Passer au contenu principal

Comment configurer votre SSO avec Paperless Forms – Guide de configuration pour Microsoft Entra ID

#App #SiteWeb #ConnexionSSO #EntraID

Guide de configuration du fournisseur d'identité

Ce guide accompagne votre équipe informatique/d'identité dans l'enregistrement de Paperless Forms auprès de Microsoft Entra ID afin que les utilisateurs de votre organisation puissent se connecter à Paperless Forms en utilisant votre authentification unique (SSO) existante.

Aperçu

Paperless est fourni sous la forme de deux applications principales :

Application

Emplacement d'exécution

Applications iPad & Windows de Paperless Forms

Appareils iPad et Windows

Site web de Paperless Forms (Admin)

Un navigateur, utilisé par les administrateurs et le soutien

Application Web de Paperless Forms

Appareils iOS, Windows et Android

Chacune nécessite son propre enregistrement auprès de votre fournisseur d'identité, car elles s'authentifient différemment (une application mobile/de bureau utilise des flux OAuth différents de ceux d'un site Web).

Vous créerez un total de deux ou trois enregistrements d'application, puis vous partagerez leurs identifiants avec le soutien de Paperless Forms, qui activera le SSO pour votre organisation.

Avant de commencer

Ayez à portée de main :

  • Un accès administrateur à la console d'administrateur Microsoft Azure

  • Un compte d'utilisateur de test que vous pouvez utiliser pour vérifier la configuration

  • Environ 30 minutes

Ensuite, décidez si :

  • Tous les utilisateurs de votre organisation peuvent utiliser Paperless Forms via le SSO, ou seulement des groupes spécifiques

Configuration de Microsoft Entra ID

ℹ️ Si votre organisation utilise plutôt Okta, passez à la procédure d'Okta

Étape 1 — Créer l'application Paperless Forms (pour l'application sur les appareils)

  1. Connectez-vous à votre console administrative de Microsoft Azure (https://entra.microsoft.com)

  2. Allez à Identité → Applications → Inscriptions d'applications

  3. Cliquez sur ➕ Nouvelle inscription

  4. En débutant l'inscription de l'application :

    • Pour Nom, utilisez Paperless App, ou ce que vous préférez

    • Pour Types de comptes pris en charge, sélectionnez Comptes dans cet annuaire organisationnel uniquement

    • Pour URI de redirection :

      • Sélectionnez Client public/natif (mobile et réseau bureau)

      • Ajoutez l'adresse http://localhost:7890/callback

  5. Cliquez sur Inscrire

  6. Créez un nouveau document Texte (.txt)

  7. Créez une ligne appelée Paperless App ID:

  8. Copiez l'ID d’application (client) en provenance de la page Général de l'application, qui devrait être un long texte

  9. Copiez le dans le document Texte à côté de Paperless App ID:

  10. Dans le menu de gauche, cliquez sur Gérer → Authentification (Aperçu)

  11. À partir de l'onglet Configuration de l'URI de redirection, cliquez sur ➕ Ajouter un URI de redirection

  12. Sélectionnez Applications mobiles et de bureau

  13. Ajoutez l'URI de redirection : com.peak.pelican://oauth/callback

  14. Cliquez sur Configurer

  15. Toujours en étant sur la page d'Authentification (Aperçu), à partir de l'onglet Paramètres :

    • Changez Autoriser les flux clients publics à Activer

  16. Cliquez sur Enregistrer

  17. Dans le menu de gauche, cliquez sur Gérer → Autorisations d'API

  18. Cliquez sur ➕ Ajouter une autorisation

  19. Sélectionnez Microsoft Graph

  20. Sélectionnez Autorisations déléguées, puis :

    • email

    • offline_access

    • openid

    • profile

  21. Cliquez sur Ajouter des autorisations

  22. Toujours en étant sur la page d'Autorisations d'API, cliquez sur ✔️Accorder le consentement de l'administrateur pour [...]

  23. Dans le menu de gauche, cliquez sur Gérer → Configuration du jeton

  24. Cliquez sur ➕ Ajouter une revendication facultative

  25. Pour le Type de jeton, sélectionnez ID, puis :

    • email

    • preferred_username

  26. Cliquez sur Ajouter

  27. Continuez à la prochaine étape pour obtenir le prochain ID

Étape 2 — Créer l'application Site web de Paperless (pour le site Web d'administration)

  1. Connectez-vous à votre console administrative de Microsoft Azure (https://entra.microsoft.com)

  2. Allez à Identité → Applications → Inscriptions d'applications

  3. Cliquez sur ➕ Nouvelle inscription

  4. En débutant l'inscription de l'application :

    • Pour Nom, utilisez Paperless Website, ou ce que vous préférez

    • Pour Types de comptes pris en charge, sélectionnez Comptes dans cet annuaire organisationnel uniquement

    • Pour URI de redirection :

      • Sélectionnez Application à page unique (SPA)

      • Si vous êtes sur l'infrastructure américaine, ajoutez l'adresse
        ​https://paperless.datahex.ca/Login/SsoCallback
        ou si vous êtes sur l'infrastructure canadienne, ajoutez l'adresse
        ​https://ca-paperless.datahex.ca/Login/SsoCallback

  5. Cliquez sur Inscrire

  6. Créez un nouveau document Texte (.txt)

  7. Créez une ligne appelée Paperless Website ID:

  8. Copiez l'ID d’application (client) en provenance de la page Général de l'application, qui devrait être un long texte

  9. Copiez le dans le document Texte à côté de Paperless Website ID:

  10. Dans le menu de gauche, cliquez sur Gérer → Certificats & secrets

  11. À partir de l'onglet Secrets client, cliquez sur ➕ Nouveau secret client

  12. Pour Description, utilisez Paperless Website Secret, ou ce que vous préférez

  13. Pour Expire le, sélectionnez de préférence l'option la plus longue disponible, mais optez surtout pour celle qui convient le mieux à vos besoins

  14. Cliquez sur Ajouter

  15. Copiez la Valeur de Paperless Website Secret, qui devrait être un long texte

  16. Créez une ligne appelée Paperless Website Secret: dans le document Texte

  17. Copiez le dans le document Texte à côté de Paperless Website Secret:

  18. Dans le menu de gauche, cliquez sur Gérer → Autorisations d'API

  19. Cliquez sur ➕ Ajouter une autorisation

  20. Sélectionnez Microsoft Graph

  21. Sélectionnez Autorisations déléguées, puis :

    • email

    • offline_access

    • openid

    • profile

  22. Cliquez sur Ajouter des autorisations

  23. Toujours en étant sur la page d'Autorisations d'API, cliquez sur ✔️Accorder le consentement de l'administrateur pour [...]

  24. Dans le menu de gauche, cliquez sur Gérer → Configuration du jeton

  25. Cliquez sur ➕ Ajouter une revendication facultative

  26. Pour Type de jeton, sélectionnez ID, puis :

    • email

    • preferred_username

  27. Cliquez sur Ajouter

  28. Si vous utilisez la version Web de l'application Paperless Forms, continuez à la prochaine étape pour obtenir le prochain ID

Étape 3 — Créer l'application Paperless Forms Web App (pour l'application Web sur les appareils)

  1. Connectez-vous à votre console administrative de Microsoft Azure (https://entra.microsoft.com)

  2. Allez à Identité → Applications → Inscriptions d'applications

  3. Cliquez sur ➕ Nouvelle inscription

  4. En débutant l'inscription de l'application :

    • Pour Nom, utilisez Paperless WebApp, ou ce que vous préférez

    • Pour Types de comptes pris en charge, sélectionnez Comptes dans cet annuaire organisationnel uniquement

    • Pour URI de redirection :

      • Sélectionnez Application à page unique (SPA)

      • Si vous êtes sur l'infrastructure américaine, ajoutez l'adresse
        ​https://paperless-webapp.datahex.ca/sso/callback
        ou si vous êtes sur l'infrastructure canadienne, ajoutez l'adresse
        ​https://ca-paperless-webapp.datahex.ca/sso/callback

  5. Cliquez sur Inscrire

  6. Créez un nouveau document Texte (.txt)

  7. Créez une ligne appelée Paperless WebApp ID:

  8. Copiez l'ID d’application (client) en provenance de la page Général de l'application, qui devrait être un long texte

  9. Copiez le dans le document Texte à côté de Paperless WebApp ID:

  10. Dans le menu de gauche, cliquez sur Gérer → Authentification (Aperçu)

  11. À partir de l'onglet Paramètres, dans URL de déconnexion du canal frontal si vous êtes sur l'infrastructure américaine, ajoutez l'adresse
    ​https://paperless-webapp.datahex.ca
    ou si vous êtes sur l'infrastructure canadienne, ajoutez l'adresse
    ​https://ca-paperless-webapp.datahex.ca

  12. Dans le menu de gauche, cliquez sur Gérer → Autorisations d'API

  13. Cliquez sur ➕ Ajouter une autorisation

  14. Sélectionnez Microsoft Graph

  15. Sélectionnez Autorisations déléguées, puis :

    • email

    • offline_access

    • openid

    • profile

  16. Cliquez sur Ajouter des autorisations

  17. Toujours en étant sur la page d'Autorisations d'API, cliquez sur ✔️Accorder le consentement de l'administrateur pour [...]

  18. Dans le menu de gauche, cliquez sur Gérer → Configuration du jeton

  19. Cliquez sur ➕ Ajouter une revendication facultative

  20. Pour Type de jeton, sélectionnez ID, puis :

    • email

    • preferred_username

  21. Cliquez sur Ajouter

Étape 4 — Envoyez les identifiants à l'équipe de Paperless Forms

Envoyez par courriel au support de Paperless Forms le fichier Texte bâti au fur et à mesure lors des dernières étapes :

  • Fournisseur d'identité : Entra ID

  • ID de locataire (Tenant ID) : Une longue chaîne de caractères provenant de votre page d'accueil Microsoft Azure (par exemple, "12345678-1234-1234-1234-123456789abc")

  • Paperless App ID : La valeur de l'étape 1

  • Paperless Website ID : La première valeur de l'étape 2

  • Paperless Website Secret : La deuxième valeur de l'étape 2

  • Paperless WebApp ID: Optionnelle, la valeur de l'étape 3

Le support de Paperless Forms activera le SSO pour votre compte à l'aide de ces valeurs.

Pièges courants

Pourquoi Paperless a-t-il besoin de deux (ou trois) applications?

Les applications mobiles/de bureau utilisent un flux OAuth différent de celui des applications de navigateur. Les fournisseurs d'identité exigent des enregistrements distincts en raison de leurs exigences différentes en matière d'URI de redirection (schémas d'URL personnalisés vs HTTPS).

Mon application Okta continue d'afficher invalid_token_endpoint_auth_method pendant les tests

Cela signifie que l'application a été créée ou a été configurée avec l'Authentification client programmée à Secret client.

  1. Allez dans Applications et ressources → Applications

  2. Cliquez sur l'application à modifier

  3. Dans l'onglet Général, modifiez l'Authentification client de Secret client à Aucun

Mes utilisateurs obtiennent l'erreur no_matching_policy lors de la connexion

L'étape 4 de la configuration d'Okta est incomplète.

  1. Allez dans Sécurité → API → Serveurs d'autorisation

  2. Cliquez sur le serveur d'autorisation nommé default

  3. Dans l'onglet Politiques d'accès, s'assurer que les applications crées aux Étapes 1 et 2 (et optionnellement 3) ont la règle crée à l'Étape 4 et que celle-ci a un Statut programmé à Actif

Mes utilisateurs obtiennent un access denied (accès refusé) même s'ils sont dans Okta

  1. Allez dans Applications et ressources → Applications

  2. Cliquez sur l'application à modifier

  3. Dans l'onglet Affectations, ajoutez le(s) groupe(s) ou configurez l'application sur l'option Autoriser l'accès à toutes les personnes de votre organisation

Pouvons-nous réutiliser une seule application pour Device et Web?

  • Dans Okta : Non, les types d'applications sont différents (Native vs Monopage) et les formats d'URI de redirection autorisés ne se chevauchent pas.

  • Dans Microsoft Entra : Techniquement possible (une seule application avec plusieurs configurations de plateforme), mais nous recommandons des applications distinctes pour une meilleure journalisation d'audit et un contrôle des politiques par plateforme.

Les utilisateurs verront-ils un écran de consentement?

La première fois qu'un utilisateur se connecte, il peut être invité à consentir aux autorisations demandées (les réclamations « openid », « profile », « email »). Pour Microsoft Entra, un administrateur peut accorder préalablement le consentement pour l'ensemble du locataire sous Autorisations d'API → Accorder un consentement d'administrateur afin de sauter cette étape.

Ce qui se passe après la configuration

Une fois que vous aurez fourni les ID de client et l'Autorité au soutien de Paperless Forms :

  1. Le soutien de Paperless Forms active le SSO pour votre organisation.

  2. Vos utilisateurs ouvrent Paperless Forms sur leurs appareils, puis se connectent avec leur nom d'utilisateur et leur mot de passe Paperless Forms comme d'habitude.

  3. Après la validation de leurs identifiants Paperless Forms, l'application les redirigera vers la page de connexion de votre fournisseur d'identité (page de connexion Okta ou Microsoft).

  4. Une fois connectés avec leurs identifiants SSO d'entreprise, ils sont redirigés vers Paperless Forms et peuvent utiliser l'application normalement.

Les mêmes étapes s'appliquent pour le site Web de Paperless.

Si le compte d'un utilisateur auprès du fournisseur d'identité est désactivé par la suite (ex. : départ de l'entreprise), il perdra l'accès à Paperless dans un court délai — même si son mot de passe Paperless Forms existe toujours, la vérification SSO échouera.

Avez-vous trouvé la réponse à votre question ?