Passer au contenu principal

Comment configurer votre SSO avec Paperless Forms – Guide de configuration pour Okta

#App #SiteWeb #ConnexionSSO #Okta

Guide de configuration du fournisseur d'identité

Ce guide accompagne votre équipe informatique/d'identité dans l'enregistrement de Paperless Forms auprès de votre fournisseur d'identité Okta afin que les utilisateurs de votre organisation puissent se connecter à Paperless Forms en utilisant votre authentification unique (SSO) existante.

Aperçu

Paperless est fourni sous la forme de deux applications principales :

Application

Emplacement d'exécution

Applications iPad & Windows de Paperless Forms

Appareils iPad et Windows

Site web de Paperless Forms (Admin)

Un navigateur, utilisé par les administrateurs et le soutien

Application Web de Paperless Forms

Appareils iOS, Windows et Android

Chacune nécessite son propre enregistrement auprès de votre fournisseur d'identité, car elles s'authentifient différemment (une application mobile/de bureau utilise des flux OAuth différents de ceux d'un site Web).

Vous créerez un total de deux ou trois enregistrements d'application, puis vous partagerez leurs identifiants avec le soutien de Paperless Forms, qui activera le SSO pour votre organisation.

Avant de commencer

Ayez à portée de main :

  • Un accès administrateur à votre console d'administration Okta

  • Un compte d'utilisateur de test que vous pouvez utiliser pour vérifier la configuration

  • Environ 30 minutes

Ensuite, décidez si :

  • Tous les utilisateurs de votre organisation peuvent utiliser Paperless Forms via le SSO, ou seulement des groupes spécifiques

Configuration d'Okta

ℹ️ Si votre organisation utilise plutôt Microsoft Entra ID, passez à la procédure Microsoft Entra ID

Étape 1 — Créer l'application Paperless Forms (pour l'application sur les appareils)

  1. Connectez-vous à votre console d'administration Okta (ex. : https://votreentreprise-admin.okta.com)

  2. Allez dans Applications et ressources → Applications

  3. Cliquez sur Créer une intégration d'application

  4. Sélectionnez Expérience classique

  5. Sélectionnez :

    • Méthode de connexion : OIDC - OpenID Connect

    • Application type : Application native

  6. Cliquez sur Suivant

  7. Dans Paramètres généraux :

    • Pour Nom de l'intégration d'application, utilisez Paperless App, ou ce que vous préférez

    • Pour Définition du client, sélectionnez ID client généré par Okta

    • Pour Preuve de possession, gardez l'option décochée

    • Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :

      • Code d'autorisation

      • Jeton d'actualisation

    • Pour URI de redirection de connexion, ajoutez les deux options suivantes (une par ligne) :

      • http://localhost:7890/callback

      • ca.datahex.paperless://oauth/callback

    • Pour URI de redirection de déconnexion, laissez vide/retirez la valeur par défaut

    • Pour Affectations, choisissez qui peut utiliser Paperless :

      • Autoriser l'accès à toutes les personnes de votre organisation

        • Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence

        OU

      • Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique

        • Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès

  8. Cliquez sur Enregistrer

  9. Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :

    • Pour Authentification client, sélectionnez Aucun

    • Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire

  10. Créez un nouveau document Texte (.txt)

  11. Créez une ligne appelée Paperless App ID:

  12. Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par 0oa...

  13. Copiez le dans le document Texte à côté de Paperless App ID:

  14. Continuez à la prochaine étape pour obtenir le prochain ID

Étape 2 — Créer l'application Site web de Paperless (pour le site Web d'administration)

  1. Connectez-vous à votre console d'administration Okta (ex. : https://votreentreprise-admin.okta.com)

  2. Allez dans Applications et ressources → Applications

  3. Cliquez sur Créer une intégration d'application

  4. Sélectionnez Expérience classique

  5. Sélectionnez :

    • Méthode de connexion : OIDC - OpenID Connect

    • Application type : Application monopage

  6. Cliquez sur Suivant

  7. Dans Paramètres généraux :

    • Pour Nom de l'intégration d'application, utilisez Paperless Website, ou ce que vous préférez

    • Pour Définition du client, sélectionnez ID client généré par Okta

    • Pour Preuve de possession, gardez l'option décochée

    • Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :

      • Code d'autorisation

      • Jeton d'actualisation

    • Pour URI de redirection de connexion, ajoutez :

      • Si votre base de données est sur l'infrastructure américaine :
        ​​https://paperless.datahex.ca/Login/SsoCallback

      • Si votre base de données est sur l'infrastructure canadienne :
        ​​https://ca-paperless.datahex.ca/Login/SsoCallback

    • Pour URI de redirection de déconnexion, laissez vide/retirez la valeur par défaut

    • Pour Origines approuvées, laissez vide/retirez la valeur par défaut

    • Pour Affectations, choisissez qui peut utiliser Paperless :

      • Autoriser l'accès à toutes les personnes de votre organisation

        • Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence

        OU

      • Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique

        • Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès

  9. Cliquez sur Enregistrer

  10. Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :

    • Pour Authentification client, sélectionnez Aucun

    • Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire

  11. Créez un nouveau document Texte (.txt)

  12. Créez une ligne appelée Paperless Website ID:

  13. Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par 0oa...

  14. Copiez le dans le document Texte à côté de Paperless App ID:

  15. Si vous utilisez la version Web de l'application Paperless Forms, continuez à la prochaine étape pour obtenir le prochain ID

Étape 3 — Créer l'application Paperless Forms Web App (pour l'application Web sur les appareils)

  1. Connectez-vous à votre console d'administration Okta (ex. : https://votreentreprise-admin.okta.com)

  2. Allez dans Applications et ressources → Applications

  3. Cliquez sur Créer une intégration d'application

  4. Sélectionnez Expérience classique

  5. Sélectionnez :

    • Méthode de connexion : OIDC - OpenID Connect

    • Application type : Application monopage

  6. Cliquez sur Suivant

  7. Dans Paramètres généraux :

    • Pour Nom de l'intégration d'application, utilisez Paperless Website, ou ce que vous préférez

    • Pour Définition du client, sélectionnez ID client généré par Okta

    • Pour Preuve de possession, gardez l'option décochée

    • Pour Type de consentement, assurez-vous de cocher les deux options car elles sont requises :

      • Code d'autorisation

      • Jeton d'actualisation

    • Pour URI de redirection de connexion, ajoutez :

      • Si votre base de données est sur l'infrastructure américaine :
        ​https://paperless-webapp.datahex.ca/sso/callback

      • Si votre base de données est sur l'infrastructure canadienne :
        ​​https://ca-paperless-webapp.datahex.ca/sso/callback

    • Pour URI de redirection de déconnexion, ajoutez :

      • Si votre base de données est sur l'infrastructure américaine :
        ​https://paperless-webapp.datahex.ca

      • Si votre base de données est sur l'infrastructure canadienne :
        ​​https://ca-paperless-webapp.datahex.ca

    • Pour Origines approuvées, ajoutez :

      • Si votre base de données est sur l'infrastructure américaine :
        ​https://paperless-webapp.datahex.ca

      • Si votre base de données est sur l'infrastructure canadienne :
        ​​https://ca-paperless-webapp.datahex.ca

    • Pour Affectations, choisissez qui peut utiliser Paperless :

      • Autoriser l'accès à toutes les personnes de votre organisation

        • Pour Activer l'accès immédiat, gardez l'option cochée selon votre préférence

        OU

      • Limiter l'accès à des groupes sélectionnés, que vous pouvez utiliser pour choisir un groupe Okta spécifique

        • Spécifiez le(s) Groupe(s) sélectionné(s) qui auront accès

  8. Cliquez sur Enregistrer

  9. Dans l'onglet Général de l'application, vérifiez sous Informations d'identification client :

    • Pour Authentification client, sélectionnez Aucun

    • Pour Proof Key for Code Exchange (PKCE), cochez l'option Exiger PKCE comme vérification supplémentaire

  10. Créez un nouveau document Texte (.txt)

  11. Créez une ligne appelée Paperless Website ID:

  12. Copiez l'ID de client en provenance de l'onglet Général, qui devrait être un long texte commencant par 0oa...

  13. Copiez le dans le document Texte à côté de Paperless App ID:

Étape 4 — Autoriser les deux applications dans la politique du serveur d'autorisation

Okta dispose d'un ensemble distinct de politiques contrôlant quelles applications peuvent demander des jetons. Par défaut, les nouvelles applications peuvent ne pas être autorisées.

  1. Allez dans Sécurité → API → Serveurs d'autorisation

  2. Cliquez sur le serveur d'autorisation nommé default

  3. Cliquez sur l'onglet Politiques d'accès

  4. Cliquez sur Ajouter une politique d'accès

  5. Dans Ajouter une politique :

    • Donnez un Nom à la politique

    • Ajoutez une Description

    • Dans Affecter à, sélectionnez Les clients suivants et ajoutez :

      • Paperless App (ou le nom que vous lui avez donné à l'Étape 1)

      • Paperless Website (ou le nom que vous lui avez donné à l'Étape 2)

      • Optionnellement, Paperless WebApp (ou le nom que vous lui avez donné à l'Étape 3)

  6. Cliquez sur Créer une politique

  7. Au bas de la nouvelle politique, cliquez sur Ajouter une règle :

    • Donnez un Nom à la règle

    • Pour le Type de consentement, sélectionnez Consentements principaux → Code d'autorisation, décochez Autorisation d'appareil

    • Pour Utilisateur, sélectionnez N'importe quel utilisateur auquel cette application est affectée

    • Pour Permissions demandées, sélectionnez Les permissions suivantes et ajoutez :

      • openid

      • profile

      • email

      • offline_access

    • Pour Utiliser cet appareil incorporé, sélectionnez Aucun (désactivé)

    • Pour la Durée de vie du jeton d'accès, sélectionnez votre préférence

    • Pour la Durée de vie du jeton d'actualisation, sélectionnez votre préférence

  8. Cliquez sur Créer une règle

  9. Assurez-vous que le Statut est sélectionné à Actif

Étape 5 — Envoyer à Paperless

Envoyez par courriel au support de Paperless Forms le fichier Texte bâti au fur et à mesure lors des dernières étapes :

  • Fournisseur d'identitié : Okta

  • Domaine Okta (Autorité) : e.g., https://yourcompany.okta.com/oauth2/default

  • Paperless App ID : La valeur 0oa... en provenance de l'Étape 1

  • Paperless Website ID : La valeur 0oa... en provenance de l'Étape 2

  • Paperless WebApp ID : Optionnellement, la valeur 0oa... en provenance de l'Étape 3

Le support de Paperless Forms activera le SSO pour votre compte à l'aide de ces valeurs.

Pièges courants

Pourquoi Paperless a-t-il besoin de deux (ou trois) applications?

Les applications mobiles/de bureau utilisent un flux OAuth différent de celui des applications de navigateur. Les fournisseurs d'identité exigent des enregistrements distincts en raison de leurs exigences différentes en matière d'URI de redirection (schémas d'URL personnalisés vs HTTPS).

Mon application Okta continue d'afficher invalid_token_endpoint_auth_method pendant les tests

Cela signifie que l'application a été créée ou a été configurée avec l'Authentification client programmée à Secret client.

  1. Allez dans Applications et ressources → Applications

  2. Cliquez sur l'application à modifier

  3. Dans l'onglet Général, modifiez l'Authentification client de Secret client à Aucun

Mes utilisateurs obtiennent l'erreur no_matching_policy lors de la connexion

L'étape 4 de la configuration d'Okta est incomplète.

  1. Allez dans Sécurité → API → Serveurs d'autorisation

  2. Cliquez sur le serveur d'autorisation nommé default

  3. Dans l'onglet Politiques d'accès, s'assurer que les applications crées aux Étapes 1 et 2 (et optionnellement 3) ont la règle crée à l'Étape 4 et que celle-ci a un Statut programmé à Actif

Mes utilisateurs obtiennent un access denied (accès refusé) même s'ils sont dans Okta

  1. Allez dans Applications et ressources → Applications

  2. Cliquez sur l'application à modifier

  3. Dans l'onglet Affectations, ajoutez le(s) groupe(s) ou configurez l'application sur l'option Autoriser l'accès à toutes les personnes de votre organisation

Pouvons-nous réutiliser une seule application pour Device et Web?

  • Dans Okta : Non, les types d'applications sont différents (Native vs Monopage) et les formats d'URI de redirection autorisés ne se chevauchent pas.

  • Dans Microsoft Entra : Techniquement possible (une seule application avec plusieurs configurations de plateforme), mais nous recommandons des applications distinctes pour une meilleure journalisation d'audit et un contrôle des politiques par plateforme.

Les utilisateurs verront-ils un écran de consentement?

La première fois qu'un utilisateur se connecte, il peut être invité à consentir aux autorisations demandées (les réclamations « openid », « profile », « email »). Pour Microsoft Entra, un administrateur peut accorder préalablement le consentement pour l'ensemble du locataire sous Autorisations d'API → Accorder un consentement d'administrateur afin de sauter cette étape.

Ce qui se passe après la configuration

Une fois que vous aurez fourni les ID de client et l'Autorité au soutien de Paperless Forms :

  1. Le soutien de Paperless Forms active le SSO pour votre organisation.

  2. Vos utilisateurs ouvrent Paperless Forms sur leurs appareils, puis se connectent avec leur nom d'utilisateur et leur mot de passe Paperless Forms comme d'habitude.

  3. Après la validation de leurs identifiants Paperless Forms, l'application les redirigera vers la page de connexion de votre fournisseur d'identité (page de connexion Okta ou Microsoft).

  4. Une fois connectés avec leurs identifiants SSO d'entreprise, ils sont redirigés vers Paperless Forms et peuvent utiliser l'application normalement.

Les mêmes étapes s'appliquent pour le site Web de Paperless.

Si le compte d'un utilisateur auprès du fournisseur d'identité est désactivé par la suite (ex. : départ de l'entreprise), il perdra l'accès à Paperless dans un court délai — même si son mot de passe Paperless Forms existe toujours, la vérification SSO échouera.

Avez-vous trouvé la réponse à votre question ?