https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to Logto docs Blog 2026-04-08T17:08:49.020Z https://github.com/jpmonette/feed Logto docs Blog https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/img/favicon.ico <![CDATA[How to build Google Workspace enterprise SSO with .NET Core (Blazor WebAssembly)]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-google-workspace-enterprise-sso-sign-in-with-dotnet-core-blazor-webassembly-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Google Workspace enterprise SSO (authentification utilisateur) avec .NET Core (Blazor WebAssembly) et Logto.

Prérequis

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework ".NET Core (Blazor WebAssembly)" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate .NET Core (Blazor WebAssembly) SDK​

astuce:

Installation​

Ajoutez le package NuGet à votre projet :

dotnet add package Blorc.OpenIdConnect

Ajouter des références de script​

Inclure Blorc.Core/injector.js dans le fichier index.html :

index.html
<head>
  <!-- ... -->
  <script src="_content/Blorc.Core/injector.js"></script>
  <!-- ... -->
</head>

Enregistrer les services​

Ajoutez le code suivant au fichier Program.cs :

Program.cs
using Blorc.OpenIdConnect;
using Blorc.Services;

builder.Services.AddBlorcCore();
builder.Services.AddAuthorizationCore();
builder.Services.AddBlorcOpenIdConnect(
    options =>
    {
        builder.Configuration.Bind("IdentityServer", options);
    });

var webAssemblyHost = builder.Build();

await webAssemblyHost
    .ConfigureDocumentAsync(async documentService =>
    {
        await documentService.InjectBlorcCoreJsAsync();
        await documentService.InjectOpenIdConnectAsync();
    });

await webAssemblyHost.RunAsync();
info:

Il n'est pas nécessaire d'utiliser le package Microsoft.AspNetCore.Components.WebAssembly.Authentication. Le package Blorc.OpenIdConnect prendra en charge le processus d'authentification (Authentication).

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Configurer l'application​

Ajoutez le code suivant au fichier appsettings.json :

appsettings.json
{
// ...
IdentityServer: {
  Authority: 'https://<your-logto-endpoint>/oidc',
  ClientId: '<your-logto-app-id>',
  PostLogoutRedirectUri: 'http://localhost:3000/',
  RedirectUri: 'http://localhost:3000/callback',
  ResponseType: 'code',
  Scope: 'openid profile', // Ajoutez plus de portées (Portées) si nécessaire
},
}

N'oubliez pas d'ajouter le RedirectUri et le PostLogoutRedirectUri à la liste des URIs de redirection autorisées dans les paramètres de l'application Logto. Ce sont tous deux l'URL de votre application WASM.

Ajouter le composant AuthorizeView​

Dans les pages Razor qui nécessitent une authentification (Authentication), ajoutez le composant AuthorizeView. Supposons que ce soit la page Home.razor :

Pages/Home.razor
@using Microsoft.AspNetCore.Components.Authorization
@page "/"

<AuthorizeView>
    <Authorized>
        @* Vue connectée *@
        <button @onclick="OnLogoutButtonClickAsync">
            Se déconnecter
        </button>
    </Authorized>
    <NotAuthorized>
        @* Vue non authentifiée *@
        <button @onclick="OnLoginButtonClickAsync">
            Se connecter
        </button>
    </NotAuthorized>
</AuthorizeView>

Configurer l'authentification (Authentication)​

Dans le fichier Home.razor.cs (créez-le s'il n'existe pas), ajoutez le code suivant :

Pages/Home.razor.cs
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Components;
using Microsoft.AspNetCore.Components.Web;
using Blorc.OpenIdConnect;
using Microsoft.AspNetCore.Components.Authorization;

[Authorize]
public partial class Home : ComponentBase
{
    [Inject]
    public required IUserManager UserManager { get; set; }

    public User<Profile>? User { get; set; }

    [CascadingParameter]
    protected Task<AuthenticationState>? AuthenticationStateTask { get; set; }

    protected override async Task OnInitializedAsync()
    {
        User = await UserManager.GetUserAsync<User<Profile>>(AuthenticationStateTask!);
    }

    private async Task OnLoginButtonClickAsync(MouseEventArgs obj)
    {
        await UserManager.SignInRedirectAsync();
    }

    private async Task OnLogoutButtonClickAsync(MouseEventArgs obj)
    {
        await UserManager.SignOutRedirectAsync();
    }
}

Une fois que l'utilisateur est authentifié, la propriété User sera remplie avec les informations de l'utilisateur.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Google Workspace enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec .NET Core (Blazor WebAssembly) en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Google Cloud Platform​

Étape 1 : Créer un nouveau projet sur Google Cloud Platform​

Avant de pouvoir utiliser Google Workspace comme fournisseur d'authentification, vous devez configurer un projet dans la Google API Console pour obtenir des identifiants OAuth 2.0. Si vous avez déjà un projet, vous pouvez passer cette étape. Sinon, créez un nouveau projet sous votre organisation Google.

Pour créer de nouvelles informations d'identification OIDC, vous devez configurer l'écran de consentement pour votre application.

  1. Accédez à la page de l'écran de consentement OAuth et sélectionnez le type d'utilisateur Interne. Cela rendra l'application OAuth disponible uniquement pour les utilisateurs au sein de votre organisation.
Type d'utilisateur de l'écran de consentement Google Workspace
  1. Remplissez les paramètres de l'Écran de consentement en suivant les instructions sur la page. Vous devez fournir les informations minimales suivantes :
  • Nom de l'application : Le nom de votre application. Il sera affiché sur l'écran de consentement.
  • Email de support : L'email de support de votre application. Il sera affiché sur l'écran de consentement.
Paramètres de l'écran de consentement Google Workspace
  1. Définissez les Portées pour votre application. Afin de récupérer correctement les informations d'identité et l'adresse e-mail de l'utilisateur depuis le fournisseur d’identité (IdP), les connecteurs SSO de Logto doivent accorder les portées suivantes depuis le IdP :
Portées de l'écran de consentement Google Workspace
  • openid : Cette portée est requise pour l'authentification OIDC. Elle est utilisée pour récupérer le jeton d’identifiant et accéder au point de terminaison userInfo du IdP.
  • profile : Cette portée est requise pour accéder aux informations de profil de base de l'utilisateur.
  • email : Cette portée est requise pour accéder à l'adresse e-mail de l'utilisateur.

Cliquez sur le bouton Enregistrer pour sauvegarder les paramètres de l'écran de consentement.

Étape 3 : Créer de nouvelles informations d’identification OAuth​

Accédez à la page Credentials et cliquez sur le bouton Create Credentials. Sélectionnez l'option OAuth client ID dans le menu déroulant pour créer une nouvelle référence OAuth pour votre application.

Google Workspace create credentials

Continuez à configurer la référence OAuth en remplissant les informations suivantes :

Google Workspace credentials config
  1. Sélectionnez Web application comme type d'application.
  2. Remplissez le Name de votre application cliente, par exemple Logto SSO Connector. Cela vous aidera à identifier les références à l'avenir.
  3. Remplissez les Authorized redirect URIs avec l'URI de rappel Logto. C'est l'URI vers lequel Google redirigera le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès du fournisseur d’identité (IdP), l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.
  4. Remplissez les Authorized JavaScript origins avec l'origine de l'URI de rappel Logto. Cela garantit que seule votre application Logto peut envoyer des requêtes au serveur OAuth de Google.
  5. Cliquez sur le bouton Create pour créer la référence OAuth.

Étape 4 : Configurer le connecteur Logto avec les identifiants client​

Après avoir créé avec succès l'identifiant OAuth, vous recevrez une fenêtre modale avec l'ID client et le secret client.

Google Workspace create credentials

Copiez l'ID client et le secret client et remplissez les champs correspondants dans l'onglet Connection du connecteur SSO de Logto.

Vous avez maintenant configuré avec succès un connecteur SSO Google Workspace sur Logto.

Étape 5 : Portées supplémentaires (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder dans leurs comptes Google Workspace. La demande de permissions Google nécessite une configuration des deux côtés :

Dans la Google Cloud Console :

  1. Accédez à APIs & Services > Écran de consentement OAuth > Portées (Scopes).
  2. Cliquez sur Ajouter ou supprimer des portées et sélectionnez uniquement les portées dont votre application a besoin :
    • Authentification (obligatoire) :
      • https://www.googleapis.com/auth/userinfo.email
      • https://www.googleapis.com/auth/userinfo.profile
      • openid
    • Accès à l’API (optionnel) : Ajoutez toutes les portées supplémentaires nécessaires pour votre application (par exemple, Drive, Calendar, YouTube). Parcourez la bibliothèque d’API Google pour trouver les services disponibles. Si votre application a besoin d’accéder à des API Google au-delà des permissions de base, activez d’abord les API spécifiques que votre application utilisera (par exemple, Google Drive API, Gmail API, Calendar API) dans la bibliothèque d’API Google.
  3. Cliquez sur Mettre à jour pour confirmer la sélection.
  4. Cliquez sur Enregistrer et continuer pour appliquer les modifications.

Dans le connecteur Logto Google Workspace :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base sur l'utilisateur.
  2. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Google. Utilisez les URLs complètes des portées, par exemple : https://www.googleapis.com/auth/calendar.readonly
astuce:

Si votre application demande ces portées pour accéder à l’API Google et effectuer des actions, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Google. Voir la section suivante pour plus de détails.

Étape 6 : Stocker les jetons pour accéder aux API Google (Optionnel)​

Si vous souhaitez accéder aux API Google et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration de l'écran de consentement OAuth de votre Google Cloud Console et dans le connecteur Google de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Google de Logto. Logto stockera de manière sécurisée les jetons d’accès Google et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, configurez votre connecteur Google Logto pour activer l’accès hors ligne.
attention:

Vous n'avez pas besoin d’ajouter offline_access dans le champ Scope de Logto — le faire peut entraîner une erreur. Google utilise automatiquement access_type=offline lorsque l’accès hors ligne est activé.

Étape 7 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Pour plus d’informations sur le connecteur Google Workspace SSO, veuillez consulter Google OpenID Connector.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Google Workspace enterprise SSO devrait être disponible maintenant.

Enable Google Workspace enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application .NET Core (Blazor WebAssembly). Vous devriez maintenant pouvoir vous connecter avec Google Workspace enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build SAML enterprise SSO with Flutter]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-saml-enterprise-sso-sign-in-with-flutter-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion SAML enterprise SSO (authentification utilisateur) avec Flutter et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Flutter.
  • Un compte SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Native app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Native app" ou filtrez tous les frameworks "Native app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Flutter" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Flutter SDK​

astuce:
  • Le package SDK est disponible sur pub.dev et le répertoire GitHub de Logto.
  • Le projet d'exemple est construit en utilisant Flutter material. Vous pouvez le trouver sur pub.dev.
  • Ce SDK est compatible avec les applications Flutter sur les plateformes iOS, Android et Web. La compatibilité avec d'autres plateformes n'a pas été testée.

Installation​

Vous pouvez installer le logto_dart_sdk package directement en utilisant le gestionnaire de paquets pub. Exécutez la commande suivante à la racine de votre projet :

flutter pub add logto_dart_sdk

Ou ajoutez ce qui suit à votre fichier pubspec.yaml :

dependencies:
  logto_dart_sdk: ^3.0.0

Puis exécutez :

flutter pub get

Dépendance et configurations​

Compatibilité des versions SDK​

Version Logto SDKVersion Dart SDKCompatible avec Dart 3.0
< 2.0.0>= 2.17.6 < 3.0.0false
>= 2.0.0 < 3.0.0>= 3.0.0true
>= 3.0.0>= 3.6.0true

Configuration de flutter_secure_storage​

Sous le capot, ce SDK utilise flutter_secure_storage pour implémenter le stockage sécurisé persistant de jetons multiplateforme.

  • Keychain est utilisé pour iOS
  • Le chiffrement AES est utilisé pour Android.

Configurer la version Android​

Définissez android:minSdkVersion à >= 18 dans le fichier android/app/build.gradle de votre projet.

build.gradle
  android {
      ...

      defaultConfig {
          ...
          minSdkVersion 18
          ...
      }
  }

Désactiver la sauvegarde automatique sur Android​

Par défaut, Android sauvegarde les données sur Google Drive. Cela peut provoquer l'exception java.security.InvalidKeyException:Failed à déballer la clé. Pour éviter cela,

  1. Pour désactiver la sauvegarde automatique, allez dans le fichier manifeste de votre application et définissez les attributs android:allowBackup et android:fullBackupContent à false.

    AndroidManifest.xml
    <manifest ... >
        ...
        <application
          android:allowBackup="false"
          android:fullBackupContent="false"
          ...
        >
            ...
        </application>
    </manifest>

  2. Exclure sharedprefs de FlutterSecureStorage.

    Si vous devez conserver android:fullBackupContent pour votre application plutôt que de le désactiver, vous pouvez exclure le répertoire sharedprefs de la sauvegarde. Voir plus de détails dans la documentation Android.

    Dans votre fichier AndroidManifest.xml, ajoutez l'attribut android:fullBackupContent à l'élément <application>, comme montré dans l'exemple suivant. Cet attribut pointe vers un fichier XML qui contient les règles de sauvegarde.

    AndroidManifest.xml
    <application ...
      android:fullBackupContent="@xml/backup_rules">
    </application>

    Créez un fichier XML appelé @xml/backup_rules dans le répertoire res/xml/. Dans ce fichier, ajoutez des règles avec les éléments <include> et <exclude>. L'exemple suivant sauvegarde toutes les préférences partagées sauf device.xml :

    @xml/backup_rules
    <?xml version="1.0" encoding="utf-8"?>
    <full-backup-content>
      <exclude domain="sharedpref" path="FlutterSecureStorage"/>
    </full-backup-content>

Veuillez consulter flutter_secure_storage pour plus de détails.

Configuration de flutter_web_auth_2​

En coulisses, ce SDK utilise flutter_web_auth_2 pour authentifier les utilisateurs avec Logto. Ce package fournit un moyen simple d'authentifier les utilisateurs avec Logto en utilisant le webview système ou le navigateur.

Ce plugin utilise ASWebAuthenticationSession sur iOS 12+ et macOS 10.15+, SFAuthenticationSession sur iOS 11, Chrome Custom Tabs sur Android et ouvre une nouvelle fenêtre sur le Web.

  • iOS : Aucune configuration supplémentaire requise

  • Android : Enregistrer l'URL de rappel sur Android

    Afin de capturer l'URL de rappel depuis la page de connexion de Logto, vous devrez enregistrer votre redirectUri de connexion dans votre fichier AndroidManifest.xml.

    AndroidManifest.xml
      <manifest>
        <application>
            <activity
              android:name="com.linusu.flutter_web_auth_2.CallbackActivity"
              android:exported="true">
              <intent-filter android:label="flutter_web_auth_2">
              <action android:name="android.intent.action.VIEW" />
              <category android:name="android.intent.category.DEFAULT" />
              <category android:name="android.intent.category.BROWSABLE" />
              <data android:scheme="YOUR_CALLBACK_URL_SCHEME_HERE" />
              </intent-filter>
            </activity>
        </application>
      </manifest>

  • Navigateur Web : Créer un point de terminaison pour gérer l'URL de rappel

    Si vous utilisez la plateforme web, vous devez créer un point de terminaison pour gérer l'URL de rappel et la renvoyer à l'application en utilisant l'API postMessage.

    callback.html
    <!doctype html>
    <title>Authentification terminée</title>
    <p>
      L'authentification est terminée. Si cela ne se produit pas automatiquement, veuillez fermer la
      fenêtre.
    </p>
    <script>
      function postAuthenticationMessage() {
        const message = {
          'flutter-web-auth-2': window.location.href,
        };

        if (window.opener) {
          window.opener.postMessage(message, window.location.origin);
          window.close();
        } else if (window.parent && window.parent !== window) {
          window.parent.postMessage(message, window.location.origin);
        } else {
          localStorage.setItem('flutter-web-auth-2', window.location.href);
          window.close();
        }
      }

      postAuthenticationMessage();
    </script>

Veuillez consulter le guide de configuration dans le package flutter_web_auth_2 pour plus de détails.

Intégration​

Initialiser LogtoClient​

Importez le package logto_dart_sdk et initialisez l'instance LogtoClient à la racine de votre application.

lib/main.dart
import 'package:logto_dart_sdk/logto_dart_sdk.dart';
import 'package:http/http.dart' as http;

void main() async {
  WidgetsFlutterBinding.ensureInitialized();
  runApp(const MyApp());
}

class MyApp extends StatelessWidget {
  const MyApp({Key? key}) : super(key: key);

  @override
  Widget build(BuildContext context) {
    return const MaterialApp(
      title: 'Flutter Demo',
      home: MyHomePage(title: 'Logto Demo Home Page'),
    );
  }
}

class MyHomePage extends StatefulWidget {
  const MyHomePage({Key? key, required this.title}) : super(key: key);
  final String title;

  @override
  State<MyHomePage> createState() => _MyHomePageState();
}

class _MyHomePageState extends State<MyHomePage> {
  late LogtoClient logtoClient;

  void render() {
    // changement d'état
  }

  // LogtoConfig
  final logtoConfig = const LogtoConfig(
    endpoint: "<your-logto-endpoint>",
    appId: "<your-app-id>"
  );

  void _init() {
    logtoClient = LogtoClient(
      config: logtoConfig,
      httpClient: http.Client(), // Client http optionnel
    );
    render();
  }

  @override
  void initState() {
    super.initState();
    _init();
  }

  // ...
}

Implémenter la connexion​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

Avant de commencer, vous devez ajouter un URI de redirection dans la console d'administration pour votre application.

Passons à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection io.logto://callback et cliquez sur "Enregistrer les modifications".

URI de redirection dans Logto Console
  • Pour iOS, le schéma d'URI de redirection n'a pas vraiment d'importance puisque la classe ASWebAuthenticationSession écoutera l'URI de redirection, qu'il soit enregistré ou non.
  • Pour Android, le schéma d'URI de redirection doit être enregistré dans le fichier AndroidManifest.xml.

Une fois l'URI de redirection configuré, nous ajoutons un bouton de connexion à votre page, qui appellera l'API logtoClient.signIn pour invoquer le flux de connexion Logto :

lib/main.dart
class _MyHomePageState extends State<MyHomePage> {
  // ...
  final redirectUri = 'io.logto://callback';

  @override
  Widget build(BuildContext context) {
    // ...

    Widget signInButton = TextButton(
      onPressed: () async {
        await logtoClient.signIn(redirectUri);
        render();
      },
      child: const Text('Sign In'),
    );

    return Scaffold(
      appBar: AppBar(
        title: Text(widget.title),
      ),
      body: Center(
        child: Column(
          mainAxisAlignment: MainAxisAlignment.center,
          children: <Widget>[
            SelectableText('My Demo App'),
            signInButton,
          ],
        ),
      ),
    );
  }
}

Implémenter la déconnexion​

Passons à la page des détails de l'application de Logto Console. Ajoutez un URI de redirection après déconnexion io.logto://callback et cliquez sur "Enregistrer les modifications".

URI de redirection après déconnexion dans Logto Console

L'URI de redirection après déconnexion est un concept d' OAuth 2.0 qui implique l'emplacement où rediriger après la déconnexion.

Ajoutons maintenant un bouton de déconnexion sur la page principale pour que les utilisateurs puissent se déconnecter de votre application.

lib/main.dart
class _MyHomePageState extends State<MyHomePage> {
  // ...

  final postSignOutRedirectUri = 'io.logto//home';

  @override
  Widget build(BuildContext context) {
    // ...

    Widget signOutButton = TextButton(
      onPressed: () async {
        await logtoClient.signOut(postSignOutRedirectUri);
        render();
      },
      child: const Text('Sign Out'),
    );

    return Scaffold(
      appBar: AppBar(
        title: Text(widget.title),
      ),
      body: Center(
        child: Column(
          mainAxisAlignment: MainAxisAlignment.center,
          children: <Widget>[
            SelectableText('My Demo App'),
            signInButton,
            signOutButton,
          ],
        ),
      ),
    );
  }
}

Gérer le statut d'authentification​

Logto SDK fournit une méthode asynchrone pour vérifier le statut d'authentification. La méthode est logtoClient.isAuthenticated. La méthode retourne une valeur booléenne, true si l'utilisateur est authentifié, sinon false.

Dans l'exemple, nous rendons conditionnellement les boutons de connexion et de déconnexion en fonction du statut d'authentification. Mettons maintenant à jour la méthode render dans notre Widget pour gérer le changement d'état :

lib/main.dart
class _MyHomePageState extends State<MyHomePage> {
  // ...
  bool? isAuthenticated = false;

  void render() {
    setState(() async {
      isAuthenticated = await logtoClient.isAuthenticated;
    });
  }

  @override
  Widget build(BuildContext context) {
    // ...

    return Scaffold(
      appBar: AppBar(
        title: Text(widget.title),
      ),
      body: Center(
        child: Column(
          mainAxisAlignment: MainAxisAlignment.center,
          children: <Widget>[
            SelectableText('My Demo App'),
            isAuthenticated == true ? signOutButton : signInButton,
          ],
        ),
      ),
    );
  }
}

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Flutter en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SAML SSO sur votre IdP​

Étape 1 : Créer une application SAML SSO sur votre IdP {#step-1-create-a-saml-sso-application-on-your-idp}

Initiez l'intégration SAML SSO en créant une application du côté du fournisseur d'identité (IdP). Obtenez les configurations suivantes de Logto, représentant votre fournisseur de services (SP) :

  • URI d'audience (SP Entity ID) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour le SP lors des requêtes d'authentification vers l'IdP. Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Remplissez les configurations de l'URI d'audience et de l'URL ACS dans votre application SAML IdP et continuez à récupérer les configurations suivantes de votre IdP.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Les métadonnées de l'IdP sont un document XML qui contient toutes les informations nécessaires pour que Logto établisse la confiance avec l'IdP.

Accédez à l'onglet Connection. Logto propose trois manières différentes de configurer les métadonnées de l'IdP :

  1. URL des métadonnées : Fournissez l'URL du document XML des métadonnées de l'IdP. Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.
  2. Télécharger les métadonnées : Téléchargez le document XML des métadonnées de l'IdP. Logto analysera le document XML et configurera automatiquement l'intégration SAML SSO.
  3. Configuration manuelle : Configurez manuellement les métadonnées de l'IdP.
  • ID d'entité de l'IdP : L'ID d'entité de l'IdP.
  • URL d'authentification unique : L'URL du service d'authentification unique de l'IdP.
  • Certificat de signature : Le certificat x509 est utilisé pour vérifier la signature de la réponse SAML de l'IdP.

Avec l'une des configurations ci-dessus, Logto analysera les métadonnées de l'IdP et configurera l'intégration SAML SSO en conséquence.

Étape 3 : Configurer le mapping des attributs utilisateur​

Les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) peuvent varier en fonction de la configuration de l'IdP. Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par l'IdP aux attributs utilisateur dans Logto. Vous pouvez configurer le mappage des attributs utilisateur dans l'onglet d'expérience d'intégration SAML SSO.

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameId de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur.
  • name : Le nom de l'utilisateur.

Étape 4 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur SAML enterprise SSO devrait être disponible maintenant.

Enable SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Flutter. Vous devriez maintenant pouvoir vous connecter avec SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Google Workspace enterprise SSO with iOS (Swift)]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-google-workspace-enterprise-sso-sign-in-with-ios-swift-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Google Workspace enterprise SSO (authentification utilisateur) avec iOS (Swift) et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de iOS (Swift).
  • Un compte Google Workspace enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Native app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Native app" ou filtrez tous les frameworks "Native app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "iOS (Swift)" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate iOS (Swift) SDK​

Ajouter Logto SDK en tant que dépendance​

Utilisez l'URL suivante pour ajouter Logto SDK comme dépendance dans Swift Package Manager.

https://github.com/logto-io/swift.git

Depuis Xcode 11, vous pouvez importer directement un package Swift sans aucun outil supplémentaire.

Nous ne prenons pas en charge Carthage et CocoaPods pour le moment en raison de certains problèmes techniques.

Carthage​

Carthage nécessite un fichier xcodeproj pour construire, mais swift package generate-xcodeproj signalera un échec car nous utilisons des cibles binaires pour les plugins sociaux natifs. Nous essaierons de trouver une solution plus tard.

CocoaPods​

CocoaPods ne prend pas en charge la dépendance locale et le monorepo, il est donc difficile de créer un .podspec pour ce dépôt.

Initialiser LogtoClient​

Initialisez le client en créant une instance LogtoClient avec un objet LogtoConfig.

ContentView.swift
import Logto
import LogtoClient

let config = try? LogtoConfig(
  endpoint: "<your-logto-endpoint>", // Par exemple, http://localhost:3001
  appId: "<your-app-id>"
)
let client = LogtoClient(useConfig: config)
info:

Par défaut, nous stockons les informations d'identification comme le Jeton d’identifiant (ID token) et le Jeton de rafraîchissement (Refresh token) dans le Trousseau. Ainsi, l'utilisateur n'a pas besoin de se reconnecter lorsqu'il revient.

Pour désactiver ce comportement, définissez usingPersistStorage sur false :

let config = try? LogtoConfig(
  // ...
  usingPersistStorage: false
)

Se connecter​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

Configurer l'URI de redirection​

Passons à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection io.logto://callback et cliquez sur "Enregistrer les modifications".

URI de redirection dans Logto Console
info:

L'URI de redirection dans le SDK iOS est uniquement pour un usage interne. Il n'y a PAS BESOIN d'ajouter un schéma d'URL personnalisé jusqu'à ce qu'un connecteur le demande.

Connexion et déconnexion​

remarque:

Avant d'appeler .signInWithBrowser(redirectUri:), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

Vous pouvez utiliser client.signInWithBrowser(redirectUri:) pour connecter l'utilisateur et client.signOut() pour déconnecter l'utilisateur.

Par exemple, dans une application SwiftUI :

ContentView.swift
struct ContentView: View {
  @State var isAuthenticated: Bool

  init() {
    isAuthenticated = client.isAuthenticated
  }

  var body: some View {
    VStack {
      if isAuthenticated {
        Button("Déconnexion") {
          Task { [self] in
            await client.signOut()
            isAuthenticated = false
          }
        }
      } else {
        Button("Connexion") {
          Task { [self] in
            do {
              try await client.signInWithBrowser(redirectUri: "${
                props.redirectUris[0] ?? 'io.logto://callback'
              }")
              isAuthenticated = true
            } catch let error as LogtoClientErrors.SignIn {
              // erreur survenue lors de la connexion
            } catch {
              // autres erreurs
            }
          }
        }
      }
    }
  }
}

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Google Workspace enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec iOS (Swift) en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Google Cloud Platform​

Étape 1 : Créer un nouveau projet sur Google Cloud Platform​

Avant de pouvoir utiliser Google Workspace comme fournisseur d'authentification, vous devez configurer un projet dans la Google API Console pour obtenir des identifiants OAuth 2.0. Si vous avez déjà un projet, vous pouvez passer cette étape. Sinon, créez un nouveau projet sous votre organisation Google.

Pour créer de nouvelles informations d'identification OIDC, vous devez configurer l'écran de consentement pour votre application.

  1. Accédez à la page de l'écran de consentement OAuth et sélectionnez le type d'utilisateur Interne. Cela rendra l'application OAuth disponible uniquement pour les utilisateurs au sein de votre organisation.
Type d'utilisateur de l'écran de consentement Google Workspace
  1. Remplissez les paramètres de l'Écran de consentement en suivant les instructions sur la page. Vous devez fournir les informations minimales suivantes :
  • Nom de l'application : Le nom de votre application. Il sera affiché sur l'écran de consentement.
  • Email de support : L'email de support de votre application. Il sera affiché sur l'écran de consentement.
Paramètres de l'écran de consentement Google Workspace
  1. Définissez les Portées pour votre application. Afin de récupérer correctement les informations d'identité et l'adresse e-mail de l'utilisateur depuis le fournisseur d’identité (IdP), les connecteurs SSO de Logto doivent accorder les portées suivantes depuis le IdP :
Portées de l'écran de consentement Google Workspace
  • openid : Cette portée est requise pour l'authentification OIDC. Elle est utilisée pour récupérer le jeton d’identifiant et accéder au point de terminaison userInfo du IdP.
  • profile : Cette portée est requise pour accéder aux informations de profil de base de l'utilisateur.
  • email : Cette portée est requise pour accéder à l'adresse e-mail de l'utilisateur.

Cliquez sur le bouton Enregistrer pour sauvegarder les paramètres de l'écran de consentement.

Étape 3 : Créer de nouvelles informations d’identification OAuth​

Accédez à la page Credentials et cliquez sur le bouton Create Credentials. Sélectionnez l'option OAuth client ID dans le menu déroulant pour créer une nouvelle référence OAuth pour votre application.

Google Workspace create credentials

Continuez à configurer la référence OAuth en remplissant les informations suivantes :

Google Workspace credentials config
  1. Sélectionnez Web application comme type d'application.
  2. Remplissez le Name de votre application cliente, par exemple Logto SSO Connector. Cela vous aidera à identifier les références à l'avenir.
  3. Remplissez les Authorized redirect URIs avec l'URI de rappel Logto. C'est l'URI vers lequel Google redirigera le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès du fournisseur d’identité (IdP), l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.
  4. Remplissez les Authorized JavaScript origins avec l'origine de l'URI de rappel Logto. Cela garantit que seule votre application Logto peut envoyer des requêtes au serveur OAuth de Google.
  5. Cliquez sur le bouton Create pour créer la référence OAuth.

Étape 4 : Configurer le connecteur Logto avec les identifiants client​

Après avoir créé avec succès l'identifiant OAuth, vous recevrez une fenêtre modale avec l'ID client et le secret client.

Google Workspace create credentials

Copiez l'ID client et le secret client et remplissez les champs correspondants dans l'onglet Connection du connecteur SSO de Logto.

Vous avez maintenant configuré avec succès un connecteur SSO Google Workspace sur Logto.

Étape 5 : Portées supplémentaires (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder dans leurs comptes Google Workspace. La demande de permissions Google nécessite une configuration des deux côtés :

Dans la Google Cloud Console :

  1. Accédez à APIs & Services > Écran de consentement OAuth > Portées (Scopes).
  2. Cliquez sur Ajouter ou supprimer des portées et sélectionnez uniquement les portées dont votre application a besoin :
    • Authentification (obligatoire) :
      • https://www.googleapis.com/auth/userinfo.email
      • https://www.googleapis.com/auth/userinfo.profile
      • openid
    • Accès à l’API (optionnel) : Ajoutez toutes les portées supplémentaires nécessaires pour votre application (par exemple, Drive, Calendar, YouTube). Parcourez la bibliothèque d’API Google pour trouver les services disponibles. Si votre application a besoin d’accéder à des API Google au-delà des permissions de base, activez d’abord les API spécifiques que votre application utilisera (par exemple, Google Drive API, Gmail API, Calendar API) dans la bibliothèque d’API Google.
  3. Cliquez sur Mettre à jour pour confirmer la sélection.
  4. Cliquez sur Enregistrer et continuer pour appliquer les modifications.

Dans le connecteur Logto Google Workspace :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base sur l'utilisateur.
  2. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Google. Utilisez les URLs complètes des portées, par exemple : https://www.googleapis.com/auth/calendar.readonly
astuce:

Si votre application demande ces portées pour accéder à l’API Google et effectuer des actions, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Google. Voir la section suivante pour plus de détails.

Étape 6 : Stocker les jetons pour accéder aux API Google (Optionnel)​

Si vous souhaitez accéder aux API Google et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration de l'écran de consentement OAuth de votre Google Cloud Console et dans le connecteur Google de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Google de Logto. Logto stockera de manière sécurisée les jetons d’accès Google et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, configurez votre connecteur Google Logto pour activer l’accès hors ligne.
attention:

Vous n'avez pas besoin d’ajouter offline_access dans le champ Scope de Logto — le faire peut entraîner une erreur. Google utilise automatiquement access_type=offline lorsque l’accès hors ligne est activé.

Étape 7 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Pour plus d’informations sur le connecteur Google Workspace SSO, veuillez consulter Google OpenID Connector.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Google Workspace enterprise SSO devrait être disponible maintenant.

Enable Google Workspace enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application iOS (Swift). Vous devriez maintenant pouvoir vous connecter avec Google Workspace enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build OIDC enterprise SSO with iOS (Swift)]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-oidc-enterprise-sso-sign-in-with-ios-swift-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion OIDC enterprise SSO (authentification utilisateur) avec iOS (Swift) et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de iOS (Swift).
  • Un compte OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Native app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Native app" ou filtrez tous les frameworks "Native app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "iOS (Swift)" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate iOS (Swift) SDK​

Ajouter Logto SDK en tant que dépendance​

Utilisez l'URL suivante pour ajouter Logto SDK comme dépendance dans Swift Package Manager.

https://github.com/logto-io/swift.git

Depuis Xcode 11, vous pouvez importer directement un package Swift sans aucun outil supplémentaire.

Nous ne prenons pas en charge Carthage et CocoaPods pour le moment en raison de certains problèmes techniques.

Carthage​

Carthage nécessite un fichier xcodeproj pour construire, mais swift package generate-xcodeproj signalera un échec car nous utilisons des cibles binaires pour les plugins sociaux natifs. Nous essaierons de trouver une solution plus tard.

CocoaPods​

CocoaPods ne prend pas en charge la dépendance locale et le monorepo, il est donc difficile de créer un .podspec pour ce dépôt.

Initialiser LogtoClient​

Initialisez le client en créant une instance LogtoClient avec un objet LogtoConfig.

ContentView.swift
import Logto
import LogtoClient

let config = try? LogtoConfig(
  endpoint: "<your-logto-endpoint>", // Par exemple, http://localhost:3001
  appId: "<your-app-id>"
)
let client = LogtoClient(useConfig: config)
info:

Par défaut, nous stockons les informations d'identification comme le Jeton d’identifiant (ID token) et le Jeton de rafraîchissement (Refresh token) dans le Trousseau. Ainsi, l'utilisateur n'a pas besoin de se reconnecter lorsqu'il revient.

Pour désactiver ce comportement, définissez usingPersistStorage sur false :

let config = try? LogtoConfig(
  // ...
  usingPersistStorage: false
)

Se connecter​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

Configurer l'URI de redirection​

Passons à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection io.logto://callback et cliquez sur "Enregistrer les modifications".

URI de redirection dans Logto Console
info:

L'URI de redirection dans le SDK iOS est uniquement pour un usage interne. Il n'y a PAS BESOIN d'ajouter un schéma d'URL personnalisé jusqu'à ce qu'un connecteur le demande.

Connexion et déconnexion​

remarque:

Avant d'appeler .signInWithBrowser(redirectUri:), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

Vous pouvez utiliser client.signInWithBrowser(redirectUri:) pour connecter l'utilisateur et client.signOut() pour déconnecter l'utilisateur.

Par exemple, dans une application SwiftUI :

ContentView.swift
struct ContentView: View {
  @State var isAuthenticated: Bool

  init() {
    isAuthenticated = client.isAuthenticated
  }

  var body: some View {
    VStack {
      if isAuthenticated {
        Button("Déconnexion") {
          Task { [self] in
            await client.signOut()
            isAuthenticated = false
          }
        }
      } else {
        Button("Connexion") {
          Task { [self] in
            do {
              try await client.signInWithBrowser(redirectUri: "${
                props.redirectUris[0] ?? 'io.logto://callback'
              }")
              isAuthenticated = true
            } catch let error as LogtoClientErrors.SignIn {
              // erreur survenue lors de la connexion
            } catch {
              // autres erreurs
            }
          }
        }
      }
    }
  }
}

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec iOS (Swift) en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up OIDC application on your IdP​

Étape 1 : Créer une application OIDC sur votre fournisseur d’identité (IdP)​

Initiez l'intégration OIDC SSO en créant une application du côté du fournisseur d'identité (IdP). Vous devrez fournir les configurations suivantes depuis le serveur Logto.

  • URI de rappel : L'URI de rappel Logto, également connu sous le nom d'URI de redirection ou URL de réponse, est un point de terminaison ou une URL spécifique que l'IdP utilise pour rediriger le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès de l'IdP, l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.

Remplissez l'URI de rappel Logto dans le formulaire de paramètres de l'application OIDC de votre IdP et continuez à créer l'application. (La plupart des IdP OIDC offrent un large éventail de types d'applications parmi lesquels choisir. Pour créer un connecteur SSO basé sur le web sur Logto, veuillez choisir le type Web Application.)

Étape 2 : Configurer l’authentification unique OIDC sur Logto​

Après avoir créé avec succès une application OIDC du côté du fournisseur d’identité (IdP), vous devrez fournir les configurations de l’IdP à Logto. Accédez à l’onglet Connection et renseignez les configurations suivantes :

  • Client ID : Un identifiant unique attribué à votre application OIDC par l’IdP. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC.
  • Client Secret : Un secret confidentiel partagé entre Logto et l’IdP. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et l’IdP.
  • Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour l’IdP, spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires. Pour faciliter le processus de configuration, Logto récupérera automatiquement les points de terminaison et configurations OIDC requis. Cela se fait en utilisant l’émetteur que vous avez fourni et en effectuant un appel aux points de terminaison de découverte OIDC de l’IdP. Il est impératif de s’assurer que le point de terminaison de l’émetteur est valide et correctement configuré afin de permettre à Logto de récupérer correctement les informations nécessaires. Après une requête de récupération réussie, vous devriez pouvoir voir les configurations IdP analysées dans la section des émetteurs.

Étape 3 : Configurer les portées (Scopes) (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes d’entreprise.

La configuration des portées nécessite une configuration des deux côtés :

  1. Votre fournisseur d’identité (IdP) : Configurez quelles permissions sont autorisées pour l’autorisation dans la console de votre IdP
    • Certains IdP activent toutes les portées publiques par défaut (aucune action requise)
    • D’autres exigent que vous accordiez explicitement les permissions
  2. Connecteur d’entreprise Logto : Spécifiez quelles portées demander lors de l’authentification dans les paramètres du connecteur OIDC d’entreprise Logto > champ Scopes.
    • Logto inclut toujours les portées openid, profile et email pour récupérer les informations d’identité de base de l’utilisateur, indépendamment de vos paramètres de portées personnalisées.
    • Vous pouvez ajouter des portées supplémentaires (séparées par des espaces) pour demander plus d’informations au IdP.
astuce:

Si votre application doit accéder à des API en utilisant ces portées, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans votre connecteur d’entreprise Logto. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API tierces (Optionnel)​

Si vous souhaitez accéder aux API du fournisseur d’identité (Identity Provider) et effectuer des actions avec l’autorisation de l’utilisateur, Logto doit obtenir des portées API (Scopes) spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans le champ scope en suivant les instructions ci-dessus.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Logto OIDC d’entreprise. Logto stockera en toute sécurité les jetons d’accès dans le Secret Vault.
  3. Pour les fournisseurs d’identité OIDC standards, la portée offline_access doit être incluse pour obtenir un jeton de rafraîchissement (Refresh token), évitant ainsi de demander à plusieurs reprises le consentement de l’utilisateur.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur OIDC enterprise SSO devrait être disponible maintenant.

Enable OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application iOS (Swift). Vous devriez maintenant pouvoir vous connecter avec OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build SAML enterprise SSO with iOS (Swift)]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-saml-enterprise-sso-sign-in-with-ios-swift-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion SAML enterprise SSO (authentification utilisateur) avec iOS (Swift) et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de iOS (Swift).
  • Un compte SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Native app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Native app" ou filtrez tous les frameworks "Native app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "iOS (Swift)" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate iOS (Swift) SDK​

Ajouter Logto SDK en tant que dépendance​

Utilisez l'URL suivante pour ajouter Logto SDK comme dépendance dans Swift Package Manager.

https://github.com/logto-io/swift.git

Depuis Xcode 11, vous pouvez importer directement un package Swift sans aucun outil supplémentaire.

Nous ne prenons pas en charge Carthage et CocoaPods pour le moment en raison de certains problèmes techniques.

Carthage​

Carthage nécessite un fichier xcodeproj pour construire, mais swift package generate-xcodeproj signalera un échec car nous utilisons des cibles binaires pour les plugins sociaux natifs. Nous essaierons de trouver une solution plus tard.

CocoaPods​

CocoaPods ne prend pas en charge la dépendance locale et le monorepo, il est donc difficile de créer un .podspec pour ce dépôt.

Initialiser LogtoClient​

Initialisez le client en créant une instance LogtoClient avec un objet LogtoConfig.

ContentView.swift
import Logto
import LogtoClient

let config = try? LogtoConfig(
  endpoint: "<your-logto-endpoint>", // Par exemple, http://localhost:3001
  appId: "<your-app-id>"
)
let client = LogtoClient(useConfig: config)
info:

Par défaut, nous stockons les informations d'identification comme le Jeton d’identifiant (ID token) et le Jeton de rafraîchissement (Refresh token) dans le Trousseau. Ainsi, l'utilisateur n'a pas besoin de se reconnecter lorsqu'il revient.

Pour désactiver ce comportement, définissez usingPersistStorage sur false :

let config = try? LogtoConfig(
  // ...
  usingPersistStorage: false
)

Se connecter​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

Configurer l'URI de redirection​

Passons à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection io.logto://callback et cliquez sur "Enregistrer les modifications".

URI de redirection dans Logto Console
info:

L'URI de redirection dans le SDK iOS est uniquement pour un usage interne. Il n'y a PAS BESOIN d'ajouter un schéma d'URL personnalisé jusqu'à ce qu'un connecteur le demande.

Connexion et déconnexion​

remarque:

Avant d'appeler .signInWithBrowser(redirectUri:), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

Vous pouvez utiliser client.signInWithBrowser(redirectUri:) pour connecter l'utilisateur et client.signOut() pour déconnecter l'utilisateur.

Par exemple, dans une application SwiftUI :

ContentView.swift
struct ContentView: View {
  @State var isAuthenticated: Bool

  init() {
    isAuthenticated = client.isAuthenticated
  }

  var body: some View {
    VStack {
      if isAuthenticated {
        Button("Déconnexion") {
          Task { [self] in
            await client.signOut()
            isAuthenticated = false
          }
        }
      } else {
        Button("Connexion") {
          Task { [self] in
            do {
              try await client.signInWithBrowser(redirectUri: "${
                props.redirectUris[0] ?? 'io.logto://callback'
              }")
              isAuthenticated = true
            } catch let error as LogtoClientErrors.SignIn {
              // erreur survenue lors de la connexion
            } catch {
              // autres erreurs
            }
          }
        }
      }
    }
  }
}

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec iOS (Swift) en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SAML SSO sur votre IdP​

Étape 1 : Créer une application SAML SSO sur votre IdP {#step-1-create-a-saml-sso-application-on-your-idp}

Initiez l'intégration SAML SSO en créant une application du côté du fournisseur d'identité (IdP). Obtenez les configurations suivantes de Logto, représentant votre fournisseur de services (SP) :

  • URI d'audience (SP Entity ID) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour le SP lors des requêtes d'authentification vers l'IdP. Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Remplissez les configurations de l'URI d'audience et de l'URL ACS dans votre application SAML IdP et continuez à récupérer les configurations suivantes de votre IdP.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Les métadonnées de l'IdP sont un document XML qui contient toutes les informations nécessaires pour que Logto établisse la confiance avec l'IdP.

Accédez à l'onglet Connection. Logto propose trois manières différentes de configurer les métadonnées de l'IdP :

  1. URL des métadonnées : Fournissez l'URL du document XML des métadonnées de l'IdP. Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.
  2. Télécharger les métadonnées : Téléchargez le document XML des métadonnées de l'IdP. Logto analysera le document XML et configurera automatiquement l'intégration SAML SSO.
  3. Configuration manuelle : Configurez manuellement les métadonnées de l'IdP.
  • ID d'entité de l'IdP : L'ID d'entité de l'IdP.
  • URL d'authentification unique : L'URL du service d'authentification unique de l'IdP.
  • Certificat de signature : Le certificat x509 est utilisé pour vérifier la signature de la réponse SAML de l'IdP.

Avec l'une des configurations ci-dessus, Logto analysera les métadonnées de l'IdP et configurera l'intégration SAML SSO en conséquence.

Étape 3 : Configurer le mapping des attributs utilisateur​

Les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) peuvent varier en fonction de la configuration de l'IdP. Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par l'IdP aux attributs utilisateur dans Logto. Vous pouvez configurer le mappage des attributs utilisateur dans l'onglet d'expérience d'intégration SAML SSO.

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameId de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur.
  • name : Le nom de l'utilisateur.

Étape 4 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur SAML enterprise SSO devrait être disponible maintenant.

Enable SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application iOS (Swift). Vous devriez maintenant pouvoir vous connecter avec SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Google Workspace enterprise SSO with Vanilla JS]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-google-workspace-enterprise-sso-sign-in-with-vanilla-js-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Google Workspace enterprise SSO (authentification utilisateur) avec Vanilla JS et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vanilla JS.
  • Un compte Google Workspace enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vanilla JS" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vanilla JS SDK​

astuce:
  • Le SDK vanilla-js est agnostique au framework, vous pouvez l'utiliser dans n'importe quel framework frontend en écrivant un wrapper pour l'adapter.
  • Le projet d'exemple est disponible sur notre répertoire SDK.

Installation​

Choisissez votre gestionnaire de paquets préféré ou utilisez le CDN pour installer le Logto Browser SDK.

npm i @logto/browser

Initialiser LogtoClient​

Importez et initialisez une instance LogtoClient en passant la configuration :

index.js
import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

Les endpoint et appId peuvent être trouvés dans la page des détails de l'application dans la Logto Console.

Implémenter une connexion et une déconnexion​

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur ait été redirigé vers votre application depuis Logto. Gérons cela correctement.

pages/Callback.js
const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // Gérer l'échec de la connexion
    alert('Échec de la connexion');
    return;
  }

  // Gérer la connexion réussie
  window.location.assign('/');
};

Implémenter la connexion et la déconnexion​

logtoClient fournit les méthodes signIn et signOut pour vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

pages/Home.js
const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Gérer le statut d'authentification​

Dans Logto SDK, généralement, nous pouvons utiliser logtoClient.isAuthenticated pour vérifier le statut d'authentification (Authentication). Si l'utilisateur est connecté, la valeur sera true, sinon, la valeur sera false.

Dans votre application JS vanilla, vous pouvez utiliser le statut isAuthenticated pour afficher et masquer de manière programmatique les boutons de connexion et de déconnexion. Voyons comment le faire.

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// Rendu conditionnel des boutons de connexion et de déconnexion
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Google Workspace enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vanilla JS en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Google Cloud Platform​

Étape 1 : Créer un nouveau projet sur Google Cloud Platform​

Avant de pouvoir utiliser Google Workspace comme fournisseur d'authentification, vous devez configurer un projet dans la Google API Console pour obtenir des identifiants OAuth 2.0. Si vous avez déjà un projet, vous pouvez passer cette étape. Sinon, créez un nouveau projet sous votre organisation Google.

Pour créer de nouvelles informations d'identification OIDC, vous devez configurer l'écran de consentement pour votre application.

  1. Accédez à la page de l'écran de consentement OAuth et sélectionnez le type d'utilisateur Interne. Cela rendra l'application OAuth disponible uniquement pour les utilisateurs au sein de votre organisation.
Type d'utilisateur de l'écran de consentement Google Workspace
  1. Remplissez les paramètres de l'Écran de consentement en suivant les instructions sur la page. Vous devez fournir les informations minimales suivantes :
  • Nom de l'application : Le nom de votre application. Il sera affiché sur l'écran de consentement.
  • Email de support : L'email de support de votre application. Il sera affiché sur l'écran de consentement.
Paramètres de l'écran de consentement Google Workspace
  1. Définissez les Portées pour votre application. Afin de récupérer correctement les informations d'identité et l'adresse e-mail de l'utilisateur depuis le fournisseur d’identité (IdP), les connecteurs SSO de Logto doivent accorder les portées suivantes depuis le IdP :
Portées de l'écran de consentement Google Workspace
  • openid : Cette portée est requise pour l'authentification OIDC. Elle est utilisée pour récupérer le jeton d’identifiant et accéder au point de terminaison userInfo du IdP.
  • profile : Cette portée est requise pour accéder aux informations de profil de base de l'utilisateur.
  • email : Cette portée est requise pour accéder à l'adresse e-mail de l'utilisateur.

Cliquez sur le bouton Enregistrer pour sauvegarder les paramètres de l'écran de consentement.

Étape 3 : Créer de nouvelles informations d’identification OAuth​

Accédez à la page Credentials et cliquez sur le bouton Create Credentials. Sélectionnez l'option OAuth client ID dans le menu déroulant pour créer une nouvelle référence OAuth pour votre application.

Google Workspace create credentials

Continuez à configurer la référence OAuth en remplissant les informations suivantes :

Google Workspace credentials config
  1. Sélectionnez Web application comme type d'application.
  2. Remplissez le Name de votre application cliente, par exemple Logto SSO Connector. Cela vous aidera à identifier les références à l'avenir.
  3. Remplissez les Authorized redirect URIs avec l'URI de rappel Logto. C'est l'URI vers lequel Google redirigera le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès du fournisseur d’identité (IdP), l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.
  4. Remplissez les Authorized JavaScript origins avec l'origine de l'URI de rappel Logto. Cela garantit que seule votre application Logto peut envoyer des requêtes au serveur OAuth de Google.
  5. Cliquez sur le bouton Create pour créer la référence OAuth.

Étape 4 : Configurer le connecteur Logto avec les identifiants client​

Après avoir créé avec succès l'identifiant OAuth, vous recevrez une fenêtre modale avec l'ID client et le secret client.

Google Workspace create credentials

Copiez l'ID client et le secret client et remplissez les champs correspondants dans l'onglet Connection du connecteur SSO de Logto.

Vous avez maintenant configuré avec succès un connecteur SSO Google Workspace sur Logto.

Étape 5 : Portées supplémentaires (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder dans leurs comptes Google Workspace. La demande de permissions Google nécessite une configuration des deux côtés :

Dans la Google Cloud Console :

  1. Accédez à APIs & Services > Écran de consentement OAuth > Portées (Scopes).
  2. Cliquez sur Ajouter ou supprimer des portées et sélectionnez uniquement les portées dont votre application a besoin :
    • Authentification (obligatoire) :
      • https://www.googleapis.com/auth/userinfo.email
      • https://www.googleapis.com/auth/userinfo.profile
      • openid
    • Accès à l’API (optionnel) : Ajoutez toutes les portées supplémentaires nécessaires pour votre application (par exemple, Drive, Calendar, YouTube). Parcourez la bibliothèque d’API Google pour trouver les services disponibles. Si votre application a besoin d’accéder à des API Google au-delà des permissions de base, activez d’abord les API spécifiques que votre application utilisera (par exemple, Google Drive API, Gmail API, Calendar API) dans la bibliothèque d’API Google.
  3. Cliquez sur Mettre à jour pour confirmer la sélection.
  4. Cliquez sur Enregistrer et continuer pour appliquer les modifications.

Dans le connecteur Logto Google Workspace :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base sur l'utilisateur.
  2. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Google. Utilisez les URLs complètes des portées, par exemple : https://www.googleapis.com/auth/calendar.readonly
astuce:

Si votre application demande ces portées pour accéder à l’API Google et effectuer des actions, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Google. Voir la section suivante pour plus de détails.

Étape 6 : Stocker les jetons pour accéder aux API Google (Optionnel)​

Si vous souhaitez accéder aux API Google et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration de l'écran de consentement OAuth de votre Google Cloud Console et dans le connecteur Google de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Google de Logto. Logto stockera de manière sécurisée les jetons d’accès Google et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, configurez votre connecteur Google Logto pour activer l’accès hors ligne.
attention:

Vous n'avez pas besoin d’ajouter offline_access dans le champ Scope de Logto — le faire peut entraîner une erreur. Google utilise automatiquement access_type=offline lorsque l’accès hors ligne est activé.

Étape 7 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Pour plus d’informations sur le connecteur Google Workspace SSO, veuillez consulter Google OpenID Connector.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Google Workspace enterprise SSO devrait être disponible maintenant.

Enable Google Workspace enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vanilla JS. Vous devriez maintenant pouvoir vous connecter avec Google Workspace enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID OIDC enterprise SSO with Vanilla JS]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-oidc-enterprise-sso-sign-in-with-vanilla-js-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID OIDC enterprise SSO (authentification utilisateur) avec Vanilla JS et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vanilla JS.
  • Un compte Microsoft Entra ID OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vanilla JS" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vanilla JS SDK​

astuce:
  • Le SDK vanilla-js est agnostique au framework, vous pouvez l'utiliser dans n'importe quel framework frontend en écrivant un wrapper pour l'adapter.
  • Le projet d'exemple est disponible sur notre répertoire SDK.

Installation​

Choisissez votre gestionnaire de paquets préféré ou utilisez le CDN pour installer le Logto Browser SDK.

npm i @logto/browser

Initialiser LogtoClient​

Importez et initialisez une instance LogtoClient en passant la configuration :

index.js
import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

Les endpoint et appId peuvent être trouvés dans la page des détails de l'application dans la Logto Console.

Implémenter une connexion et une déconnexion​

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur ait été redirigé vers votre application depuis Logto. Gérons cela correctement.

pages/Callback.js
const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // Gérer l'échec de la connexion
    alert('Échec de la connexion');
    return;
  }

  // Gérer la connexion réussie
  window.location.assign('/');
};

Implémenter la connexion et la déconnexion​

logtoClient fournit les méthodes signIn et signOut pour vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

pages/Home.js
const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Gérer le statut d'authentification​

Dans Logto SDK, généralement, nous pouvons utiliser logtoClient.isAuthenticated pour vérifier le statut d'authentification (Authentication). Si l'utilisateur est connecté, la valeur sera true, sinon, la valeur sera false.

Dans votre application JS vanilla, vous pouvez utiliser le statut isAuthenticated pour afficher et masquer de manière programmatique les boutons de connexion et de déconnexion. Voyons comment le faire.

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// Rendu conditionnel des boutons de connexion et de déconnexion
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Microsoft Entra ID OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vanilla JS en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Azure AD SSO application​

Étape 1 : Créer une application OIDC Microsoft EntraID​

  1. Allez sur le centre d'administration Microsoft Entra et connectez-vous en tant qu'administrateur.

  2. Accédez à Identity > Applications > App registrations.

Créer une application

  1. Sélectionnez New registration.

  2. Entrez le nom de l'application et sélectionnez le type de compte approprié pour votre application.

  3. Sélectionnez Web comme plateforme de l'application.

  4. Copiez et collez l'URI de redirection depuis la page des paramètres SSO de Logto. L'URI de redirection est l'URL où l'utilisateur est redirigé après s'être authentifié avec Microsoft Entra ID.

Configurer l'application
  1. Cliquez sur Register pour créer l'application.

Étape 2 : Configurer le SSO OIDC Microsoft Entra ID dans Logto​

Après avoir créé avec succès une application Microsoft Entra OIDC, vous devrez fournir les configurations du fournisseur d’identité (IdP) à Logto. Rendez-vous dans l’onglet Connection de la Console Logto et renseignez les configurations suivantes :

  1. ID client : Un identifiant unique attribué à votre application OIDC par Microsoft Entra. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC. Vous pouvez le trouver sur la page d’aperçu de l’application sous Application (client) ID.
Détails de l’application
  1. Secret client : Créez un nouveau secret client et copiez la valeur dans Logto. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et le fournisseur d’identité (IdP).
Créer un secret

  1. Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour le fournisseur d’identité (IdP), spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires.

    Au lieu de fournir manuellement tous ces points de terminaison OIDC, Logto récupère automatiquement toutes les configurations requises et les points de terminaison du fournisseur d’identité (IdP). Cela se fait en utilisant l’URL de l’émetteur que vous avez fournie et en effectuant un appel au point de terminaison de découverte du fournisseur d’identité (IdP).

    Pour obtenir l’URL de l’émetteur, vous pouvez la trouver dans la section Endpoints de la page d’aperçu de l’application.

    Repérez le point de terminaison OpenID Connect metadata document et copiez l’URL SANS le chemin final .well-known/openid-configuration. En effet, Logto ajoutera automatiquement .well-known/openid-configuration à l’URL de l’émetteur lors de la récupération des configurations OIDC.

Points de terminaison
  1. Portée (Scope) (optionnel) : Logto inclut automatiquement les portées requises (openid, profile et email) dans toutes les requêtes. Vous pouvez spécifier des portées supplémentaires sous forme de liste séparée par des espaces si votre application nécessite des permissions ou des niveaux d’accès supplémentaires du fournisseur d’identité (IdP).

Cliquez sur Save pour terminer le processus de configuration

Étape 3 : Portées supplémentaires (facultatif)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes Microsoft Entra ID. La demande de permissions Microsoft Graph nécessite une configuration des deux côtés :

Dans le centre d'administration Microsoft Entra :

  1. Accédez à Microsoft Entra ID > Enregistrements d'applications et sélectionnez votre application.
  2. Allez dans Permissions API > Ajouter une permission > Microsoft Graph > Permissions déléguées.
  3. Sélectionnez uniquement les permissions requises par votre application :
    • Permissions OpenID :
      • openid (Obligatoire) - Connecter les utilisateurs
      • profile (Obligatoire) - Voir le profil de base des utilisateurs
      • email (Obligatoire) - Voir l'adresse e-mail des utilisateurs
      • offline_access (Optionnel) - Nécessaire uniquement si vous activez Stocker les jetons pour un accès API persistant dans le connecteur Logto et que vous devez obtenir des jetons de rafraîchissement pour un accès longue durée aux API Microsoft Graph.
    • Accès API (Optionnel) : Ajoutez toutes les permissions supplémentaires nécessaires à votre application. Les permissions courantes de Microsoft Graph incluent Mail.Read, Calendars.Read, Files.Read, etc. Parcourez la référence des permissions Microsoft Graph pour trouver les permissions disponibles.
  4. Cliquez sur Ajouter des permissions pour confirmer la sélection.
  5. Si votre application nécessite un consentement administrateur pour certaines permissions, cliquez sur Accorder le consentement administrateur pour [Votre organisation].
Ajouter des permissions API Microsoft

Dans le connecteur Logto Microsoft Entra ID :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base de l'utilisateur.
  2. Ajoutez offline_access au champ Scopes si vous prévoyez de stocker des jetons pour un accès API persistant. Cette portée permet d'obtenir des jetons de rafraîchissement pour un accès longue durée à l'API.
  3. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Microsoft Graph. Utilisez les noms de portées standards, par exemple : User.Read Mail.Read Calendars.Read
astuce:

Si votre application demande ces portées pour accéder à l'API Microsoft Graph et effectuer des actions, assurez-vous d'activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Microsoft Entra ID. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API Microsoft (facultatif)​

Si vous souhaitez accéder aux API Microsoft Graph et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration des permissions API de votre centre d'administration Microsoft Entra et dans le connecteur Microsoft Entra ID de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Microsoft Entra ID de Logto. Logto stockera de manière sécurisée les jetons d’accès Microsoft et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, ajoutez la portée offline_access aux permissions de votre application Microsoft Entra ID et incluez-la dans les portées de votre connecteur Microsoft Entra ID de Logto. Cette portée permet à votre application de maintenir l'accès aux ressources pendant de longues périodes.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domains e-mail de votre organisation dans l’onglet experience du connecteur. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront exclusivement limités à l’utilisation de votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID OIDC enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vanilla JS. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID SAML enterprise SSO with Vanilla JS]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-saml-enterprise-sso-sign-in-with-vanilla-js-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID SAML enterprise SSO (authentification utilisateur) avec Vanilla JS et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vanilla JS.
  • Un compte Microsoft Entra ID SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vanilla JS" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vanilla JS SDK​

astuce:
  • Le SDK vanilla-js est agnostique au framework, vous pouvez l'utiliser dans n'importe quel framework frontend en écrivant un wrapper pour l'adapter.
  • Le projet d'exemple est disponible sur notre répertoire SDK.

Installation​

Choisissez votre gestionnaire de paquets préféré ou utilisez le CDN pour installer le Logto Browser SDK.

npm i @logto/browser

Initialiser LogtoClient​

Importez et initialisez une instance LogtoClient en passant la configuration :

index.js
import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

Les endpoint et appId peuvent être trouvés dans la page des détails de l'application dans la Logto Console.

Implémenter une connexion et une déconnexion​

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur ait été redirigé vers votre application depuis Logto. Gérons cela correctement.

pages/Callback.js
const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // Gérer l'échec de la connexion
    alert('Échec de la connexion');
    return;
  }

  // Gérer la connexion réussie
  window.location.assign('/');
};

Implémenter la connexion et la déconnexion​

logtoClient fournit les méthodes signIn et signOut pour vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

pages/Home.js
const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Gérer le statut d'authentification​

Dans Logto SDK, généralement, nous pouvons utiliser logtoClient.isAuthenticated pour vérifier le statut d'authentification (Authentication). Si l'utilisateur est connecté, la valeur sera true, sinon, la valeur sera false.

Dans votre application JS vanilla, vous pouvez utiliser le statut isAuthenticated pour afficher et masquer de manière programmatique les boutons de connexion et de déconnexion. Voyons comment le faire.

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// Rendu conditionnel des boutons de connexion et de déconnexion
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Microsoft Entra ID SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vanilla JS en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SSO Azure AD​

Étape 1 : Créer une application Azure AD SSO​

Initiez l'intégration SSO Azure AD en créant une application SSO du côté Azure AD.

  1. Allez sur le portail Azure et connectez-vous en tant qu'administrateur.
  2. Sélectionnez le service Microsoft Entra ID.
  3. Naviguez vers les Applications d'entreprise à l'aide du menu latéral. Cliquez sur Nouvelle application, et sélectionnez Créer votre propre application.
Azure AD create application
  1. Entrez le nom de l'application et sélectionnez Intégrer toute autre application que vous ne trouvez pas dans la galerie (Non-galerie).
  2. Sélectionnez Configurer l’authentification unique > SAML.
Azure AD set up SSO
  1. Suivez les instructions, comme première étape, vous devrez remplir la configuration SAML de base en utilisant les informations suivantes fournies par Logto.
Azure AD SP config
  • URI d’audience (ID d’entité SP) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour SP lors des requêtes d’authentification vers le fournisseur d’identité (IdP). Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et à consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Cliquez sur Enregistrer pour continuer.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Revenons du côté de Logto et accédons à l'onglet Connection de votre connecteur Azure AD SSO.

Logto propose trois manières différentes de configurer les métadonnées de l'IdP. La manière la plus simple est de fournir l'URL des métadonnées de l'application Azure AD SSO.

Copiez l'URL des métadonnées de fédération de l'application à partir de la section Certificats SAML de votre application Azure AD SSO et collez-la dans le champ Metadata URL dans Logto.

Azure AD Metadata URL

Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.

Étape 3 : Configurer le mappage des attributs utilisateur​

Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) aux attributs utilisateur dans Logto. Logto synchronisera par défaut les attributs utilisateur suivants depuis l'IdP :

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameID de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur. Logto lira la revendication email de la réponse SAML comme e-mail principal de l'utilisateur par défaut.
  • name : Le nom de l'utilisateur.

Vous pouvez gérer la logique de mappage des attributs utilisateur soit du côté Azure AD, soit du côté Logto.

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté Logto.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Copiez les noms d'attributs suivants (avec le préfixe de l'espace de noms) et collez-les dans les champs correspondants dans Logto.

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Recommandation : mettez à jour cette carte de valeur d'attribut à user.displayname pour une meilleure expérience utilisateur)
Mappage d'attributs par défaut Azure AD

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté AzureAD.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Cliquez sur Edit, et mettez à jour les champs Additional claims en fonction des paramètres des attributs utilisateur Logto :

    • mettez à jour la valeur du nom de revendication en fonction des paramètres des attributs utilisateur Logto.
    • supprimez le préfixe de l'espace de noms.
    • cliquez sur Save pour continuer.

    Vous devriez obtenir les paramètres suivants :

Mappage d'attributs Azure AD_Logto

Vous pouvez également spécifier des attributs utilisateur supplémentaires du côté Azure AD. Logto conservera un enregistrement des attributs utilisateur originaux renvoyés par l'IdP sous le champ sso_identity de l'utilisateur.

Étape 4 : Assigner des utilisateurs à l'application Azure AD SSO​

Visitez la section Users and groups de votre application Azure AD SSO. Cliquez sur Add user/group pour attribuer des utilisateurs à l'application Azure AD SSO. Seuls les utilisateurs attribués à votre application Azure AD SSO pourront s'authentifier via le connecteur Azure AD SSO.

Azure AD assign users

Étape 5 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet SSO experience du connecteur de Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Veuillez consulter la documentation officielle d'Azure AD pour plus de détails sur l'intégration SSO d'Azure AD.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID SAML enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vanilla JS. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build OIDC enterprise SSO with Vanilla JS]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-oidc-enterprise-sso-sign-in-with-vanilla-js-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion OIDC enterprise SSO (authentification utilisateur) avec Vanilla JS et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vanilla JS.
  • Un compte OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vanilla JS" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vanilla JS SDK​

astuce:
  • Le SDK vanilla-js est agnostique au framework, vous pouvez l'utiliser dans n'importe quel framework frontend en écrivant un wrapper pour l'adapter.
  • Le projet d'exemple est disponible sur notre répertoire SDK.

Installation​

Choisissez votre gestionnaire de paquets préféré ou utilisez le CDN pour installer le Logto Browser SDK.

npm i @logto/browser

Initialiser LogtoClient​

Importez et initialisez une instance LogtoClient en passant la configuration :

index.js
import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

Les endpoint et appId peuvent être trouvés dans la page des détails de l'application dans la Logto Console.

Implémenter une connexion et une déconnexion​

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur ait été redirigé vers votre application depuis Logto. Gérons cela correctement.

pages/Callback.js
const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // Gérer l'échec de la connexion
    alert('Échec de la connexion');
    return;
  }

  // Gérer la connexion réussie
  window.location.assign('/');
};

Implémenter la connexion et la déconnexion​

logtoClient fournit les méthodes signIn et signOut pour vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

pages/Home.js
const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Gérer le statut d'authentification​

Dans Logto SDK, généralement, nous pouvons utiliser logtoClient.isAuthenticated pour vérifier le statut d'authentification (Authentication). Si l'utilisateur est connecté, la valeur sera true, sinon, la valeur sera false.

Dans votre application JS vanilla, vous pouvez utiliser le statut isAuthenticated pour afficher et masquer de manière programmatique les boutons de connexion et de déconnexion. Voyons comment le faire.

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// Rendu conditionnel des boutons de connexion et de déconnexion
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vanilla JS en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up OIDC application on your IdP​

Étape 1 : Créer une application OIDC sur votre fournisseur d’identité (IdP)​

Initiez l'intégration OIDC SSO en créant une application du côté du fournisseur d'identité (IdP). Vous devrez fournir les configurations suivantes depuis le serveur Logto.

  • URI de rappel : L'URI de rappel Logto, également connu sous le nom d'URI de redirection ou URL de réponse, est un point de terminaison ou une URL spécifique que l'IdP utilise pour rediriger le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès de l'IdP, l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.

Remplissez l'URI de rappel Logto dans le formulaire de paramètres de l'application OIDC de votre IdP et continuez à créer l'application. (La plupart des IdP OIDC offrent un large éventail de types d'applications parmi lesquels choisir. Pour créer un connecteur SSO basé sur le web sur Logto, veuillez choisir le type Web Application.)

Étape 2 : Configurer l’authentification unique OIDC sur Logto​

Après avoir créé avec succès une application OIDC du côté du fournisseur d’identité (IdP), vous devrez fournir les configurations de l’IdP à Logto. Accédez à l’onglet Connection et renseignez les configurations suivantes :

  • Client ID : Un identifiant unique attribué à votre application OIDC par l’IdP. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC.
  • Client Secret : Un secret confidentiel partagé entre Logto et l’IdP. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et l’IdP.
  • Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour l’IdP, spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires. Pour faciliter le processus de configuration, Logto récupérera automatiquement les points de terminaison et configurations OIDC requis. Cela se fait en utilisant l’émetteur que vous avez fourni et en effectuant un appel aux points de terminaison de découverte OIDC de l’IdP. Il est impératif de s’assurer que le point de terminaison de l’émetteur est valide et correctement configuré afin de permettre à Logto de récupérer correctement les informations nécessaires. Après une requête de récupération réussie, vous devriez pouvoir voir les configurations IdP analysées dans la section des émetteurs.

Étape 3 : Configurer les portées (Scopes) (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes d’entreprise.

La configuration des portées nécessite une configuration des deux côtés :

  1. Votre fournisseur d’identité (IdP) : Configurez quelles permissions sont autorisées pour l’autorisation dans la console de votre IdP
    • Certains IdP activent toutes les portées publiques par défaut (aucune action requise)
    • D’autres exigent que vous accordiez explicitement les permissions
  2. Connecteur d’entreprise Logto : Spécifiez quelles portées demander lors de l’authentification dans les paramètres du connecteur OIDC d’entreprise Logto > champ Scopes.
    • Logto inclut toujours les portées openid, profile et email pour récupérer les informations d’identité de base de l’utilisateur, indépendamment de vos paramètres de portées personnalisées.
    • Vous pouvez ajouter des portées supplémentaires (séparées par des espaces) pour demander plus d’informations au IdP.
astuce:

Si votre application doit accéder à des API en utilisant ces portées, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans votre connecteur d’entreprise Logto. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API tierces (Optionnel)​

Si vous souhaitez accéder aux API du fournisseur d’identité (Identity Provider) et effectuer des actions avec l’autorisation de l’utilisateur, Logto doit obtenir des portées API (Scopes) spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans le champ scope en suivant les instructions ci-dessus.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Logto OIDC d’entreprise. Logto stockera en toute sécurité les jetons d’accès dans le Secret Vault.
  3. Pour les fournisseurs d’identité OIDC standards, la portée offline_access doit être incluse pour obtenir un jeton de rafraîchissement (Refresh token), évitant ainsi de demander à plusieurs reprises le consentement de l’utilisateur.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur OIDC enterprise SSO devrait être disponible maintenant.

Enable OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vanilla JS. Vous devriez maintenant pouvoir vous connecter avec OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build SAML enterprise SSO with Vanilla JS]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-saml-enterprise-sso-sign-in-with-vanilla-js-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion SAML enterprise SSO (authentification utilisateur) avec Vanilla JS et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vanilla JS.
  • Un compte SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Application monopage, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Application monopage" ou filtrez tous les frameworks "Application monopage" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vanilla JS" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vanilla JS SDK​

astuce:
  • Le SDK vanilla-js est agnostique au framework, vous pouvez l'utiliser dans n'importe quel framework frontend en écrivant un wrapper pour l'adapter.
  • Le projet d'exemple est disponible sur notre répertoire SDK.

Installation​

Choisissez votre gestionnaire de paquets préféré ou utilisez le CDN pour installer le Logto Browser SDK.

npm i @logto/browser

Initialiser LogtoClient​

Importez et initialisez une instance LogtoClient en passant la configuration :

index.js
import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

Les endpoint et appId peuvent être trouvés dans la page des détails de l'application dans la Logto Console.

Implémenter une connexion et une déconnexion​

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur ait été redirigé vers votre application depuis Logto. Gérons cela correctement.

pages/Callback.js
const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // Gérer l'échec de la connexion
    alert('Échec de la connexion');
    return;
  }

  // Gérer la connexion réussie
  window.location.assign('/');
};

Implémenter la connexion et la déconnexion​

logtoClient fournit les méthodes signIn et signOut pour vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

pages/Home.js
const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Gérer le statut d'authentification​

Dans Logto SDK, généralement, nous pouvons utiliser logtoClient.isAuthenticated pour vérifier le statut d'authentification (Authentication). Si l'utilisateur est connecté, la valeur sera true, sinon, la valeur sera false.

Dans votre application JS vanilla, vous pouvez utiliser le statut isAuthenticated pour afficher et masquer de manière programmatique les boutons de connexion et de déconnexion. Voyons comment le faire.

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// Rendu conditionnel des boutons de connexion et de déconnexion
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vanilla JS en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SAML SSO sur votre IdP​

Étape 1 : Créer une application SAML SSO sur votre IdP {#step-1-create-a-saml-sso-application-on-your-idp}

Initiez l'intégration SAML SSO en créant une application du côté du fournisseur d'identité (IdP). Obtenez les configurations suivantes de Logto, représentant votre fournisseur de services (SP) :

  • URI d'audience (SP Entity ID) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour le SP lors des requêtes d'authentification vers l'IdP. Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Remplissez les configurations de l'URI d'audience et de l'URL ACS dans votre application SAML IdP et continuez à récupérer les configurations suivantes de votre IdP.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Les métadonnées de l'IdP sont un document XML qui contient toutes les informations nécessaires pour que Logto établisse la confiance avec l'IdP.

Accédez à l'onglet Connection. Logto propose trois manières différentes de configurer les métadonnées de l'IdP :

  1. URL des métadonnées : Fournissez l'URL du document XML des métadonnées de l'IdP. Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.
  2. Télécharger les métadonnées : Téléchargez le document XML des métadonnées de l'IdP. Logto analysera le document XML et configurera automatiquement l'intégration SAML SSO.
  3. Configuration manuelle : Configurez manuellement les métadonnées de l'IdP.
  • ID d'entité de l'IdP : L'ID d'entité de l'IdP.
  • URL d'authentification unique : L'URL du service d'authentification unique de l'IdP.
  • Certificat de signature : Le certificat x509 est utilisé pour vérifier la signature de la réponse SAML de l'IdP.

Avec l'une des configurations ci-dessus, Logto analysera les métadonnées de l'IdP et configurera l'intégration SAML SSO en conséquence.

Étape 3 : Configurer le mapping des attributs utilisateur​

Les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) peuvent varier en fonction de la configuration de l'IdP. Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par l'IdP aux attributs utilisateur dans Logto. Vous pouvez configurer le mappage des attributs utilisateur dans l'onglet d'expérience d'intégration SAML SSO.

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameId de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur.
  • name : Le nom de l'utilisateur.

Étape 4 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur SAML enterprise SSO devrait être disponible maintenant.

Enable SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vanilla JS. Vous devriez maintenant pouvoir vous connecter avec SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Google Workspace enterprise SSO with Vue]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-google-workspace-enterprise-sso-sign-in-with-vue-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Google Workspace enterprise SSO (authentification utilisateur) avec Vue et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vue.
  • Un compte Google Workspace enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Single page app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Single page app" ou filtrez tous les frameworks "Single page app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vue" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vue SDK​

astuce:
  • Le Logto Vue SDK est construit avec l'API de composition et utilise les composables, il est donc uniquement compatible avec Vue 3.
  • La vidéo tutorielle est disponible sur notre chaîne YouTube.
  • Le projet d'exemple complet est disponible sur notre répertoire SDK.

Installation​

npm i @logto/vue

Init LogtoClient​

Importer et utiliser createLogto pour installer le plugin Logto :

main.ts
import { createLogto, LogtoConfig } from '@logto/vue';
import { createApp } from 'vue';
import App from './App.vue';

const config: LogtoConfig = {
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
};

const app = createApp(App);

app.use(createLogto, config);
app.mount('#app');

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur soit redirigé vers votre application depuis Logto. Gérons cela correctement.

Commençons par créer une page de rappel :

views/CallbackView.vue
import { useHandleSignInCallback } from '@logto/vue';
import router from '@/router';

const { isLoading } = useHandleSignInCallback(() => {
  // Faites quelque chose une fois terminé, par exemple rediriger vers la page d'accueil
});
<template>
  <!-- Lorsque le traitement est en cours -->
  <p v-if="isLoading">Redirection...</p>
</template>

Insérez le code ci-dessous dans votre route /callback qui ne nécessite PAS d'authentification :

router/index.ts
// Supposons vue-router
const router = createRouter({
  routes: [
    {
      path: '/callback',
      name: 'callback',
      component: CallbackView,
    },
  ],
});

Implémenter la connexion et la déconnexion​

Nous fournissons deux composables useHandleSignInCallback() et useLogto() qui peuvent vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

views/HomeView.vue
import { useLogto } from '@logto/vue';

const { signIn, signOut, isAuthenticated } = useLogto();

const onClickSignIn = () => signIn('http://localhost:3000/callback');
const onClickSignOut = () => signOut('http://localhost:3000');
<template>
  <button v-if="!isAuthenticated" @click="onClickSignIn">Se connecter</button>
  <button v-else @click="onClickSignOut">Se déconnecter</button>
</template>

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Google Workspace enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vue en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Google Cloud Platform​

Étape 1 : Créer un nouveau projet sur Google Cloud Platform​

Avant de pouvoir utiliser Google Workspace comme fournisseur d'authentification, vous devez configurer un projet dans la Google API Console pour obtenir des identifiants OAuth 2.0. Si vous avez déjà un projet, vous pouvez passer cette étape. Sinon, créez un nouveau projet sous votre organisation Google.

Pour créer de nouvelles informations d'identification OIDC, vous devez configurer l'écran de consentement pour votre application.

  1. Accédez à la page de l'écran de consentement OAuth et sélectionnez le type d'utilisateur Interne. Cela rendra l'application OAuth disponible uniquement pour les utilisateurs au sein de votre organisation.
Type d'utilisateur de l'écran de consentement Google Workspace
  1. Remplissez les paramètres de l'Écran de consentement en suivant les instructions sur la page. Vous devez fournir les informations minimales suivantes :
  • Nom de l'application : Le nom de votre application. Il sera affiché sur l'écran de consentement.
  • Email de support : L'email de support de votre application. Il sera affiché sur l'écran de consentement.
Paramètres de l'écran de consentement Google Workspace
  1. Définissez les Portées pour votre application. Afin de récupérer correctement les informations d'identité et l'adresse e-mail de l'utilisateur depuis le fournisseur d’identité (IdP), les connecteurs SSO de Logto doivent accorder les portées suivantes depuis le IdP :
Portées de l'écran de consentement Google Workspace
  • openid : Cette portée est requise pour l'authentification OIDC. Elle est utilisée pour récupérer le jeton d’identifiant et accéder au point de terminaison userInfo du IdP.
  • profile : Cette portée est requise pour accéder aux informations de profil de base de l'utilisateur.
  • email : Cette portée est requise pour accéder à l'adresse e-mail de l'utilisateur.

Cliquez sur le bouton Enregistrer pour sauvegarder les paramètres de l'écran de consentement.

Étape 3 : Créer de nouvelles informations d’identification OAuth​

Accédez à la page Credentials et cliquez sur le bouton Create Credentials. Sélectionnez l'option OAuth client ID dans le menu déroulant pour créer une nouvelle référence OAuth pour votre application.

Google Workspace create credentials

Continuez à configurer la référence OAuth en remplissant les informations suivantes :

Google Workspace credentials config
  1. Sélectionnez Web application comme type d'application.
  2. Remplissez le Name de votre application cliente, par exemple Logto SSO Connector. Cela vous aidera à identifier les références à l'avenir.
  3. Remplissez les Authorized redirect URIs avec l'URI de rappel Logto. C'est l'URI vers lequel Google redirigera le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès du fournisseur d’identité (IdP), l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.
  4. Remplissez les Authorized JavaScript origins avec l'origine de l'URI de rappel Logto. Cela garantit que seule votre application Logto peut envoyer des requêtes au serveur OAuth de Google.
  5. Cliquez sur le bouton Create pour créer la référence OAuth.

Étape 4 : Configurer le connecteur Logto avec les identifiants client​

Après avoir créé avec succès l'identifiant OAuth, vous recevrez une fenêtre modale avec l'ID client et le secret client.

Google Workspace create credentials

Copiez l'ID client et le secret client et remplissez les champs correspondants dans l'onglet Connection du connecteur SSO de Logto.

Vous avez maintenant configuré avec succès un connecteur SSO Google Workspace sur Logto.

Étape 5 : Portées supplémentaires (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder dans leurs comptes Google Workspace. La demande de permissions Google nécessite une configuration des deux côtés :

Dans la Google Cloud Console :

  1. Accédez à APIs & Services > Écran de consentement OAuth > Portées (Scopes).
  2. Cliquez sur Ajouter ou supprimer des portées et sélectionnez uniquement les portées dont votre application a besoin :
    • Authentification (obligatoire) :
      • https://www.googleapis.com/auth/userinfo.email
      • https://www.googleapis.com/auth/userinfo.profile
      • openid
    • Accès à l’API (optionnel) : Ajoutez toutes les portées supplémentaires nécessaires pour votre application (par exemple, Drive, Calendar, YouTube). Parcourez la bibliothèque d’API Google pour trouver les services disponibles. Si votre application a besoin d’accéder à des API Google au-delà des permissions de base, activez d’abord les API spécifiques que votre application utilisera (par exemple, Google Drive API, Gmail API, Calendar API) dans la bibliothèque d’API Google.
  3. Cliquez sur Mettre à jour pour confirmer la sélection.
  4. Cliquez sur Enregistrer et continuer pour appliquer les modifications.

Dans le connecteur Logto Google Workspace :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base sur l'utilisateur.
  2. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Google. Utilisez les URLs complètes des portées, par exemple : https://www.googleapis.com/auth/calendar.readonly
astuce:

Si votre application demande ces portées pour accéder à l’API Google et effectuer des actions, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Google. Voir la section suivante pour plus de détails.

Étape 6 : Stocker les jetons pour accéder aux API Google (Optionnel)​

Si vous souhaitez accéder aux API Google et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration de l'écran de consentement OAuth de votre Google Cloud Console et dans le connecteur Google de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Google de Logto. Logto stockera de manière sécurisée les jetons d’accès Google et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, configurez votre connecteur Google Logto pour activer l’accès hors ligne.
attention:

Vous n'avez pas besoin d’ajouter offline_access dans le champ Scope de Logto — le faire peut entraîner une erreur. Google utilise automatiquement access_type=offline lorsque l’accès hors ligne est activé.

Étape 7 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Pour plus d’informations sur le connecteur Google Workspace SSO, veuillez consulter Google OpenID Connector.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Google Workspace enterprise SSO devrait être disponible maintenant.

Enable Google Workspace enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vue. Vous devriez maintenant pouvoir vous connecter avec Google Workspace enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID OIDC enterprise SSO with Vue]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-oidc-enterprise-sso-sign-in-with-vue-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID OIDC enterprise SSO (authentification utilisateur) avec Vue et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vue.
  • Un compte Microsoft Entra ID OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Single page app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Single page app" ou filtrez tous les frameworks "Single page app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vue" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vue SDK​

astuce:
  • Le Logto Vue SDK est construit avec l'API de composition et utilise les composables, il est donc uniquement compatible avec Vue 3.
  • La vidéo tutorielle est disponible sur notre chaîne YouTube.
  • Le projet d'exemple complet est disponible sur notre répertoire SDK.

Installation​

npm i @logto/vue

Init LogtoClient​

Importer et utiliser createLogto pour installer le plugin Logto :

main.ts
import { createLogto, LogtoConfig } from '@logto/vue';
import { createApp } from 'vue';
import App from './App.vue';

const config: LogtoConfig = {
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
};

const app = createApp(App);

app.use(createLogto, config);
app.mount('#app');

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur soit redirigé vers votre application depuis Logto. Gérons cela correctement.

Commençons par créer une page de rappel :

views/CallbackView.vue
import { useHandleSignInCallback } from '@logto/vue';
import router from '@/router';

const { isLoading } = useHandleSignInCallback(() => {
  // Faites quelque chose une fois terminé, par exemple rediriger vers la page d'accueil
});
<template>
  <!-- Lorsque le traitement est en cours -->
  <p v-if="isLoading">Redirection...</p>
</template>

Insérez le code ci-dessous dans votre route /callback qui ne nécessite PAS d'authentification :

router/index.ts
// Supposons vue-router
const router = createRouter({
  routes: [
    {
      path: '/callback',
      name: 'callback',
      component: CallbackView,
    },
  ],
});

Implémenter la connexion et la déconnexion​

Nous fournissons deux composables useHandleSignInCallback() et useLogto() qui peuvent vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

views/HomeView.vue
import { useLogto } from '@logto/vue';

const { signIn, signOut, isAuthenticated } = useLogto();

const onClickSignIn = () => signIn('http://localhost:3000/callback');
const onClickSignOut = () => signOut('http://localhost:3000');
<template>
  <button v-if="!isAuthenticated" @click="onClickSignIn">Se connecter</button>
  <button v-else @click="onClickSignOut">Se déconnecter</button>
</template>

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Microsoft Entra ID OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vue en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Azure AD SSO application​

Étape 1 : Créer une application OIDC Microsoft EntraID​

  1. Allez sur le centre d'administration Microsoft Entra et connectez-vous en tant qu'administrateur.

  2. Accédez à Identity > Applications > App registrations.

Créer une application

  1. Sélectionnez New registration.

  2. Entrez le nom de l'application et sélectionnez le type de compte approprié pour votre application.

  3. Sélectionnez Web comme plateforme de l'application.

  4. Copiez et collez l'URI de redirection depuis la page des paramètres SSO de Logto. L'URI de redirection est l'URL où l'utilisateur est redirigé après s'être authentifié avec Microsoft Entra ID.

Configurer l'application
  1. Cliquez sur Register pour créer l'application.

Étape 2 : Configurer le SSO OIDC Microsoft Entra ID dans Logto​

Après avoir créé avec succès une application Microsoft Entra OIDC, vous devrez fournir les configurations du fournisseur d’identité (IdP) à Logto. Rendez-vous dans l’onglet Connection de la Console Logto et renseignez les configurations suivantes :

  1. ID client : Un identifiant unique attribué à votre application OIDC par Microsoft Entra. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC. Vous pouvez le trouver sur la page d’aperçu de l’application sous Application (client) ID.
Détails de l’application
  1. Secret client : Créez un nouveau secret client et copiez la valeur dans Logto. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et le fournisseur d’identité (IdP).
Créer un secret

  1. Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour le fournisseur d’identité (IdP), spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires.

    Au lieu de fournir manuellement tous ces points de terminaison OIDC, Logto récupère automatiquement toutes les configurations requises et les points de terminaison du fournisseur d’identité (IdP). Cela se fait en utilisant l’URL de l’émetteur que vous avez fournie et en effectuant un appel au point de terminaison de découverte du fournisseur d’identité (IdP).

    Pour obtenir l’URL de l’émetteur, vous pouvez la trouver dans la section Endpoints de la page d’aperçu de l’application.

    Repérez le point de terminaison OpenID Connect metadata document et copiez l’URL SANS le chemin final .well-known/openid-configuration. En effet, Logto ajoutera automatiquement .well-known/openid-configuration à l’URL de l’émetteur lors de la récupération des configurations OIDC.

Points de terminaison
  1. Portée (Scope) (optionnel) : Logto inclut automatiquement les portées requises (openid, profile et email) dans toutes les requêtes. Vous pouvez spécifier des portées supplémentaires sous forme de liste séparée par des espaces si votre application nécessite des permissions ou des niveaux d’accès supplémentaires du fournisseur d’identité (IdP).

Cliquez sur Save pour terminer le processus de configuration

Étape 3 : Portées supplémentaires (facultatif)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes Microsoft Entra ID. La demande de permissions Microsoft Graph nécessite une configuration des deux côtés :

Dans le centre d'administration Microsoft Entra :

  1. Accédez à Microsoft Entra ID > Enregistrements d'applications et sélectionnez votre application.
  2. Allez dans Permissions API > Ajouter une permission > Microsoft Graph > Permissions déléguées.
  3. Sélectionnez uniquement les permissions requises par votre application :
    • Permissions OpenID :
      • openid (Obligatoire) - Connecter les utilisateurs
      • profile (Obligatoire) - Voir le profil de base des utilisateurs
      • email (Obligatoire) - Voir l'adresse e-mail des utilisateurs
      • offline_access (Optionnel) - Nécessaire uniquement si vous activez Stocker les jetons pour un accès API persistant dans le connecteur Logto et que vous devez obtenir des jetons de rafraîchissement pour un accès longue durée aux API Microsoft Graph.
    • Accès API (Optionnel) : Ajoutez toutes les permissions supplémentaires nécessaires à votre application. Les permissions courantes de Microsoft Graph incluent Mail.Read, Calendars.Read, Files.Read, etc. Parcourez la référence des permissions Microsoft Graph pour trouver les permissions disponibles.
  4. Cliquez sur Ajouter des permissions pour confirmer la sélection.
  5. Si votre application nécessite un consentement administrateur pour certaines permissions, cliquez sur Accorder le consentement administrateur pour [Votre organisation].
Ajouter des permissions API Microsoft

Dans le connecteur Logto Microsoft Entra ID :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base de l'utilisateur.
  2. Ajoutez offline_access au champ Scopes si vous prévoyez de stocker des jetons pour un accès API persistant. Cette portée permet d'obtenir des jetons de rafraîchissement pour un accès longue durée à l'API.
  3. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Microsoft Graph. Utilisez les noms de portées standards, par exemple : User.Read Mail.Read Calendars.Read
astuce:

Si votre application demande ces portées pour accéder à l'API Microsoft Graph et effectuer des actions, assurez-vous d'activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Microsoft Entra ID. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API Microsoft (facultatif)​

Si vous souhaitez accéder aux API Microsoft Graph et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration des permissions API de votre centre d'administration Microsoft Entra et dans le connecteur Microsoft Entra ID de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Microsoft Entra ID de Logto. Logto stockera de manière sécurisée les jetons d’accès Microsoft et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, ajoutez la portée offline_access aux permissions de votre application Microsoft Entra ID et incluez-la dans les portées de votre connecteur Microsoft Entra ID de Logto. Cette portée permet à votre application de maintenir l'accès aux ressources pendant de longues périodes.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domains e-mail de votre organisation dans l’onglet experience du connecteur. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront exclusivement limités à l’utilisation de votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID OIDC enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vue. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID SAML enterprise SSO with Vue]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-saml-enterprise-sso-sign-in-with-vue-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID SAML enterprise SSO (authentification utilisateur) avec Vue et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vue.
  • Un compte Microsoft Entra ID SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Single page app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Single page app" ou filtrez tous les frameworks "Single page app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vue" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vue SDK​

astuce:
  • Le Logto Vue SDK est construit avec l'API de composition et utilise les composables, il est donc uniquement compatible avec Vue 3.
  • La vidéo tutorielle est disponible sur notre chaîne YouTube.
  • Le projet d'exemple complet est disponible sur notre répertoire SDK.

Installation​

npm i @logto/vue

Init LogtoClient​

Importer et utiliser createLogto pour installer le plugin Logto :

main.ts
import { createLogto, LogtoConfig } from '@logto/vue';
import { createApp } from 'vue';
import App from './App.vue';

const config: LogtoConfig = {
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
};

const app = createApp(App);

app.use(createLogto, config);
app.mount('#app');

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur soit redirigé vers votre application depuis Logto. Gérons cela correctement.

Commençons par créer une page de rappel :

views/CallbackView.vue
import { useHandleSignInCallback } from '@logto/vue';
import router from '@/router';

const { isLoading } = useHandleSignInCallback(() => {
  // Faites quelque chose une fois terminé, par exemple rediriger vers la page d'accueil
});
<template>
  <!-- Lorsque le traitement est en cours -->
  <p v-if="isLoading">Redirection...</p>
</template>

Insérez le code ci-dessous dans votre route /callback qui ne nécessite PAS d'authentification :

router/index.ts
// Supposons vue-router
const router = createRouter({
  routes: [
    {
      path: '/callback',
      name: 'callback',
      component: CallbackView,
    },
  ],
});

Implémenter la connexion et la déconnexion​

Nous fournissons deux composables useHandleSignInCallback() et useLogto() qui peuvent vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

views/HomeView.vue
import { useLogto } from '@logto/vue';

const { signIn, signOut, isAuthenticated } = useLogto();

const onClickSignIn = () => signIn('http://localhost:3000/callback');
const onClickSignOut = () => signOut('http://localhost:3000');
<template>
  <button v-if="!isAuthenticated" @click="onClickSignIn">Se connecter</button>
  <button v-else @click="onClickSignOut">Se déconnecter</button>
</template>

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add Microsoft Entra ID SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vue en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SSO Azure AD​

Étape 1 : Créer une application Azure AD SSO​

Initiez l'intégration SSO Azure AD en créant une application SSO du côté Azure AD.

  1. Allez sur le portail Azure et connectez-vous en tant qu'administrateur.
  2. Sélectionnez le service Microsoft Entra ID.
  3. Naviguez vers les Applications d'entreprise à l'aide du menu latéral. Cliquez sur Nouvelle application, et sélectionnez Créer votre propre application.
Azure AD create application
  1. Entrez le nom de l'application et sélectionnez Intégrer toute autre application que vous ne trouvez pas dans la galerie (Non-galerie).
  2. Sélectionnez Configurer l’authentification unique > SAML.
Azure AD set up SSO
  1. Suivez les instructions, comme première étape, vous devrez remplir la configuration SAML de base en utilisant les informations suivantes fournies par Logto.
Azure AD SP config
  • URI d’audience (ID d’entité SP) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour SP lors des requêtes d’authentification vers le fournisseur d’identité (IdP). Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et à consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Cliquez sur Enregistrer pour continuer.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Revenons du côté de Logto et accédons à l'onglet Connection de votre connecteur Azure AD SSO.

Logto propose trois manières différentes de configurer les métadonnées de l'IdP. La manière la plus simple est de fournir l'URL des métadonnées de l'application Azure AD SSO.

Copiez l'URL des métadonnées de fédération de l'application à partir de la section Certificats SAML de votre application Azure AD SSO et collez-la dans le champ Metadata URL dans Logto.

Azure AD Metadata URL

Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.

Étape 3 : Configurer le mappage des attributs utilisateur​

Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) aux attributs utilisateur dans Logto. Logto synchronisera par défaut les attributs utilisateur suivants depuis l'IdP :

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameID de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur. Logto lira la revendication email de la réponse SAML comme e-mail principal de l'utilisateur par défaut.
  • name : Le nom de l'utilisateur.

Vous pouvez gérer la logique de mappage des attributs utilisateur soit du côté Azure AD, soit du côté Logto.

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté Logto.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Copiez les noms d'attributs suivants (avec le préfixe de l'espace de noms) et collez-les dans les champs correspondants dans Logto.

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Recommandation : mettez à jour cette carte de valeur d'attribut à user.displayname pour une meilleure expérience utilisateur)
Mappage d'attributs par défaut Azure AD

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté AzureAD.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Cliquez sur Edit, et mettez à jour les champs Additional claims en fonction des paramètres des attributs utilisateur Logto :

    • mettez à jour la valeur du nom de revendication en fonction des paramètres des attributs utilisateur Logto.
    • supprimez le préfixe de l'espace de noms.
    • cliquez sur Save pour continuer.

    Vous devriez obtenir les paramètres suivants :

Mappage d'attributs Azure AD_Logto

Vous pouvez également spécifier des attributs utilisateur supplémentaires du côté Azure AD. Logto conservera un enregistrement des attributs utilisateur originaux renvoyés par l'IdP sous le champ sso_identity de l'utilisateur.

Étape 4 : Assigner des utilisateurs à l'application Azure AD SSO​

Visitez la section Users and groups de votre application Azure AD SSO. Cliquez sur Add user/group pour attribuer des utilisateurs à l'application Azure AD SSO. Seuls les utilisateurs attribués à votre application Azure AD SSO pourront s'authentifier via le connecteur Azure AD SSO.

Azure AD assign users

Étape 5 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet SSO experience du connecteur de Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Veuillez consulter la documentation officielle d'Azure AD pour plus de détails sur l'intégration SSO d'Azure AD.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID SAML enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vue. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build OIDC enterprise SSO with Vue]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-oidc-enterprise-sso-sign-in-with-vue-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion OIDC enterprise SSO (authentification utilisateur) avec Vue et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vue.
  • Un compte OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Single page app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Single page app" ou filtrez tous les frameworks "Single page app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vue" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vue SDK​

astuce:
  • Le Logto Vue SDK est construit avec l'API de composition et utilise les composables, il est donc uniquement compatible avec Vue 3.
  • La vidéo tutorielle est disponible sur notre chaîne YouTube.
  • Le projet d'exemple complet est disponible sur notre répertoire SDK.

Installation​

npm i @logto/vue

Init LogtoClient​

Importer et utiliser createLogto pour installer le plugin Logto :

main.ts
import { createLogto, LogtoConfig } from '@logto/vue';
import { createApp } from 'vue';
import App from './App.vue';

const config: LogtoConfig = {
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
};

const app = createApp(App);

app.use(createLogto, config);
app.mount('#app');

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur soit redirigé vers votre application depuis Logto. Gérons cela correctement.

Commençons par créer une page de rappel :

views/CallbackView.vue
import { useHandleSignInCallback } from '@logto/vue';
import router from '@/router';

const { isLoading } = useHandleSignInCallback(() => {
  // Faites quelque chose une fois terminé, par exemple rediriger vers la page d'accueil
});
<template>
  <!-- Lorsque le traitement est en cours -->
  <p v-if="isLoading">Redirection...</p>
</template>

Insérez le code ci-dessous dans votre route /callback qui ne nécessite PAS d'authentification :

router/index.ts
// Supposons vue-router
const router = createRouter({
  routes: [
    {
      path: '/callback',
      name: 'callback',
      component: CallbackView,
    },
  ],
});

Implémenter la connexion et la déconnexion​

Nous fournissons deux composables useHandleSignInCallback() et useLogto() qui peuvent vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

views/HomeView.vue
import { useLogto } from '@logto/vue';

const { signIn, signOut, isAuthenticated } = useLogto();

const onClickSignIn = () => signIn('http://localhost:3000/callback');
const onClickSignOut = () => signOut('http://localhost:3000');
<template>
  <button v-if="!isAuthenticated" @click="onClickSignIn">Se connecter</button>
  <button v-else @click="onClickSignOut">Se déconnecter</button>
</template>

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vue en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up OIDC application on your IdP​

Étape 1 : Créer une application OIDC sur votre fournisseur d’identité (IdP)​

Initiez l'intégration OIDC SSO en créant une application du côté du fournisseur d'identité (IdP). Vous devrez fournir les configurations suivantes depuis le serveur Logto.

  • URI de rappel : L'URI de rappel Logto, également connu sous le nom d'URI de redirection ou URL de réponse, est un point de terminaison ou une URL spécifique que l'IdP utilise pour rediriger le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès de l'IdP, l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.

Remplissez l'URI de rappel Logto dans le formulaire de paramètres de l'application OIDC de votre IdP et continuez à créer l'application. (La plupart des IdP OIDC offrent un large éventail de types d'applications parmi lesquels choisir. Pour créer un connecteur SSO basé sur le web sur Logto, veuillez choisir le type Web Application.)

Étape 2 : Configurer l’authentification unique OIDC sur Logto​

Après avoir créé avec succès une application OIDC du côté du fournisseur d’identité (IdP), vous devrez fournir les configurations de l’IdP à Logto. Accédez à l’onglet Connection et renseignez les configurations suivantes :

  • Client ID : Un identifiant unique attribué à votre application OIDC par l’IdP. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC.
  • Client Secret : Un secret confidentiel partagé entre Logto et l’IdP. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et l’IdP.
  • Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour l’IdP, spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires. Pour faciliter le processus de configuration, Logto récupérera automatiquement les points de terminaison et configurations OIDC requis. Cela se fait en utilisant l’émetteur que vous avez fourni et en effectuant un appel aux points de terminaison de découverte OIDC de l’IdP. Il est impératif de s’assurer que le point de terminaison de l’émetteur est valide et correctement configuré afin de permettre à Logto de récupérer correctement les informations nécessaires. Après une requête de récupération réussie, vous devriez pouvoir voir les configurations IdP analysées dans la section des émetteurs.

Étape 3 : Configurer les portées (Scopes) (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes d’entreprise.

La configuration des portées nécessite une configuration des deux côtés :

  1. Votre fournisseur d’identité (IdP) : Configurez quelles permissions sont autorisées pour l’autorisation dans la console de votre IdP
    • Certains IdP activent toutes les portées publiques par défaut (aucune action requise)
    • D’autres exigent que vous accordiez explicitement les permissions
  2. Connecteur d’entreprise Logto : Spécifiez quelles portées demander lors de l’authentification dans les paramètres du connecteur OIDC d’entreprise Logto > champ Scopes.
    • Logto inclut toujours les portées openid, profile et email pour récupérer les informations d’identité de base de l’utilisateur, indépendamment de vos paramètres de portées personnalisées.
    • Vous pouvez ajouter des portées supplémentaires (séparées par des espaces) pour demander plus d’informations au IdP.
astuce:

Si votre application doit accéder à des API en utilisant ces portées, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans votre connecteur d’entreprise Logto. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API tierces (Optionnel)​

Si vous souhaitez accéder aux API du fournisseur d’identité (Identity Provider) et effectuer des actions avec l’autorisation de l’utilisateur, Logto doit obtenir des portées API (Scopes) spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans le champ scope en suivant les instructions ci-dessus.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Logto OIDC d’entreprise. Logto stockera en toute sécurité les jetons d’accès dans le Secret Vault.
  3. Pour les fournisseurs d’identité OIDC standards, la portée offline_access doit être incluse pour obtenir un jeton de rafraîchissement (Refresh token), évitant ainsi de demander à plusieurs reprises le consentement de l’utilisateur.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur OIDC enterprise SSO devrait être disponible maintenant.

Enable OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vue. Vous devriez maintenant pouvoir vous connecter avec OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build SAML enterprise SSO with Vue]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-saml-enterprise-sso-sign-in-with-vue-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion SAML enterprise SSO (authentification utilisateur) avec Vue et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Vue.
  • Un compte SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Single page app, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Single page app" ou filtrez tous les frameworks "Single page app" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "Vue" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate Vue SDK​

astuce:
  • Le Logto Vue SDK est construit avec l'API de composition et utilise les composables, il est donc uniquement compatible avec Vue 3.
  • La vidéo tutorielle est disponible sur notre chaîne YouTube.
  • Le projet d'exemple complet est disponible sur notre répertoire SDK.

Installation​

npm i @logto/vue

Init LogtoClient​

Importer et utiliser createLogto pour installer le plugin Logto :

main.ts
import { createLogto, LogtoConfig } from '@logto/vue';
import { createApp } from 'vue';
import App from './App.vue';

const config: LogtoConfig = {
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
};

const app = createApp(App);

app.use(createLogto, config);
app.mount('#app');

Configurer les URIs de redirection​

Avant d’entrer dans les détails, voici un aperçu rapide de l’expérience utilisateur finale. Le processus de connexion peut être simplifié comme suit :

  1. Votre application lance la méthode de connexion.
  2. L’utilisateur est redirigé vers la page de connexion Logto. Pour les applications natives, le navigateur système est ouvert.
  3. L’utilisateur se connecte et est redirigé vers votre application (configurée comme l’URI de redirection).

Concernant la connexion basée sur la redirection​

  1. Ce processus d'authentification (Authentication) suit le protocole OpenID Connect (OIDC), et Logto applique des mesures de sécurité strictes pour protéger la connexion utilisateur.
  2. Si vous avez plusieurs applications, vous pouvez utiliser le même fournisseur d’identité (Logto). Une fois que l'utilisateur se connecte à une application, Logto complétera automatiquement le processus de connexion lorsque l'utilisateur accède à une autre application.

Pour en savoir plus sur la logique et les avantages de la connexion basée sur la redirection, consultez Expérience de connexion Logto expliquée.

remarque:

Dans les extraits de code suivants, nous supposons que votre application fonctionne sur http://localhost:3000/.

Configurer les URIs de redirection​

Passez à la page des détails de l'application de Logto Console. Ajoutez une URI de redirection http://localhost:3000/callback.

URI de redirection dans Logto Console

Tout comme pour la connexion, les utilisateurs doivent être redirigés vers Logto pour se déconnecter de la session partagée. Une fois terminé, il serait idéal de rediriger l'utilisateur vers votre site web. Par exemple, ajoutez http://localhost:3000/ comme section d'URI de redirection après déconnexion.

Ensuite, cliquez sur "Enregistrer" pour sauvegarder les modifications.

Gérer la redirection​

Il reste encore des choses à faire après que l'utilisateur soit redirigé vers votre application depuis Logto. Gérons cela correctement.

Commençons par créer une page de rappel :

views/CallbackView.vue
import { useHandleSignInCallback } from '@logto/vue';
import router from '@/router';

const { isLoading } = useHandleSignInCallback(() => {
  // Faites quelque chose une fois terminé, par exemple rediriger vers la page d'accueil
});
<template>
  <!-- Lorsque le traitement est en cours -->
  <p v-if="isLoading">Redirection...</p>
</template>

Insérez le code ci-dessous dans votre route /callback qui ne nécessite PAS d'authentification :

router/index.ts
// Supposons vue-router
const router = createRouter({
  routes: [
    {
      path: '/callback',
      name: 'callback',
      component: CallbackView,
    },
  ],
});

Implémenter la connexion et la déconnexion​

Nous fournissons deux composables useHandleSignInCallback() et useLogto() qui peuvent vous aider à gérer facilement le flux d'authentification (Authentication).

remarque:

Avant d'appeler .signIn(), assurez-vous d'avoir correctement configuré l'URI de redirection dans la console d'administration.

views/HomeView.vue
import { useLogto } from '@logto/vue';

const { signIn, signOut, isAuthenticated } = useLogto();

const onClickSignIn = () => signIn('http://localhost:3000/callback');
const onClickSignOut = () => signOut('http://localhost:3000');
<template>
  <button v-if="!isAuthenticated" @click="onClickSignIn">Se connecter</button>
  <button v-else @click="onClickSignOut">Se déconnecter</button>
</template>

Appeler .signOut() effacera toutes les données Logto en mémoire et dans le localStorage si elles existent.

Point de contrôle : Testez votre application​

Maintenant, vous pouvez tester votre application :

  1. Exécutez votre application, vous verrez le bouton de connexion.
  2. Cliquez sur le bouton de connexion, le SDK initiera le processus de connexion et vous redirigera vers la page de connexion Logto.
  3. Après vous être connecté, vous serez redirigé vers votre application et verrez le bouton de déconnexion.
  4. Cliquez sur le bouton de déconnexion pour effacer le stockage des jetons et vous déconnecter.

Add SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec Vue en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SAML SSO sur votre IdP​

Étape 1 : Créer une application SAML SSO sur votre IdP {#step-1-create-a-saml-sso-application-on-your-idp}

Initiez l'intégration SAML SSO en créant une application du côté du fournisseur d'identité (IdP). Obtenez les configurations suivantes de Logto, représentant votre fournisseur de services (SP) :

  • URI d'audience (SP Entity ID) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour le SP lors des requêtes d'authentification vers l'IdP. Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Remplissez les configurations de l'URI d'audience et de l'URL ACS dans votre application SAML IdP et continuez à récupérer les configurations suivantes de votre IdP.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Les métadonnées de l'IdP sont un document XML qui contient toutes les informations nécessaires pour que Logto établisse la confiance avec l'IdP.

Accédez à l'onglet Connection. Logto propose trois manières différentes de configurer les métadonnées de l'IdP :

  1. URL des métadonnées : Fournissez l'URL du document XML des métadonnées de l'IdP. Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.
  2. Télécharger les métadonnées : Téléchargez le document XML des métadonnées de l'IdP. Logto analysera le document XML et configurera automatiquement l'intégration SAML SSO.
  3. Configuration manuelle : Configurez manuellement les métadonnées de l'IdP.
  • ID d'entité de l'IdP : L'ID d'entité de l'IdP.
  • URL d'authentification unique : L'URL du service d'authentification unique de l'IdP.
  • Certificat de signature : Le certificat x509 est utilisé pour vérifier la signature de la réponse SAML de l'IdP.

Avec l'une des configurations ci-dessus, Logto analysera les métadonnées de l'IdP et configurera l'intégration SAML SSO en conséquence.

Étape 3 : Configurer le mapping des attributs utilisateur​

Les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) peuvent varier en fonction de la configuration de l'IdP. Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par l'IdP aux attributs utilisateur dans Logto. Vous pouvez configurer le mappage des attributs utilisateur dans l'onglet d'expérience d'intégration SAML SSO.

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameId de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur.
  • name : Le nom de l'utilisateur.

Étape 4 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur SAML enterprise SSO devrait être disponible maintenant.

Enable SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Vue. Vous devriez maintenant pouvoir vous connecter avec SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Google Workspace enterprise SSO with Plugin WordPress]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-google-workspace-enterprise-sso-sign-in-with-wordpress-plugin-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Google Workspace enterprise SSO (authentification utilisateur) avec Plugin WordPress et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Plugin WordPress.
  • Un compte Google Workspace enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Traditional web, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Traditional web" ou filtrez tous les frameworks "Traditional web" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "WordPress" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate WordPress SDK​

Installer le plugin​

  1. Allez dans Extensions > Ajouter.
  2. Recherchez "Logto", ou entrez https://wordpress.org/plugins/logto/ dans la boîte de recherche.
  3. Cliquez sur Installer maintenant.
  4. Cliquez sur Activer.

Configurer le plugin​

Vous devriez maintenant voir le menu Logto dans la barre latérale de votre panneau d'administration WordPress. Cliquez sur Logto > Paramètres pour configurer le plugin.

remarque:

Vous devez avoir une application web traditionnelle créée dans Logto Console avant de configurer le plugin. Si vous n'en avez pas créé une, veuillez vous référer à Intégrer Logto dans votre application pour plus d'informations.

La configuration minimale pour commencer avec le plugin est :

  • Point de terminaison Logto : Le point de terminaison de votre locataire Logto.
  • ID de l'application : L'ID de votre application Logto.
  • Secret de l'application : Un des secrets valides de votre application Logto.

Toutes les valeurs peuvent être trouvées sur la page des détails de l'application dans Logto Console.

Après avoir rempli les valeurs, cliquez sur Enregistrer les modifications (faites défiler vers le bas de la page si vous ne trouvez pas le bouton).

Configurer l'URI de redirection​

L'URI de redirection est l'URL vers laquelle Logto redirigera les utilisateurs après leur authentification ; et l'URI de redirection après déconnexion est l'URL vers laquelle Logto redirigera les utilisateurs après leur déconnexion.

Voici un diagramme de séquence non normatif pour illustrer le flux de connexion :

Voici à quoi ressemble le flux de déconnexion dans un diagramme de séquence non normatif :

Pour en savoir plus sur la nécessité de la redirection, voir Expérience de connexion expliquée.

Dans notre cas, nous devons configurer les deux URIs de redirection dans votre Logto Console. Pour trouver l'URI de redirection, allez à la page Logto > Paramètres dans votre panneau d'administration WordPress. Vous verrez les champs URI de redirection et URI de redirection après déconnexion.

  1. Copiez les valeurs URI de redirection et URI de redirection après déconnexion et collez-les dans les champs URIs de redirection et URIs de redirection après déconnexion dans votre Logto Console.
  2. Cliquez sur Enregistrer les modifications dans Logto Console.

Point de contrôle : Testez votre site WordPress​

Vous pouvez maintenant tester votre intégration Logto sur votre site WordPress :

  1. Ouvrez une fenêtre de navigation privée si nécessaire.
  2. Visitez votre site WordPress et cliquez sur le lien Connexion si applicable ; ou visitez directement la page de connexion (par exemple, https://example.com/wp-login.php).
  3. La page devrait vous rediriger vers la page de connexion Logto.
  4. Complétez le processus de connexion ou d'inscription.
  5. Après une authentification réussie, vous devriez être redirigé vers votre site WordPress et connecté automatiquement.
  6. Cliquez sur le lien Déconnexion pour vous déconnecter de votre site WordPress.
  7. Vous devriez être redirigé vers la page de déconnexion Logto, puis de retour sur votre site WordPress.
  8. Vous devriez être déconnecté de votre site WordPress.

Pour en savoir plus sur les paramètres du plugin WordPress, consultez le démarrage rapide de WordPress.

Add Google Workspace enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec WordPress en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Google Cloud Platform​

Étape 1 : Créer un nouveau projet sur Google Cloud Platform​

Avant de pouvoir utiliser Google Workspace comme fournisseur d'authentification, vous devez configurer un projet dans la Google API Console pour obtenir des identifiants OAuth 2.0. Si vous avez déjà un projet, vous pouvez passer cette étape. Sinon, créez un nouveau projet sous votre organisation Google.

Pour créer de nouvelles informations d'identification OIDC, vous devez configurer l'écran de consentement pour votre application.

  1. Accédez à la page de l'écran de consentement OAuth et sélectionnez le type d'utilisateur Interne. Cela rendra l'application OAuth disponible uniquement pour les utilisateurs au sein de votre organisation.
Type d'utilisateur de l'écran de consentement Google Workspace
  1. Remplissez les paramètres de l'Écran de consentement en suivant les instructions sur la page. Vous devez fournir les informations minimales suivantes :
  • Nom de l'application : Le nom de votre application. Il sera affiché sur l'écran de consentement.
  • Email de support : L'email de support de votre application. Il sera affiché sur l'écran de consentement.
Paramètres de l'écran de consentement Google Workspace
  1. Définissez les Portées pour votre application. Afin de récupérer correctement les informations d'identité et l'adresse e-mail de l'utilisateur depuis le fournisseur d’identité (IdP), les connecteurs SSO de Logto doivent accorder les portées suivantes depuis le IdP :
Portées de l'écran de consentement Google Workspace
  • openid : Cette portée est requise pour l'authentification OIDC. Elle est utilisée pour récupérer le jeton d’identifiant et accéder au point de terminaison userInfo du IdP.
  • profile : Cette portée est requise pour accéder aux informations de profil de base de l'utilisateur.
  • email : Cette portée est requise pour accéder à l'adresse e-mail de l'utilisateur.

Cliquez sur le bouton Enregistrer pour sauvegarder les paramètres de l'écran de consentement.

Étape 3 : Créer de nouvelles informations d’identification OAuth​

Accédez à la page Credentials et cliquez sur le bouton Create Credentials. Sélectionnez l'option OAuth client ID dans le menu déroulant pour créer une nouvelle référence OAuth pour votre application.

Google Workspace create credentials

Continuez à configurer la référence OAuth en remplissant les informations suivantes :

Google Workspace credentials config
  1. Sélectionnez Web application comme type d'application.
  2. Remplissez le Name de votre application cliente, par exemple Logto SSO Connector. Cela vous aidera à identifier les références à l'avenir.
  3. Remplissez les Authorized redirect URIs avec l'URI de rappel Logto. C'est l'URI vers lequel Google redirigera le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès du fournisseur d’identité (IdP), l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.
  4. Remplissez les Authorized JavaScript origins avec l'origine de l'URI de rappel Logto. Cela garantit que seule votre application Logto peut envoyer des requêtes au serveur OAuth de Google.
  5. Cliquez sur le bouton Create pour créer la référence OAuth.

Étape 4 : Configurer le connecteur Logto avec les identifiants client​

Après avoir créé avec succès l'identifiant OAuth, vous recevrez une fenêtre modale avec l'ID client et le secret client.

Google Workspace create credentials

Copiez l'ID client et le secret client et remplissez les champs correspondants dans l'onglet Connection du connecteur SSO de Logto.

Vous avez maintenant configuré avec succès un connecteur SSO Google Workspace sur Logto.

Étape 5 : Portées supplémentaires (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder dans leurs comptes Google Workspace. La demande de permissions Google nécessite une configuration des deux côtés :

Dans la Google Cloud Console :

  1. Accédez à APIs & Services > Écran de consentement OAuth > Portées (Scopes).
  2. Cliquez sur Ajouter ou supprimer des portées et sélectionnez uniquement les portées dont votre application a besoin :
    • Authentification (obligatoire) :
      • https://www.googleapis.com/auth/userinfo.email
      • https://www.googleapis.com/auth/userinfo.profile
      • openid
    • Accès à l’API (optionnel) : Ajoutez toutes les portées supplémentaires nécessaires pour votre application (par exemple, Drive, Calendar, YouTube). Parcourez la bibliothèque d’API Google pour trouver les services disponibles. Si votre application a besoin d’accéder à des API Google au-delà des permissions de base, activez d’abord les API spécifiques que votre application utilisera (par exemple, Google Drive API, Gmail API, Calendar API) dans la bibliothèque d’API Google.
  3. Cliquez sur Mettre à jour pour confirmer la sélection.
  4. Cliquez sur Enregistrer et continuer pour appliquer les modifications.

Dans le connecteur Logto Google Workspace :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base sur l'utilisateur.
  2. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Google. Utilisez les URLs complètes des portées, par exemple : https://www.googleapis.com/auth/calendar.readonly
astuce:

Si votre application demande ces portées pour accéder à l’API Google et effectuer des actions, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Google. Voir la section suivante pour plus de détails.

Étape 6 : Stocker les jetons pour accéder aux API Google (Optionnel)​

Si vous souhaitez accéder aux API Google et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration de l'écran de consentement OAuth de votre Google Cloud Console et dans le connecteur Google de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Google de Logto. Logto stockera de manière sécurisée les jetons d’accès Google et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, configurez votre connecteur Google Logto pour activer l’accès hors ligne.
attention:

Vous n'avez pas besoin d’ajouter offline_access dans le champ Scope de Logto — le faire peut entraîner une erreur. Google utilise automatiquement access_type=offline lorsque l’accès hors ligne est activé.

Étape 7 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Pour plus d’informations sur le connecteur Google Workspace SSO, veuillez consulter Google OpenID Connector.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Google Workspace enterprise SSO devrait être disponible maintenant.

Enable Google Workspace enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Plugin WordPress. Vous devriez maintenant pouvoir vous connecter avec Google Workspace enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID OIDC enterprise SSO with Plugin WordPress]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-oidc-enterprise-sso-sign-in-with-wordpress-plugin-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID OIDC enterprise SSO (authentification utilisateur) avec Plugin WordPress et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Plugin WordPress.
  • Un compte Microsoft Entra ID OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Traditional web, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Traditional web" ou filtrez tous les frameworks "Traditional web" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "WordPress" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate WordPress SDK​

Installer le plugin​

  1. Allez dans Extensions > Ajouter.
  2. Recherchez "Logto", ou entrez https://wordpress.org/plugins/logto/ dans la boîte de recherche.
  3. Cliquez sur Installer maintenant.
  4. Cliquez sur Activer.

Configurer le plugin​

Vous devriez maintenant voir le menu Logto dans la barre latérale de votre panneau d'administration WordPress. Cliquez sur Logto > Paramètres pour configurer le plugin.

remarque:

Vous devez avoir une application web traditionnelle créée dans Logto Console avant de configurer le plugin. Si vous n'en avez pas créé une, veuillez vous référer à Intégrer Logto dans votre application pour plus d'informations.

La configuration minimale pour commencer avec le plugin est :

  • Point de terminaison Logto : Le point de terminaison de votre locataire Logto.
  • ID de l'application : L'ID de votre application Logto.
  • Secret de l'application : Un des secrets valides de votre application Logto.

Toutes les valeurs peuvent être trouvées sur la page des détails de l'application dans Logto Console.

Après avoir rempli les valeurs, cliquez sur Enregistrer les modifications (faites défiler vers le bas de la page si vous ne trouvez pas le bouton).

Configurer l'URI de redirection​

L'URI de redirection est l'URL vers laquelle Logto redirigera les utilisateurs après leur authentification ; et l'URI de redirection après déconnexion est l'URL vers laquelle Logto redirigera les utilisateurs après leur déconnexion.

Voici un diagramme de séquence non normatif pour illustrer le flux de connexion :

Voici à quoi ressemble le flux de déconnexion dans un diagramme de séquence non normatif :

Pour en savoir plus sur la nécessité de la redirection, voir Expérience de connexion expliquée.

Dans notre cas, nous devons configurer les deux URIs de redirection dans votre Logto Console. Pour trouver l'URI de redirection, allez à la page Logto > Paramètres dans votre panneau d'administration WordPress. Vous verrez les champs URI de redirection et URI de redirection après déconnexion.

  1. Copiez les valeurs URI de redirection et URI de redirection après déconnexion et collez-les dans les champs URIs de redirection et URIs de redirection après déconnexion dans votre Logto Console.
  2. Cliquez sur Enregistrer les modifications dans Logto Console.

Point de contrôle : Testez votre site WordPress​

Vous pouvez maintenant tester votre intégration Logto sur votre site WordPress :

  1. Ouvrez une fenêtre de navigation privée si nécessaire.
  2. Visitez votre site WordPress et cliquez sur le lien Connexion si applicable ; ou visitez directement la page de connexion (par exemple, https://example.com/wp-login.php).
  3. La page devrait vous rediriger vers la page de connexion Logto.
  4. Complétez le processus de connexion ou d'inscription.
  5. Après une authentification réussie, vous devriez être redirigé vers votre site WordPress et connecté automatiquement.
  6. Cliquez sur le lien Déconnexion pour vous déconnecter de votre site WordPress.
  7. Vous devriez être redirigé vers la page de déconnexion Logto, puis de retour sur votre site WordPress.
  8. Vous devriez être déconnecté de votre site WordPress.

Pour en savoir plus sur les paramètres du plugin WordPress, consultez le démarrage rapide de WordPress.

Add Microsoft Entra ID OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec WordPress en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Azure AD SSO application​

Étape 1 : Créer une application OIDC Microsoft EntraID​

  1. Allez sur le centre d'administration Microsoft Entra et connectez-vous en tant qu'administrateur.

  2. Accédez à Identity > Applications > App registrations.

Créer une application

  1. Sélectionnez New registration.

  2. Entrez le nom de l'application et sélectionnez le type de compte approprié pour votre application.

  3. Sélectionnez Web comme plateforme de l'application.

  4. Copiez et collez l'URI de redirection depuis la page des paramètres SSO de Logto. L'URI de redirection est l'URL où l'utilisateur est redirigé après s'être authentifié avec Microsoft Entra ID.

Configurer l'application
  1. Cliquez sur Register pour créer l'application.

Étape 2 : Configurer le SSO OIDC Microsoft Entra ID dans Logto​

Après avoir créé avec succès une application Microsoft Entra OIDC, vous devrez fournir les configurations du fournisseur d’identité (IdP) à Logto. Rendez-vous dans l’onglet Connection de la Console Logto et renseignez les configurations suivantes :

  1. ID client : Un identifiant unique attribué à votre application OIDC par Microsoft Entra. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC. Vous pouvez le trouver sur la page d’aperçu de l’application sous Application (client) ID.
Détails de l’application
  1. Secret client : Créez un nouveau secret client et copiez la valeur dans Logto. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et le fournisseur d’identité (IdP).
Créer un secret

  1. Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour le fournisseur d’identité (IdP), spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires.

    Au lieu de fournir manuellement tous ces points de terminaison OIDC, Logto récupère automatiquement toutes les configurations requises et les points de terminaison du fournisseur d’identité (IdP). Cela se fait en utilisant l’URL de l’émetteur que vous avez fournie et en effectuant un appel au point de terminaison de découverte du fournisseur d’identité (IdP).

    Pour obtenir l’URL de l’émetteur, vous pouvez la trouver dans la section Endpoints de la page d’aperçu de l’application.

    Repérez le point de terminaison OpenID Connect metadata document et copiez l’URL SANS le chemin final .well-known/openid-configuration. En effet, Logto ajoutera automatiquement .well-known/openid-configuration à l’URL de l’émetteur lors de la récupération des configurations OIDC.

Points de terminaison
  1. Portée (Scope) (optionnel) : Logto inclut automatiquement les portées requises (openid, profile et email) dans toutes les requêtes. Vous pouvez spécifier des portées supplémentaires sous forme de liste séparée par des espaces si votre application nécessite des permissions ou des niveaux d’accès supplémentaires du fournisseur d’identité (IdP).

Cliquez sur Save pour terminer le processus de configuration

Étape 3 : Portées supplémentaires (facultatif)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes Microsoft Entra ID. La demande de permissions Microsoft Graph nécessite une configuration des deux côtés :

Dans le centre d'administration Microsoft Entra :

  1. Accédez à Microsoft Entra ID > Enregistrements d'applications et sélectionnez votre application.
  2. Allez dans Permissions API > Ajouter une permission > Microsoft Graph > Permissions déléguées.
  3. Sélectionnez uniquement les permissions requises par votre application :
    • Permissions OpenID :
      • openid (Obligatoire) - Connecter les utilisateurs
      • profile (Obligatoire) - Voir le profil de base des utilisateurs
      • email (Obligatoire) - Voir l'adresse e-mail des utilisateurs
      • offline_access (Optionnel) - Nécessaire uniquement si vous activez Stocker les jetons pour un accès API persistant dans le connecteur Logto et que vous devez obtenir des jetons de rafraîchissement pour un accès longue durée aux API Microsoft Graph.
    • Accès API (Optionnel) : Ajoutez toutes les permissions supplémentaires nécessaires à votre application. Les permissions courantes de Microsoft Graph incluent Mail.Read, Calendars.Read, Files.Read, etc. Parcourez la référence des permissions Microsoft Graph pour trouver les permissions disponibles.
  4. Cliquez sur Ajouter des permissions pour confirmer la sélection.
  5. Si votre application nécessite un consentement administrateur pour certaines permissions, cliquez sur Accorder le consentement administrateur pour [Votre organisation].
Ajouter des permissions API Microsoft

Dans le connecteur Logto Microsoft Entra ID :

  1. Logto inclut automatiquement les portées openid, profile et email pour récupérer les informations d'identité de base de l'utilisateur. Vous pouvez laisser le champ Scopes vide si vous n'avez besoin que des informations de base de l'utilisateur.
  2. Ajoutez offline_access au champ Scopes si vous prévoyez de stocker des jetons pour un accès API persistant. Cette portée permet d'obtenir des jetons de rafraîchissement pour un accès longue durée à l'API.
  3. Ajoutez des portées supplémentaires (séparées par des espaces) dans le champ Scopes pour demander plus de données à Microsoft Graph. Utilisez les noms de portées standards, par exemple : User.Read Mail.Read Calendars.Read
astuce:

Si votre application demande ces portées pour accéder à l'API Microsoft Graph et effectuer des actions, assurez-vous d'activer Stocker les jetons pour un accès API persistant dans le connecteur Logto Microsoft Entra ID. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API Microsoft (facultatif)​

Si vous souhaitez accéder aux API Microsoft Graph et effectuer des actions avec l'autorisation de l'utilisateur, Logto doit obtenir des portées API spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans la configuration des permissions API de votre centre d'administration Microsoft Entra et dans le connecteur Microsoft Entra ID de Logto.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Microsoft Entra ID de Logto. Logto stockera de manière sécurisée les jetons d’accès Microsoft et les jetons de rafraîchissement dans le Secret Vault.
  3. Pour garantir que les jetons de rafraîchissement sont renvoyés, ajoutez la portée offline_access aux permissions de votre application Microsoft Entra ID et incluez-la dans les portées de votre connecteur Microsoft Entra ID de Logto. Cette portée permet à votre application de maintenir l'accès aux ressources pendant de longues périodes.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domains e-mail de votre organisation dans l’onglet experience du connecteur. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront exclusivement limités à l’utilisation de votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID OIDC enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Plugin WordPress. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build Microsoft Entra ID SAML enterprise SSO with Plugin WordPress]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-microsoft-entra-id-saml-enterprise-sso-sign-in-with-wordpress-plugin-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion Microsoft Entra ID SAML enterprise SSO (authentification utilisateur) avec Plugin WordPress et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Plugin WordPress.
  • Un compte Microsoft Entra ID SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Traditional web, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Traditional web" ou filtrez tous les frameworks "Traditional web" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "WordPress" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate WordPress SDK​

Installer le plugin​

  1. Allez dans Extensions > Ajouter.
  2. Recherchez "Logto", ou entrez https://wordpress.org/plugins/logto/ dans la boîte de recherche.
  3. Cliquez sur Installer maintenant.
  4. Cliquez sur Activer.

Configurer le plugin​

Vous devriez maintenant voir le menu Logto dans la barre latérale de votre panneau d'administration WordPress. Cliquez sur Logto > Paramètres pour configurer le plugin.

remarque:

Vous devez avoir une application web traditionnelle créée dans Logto Console avant de configurer le plugin. Si vous n'en avez pas créé une, veuillez vous référer à Intégrer Logto dans votre application pour plus d'informations.

La configuration minimale pour commencer avec le plugin est :

  • Point de terminaison Logto : Le point de terminaison de votre locataire Logto.
  • ID de l'application : L'ID de votre application Logto.
  • Secret de l'application : Un des secrets valides de votre application Logto.

Toutes les valeurs peuvent être trouvées sur la page des détails de l'application dans Logto Console.

Après avoir rempli les valeurs, cliquez sur Enregistrer les modifications (faites défiler vers le bas de la page si vous ne trouvez pas le bouton).

Configurer l'URI de redirection​

L'URI de redirection est l'URL vers laquelle Logto redirigera les utilisateurs après leur authentification ; et l'URI de redirection après déconnexion est l'URL vers laquelle Logto redirigera les utilisateurs après leur déconnexion.

Voici un diagramme de séquence non normatif pour illustrer le flux de connexion :

Voici à quoi ressemble le flux de déconnexion dans un diagramme de séquence non normatif :

Pour en savoir plus sur la nécessité de la redirection, voir Expérience de connexion expliquée.

Dans notre cas, nous devons configurer les deux URIs de redirection dans votre Logto Console. Pour trouver l'URI de redirection, allez à la page Logto > Paramètres dans votre panneau d'administration WordPress. Vous verrez les champs URI de redirection et URI de redirection après déconnexion.

  1. Copiez les valeurs URI de redirection et URI de redirection après déconnexion et collez-les dans les champs URIs de redirection et URIs de redirection après déconnexion dans votre Logto Console.
  2. Cliquez sur Enregistrer les modifications dans Logto Console.

Point de contrôle : Testez votre site WordPress​

Vous pouvez maintenant tester votre intégration Logto sur votre site WordPress :

  1. Ouvrez une fenêtre de navigation privée si nécessaire.
  2. Visitez votre site WordPress et cliquez sur le lien Connexion si applicable ; ou visitez directement la page de connexion (par exemple, https://example.com/wp-login.php).
  3. La page devrait vous rediriger vers la page de connexion Logto.
  4. Complétez le processus de connexion ou d'inscription.
  5. Après une authentification réussie, vous devriez être redirigé vers votre site WordPress et connecté automatiquement.
  6. Cliquez sur le lien Déconnexion pour vous déconnecter de votre site WordPress.
  7. Vous devriez être redirigé vers la page de déconnexion Logto, puis de retour sur votre site WordPress.
  8. Vous devriez être déconnecté de votre site WordPress.

Pour en savoir plus sur les paramètres du plugin WordPress, consultez le démarrage rapide de WordPress.

Add Microsoft Entra ID SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec WordPress en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SSO Azure AD​

Étape 1 : Créer une application Azure AD SSO​

Initiez l'intégration SSO Azure AD en créant une application SSO du côté Azure AD.

  1. Allez sur le portail Azure et connectez-vous en tant qu'administrateur.
  2. Sélectionnez le service Microsoft Entra ID.
  3. Naviguez vers les Applications d'entreprise à l'aide du menu latéral. Cliquez sur Nouvelle application, et sélectionnez Créer votre propre application.
Azure AD create application
  1. Entrez le nom de l'application et sélectionnez Intégrer toute autre application que vous ne trouvez pas dans la galerie (Non-galerie).
  2. Sélectionnez Configurer l’authentification unique > SAML.
Azure AD set up SSO
  1. Suivez les instructions, comme première étape, vous devrez remplir la configuration SAML de base en utilisant les informations suivantes fournies par Logto.
Azure AD SP config
  • URI d’audience (ID d’entité SP) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour SP lors des requêtes d’authentification vers le fournisseur d’identité (IdP). Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et à consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Cliquez sur Enregistrer pour continuer.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Revenons du côté de Logto et accédons à l'onglet Connection de votre connecteur Azure AD SSO.

Logto propose trois manières différentes de configurer les métadonnées de l'IdP. La manière la plus simple est de fournir l'URL des métadonnées de l'application Azure AD SSO.

Copiez l'URL des métadonnées de fédération de l'application à partir de la section Certificats SAML de votre application Azure AD SSO et collez-la dans le champ Metadata URL dans Logto.

Azure AD Metadata URL

Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.

Étape 3 : Configurer le mappage des attributs utilisateur​

Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) aux attributs utilisateur dans Logto. Logto synchronisera par défaut les attributs utilisateur suivants depuis l'IdP :

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameID de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur. Logto lira la revendication email de la réponse SAML comme e-mail principal de l'utilisateur par défaut.
  • name : Le nom de l'utilisateur.

Vous pouvez gérer la logique de mappage des attributs utilisateur soit du côté Azure AD, soit du côté Logto.

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté Logto.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Copiez les noms d'attributs suivants (avec le préfixe de l'espace de noms) et collez-les dans les champs correspondants dans Logto.

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Recommandation : mettez à jour cette carte de valeur d'attribut à user.displayname pour une meilleure expérience utilisateur)
Mappage d'attributs par défaut Azure AD

  1. Mapper les attributs utilisateur AzureAD aux attributs utilisateur Logto du côté AzureAD.

    Visitez la section Attributes & Claims de votre application SSO Azure AD.

    Cliquez sur Edit, et mettez à jour les champs Additional claims en fonction des paramètres des attributs utilisateur Logto :

    • mettez à jour la valeur du nom de revendication en fonction des paramètres des attributs utilisateur Logto.
    • supprimez le préfixe de l'espace de noms.
    • cliquez sur Save pour continuer.

    Vous devriez obtenir les paramètres suivants :

Mappage d'attributs Azure AD_Logto

Vous pouvez également spécifier des attributs utilisateur supplémentaires du côté Azure AD. Logto conservera un enregistrement des attributs utilisateur originaux renvoyés par l'IdP sous le champ sso_identity de l'utilisateur.

Étape 4 : Assigner des utilisateurs à l'application Azure AD SSO​

Visitez la section Users and groups de votre application Azure AD SSO. Cliquez sur Add user/group pour attribuer des utilisateurs à l'application Azure AD SSO. Seuls les utilisateurs attribués à votre application Azure AD SSO pourront s'authentifier via le connecteur Azure AD SSO.

Azure AD assign users

Étape 5 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet SSO experience du connecteur de Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Veuillez consulter la documentation officielle d'Azure AD pour plus de détails sur l'intégration SSO d'Azure AD.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur Microsoft Entra ID SAML enterprise SSO devrait être disponible maintenant.

Enable Microsoft Entra ID SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Plugin WordPress. Vous devriez maintenant pouvoir vous connecter avec Microsoft Entra ID SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build OIDC enterprise SSO with Plugin WordPress]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-oidc-enterprise-sso-sign-in-with-wordpress-plugin-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion OIDC enterprise SSO (authentification utilisateur) avec Plugin WordPress et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Plugin WordPress.
  • Un compte OIDC enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Traditional web, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Traditional web" ou filtrez tous les frameworks "Traditional web" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "WordPress" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate WordPress SDK​

Installer le plugin​

  1. Allez dans Extensions > Ajouter.
  2. Recherchez "Logto", ou entrez https://wordpress.org/plugins/logto/ dans la boîte de recherche.
  3. Cliquez sur Installer maintenant.
  4. Cliquez sur Activer.

Configurer le plugin​

Vous devriez maintenant voir le menu Logto dans la barre latérale de votre panneau d'administration WordPress. Cliquez sur Logto > Paramètres pour configurer le plugin.

remarque:

Vous devez avoir une application web traditionnelle créée dans Logto Console avant de configurer le plugin. Si vous n'en avez pas créé une, veuillez vous référer à Intégrer Logto dans votre application pour plus d'informations.

La configuration minimale pour commencer avec le plugin est :

  • Point de terminaison Logto : Le point de terminaison de votre locataire Logto.
  • ID de l'application : L'ID de votre application Logto.
  • Secret de l'application : Un des secrets valides de votre application Logto.

Toutes les valeurs peuvent être trouvées sur la page des détails de l'application dans Logto Console.

Après avoir rempli les valeurs, cliquez sur Enregistrer les modifications (faites défiler vers le bas de la page si vous ne trouvez pas le bouton).

Configurer l'URI de redirection​

L'URI de redirection est l'URL vers laquelle Logto redirigera les utilisateurs après leur authentification ; et l'URI de redirection après déconnexion est l'URL vers laquelle Logto redirigera les utilisateurs après leur déconnexion.

Voici un diagramme de séquence non normatif pour illustrer le flux de connexion :

Voici à quoi ressemble le flux de déconnexion dans un diagramme de séquence non normatif :

Pour en savoir plus sur la nécessité de la redirection, voir Expérience de connexion expliquée.

Dans notre cas, nous devons configurer les deux URIs de redirection dans votre Logto Console. Pour trouver l'URI de redirection, allez à la page Logto > Paramètres dans votre panneau d'administration WordPress. Vous verrez les champs URI de redirection et URI de redirection après déconnexion.

  1. Copiez les valeurs URI de redirection et URI de redirection après déconnexion et collez-les dans les champs URIs de redirection et URIs de redirection après déconnexion dans votre Logto Console.
  2. Cliquez sur Enregistrer les modifications dans Logto Console.

Point de contrôle : Testez votre site WordPress​

Vous pouvez maintenant tester votre intégration Logto sur votre site WordPress :

  1. Ouvrez une fenêtre de navigation privée si nécessaire.
  2. Visitez votre site WordPress et cliquez sur le lien Connexion si applicable ; ou visitez directement la page de connexion (par exemple, https://example.com/wp-login.php).
  3. La page devrait vous rediriger vers la page de connexion Logto.
  4. Complétez le processus de connexion ou d'inscription.
  5. Après une authentification réussie, vous devriez être redirigé vers votre site WordPress et connecté automatiquement.
  6. Cliquez sur le lien Déconnexion pour vous déconnecter de votre site WordPress.
  7. Vous devriez être redirigé vers la page de déconnexion Logto, puis de retour sur votre site WordPress.
  8. Vous devriez être déconnecté de votre site WordPress.

Pour en savoir plus sur les paramètres du plugin WordPress, consultez le démarrage rapide de WordPress.

Add OIDC enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec WordPress en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up OIDC application on your IdP​

Étape 1 : Créer une application OIDC sur votre fournisseur d’identité (IdP)​

Initiez l'intégration OIDC SSO en créant une application du côté du fournisseur d'identité (IdP). Vous devrez fournir les configurations suivantes depuis le serveur Logto.

  • URI de rappel : L'URI de rappel Logto, également connu sous le nom d'URI de redirection ou URL de réponse, est un point de terminaison ou une URL spécifique que l'IdP utilise pour rediriger le navigateur de l'utilisateur après une authentification réussie. Après qu'un utilisateur s'est authentifié avec succès auprès de l'IdP, l'IdP redirige le navigateur de l'utilisateur vers cet URI désigné avec un code d'autorisation. Logto complétera le processus d'authentification basé sur le code d'autorisation reçu de cet URI.

Remplissez l'URI de rappel Logto dans le formulaire de paramètres de l'application OIDC de votre IdP et continuez à créer l'application. (La plupart des IdP OIDC offrent un large éventail de types d'applications parmi lesquels choisir. Pour créer un connecteur SSO basé sur le web sur Logto, veuillez choisir le type Web Application.)

Étape 2 : Configurer l’authentification unique OIDC sur Logto​

Après avoir créé avec succès une application OIDC du côté du fournisseur d’identité (IdP), vous devrez fournir les configurations de l’IdP à Logto. Accédez à l’onglet Connection et renseignez les configurations suivantes :

  • Client ID : Un identifiant unique attribué à votre application OIDC par l’IdP. Cet identifiant est utilisé par Logto pour identifier et authentifier l’application lors du flux OIDC.
  • Client Secret : Un secret confidentiel partagé entre Logto et l’IdP. Ce secret est utilisé pour authentifier l’application OIDC et sécuriser la communication entre Logto et l’IdP.
  • Émetteur (Issuer) : L’URL de l’émetteur, un identifiant unique pour l’IdP, spécifiant l’emplacement où le fournisseur d’identité OIDC peut être trouvé. Il s’agit d’une partie cruciale de la configuration OIDC car elle permet à Logto de découvrir les points de terminaison nécessaires. Pour faciliter le processus de configuration, Logto récupérera automatiquement les points de terminaison et configurations OIDC requis. Cela se fait en utilisant l’émetteur que vous avez fourni et en effectuant un appel aux points de terminaison de découverte OIDC de l’IdP. Il est impératif de s’assurer que le point de terminaison de l’émetteur est valide et correctement configuré afin de permettre à Logto de récupérer correctement les informations nécessaires. Après une requête de récupération réussie, vous devriez pouvoir voir les configurations IdP analysées dans la section des émetteurs.

Étape 3 : Configurer les portées (Scopes) (Optionnel)​

Les portées (Scopes) définissent les permissions que votre application demande aux utilisateurs et contrôlent à quelles données votre application peut accéder depuis leurs comptes d’entreprise.

La configuration des portées nécessite une configuration des deux côtés :

  1. Votre fournisseur d’identité (IdP) : Configurez quelles permissions sont autorisées pour l’autorisation dans la console de votre IdP
    • Certains IdP activent toutes les portées publiques par défaut (aucune action requise)
    • D’autres exigent que vous accordiez explicitement les permissions
  2. Connecteur d’entreprise Logto : Spécifiez quelles portées demander lors de l’authentification dans les paramètres du connecteur OIDC d’entreprise Logto > champ Scopes.
    • Logto inclut toujours les portées openid, profile et email pour récupérer les informations d’identité de base de l’utilisateur, indépendamment de vos paramètres de portées personnalisées.
    • Vous pouvez ajouter des portées supplémentaires (séparées par des espaces) pour demander plus d’informations au IdP.
astuce:

Si votre application doit accéder à des API en utilisant ces portées, assurez-vous d’activer Stocker les jetons pour un accès API persistant dans votre connecteur d’entreprise Logto. Voir la section suivante pour plus de détails.

Étape 4 : Stocker les jetons pour accéder aux API tierces (Optionnel)​

Si vous souhaitez accéder aux API du fournisseur d’identité (Identity Provider) et effectuer des actions avec l’autorisation de l’utilisateur, Logto doit obtenir des portées API (Scopes) spécifiques et stocker les jetons.

  1. Ajoutez les portées requises dans le champ scope en suivant les instructions ci-dessus.
  2. Activez Stocker les jetons pour un accès API persistant dans le connecteur Logto OIDC d’entreprise. Logto stockera en toute sécurité les jetons d’accès dans le Secret Vault.
  3. Pour les fournisseurs d’identité OIDC standards, la portée offline_access doit être incluse pour obtenir un jeton de rafraîchissement (Refresh token), évitant ainsi de demander à plusieurs reprises le consentement de l’utilisateur.

Étape 5 : Définir les domaines e-mail et activer le connecteur SSO​

Fournissez les domaines e-mail de votre organisation dans l’onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d’authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser votre connecteur SSO comme seule méthode d’authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur OIDC enterprise SSO devrait être disponible maintenant.

Enable OIDC enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Plugin WordPress. Vous devriez maintenant pouvoir vous connecter avec OIDC enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]> <![CDATA[How to build SAML enterprise SSO with Plugin WordPress]]> https://renovate-crazy-max-ghaction.logto-docs-tutorials.pages.dev/fr/how-to/build-saml-enterprise-sso-sign-in-with-wordpress-plugin-and-logto 2026-04-08T17:08:49.020Z
Pour nos nouveaux amis:

Logto est une alternative à Auth0 conçue pour les applications modernes et les produits SaaS. Il offre des services à la fois Cloud et Open-source pour vous aider à lancer rapidement votre système de gestion des identités et des accès (IAM). Profitez de l'authentification, de l'autorisation et de la gestion multi-locataires tout-en-un.

Nous recommandons de commencer avec un locataire de développement gratuit sur Logto Cloud. Cela vous permet d'explorer facilement toutes les fonctionnalités.

Dans cet article, nous allons parcourir les étapes pour construire rapidement l'expérience de connexion SAML enterprise SSO (authentification utilisateur) avec Plugin WordPress et Logto.

Prérequis

  • Une instance Logto en cours d'exécution. Consultez la page d'introduction pour commencer.
  • Connaissance de base de Plugin WordPress.
  • Un compte SAML enterprise SSO utilisable.

Create an application in Logto​

Logto est basé sur l'authentification OpenID Connect (OIDC) et l'autorisation OAuth 2.0. Il prend en charge la gestion des identités fédérées à travers plusieurs applications, communément appelée authentification unique (SSO).

Pour créer votre application Traditional web, suivez simplement ces étapes :

  1. Ouvrez la Logto Console. Dans la section "Get started", cliquez sur le lien "View all" pour ouvrir la liste des frameworks d'application. Alternativement, vous pouvez naviguer vers Logto Console > Applications, et cliquer sur le bouton "Create application". Get started
  2. Dans la fenêtre modale qui s'ouvre, cliquez sur la section "Traditional web" ou filtrez tous les frameworks "Traditional web" disponibles en utilisant les cases à cocher de filtre rapide à gauche. Cliquez sur la carte du framework "WordPress" pour commencer à créer votre application. Frameworks
  3. Entrez le nom de l'application, par exemple, "Bookstore", et cliquez sur "Create application".

🎉 Ta-da ! Vous venez de créer votre première application dans Logto. Vous verrez une page de félicitations qui inclut un guide d'intégration détaillé. Suivez le guide pour voir quelle sera l'expérience dans votre application.

Integrate WordPress SDK​

Installer le plugin​

  1. Allez dans Extensions > Ajouter.
  2. Recherchez "Logto", ou entrez https://wordpress.org/plugins/logto/ dans la boîte de recherche.
  3. Cliquez sur Installer maintenant.
  4. Cliquez sur Activer.

Configurer le plugin​

Vous devriez maintenant voir le menu Logto dans la barre latérale de votre panneau d'administration WordPress. Cliquez sur Logto > Paramètres pour configurer le plugin.

remarque:

Vous devez avoir une application web traditionnelle créée dans Logto Console avant de configurer le plugin. Si vous n'en avez pas créé une, veuillez vous référer à Intégrer Logto dans votre application pour plus d'informations.

La configuration minimale pour commencer avec le plugin est :

  • Point de terminaison Logto : Le point de terminaison de votre locataire Logto.
  • ID de l'application : L'ID de votre application Logto.
  • Secret de l'application : Un des secrets valides de votre application Logto.

Toutes les valeurs peuvent être trouvées sur la page des détails de l'application dans Logto Console.

Après avoir rempli les valeurs, cliquez sur Enregistrer les modifications (faites défiler vers le bas de la page si vous ne trouvez pas le bouton).

Configurer l'URI de redirection​

L'URI de redirection est l'URL vers laquelle Logto redirigera les utilisateurs après leur authentification ; et l'URI de redirection après déconnexion est l'URL vers laquelle Logto redirigera les utilisateurs après leur déconnexion.

Voici un diagramme de séquence non normatif pour illustrer le flux de connexion :

Voici à quoi ressemble le flux de déconnexion dans un diagramme de séquence non normatif :

Pour en savoir plus sur la nécessité de la redirection, voir Expérience de connexion expliquée.

Dans notre cas, nous devons configurer les deux URIs de redirection dans votre Logto Console. Pour trouver l'URI de redirection, allez à la page Logto > Paramètres dans votre panneau d'administration WordPress. Vous verrez les champs URI de redirection et URI de redirection après déconnexion.

  1. Copiez les valeurs URI de redirection et URI de redirection après déconnexion et collez-les dans les champs URIs de redirection et URIs de redirection après déconnexion dans votre Logto Console.
  2. Cliquez sur Enregistrer les modifications dans Logto Console.

Point de contrôle : Testez votre site WordPress​

Vous pouvez maintenant tester votre intégration Logto sur votre site WordPress :

  1. Ouvrez une fenêtre de navigation privée si nécessaire.
  2. Visitez votre site WordPress et cliquez sur le lien Connexion si applicable ; ou visitez directement la page de connexion (par exemple, https://example.com/wp-login.php).
  3. La page devrait vous rediriger vers la page de connexion Logto.
  4. Complétez le processus de connexion ou d'inscription.
  5. Après une authentification réussie, vous devriez être redirigé vers votre site WordPress et connecté automatiquement.
  6. Cliquez sur le lien Déconnexion pour vous déconnecter de votre site WordPress.
  7. Vous devriez être redirigé vers la page de déconnexion Logto, puis de retour sur votre site WordPress.
  8. Vous devriez être déconnecté de votre site WordPress.

Pour en savoir plus sur les paramètres du plugin WordPress, consultez le démarrage rapide de WordPress.

Add SAML enterprise SSO connector​

Pour simplifier la gestion des accès et obtenir des garanties de niveau entreprise pour vos grands clients, connectez-vous avec WordPress en tant que fournisseur d'identité fédéré. Le connecteur SSO d’entreprise Logto vous aide à établir cette connexion en quelques minutes en permettant l'entrée de plusieurs paramètres.

Pour ajouter un connecteur SSO d’entreprise, suivez simplement ces étapes :

  1. Accédez à Logto console > Enterprise SSO.
Page SSO
  1. Cliquez sur le bouton "Ajouter un connecteur d’entreprise" et choisissez votre type de fournisseur SSO. Choisissez parmi les connecteurs préconstruits pour Microsoft Entra ID (Azure AD), Google Workspace et Okta, ou créez une connexion SSO personnalisée en utilisant le protocole standard OpenID Connect (OIDC) ou SAML.
  2. Fournissez un nom unique (par exemple, Connexion SSO pour Acme Company).
Sélectionnez votre fournisseur SSO
  1. Configurez la connexion avec votre IdP dans l'onglet "Connexion". Consultez les guides ci-dessus pour chaque type de connecteur.
Connexion SSO
  1. Personnalisez l'expérience SSO et le domaine de messagerie de l’entreprise dans l'onglet "Expérience". Les utilisateurs se connectant avec le domaine de messagerie activé pour le SSO seront redirigés vers l'authentification SSO.
Expérience SSO
  1. Enregistrez les modifications.

Set up Application SAML SSO sur votre IdP​

Étape 1 : Créer une application SAML SSO sur votre IdP {#step-1-create-a-saml-sso-application-on-your-idp}

Initiez l'intégration SAML SSO en créant une application du côté du fournisseur d'identité (IdP). Obtenez les configurations suivantes de Logto, représentant votre fournisseur de services (SP) :

  • URI d'audience (SP Entity ID) : Il représente un identifiant unique global pour votre service Logto, fonctionnant comme l'EntityId pour le SP lors des requêtes d'authentification vers l'IdP. Cet identifiant est essentiel pour l'échange sécurisé des assertions SAML et d'autres données liées à l'authentification entre l'IdP et Logto.
  • URL ACS : L'URL du service consommateur d'assertions (ACS) est l'emplacement où l'assertion SAML est envoyée avec une requête POST. Cette URL est utilisée par l'IdP pour envoyer l'assertion SAML à Logto. Elle agit comme une URL de rappel où Logto s'attend à recevoir et consommer la réponse SAML contenant les informations d'identité de l'utilisateur.

Remplissez les configurations de l'URI d'audience et de l'URL ACS dans votre application SAML IdP et continuez à récupérer les configurations suivantes de votre IdP.

Étape 2 : Configurer SAML SSO sur Logto​

Pour que l'intégration SAML SSO fonctionne, vous devrez fournir les métadonnées de l'IdP à Logto. Les métadonnées de l'IdP sont un document XML qui contient toutes les informations nécessaires pour que Logto établisse la confiance avec l'IdP.

Accédez à l'onglet Connection. Logto propose trois manières différentes de configurer les métadonnées de l'IdP :

  1. URL des métadonnées : Fournissez l'URL du document XML des métadonnées de l'IdP. Logto récupérera les métadonnées à partir de l'URL et configurera automatiquement l'intégration SAML SSO.
  2. Télécharger les métadonnées : Téléchargez le document XML des métadonnées de l'IdP. Logto analysera le document XML et configurera automatiquement l'intégration SAML SSO.
  3. Configuration manuelle : Configurez manuellement les métadonnées de l'IdP.
  • ID d'entité de l'IdP : L'ID d'entité de l'IdP.
  • URL d'authentification unique : L'URL du service d'authentification unique de l'IdP.
  • Certificat de signature : Le certificat x509 est utilisé pour vérifier la signature de la réponse SAML de l'IdP.

Avec l'une des configurations ci-dessus, Logto analysera les métadonnées de l'IdP et configurera l'intégration SAML SSO en conséquence.

Étape 3 : Configurer le mapping des attributs utilisateur​

Les attributs utilisateur renvoyés par le fournisseur d’identité (IdP) peuvent varier en fonction de la configuration de l'IdP. Logto offre un moyen flexible de mapper les attributs utilisateur renvoyés par l'IdP aux attributs utilisateur dans Logto. Vous pouvez configurer le mappage des attributs utilisateur dans l'onglet d'expérience d'intégration SAML SSO.

  • id : L'identifiant unique de l'utilisateur. Logto lira la revendication nameId de la réponse SAML comme identifiant d'identité SSO de l'utilisateur.
  • email : L'adresse e-mail de l'utilisateur.
  • name : Le nom de l'utilisateur.

Étape 4 : Définir les domaines de messagerie et activer le connecteur SSO​

Fournissez les domaines de messagerie de votre organisation dans l'onglet Expérience SSO du connecteur Logto. Cela activera le connecteur SSO comme méthode d'authentification pour ces utilisateurs.

Les utilisateurs ayant des adresses e-mail dans les domaines spécifiés seront redirigés pour utiliser le connecteur SAML SSO comme seule méthode d'authentification.

Save your configuration​

Vérifiez que vous avez rempli les valeurs nécessaires dans la zone de configuration du connecteur Logto. Cliquez sur "Enregistrer et terminer" (ou "Enregistrer les modifications") et le connecteur SAML enterprise SSO devrait être disponible maintenant.

Enable SAML enterprise SSO connector in Sign-in Experience​

Vous n'avez pas besoin de configurer individuellement les connecteurs d'entreprise, Logto simplifie l'intégration du SSO dans vos applications en un seul clic.

  1. Accédez à : Console > Expérience de connexion > Inscription et connexion.
  2. Activez le bouton "SSO d’entreprise".
  3. Enregistrez les modifications.

Une fois activé, un bouton "Authentification unique (SSO)" apparaîtra sur votre page de connexion. Les utilisateurs d'entreprise avec des domaines de messagerie compatibles SSO peuvent accéder à vos services en utilisant leurs fournisseurs d’identité d’entreprise (IdPs).

Détection automatique de la connexion SSO via le domaine de messagerie Naviguer vers la connexion SSO en cliquant manuellement sur le bouton de lien

Pour en savoir plus sur l'expérience utilisateur SSO, y compris le SSO initié par le SP et le SSO initié par l'IdP, consultez les flux utilisateur : SSO d’entreprise.

Testing and Validation​

Retournez à votre application Plugin WordPress. Vous devriez maintenant pouvoir vous connecter avec SAML enterprise SSO. Profitez-en !

Further readings​

Flux des utilisateurs finaux : Logto fournit des flux d'authentification prêts à l'emploi, y compris l'authentification multi-facteurs (MFA) et le SSO d’entreprise, ainsi que des API puissantes pour une mise en œuvre flexible des paramètres de compte, de la vérification de sécurité et de l'expérience multi-locataire.

Autorisation : L'autorisation définit les actions qu'un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après avoir été authentifié. Découvrez comment protéger votre API pour les applications natives et monopages et mettre en œuvre le contrôle d’accès basé sur les rôles (RBAC).

Organisations : Particulièrement efficace dans les applications SaaS multi-locataires et B2B, la fonctionnalité d'organisation permet la création de locataires, la gestion des membres, le RBAC au niveau de l'organisation et l'approvisionnement juste-à-temps.

Série IAM client : Nos articles de blog en série sur la gestion des identités et des accès des clients (ou consommateurs), des sujets de base aux sujets avancés et au-delà.

]]>