Gérer Self-Service Enterprise Configuration

• Profil en libre-service : définit les principaux éléments des mises en œuvre SSO des clients, y compris les fournisseurs d’identité (IdPs) qu’ils peuvent utiliser ainsi que les attributs utilisateur qu’ils doivent recueillir, comme l’adresse courriel. Vous pouvez créer jusqu’à 20 profils dans votre tenant pour différents clients ou segments.
• Ticket d’accès en libre-service : accorde aux administrateurs client l’accès à l’assistant en libre-service et définit certains détails de la connexion Enterprise qui en résultera. Les tickets d’accès permettent aux administrateurs client de créer de nouvelles connexions ou de modifier des connexions existantes.

​

Créer des profils en libre-service

• Les fournisseurs d’identité que les administrateurs clients peuvent utiliser pour le SSO.
• Les attributs utilisateur qu’ils doivent recueillir au moyen du SSO, comme l’adresse courriel ou le nom de famille.
• Les options d’image de marque qui personnalisent l’apparence de l’assistant libre-service.

{
  "name": "Example Profile",
  "description": "An example profile for all customers",
  "allowed_strategies": ["okta","adfs","google-apps"],
  "user_attributes": [
    {
      "name": "email",
      "description": "User's email",
      "is_optional": false,
    }
  ],
  "branding": {
     "logo_url": "https://example.com/logo.png",
     "colors": {
       "primary": "#334455"
     }
  }
}

PUT /api/v2/self-service-profiles/ssp_1234567890/custom-text/en/get-started

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

​

Gérer les tickets d’accès en libre-service

• Donner aux administrateurs clients accès à l’assistant en libre-service, où ils peuvent configurer une nouvelle connexion SSO ou modifier une connexion existante.
• Prédéfinir des détails et comportements clés des nouvelles connexions SSO que vos administrateurs clients configureront, par exemple les applications ou organisations qui seront activées pour la nouvelle connexion.

​

SSO SAML initié par l’IdP

​

Vérification du domaine de courriel et domaines prévérifiés

1. Domaines prévérifiés (gérés par le tenant) : l’administrateur de tenant ajoute directement les domaines connus à la connexion.
2. Domaines à vérifier : l’administrateur de tenant précise les domaines que l’administrateur TI doit vérifier pendant la configuration. Ces domaines sont indiqués comme en attente dans l’organisation et/ou ne sont pas automatiquement associés à la connexion tant que l’administrateur TI n’a pas terminé la vérification.
3. Vérification du domaine de courriel (autogérée) : l’administrateur de votre client vérifie le domaine pendant la configuration dans l’assistant en libre-service.

• Inclure un seul enabled_organization
• Avoir soit des domaines prévérifiés, soit Email Verification Required défini sur Required ou Optional
• Activer la case à cocher Allow the Use of Domains for Organization Discovery

​

Domaine prévérifié

• Auth0 Dashboard : Sur la page Generate Ticket, indiquez votre liste de domaines dans le champ Pre-verified Domains.
• Management API : Définissez connection_config.options.domain_aliases avec la liste des domaines. Par défaut, use_for_organization_discovery est défini sur true. Au besoin, sélectionnez Allow the Use of Domains for Organization Discovery.

​

domaines à vérifier

• Auth0 Dashboard : dans la page Generate Ticket, indiquez votre liste de domaines dans le champ domaines à vérifier.
• Management API : définissez connection_config.options.domain_aliases sur la liste des domaines. Par défaut, use_for_organization_discovery est défini sur true. Au besoin, sélectionnez Allow the Use of Domains for Organization Discovery

• Si une Organization est associée au ticket, le total combiné des Organization domains existants et en attente ne doit pas dépasser 100.
• Si aucune Organization, ou plus d’une Organization, n’est associée au ticket, le total combiné des alias de domaine existants et en attente ne doit pas dépasser 1 000.

​

Vérification du domaine de courriel

• Auth0 Dashboard : Sur la page Generate Ticket, utilisez le champ Domain Verification Requirement. Au besoin, sélectionnez aussi Allow the Use of Domains for Organization Discovery.
• Management API : Utilisez domain_aliases_config.domain_verification et, au besoin, use_for_organization_discovery avec l’une des options suivantes :
  • none (par défaut) : l’assistant en libre-service ne demande pas à l’administrateur client de vérifier son domaine.
  • required : l’assistant en libre-service demande à l’administrateur client de vérifier ses domaines.
  • optional : l’assistant en libre-service demande à l’administrateur client de vérifier son domaine. L’administrateur client peut choisir soit d’entrer son domaine pour le faire vérifier, soit d’ignorer cette étape.

​

Supprimer un domaine

• Facultatif : tous les domaines vérifiés peuvent être supprimés.
• Obligatoire : au moins un domaine vérifié doit être conservé. Un avertissement s’affiche si l’administrateur TI tente de supprimer le dernier domaine vérifié.

​

Générer des tickets d’accès pour de nouvelles connexions

{
   "connection_config":{
      "name":"string",
      "display_name":"string",
      "show_as_button":true,
      "metadata":{
         "key1":"value1",
         "key2":"value2"
      },
      "options":{
         "icon_url":"string",
         "domain_aliases":[
            "acme.corp",
            "okta.com"
         ],
         "idpinitiated": { 
            "enabled": true, 
            "client_id": "string", 
            "client_protocol": "string", 
            "client_authorizequery": "string" 
        }
      }
   },
   "enabled_organizations":[
      {
         "organization_id":"string",
         "assign_membership_on_login":true,
         "show_as_button":true
      }
   ],
   "ttl_sec":0,
   "domain_aliases_config": {
       "domain_verification": "string",
       "pending_domains": [
              "acme2.com"
       ]
    },
   "third_party_client_access_config": {
      "allow_configuration": true
   }
},

{
  "ticket": "https://{domain}/self-service/connections-flow?ticket={id}"
}

​

Générer des tickets d’accès pour les connexions existantes

{
  "connection_id": "string",
   "ttl_sec":0,
   "domain_aliases_config": {
       "domain_verification": "string",
       "pending_domains": [
             "acme.com"
          ]
    }
}

{
  "ticket": "https://{domain}/self-service/connections-flow?ticket={id}"
}

​

Révoquer un ticket d’accès

1. Récupérez l’ID du profil en libre-service associé au ticket d’accès à l’aide du point de terminaison Récupérer les profils libre-service.
2. Repérez l’ID du ticket d’accès que vous souhaitez révoquer. Les ID se trouvent à la fin de l’URL du ticket d’accès.
3. Envoyez une requête au point de terminaison Révoquer un ticket d’accès SSO en utilisant les ID appropriés : POST /api/v2/self-service-profiles/{id}/sso-ticket/{id}/revoke

​

Références

​

API

• Obtenir les profils en libre-service
• Créer un profil en libre-service
• Obtenir un profil en libre-service par ID
• Supprimer un profil en libre-service par ID
• Mettre à jour un profil en libre-service
• Obtenir le texte personnalisé d’un profil en libre-service
• Définir le texte personnalisé d’un profil en libre-service
• Créer un access ticket pour amorcer le flow de self-service enterprise configuration
• Révoquer un ticket d’accès en libre-service

​

Limites de débit