Guide de configuration du fournisseur d'identité
Ce guide accompagne votre équipe informatique/d'identité dans l'enregistrement de Paperless auprès de votre fournisseur d'identité (Okta ou Microsoft Entra ID) afin que les utilisateurs de votre organisation puissent se connecter à Paperless en utilisant votre authentification unique (SSO) existante.
Aperçu
Paperless est fourni sous la forme de deux applications principales :
Application | Emplacement d'exécution |
Applications iPad & Windows de Paperless Forms | Appareils iPad et Windows |
Site web de Paperless Forms (Admin) | Un navigateur, utilisé par les administrateurs et le soutien |
Application Web de Paperless Forms | Appareils iOS, Windows et Android |
Chacune nécessite son propre enregistrement auprès de votre fournisseur d'identité, car elles s'authentifient différemment (une application mobile/de bureau utilise des flux OAuth différents de ceux d'un site Web).
Vous créerez un total de deux enregistrements d'application, puis vous partagerez leurs identifiants avec le soutien de Paperless Forms, qui activera le SSO pour votre organisation.
Avant de commencer
Ayez à portée de main :
Un accès administrateur à votre fournisseur d'identité (console d'administration Okta ou Centre d'administration Microsoft Entra)
Un compte d'utilisateur de test que vous pouvez utiliser pour vérifier la configuration
Environ 30 minutes
Ensuite, décidez si :
Tous les utilisateurs de votre organisation peuvent utiliser Paperless via le SSO, ou seulement des groupes spécifiques
Configuration de Microsoft Entra ID
ℹ️ Si votre organisation utilise plutôt Okta, passez à la section Okta. |
Étape 1 — Créer l'application Paperless Forms (pour l'application sur les appareils)
Connectez-vous au Centre d'administration Microsoft Entra (
https://entra.microsoft.com)Allez dans Identité → Applications → Inscriptions d'applications
Cliquez sur + Nouvelle inscription
Pour le Nom, utilisez « Paperless Device » (ou le nom de votre choix)
Pour les Types de comptes pris en charge, sélectionnez Comptes dans cet annuaire d'organisation uniquement (Monolocataire uniquement) — à moins que vous n'ayez spécifiquement besoin du multilocataire
Pour l'URI de redirection, laissez vide pour l'instant (nous ajouterons les plateformes dans un instant)
Cliquez sur S'inscrire
Copiez l'ID d'application (client) affiché en haut — vous l'enverrez au soutien de Paperless
Dans le menu de gauche, cliquez sur Authentification
Cliquez sur + Ajouter une plateforme → choisissez Applications mobiles et de bureau
Ajoutez les URI de redirection personnalisés suivants (un à la fois) :
http://localhost:7890/callbackcom.peak.pelican://oauth/callback
Cliquez sur Enregistrer
Toujours sur la page Authentification, faites défiler jusqu'à Paramètres avancés :
Définissez Autoriser les flux de clients publics sur Oui
Cliquez sur Enregistrer
Étape 2 — Créer l'application Paperless Web (pour le site Web d'administration)
Allez dans Identité → Applications → Inscriptions d'applications
Cliquez sur + Nouvelle inscription
Pour le Nom, utilisez « Paperless Web » (ou le nom de votre choix)
Pour les Types de comptes pris en charge, sélectionnez la même option que celle choisie pour les appareils à l'étape 1.5
Pour l'URI de redirection, sélectionnez la plateforme Application monopage (SPA) dans le menu déroulant, puis ajoutez :
Si votre base de données est sur l'infrastructure américaine :
https://paperless.datahex.ca/Login/SsoCallbackSi votre base de données est sur l'infrastructure canadienne :
https://ca-paperless.datahex.ca/Login/SsoCallback
Cliquez sur S'inscrire
Copiez l'ID d'application (client)
Étape 3 — Configurer les autorisations d'API (les deux applications)
Pour chacune des deux applications, effectuez les opérations suivantes :
Cliquez sur l'application
Dans le menu de gauche, cliquez sur Autorisations d'API
Vérifiez que Microsoft Graph → User.Read (délégué) est répertorié (il s'y trouve par défaut)
Cliquez sur + Ajouter une autorisation → Microsoft Graph → Autorisations déléguées → recherchez et ajoutez :
« openid »
« profile »
« email »
« offline_access »
Cliquez sur Ajouter des autorisations
Si votre locataire requiert le consentement de l'administrateur, cliquez sur Accorder un consentement d'administrateur pour [nom de votre locataire] et approuvez
Étape 4 — Configuration des jetons (OPTIONNEL)
Pour garantir que l'adresse courriel de l'utilisateur est disponible de manière fiable dans le jeton d'ID :
Dans le menu de gauche, cliquez sur Configuration des jetons
Cliquez sur + Ajouter une réclamation facultative
Pour le Type de jeton, sélectionnez ID, puis cochez les réclamations : « email », « preferred_username »
Cliquez sur Ajouter
Étape 5 — Envoyer à Paperless
Envoyez un courriel au soutien de Paperless avec :
Fournisseur d'identité : Microsoft Entra ID
ID de l'annuaire (locataire) : disponible sur la page d'accueil du Centre d'administration Entra (ex. :
12345678-1234-1234-1234-123456789abc)Autorité :
https://login.microsoftonline.com/<votre-id-de-locataire>/v2.0Paperless Device Client ID : celui de l'étape 1
Paperless Web Client ID : celui de l'étape 2
Le soutien de Paperless activera le SSO pour votre compte à l'aide de ces valeurs.
Configuration d'Okta
ℹ️ Si votre organisation utilise plutôt Microsoft Entra ID, passez à la section Entra ID. |
Étape 1 — Créer l'application Paperless Forms (pour l'application sur les appareils)
Connectez-vous à votre console d'administration Okta (ex. :
https://votreentreprise-admin.okta.com)Allez dans Applications et ressources → Applications
Cliquez sur Créer une intégration d'application
Sélectionnez Expérience classique
Sélectionnez :
Méthode de connexion : OIDC - OpenID Connect
Application type : Application native
Cliquez sur Suivant
Dans Paramètres généraux :
Pour Nom de l'intégration d'application, utilisez Paperless App, ou ce que vous préférez
Pour Définition du client, sélectionnez ID client généré par Okta
Pour Preuve de possession, gardez l'option décochée
Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :
Code d'autorisation
Jeton d'actualisation
Pour URI de redirection de connexion, ajoutez les deux options suivantes (une par ligne) :
http://localhost:7890/callbackca.datahex.paperless://oauth/callback
Pour URI de redirection de déconnexion, laissez vide/retirez la valeur par défaut
Pour Affectations, choisissez qui peut utiliser Paperless :
Autoriser l'accès à toutes les personnes de votre organisation
Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence
OU
Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique
Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès
Cliquez sur Enregistrer
Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :
Pour Authentification client, sélectionnez Aucun
Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire
Créez un nouveau document Texte (.txt)
Créez une ligne appelée
Paperless App ID:Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par
0oa...
Copiez le dans le document Texte à côté de
Paperless App ID:
Continuez à la prochaine étape pour obtenir le prochain ID
Étape 2 — Créer l'application Site web de Paperless (pour le site Web d'administration)
Connectez-vous à votre console d'administration Okta (ex. :
https://votreentreprise-admin.okta.com)Allez dans Applications et ressources → Applications
Cliquez sur Créer une intégration d'application
Sélectionnez Expérience classique
Sélectionnez :
Méthode de connexion : OIDC - OpenID Connect
Application type : Application monopage
Cliquez sur Suivant
Dans Paramètres généraux :
Pour Nom de l'intégration d'application, utilisez Paperless Website, ou ce que vous préférez
Pour Définition du client, sélectionnez ID client généré par Okta
Pour Preuve de possession, gardez l'option décochée
Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :
Code d'autorisation
Jeton d'actualisation
Pour URI de redirection de connexion, ajoutez :
Si votre base de données est sur l'infrastructure américaine :
https://paperless.datahex.ca/Login/SsoCallbackSi votre base de données est sur l'infrastructure canadienne :
https://ca-paperless.datahex.ca/Login/SsoCallback
Pour URI de redirection de déconnexion, laissez vide/retirez la valeur par défaut
Pour Origines approuvées, laissez vide/retirez la valeur par défaut
Pour Affectations, choisissez qui peut utiliser Paperless :
Autoriser l'accès à toutes les personnes de votre organisation
Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence
OU
Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique
Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès
Cliquez sur Enregistrer
Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :
Pour Authentification client, sélectionnez Aucun
Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire
Créez un nouveau document Texte (.txt)
Créez une ligne appelée
Paperless Website ID:Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par
0oa...
Copiez le dans le document Texte à côté de
Paperless App ID:
Si vous utilisez la version Web de l'application Paperless Forms, continuez à la prochaine étape pour obtenir le prochain ID
Étape 3 — Créer l'application Paperless Forms Web App (pour l'application Web sur les appareils)
Connectez-vous à votre console d'administration Okta (ex. :
https://votreentreprise-admin.okta.com)Allez dans Applications et ressources → Applications
Cliquez sur Créer une intégration d'application
Sélectionnez Expérience classique
Sélectionnez :
Méthode de connexion : OIDC - OpenID Connect
Application type : Application monopage
Cliquez sur Suivant
Dans Paramètres généraux :
Pour Nom de l'intégration d'application, utilisez Paperless Website, ou ce que vous préférez
Pour Définition du client, sélectionnez ID client généré par Okta
Pour Preuve de possession, gardez l'option décochée
Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :
Code d'autorisation
Jeton d'actualisation
Pour URI de redirection de connexion, ajoutez :
Si votre base de données est sur l'infrastructure américaine :
https://paperless-webapp.datahex.ca/sso/callbackSi votre base de données est sur l'infrastructure canadienne :
https://ca-paperless-webapp.datahex.ca/sso/callback
Pour URI de redirection de déconnexion, ajoutez :
Si votre base de données est sur l'infrastructure américaine :
https://paperless-webapp.datahex.caSi votre base de données est sur l'infrastructure canadienne :
https://ca-paperless-webapp.datahex.ca
Pour Origines approuvées, ajoutez :
Si votre base de données est sur l'infrastructure américaine :
https://paperless-webapp.datahex.caSi votre base de données est sur l'infrastructure canadienne :
https://ca-paperless-webapp.datahex.ca
Pour Affectations, choisissez qui peut utiliser Paperless :
Autoriser l'accès à toutes les personnes de votre organisation
Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence
OU
Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique
Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès
Cliquez sur Enregistrer
Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :
Pour Authentification client, sélectionnez Aucun
Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire
Créez un nouveau document Texte (.txt)
Créez une ligne appelée
Paperless Website ID:Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par
0oa...
Copiez le dans le document Texte à côté de
Paperless App ID:
Étape 4 — Autoriser les deux applications dans la politique du serveur d'autorisation
Okta dispose d'un ensemble distinct de politiques contrôlant quelles applications peuvent demander des jetons. Par défaut, les nouvelles applications peuvent ne pas être autorisées.
Allez dans Sécurité → API → Serveurs d'autorisation
Cliquez sur le serveur d'autorisation nommé default
Cliquez sur l'onglet Politiques d'accès
Cliquez sur Ajouter une politique d'accès
Dans Ajouter une politique :
Donnez un Nom à la politique
Ajoutez une Description
Dans Affecter à, sélectionnez Les clients suivants et ajoutez :
Paperless App (ou le nom que vous lui avez donné à l'Étape 1)
Paperless Website (ou le nom que vous lui avez donné à l'Étape 2)
Optionnellement, Paperless WebApp (ou le nom que vous lui avez donné à l'Étape 3)
Cliquez sur Créer une politique
Au bas de la nouvelle politique, cliquez sur Ajouter une règle :
Donnez un Nom à la règle
Pour le Type de consentement, sélectionnez Consentements principaux → Code d'autorisation, décochez Autorisation d'appareil
Pour Utilisateur, sélectionnez N'importe quel utilisateur auquel cette application est affectée
Pour Permissions demandées, sélectionnez Les permissions suivantes et ajoutez :
openidprofileemailoffline_access
Pour Utiliser cet appareil incorporé, sélectionnez Aucun (désactivé)
Pour la Durée de vie du jeton d'accès, sélectionnez votre préférence
Pour la Durée de vie du jeton d'actualisation, sélectionnez votre préférence
Cliquez sur Créer une règle
Assurez-vous que le Statut est sélectionné à Actif
Étape 5 — Envoyer à Paperless
Envoyez par courriel au support de Paperless Forms le fichier Texte bâti au fur et à mesure lors des dernières étapes :
Fournisseur d'identitié : Okta
Domaine Okta (Autorité) : e.g.,
https://yourcompany.okta.com/oauth2/defaultPaperless App ID : La valeur
0oa...en provenance de l'Étape 1Paperless Website ID : La valeur
0oa...en provenance de l'Étape 2Paperless WebApp ID : Optionnellement, la valeur
0oa...en provenance de l'Étape 3
Le support de Paperless Forms activera le SSO pour votre compte à l'aide de ces valeurs.
Pièges courants
Pourquoi Paperless a-t-il besoin de deux (ou trois) applications?
Les applications mobiles/de bureau utilisent un flux OAuth différent de celui des applications de navigateur. Les fournisseurs d'identité exigent des enregistrements distincts en raison de leurs exigences différentes en matière d'URI de redirection (schémas d'URL personnalisés vs HTTPS).
Mon application Okta continue d'afficher invalid_token_endpoint_auth_method pendant les tests
Cela signifie que l'application a été créée ou a été configurée avec l'Authentification client programmée à Secret client.
Allez dans Applications et ressources → Applications
Cliquez sur l'application à modifier
Dans l'onglet Général, modifiez l'Authentification client de Secret client à Aucun
Mes utilisateurs obtiennent l'erreur no_matching_policy lors de la connexion
L'étape 4 de la configuration d'Okta est incomplète.
Allez dans Sécurité → API → Serveurs d'autorisation
Cliquez sur le serveur d'autorisation nommé default
Dans l'onglet Politiques d'accès, s'assurer que les applications crées aux Étapes 1 et 2 (et optionnellement 3) ont la règle crée à l'Étape 4 et que celle-ci a un Statut programmé à Actif
Mes utilisateurs obtiennent un access denied (accès refusé) même s'ils sont dans Okta
Allez dans Applications et ressources → Applications
Cliquez sur l'application à modifier
Dans l'onglet Affectations, ajoutez le(s) groupe(s) ou configurez l'application sur l'option Autoriser l'accès à toutes les personnes de votre organisation
Pouvons-nous réutiliser une seule application pour Device et Web?
Dans Okta : Non, les types d'applications sont différents (Native vs Monopage) et les formats d'URI de redirection autorisés ne se chevauchent pas.
Dans Microsoft Entra : Techniquement possible (une seule application avec plusieurs configurations de plateforme), mais nous recommandons des applications distinctes pour une meilleure journalisation d'audit et un contrôle des politiques par plateforme.
Les utilisateurs verront-ils un écran de consentement?
La première fois qu'un utilisateur se connecte, il peut être invité à consentir aux autorisations demandées (les réclamations « openid », « profile », « email »). Pour Microsoft Entra, un administrateur peut accorder préalablement le consentement pour l'ensemble du locataire sous Autorisations d'API → Accorder un consentement d'administrateur afin de sauter cette étape.
Ce qui se passe après la configuration
Une fois que vous aurez fourni les ID de client et l'Autorité au soutien de Paperless Forms :
Le soutien de Paperless Forms active le SSO pour votre organisation.
Vos utilisateurs ouvrent Paperless Forms sur leurs appareils, puis se connectent avec leur nom d'utilisateur et leur mot de passe Paperless Forms comme d'habitude.
Après la validation de leurs identifiants Paperless Forms, l'application les redirigera vers la page de connexion de votre fournisseur d'identité (page de connexion Okta ou Microsoft).
Une fois connectés avec leurs identifiants SSO d'entreprise, ils sont redirigés vers Paperless Forms et peuvent utiliser l'application normalement.
Les mêmes étapes s'appliquent pour le site Web de Paperless.
Si le compte d'un utilisateur auprès du fournisseur d'identité est désactivé par la suite (ex. : départ de l'entreprise), il perdra l'accès à Paperless dans un court délai — même si son mot de passe Paperless Forms existe toujours, la vérification SSO échouera.