Qu'est-ce que l'authentification unique (SSO) ?

L'authentification unique (SSO) est un modèle d'authentification dans lequel un utilisateur se connecte une seule fois à l'aide d'un ensemble d'identifiants et accède à toutes les applications auxquelles il est autorisé à accéder pendant cette session, sans avoir à saisir à nouveau ses identifiants à chaque fois. La plupart des solutions SSO d'entreprise sont mises en œuvre à l'aide des protocoles SAML ou OpenID Connect, dont les informations sont échangées entre un fournisseur d'identité et chaque service connecté.

Points clés à retenir

• Une seule connexion permet d'accéder à toutes les applications connectées pendant la session.
• SAML et OpenID Connect sont les deux normes sur lesquelles reposent la plupart des solutions d'authentification unique (SSO) d'entreprise.
• Un fournisseur d'identité authentifie les utilisateurs ; les services se fient à ses déclarations.
• Les flux SSO peuvent débuter soit chez le fournisseur de services, soit chez le fournisseur d'identité.
• Versa Director, Concerto et le portail « Titan » prennent tous en charge l'authentification unique (SSO) via SAML ou OpenID.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SSO et Versa · FAQ

Pourquoi l'authentification unique (SSO) est-elle importante ?

Sans SSO, les utilisateurs doivent gérer un mot de passe distinct pour chaque application, ce qui conduit à l’utilisation d’identifiants faibles, réutilisés ou notés quelque part – l’une des principales causes de piratage par prise de contrôle de compte. Le SSO élimine ce fardeau : un utilisateur s’authentifie une seule fois auprès d’un fournisseur d’identité de confiance, et chaque application connectée accepte cette authentification au lieu de demander une nouvelle authentification. Ce point de contrôle unique est également important pour les administrateurs. Lorsqu’un collaborateur quitte l’entreprise, la désactivation d’un seul compte auprès du fournisseur d’identité révoque immédiatement l’accès partout, au lieu que le service informatique doive rechercher des dizaines d’identifiants.

Moins de mots de passe signifie également une surface d'attaque réduite pour le phishing : un seul identifiant à protéger, doté d'une authentification multifactorielle (MFA) robuste, au lieu d'être dispersé sur des systèmes qui ne la prennent pas nécessairement en charge. Pour les organisations qui gèrent des dizaines d'outils SaaS parallèlement à des systèmes sur site tels qu'Versa Director, l'authentification unique (SSO) est la condition sine qua non d'une politique d'accès centralisée.

Qu'est-ce que l'authentification unique (SSO) ?

Le SSO fonctionne en dissociant l’authentification des applications qui en ont besoin. Un fournisseur d’identité (IdP) – tel qu’Okta, Azure AD, ADFS, OneLogin ou Ping Identity – conserve les identifiants de l’utilisateur et se charge de la connexion. Lorsqu’un utilisateur accède à une application (le fournisseur de services) sans session active, celle-ci le redirige vers l’IdP, qui vérifie son identité et émet une assertion signée ou un jeton confirmant qui il est et quels rôles il occupe. Le fournisseur de services valide cette assertion et accorde l’accès sans avoir connaissance du mot de passe.

Deux normes prennent en charge la majeure partie de ce trafic. SAML est un protocole basé sur XML, conçu pour l'authentification unique (SSO) via navigateur, qui permet l'échange d'assertions signées entre le fournisseur d'identité (IdP) et le fournisseur de services. OpenID Connect est un protocole plus récent, basé sur des jetons et s'appuyant sur OAuth 2.0. Tous deux visent le même objectif – une seule connexion pour plusieurs applications – mais utilisent des formats de messages différents.

Types d'authentification unique (SSO)

Les déploiements SSO varient selon deux critères : la manière dont le flux démarre et le protocole utilisé pour le transmettre. Le SSO initié par le fournisseur de services (SP-initiated) commence lorsqu’un utilisateur tente d’accéder directement à une application ; celle-ci le redirige vers l’IdP, qui l’authentifie et le redirige vers l’application avec une réponse d’authentification. Le SSO initié par le fournisseur d’identité (IdP-initiated) commence sur le portail de l’IdP : l’utilisateur s’y connecte d’abord, puis lance une application qui fait confiance à la réponse SSO envoyée par l’IdP sans redirection préalable. Les IdP d’entreprise prennent généralement en charge les deux modes, le choix s’effectuant au niveau du connecteur.

Par ailleurs, le protocole peut être basé sur SAML, utilisant des assertions XML signées, ou sur OpenID Connect, utilisant des jetons OAuth 2.0. Les organisations qui ont adopté un fournisseur d'identité (IdP) tel qu'Okta ou Azure AD prennent généralement en charge les deux protocoles et font leur choix en fonction de l'application.

SSO & Versa

Versa Director, Concerto et le portail Titan prennent tous trois en charge l’authentification unique (SSO) comme alternative à la connexion locale par nom d’utilisateur et mot de passe. Director prend en charge l’authentification unique basée à la fois sur SAML et OpenID Connect ; cette fonctionnalité a été testée avec ADFS, Okta, OneLogin et Ping Identity, avec des flux initiés aussi bien par le fournisseur de services (SP) que par le fournisseur d’identité (IdP), ainsi qu’un mappage des rôles entre l’IdP et Director. Concerto prend en charge ces deux mêmes protocoles, testés avec ADFS, Azure, Okta et Ping Identity, avec des flux distincts pour les utilisateurs système et les utilisateurs de locataires. Titan Portal, le portail revendeurs d’ Versa, prend en charge l’authentification unique (SSO) basée sur SAML, testée avec ADFS, Azure AD, G-Suite, Okta et OneLogin, en admettant soit tout utilisateur IdP authentifié, soit uniquement les utilisateurs déjà provisionnés localement. L’authentification unique (SSO) est activée à la place de l’authentification à deux facteurs, et non en parallèle de celle-ci.

Questions fréquentes

Quelle est la différence entre l'authentification unique (SSO) et l'authentification multifactorielle ?

L'authentification unique (SSO) et l'authentification à plusieurs facteurs (MFA) répondent à des besoins différents. Le SSO réduit le nombre de connexions nécessaires pour un utilisateur : une seule connexion permet d'accéder à plusieurs applications. La MFA renforce chaque connexion grâce à un deuxième facteur d'authentification, en plus du mot de passe. Ces deux approches sont complémentaires : le SSO centralise l'authentification au niveau du fournisseur d'identité, ce qui facilite la mise en œuvre de la MFA à ce niveau plutôt que pour chaque application.

Quelle est la différence entre l'authentification unique (SSO) et l'identité fédérée ?

Le SSO désigne généralement une connexion unique aux applications d'une même organisation. L'identité fédérée étend ce concept à des organisations distinctes : par exemple, se connecter au portail d'un partenaire en utilisant le fournisseur d'identité de sa propre entreprise comme ancrage de confiance. C'est la fédération qui rend possible le SSO inter-organisations.

Quelle est la différence entre l'authentification unique (SSO) initiée par le SP et celle initiée par l'IdP ?

Le SSO initié par le SP démarre lorsqu'un utilisateur ouvre directement une application et est redirigé vers le fournisseur d'identité pour s'authentifier. Le SSO initié par l'IdP démarre sur le portail du fournisseur d'identité, où l'utilisateur lance une application déjà approuvée sans redirection préalable. La plupart des IdP d'entreprise prennent en charge ces deux modes.

Le SSO rend-il un compte plus vulnérable si le mot de passe est compromis ?

C'est possible, car une seule information d'identification compromise chez le fournisseur d'identité peut potentiellement donner accès à toutes les applications connectées. C'est pourquoi les déploiements de SSO doivent s'accompagner d'une authentification multifactorielle (MFA) robuste chez le fournisseur d'identité : concentrer l'authentification en un seul endroit n'est plus sûr que si cet endroit est bien protégé.

Versa , Director et Concerto prennent-ils en charge les mêmes protocoles SSO ?

Oui. Les deux prennent en charge l'authentification unique (SSO) basée sur SAML et sur OpenID Connect, configurée sous forme de connecteur avec les métadonnées de l'IdP, telles que les certificats et les URL des points de terminaison. Le portail Titan , le portail dédié aux revendeurs de Versa, ne prend en charge que l'authentification unique basée sur SAML. Ces trois solutions ont été testées avec divers IdP, notamment Okta, ADFS, Azure AD et Ping Identity.

En savoir plus sur l'authentification unique (SSO)

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur l'authentification unique (SSO), voici quelques liens qui pourraient vous intéresser.