attribution de cette personne (ou la désactivez avec Deactivate dans Okta), elle apparaît comme « Désactivé par l’entreprise » dans Aiyori et ne peut plus se connecter. Quand vous la rétablissez, elle peut de nouveau entrer.

Fonctionnement d’Okta avec Aiyori

• Les opérations SCIM utilisées sont la création d’utilisateurs, la mise à jour des attributs, la désactivation (Deactivate) et l’envoi des groupes (Push Groups). La synchronisation des mots de passe et l’import d’Aiyori vers Okta (Import) ne sont pas utilisés.
• Quand vous retirez l’attribution de quelqu’un, Okta envoie active: false (pas de DELETE). Dans Aiyori, les deux suspendent l’apprenant et conservent son historique de formation.
• Les personnes qui se connectent par SSO sont liées à l’apprenant créé par le SCIM grâce à leur adresse e-mail professionnelle.
• Les clés SCIM n’expirent pas. Pour en remplacer une, créez une nouvelle clé dans Aiyori, saisissez-la dans les réglages Integration d’Okta, puis révoquez l’ancienne clé avec « Révoquer ».