Comment configurer les rôles d'application Microsoft Entra ID (Azure AD) et les revendications SAML pour EloView SSO

Public cible : Public / Clients Elo, Architectes d'identité cloud & Administrateurs IT

Type d'article : Guide de configuration SSO (Single Sign-On) & Identité cloud

Ce guide complet décrit comment créer des rôles d'application personnalisés dans Microsoft Entra ID (anciennement Azure Active Directory), les mapper aux utilisateurs et groupes du répertoire, et les transmettre en tant que revendications de jeton SAML dans EloView® pour le contrôle d'accès basé sur les rôles (RBAC).

Architecture : Rôles d'application vs. Groupes de sécurité

Comprendre comment Entra ID gère les droits à l'échelle de l'application par rapport aux groupes de sécurité à l'échelle du répertoire :

Exemples de mappages de rôles EloView

Créez des rôles de sécurité personnalisés dans EloView qui correspondent à vos équipes organisationnelles :

Étape 1 : Déclarer les rôles d'application dans les enregistrements d'application Azure

1. Connectez-vous au Portail Azure (ou centre d'administration Microsoft Entra).
2. Accédez à Azure Active Directory (Microsoft Entra ID) > Inscriptions d'application.

3. Sélectionnez votre Application EloView enregistrée. 

   

4. Dans le menu de navigation de gauche sous Gérer, cliquez sur Rôles d'application, puis sélectionnez Créer un rôle d'application.

   

5. Dans le panneau Créer un rôle d'application, configurez les paramètres du rôle :

   • Nom d'affichage : Peut contenir des espaces (par ex., EloView Admins).
   • Types de membres autorisés : Sélectionnez Utilisateurs/Groupes.
   • Valeur : Chaîne de jeton de rôle exacte — ne peut pas contenir d'espaces (par ex., EloView_Admins).
   • Description : Description administrative interne.

   

6. Cliquez sur Appliquer pour enregistrer le rôle, et répétez pour tous les rôles EloView requis.

   

Étape 2 : Attribuer des utilisateurs et des groupes aux rôles d'application

1. Dans le Portail Azure, accédez à Applications d'entreprise > Toutes les applications et sélectionnez votre Application d'entreprise EloView.

   

2. Sous Gérer, cliquez sur Utilisateurs et groupes, puis sélectionnez Ajouter un utilisateur/groupe.

   

3. Sélectionnez l'Utilisateur ou le Groupe cible, puis cliquez sur Sélectionner un rôle pour attribuer le rôle d'application correspondant (par ex., EloView_Admins).

   

4. Cliquez sur Sélectionner, puis cliquez sur Attribuer. Répétez pour tous les utilisateurs et groupes de sécurité restants.

Étape 3 : Mapper la revendication de rôle SAML dans le Single Sign-On

1. Sous votre application d'entreprise, accédez à Gérer > Single sign-on (SAML).

2. Dans la section Attributs & Revendications, cliquez sur Modifier.

   

3. Cliquez sur Ajouter une nouvelle revendication et configurez les paramètres suivants :

   • Nom : roles (Respect de la casse : Doit être strictement en minuscules sans espace de noms)
   • Source : Attribut
   • Attribut source : user.assignedroles
   
4. Cliquez sur Enregistrer.

Étape 4 : Tester SSO & Vérifier l'émission du jeton

1. Tester le jeton SAML dans Azure : Utilisez l'outil Tester le Single Sign-On dans Azure pour inspecter l'assertion SAML émise. Confirmez que l'attribut apparaît avec votre rôle configuré :

   roles = EloView_Admins

   

2. Vérifier l'attribution de rôle dans le portail : Connectez-vous au Portail EloView via SSO et vérifiez que la session active de l'utilisateur reflète le rôle mappé (par ex., (SAMLUser)EloView_Admins).