📋 Conformité GRC pour CMMC 2.0, PCCC, CPA Canada, OCRCVM…Découverte des SaaS pour la gouvernance des donnéesModule de clavardage Web enrichi gratuit🚀 Soutien à distance enrichi, sans votre portable

Authentification unique

Permettez à vos gens de se connecter à Lavawall avec votre propre fournisseur d’identité, et créez ou désactivez leurs comptes automatiquement.

Ouvrir Authentification unique dans votre console

Où le trouver
S’ouvre en recherchant « Authentification unique » dans la console (aucune entrée confirmée dans la barre latérale)
Qui peut l’utiliser
Un administrateur GRC (par défaut, les super administrateurs et les administrateurs clients FSG)
Pour
Tout le monde
Forfait
Inclus avec chaque compte Lavawall®. Voir les forfaits
Fonctionnalité
Fonctionnalités RMM, de soutien à distance et de sécurité de Lavawall

À quoi sert la page

Authentification unique est une page de la console Lavawall®, dans la section Comptes et utilisateurs. Lavawall est la plateforme RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.

Cette page connecte Lavawall à votre fournisseur d’identité par OpenID Connect, de sorte que les gens se connectent avec le même compte que partout ailleurs. Elle fonctionne avec Entra ID, Okta, Auth0, Google Workspace, JumpCloud et Ping.

Vous indiquez à Lavawall quels domaines de courriel appartiennent au fournisseur, et Lavawall dirige ces personnes vers votre fournisseur pour la connexion. Vous pouvez créer automatiquement des comptes Lavawall la première fois qu’une personne se connecte, associer les groupes du fournisseur à des rôles GRC, permettre aux auditeurs externes invités de l’utiliser et, une fois l’essai réussi, exiger l’authentification unique afin que la connexion par mot de passe soit refusée pour vos domaines.

L’onglet SCIM provisioning vous donne une adresse et des jetons pour que votre fournisseur d’identité puisse créer, mettre à jour et désactiver des comptes Lavawall à votre place.

Ce que vous voyez

La page Authentification unique, avec les onglets, les valeurs à coller dans votre fournisseur d’identité, la connexion, le secret client, les nouvelles personnes et les interrupteurs, l’enregistrement des paramètres et l’approvisionnement SCIM, numérotés de 1 à 7.
La page Authentification unique. Les numéros correspondent à la liste ci-dessous.
  1. Onglets : Identity provider, SCIM provisioning et How to set it up.
  2. Paste these into your identity provider : les adresses Redirect URI (callback) et Sign-in start (optional), chacune avec un bouton de copie.
  3. Connection : What your people will see, Issuer, Discovery document (optional), Scopes, Client (application) ID, Email domains this provider owns, Email claim, Group claim (optional) et Group to GRC role.
  4. Client secret : Save secret et Forget the stored secret.
  5. New people and switches : Create a Lavawall account the first time somebody signs in (avec le rôle GRC et le rôle de console des nouveaux comptes), External auditors may use it, Single sign-on is switched on et Require single sign-on.
  6. Save settings et Test discovery.
  7. SCIM provisioning : l’adresse SCIM 2.0 base URL et le tableau Provisioning tokens avec New token.

Comment connecter votre fournisseur d’identité

  1. Dans votre fournisseur d’identité, créez une application Web utilisant le flux de code d’autorisation avec PKCE, et définissez son URI de redirection avec la valeur Redirect URI (callback) affichée ici.
  2. Accordez-lui les portées openid, email et profile (plus votre portée de groupes si vous voulez l’association de groupes).
  3. Dans Lavawall, saisissez l’Issuer exactement comme votre fournisseur l’affiche, le Client (application) ID et les Email domains this provider owns. Saisissez un libellé de bouton dans What your people will see, par exemple « Se connecter avec Okta ».
  4. Créez un secret client chez votre fournisseur, collez-le dans Client secret et cliquez sur Save secret.
  5. Cliquez sur Save settings, puis sur Test discovery. Le test devrait lire les clés de signature de votre fournisseur.
  6. Cochez Single sign-on is switched on et cliquez sur Save settings.

Comment exiger l’authentification unique

  1. Connectez-vous vous-même par votre fournisseur dans une fenêtre de navigation privée pour vérifier que cela fonctionne.
  2. Cochez Require single sign-on et cliquez sur Save settings. La connexion par mot de passe est alors refusée pour les personnes de vos domaines.

Comment créer des comptes automatiquement à la première connexion

  1. Cochez Create a Lavawall account the first time somebody signs in.
  2. Choisissez le GRC role for new accounts et le Console role id. Un nouveau compte ne reçoit jamais le rôle de super administrateur (Super Admin).
  3. Facultatif : saisissez un Group claim et une correspondance Group to GRC role pour que les gens obtiennent des rôles GRC à partir de leurs groupes chez le fournisseur. Le rôle correspondant le plus élevé l’emporte.
  4. Cliquez sur Save settings.

Comment configurer l’approvisionnement SCIM

  1. Ouvrez l’onglet SCIM provisioning et copiez le SCIM 2.0 base URL dans votre fournisseur d’identité.
  2. Cliquez sur New token, indiquez ce qui l’utilisera (par exemple « Okta provisioning ») et cliquez sur Créer.
  3. Copiez le jeton depuis la fenêtre et collez-le dans votre fournisseur, puis cliquez sur I have copied it. Il n’est affiché qu’une seule fois.
  4. Pour arrêter un jeton, cliquez sur le bouton de révocation sur sa ligne et confirmez. Tout ce qui l’utilise cesse aussitôt l’approvisionnement.

Conseils

  • Lavawall utilise OpenID Connect, et non SAML. Si votre équipe d’identité demande des métadonnées SAML, indiquez-lui qu’il s’agit d’une application Web OIDC avec le flux de code d’autorisation et PKCE.
  • La connexion par votre fournisseur remplace le mot de passe Lavawall, et non le deuxième facteur de Lavawall. Les gens doivent toujours saisir leur code d’authentification, à moins que votre politique de session n’en dispose autrement.
  • Les domaines de courriel publics, comme gmail.com, ne peuvent pas être revendiqués.
  • La désactivation SCIM verrouille le compte Lavawall plutôt que de le supprimer, de sorte que la piste d’audit reste intacte. L’approvisionnement de groupes n’est pas pris en charge; utilisez plutôt la correspondance groupe-rôle.
  • Le secret client est conservé chiffré et n’est plus jamais affiché, même pour vous.

Dépannage

« Only a GRC administrator can change how people sign in to this company. »
Demandez à un super administrateur (Super Admin) ou à un administrateur client FSG (MSP Client Administrator).
Le test de découverte échoue.
Vérifiez que l’Issuer correspond exactement à celui de votre fournisseur, ou saisissez l’adresse du Discovery document.
Une personne est refusée à la connexion.
Chaque refus est consigné dans l’historique de conformité de l’entreprise, avec la raison. Vérifiez le domaine de courriel, la revendication de courriel (email claim) et l’algorithme de signature du jeton.
Des jetons sont refusés.
Lavawall accepte RS256, RS384, RS512, ES256, ES384 et ES512 avec des clés RSA d’au moins 2 048 bits. Les jetons signés avec « none » ou un algorithme HMAC sont refusés.

Guides pratiques qui utilisent cette page

Besoin d’aide ?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :

Les noms, entreprises, appareils et chiffres présentés dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.