Configurer le SSO SAML avec Microsoft Entra ID
Préambule
Le SSO SAML 2.0 permet aux membres de votre organisation de se connecter à la supervision Chargekeeper avec leur compte d'entreprise, sans mot de passe Chargekeeper dédié. Ce guide décrit la mise en place avec Microsoft Entra ID comme fournisseur d'identité.
SAML ou Microsoft (OpenID Connect) ? Chargekeeper propose deux façons de se connecter avec un annuaire Microsoft. Le fournisseur Microsoft repose sur OpenID Connect et sur une inscription d'application. Le fournisseur SAML 2.0 décrit ici repose sur une application d'entreprise, et c'est la voie à suivre lorsque votre politique interne impose SAML, ou lorsque le même mode de connexion doit valoir pour plusieurs applications. Choisissez l'un ou l'autre, pas les deux pour le même annuaire.
Ce guide s'adresse au responsable informatique du tenant opérateur. Il décrit ce que vous configurez côté Microsoft Entra ID et côté supervision Chargekeeper.
Prérequis
- Le SSO doit être activé pour votre tenant. L'onglet Authentification SSO n'apparaît dans Paramètres techniques que si le composant SSO est actif sur votre contrat. Si vous ne le voyez pas, contactez le support Chargekeeper.
- Un rôle d'administrateur dans la supervision, donnant accès à Paramètres techniques.
- Un administrateur Microsoft Entra ID capable de créer une application d'entreprise et de lui affecter des utilisateurs. Le rôle Administrateur d'application cloud suffit ; un utilisateur sans droits ne pourra pas créer l'application.
- Un groupe Chargekeeper portant une politique d'accès, pour que les comptes qui se connectent par SSO puissent réellement entrer dans la supervision.
Vue d'ensemble
La mise en place consiste à échanger deux fichiers de métadonnées :
| Sens | Fichier | Où le prendre | Où le déposer |
|---|---|---|---|
| Chargekeeper → Entra | nos métadonnées de fournisseur de service | fenêtre Configuration SAML SSO de la supervision | section 1 de l'application Entra |
| Entra → Chargekeeper | les métadonnées de fédération de l'annuaire | section 3 de l'application Entra | fenêtre Configuration SAML SSO de la supervision |
Chaque fichier remplit automatiquement les champs de l'autre côté : vous n'avez aucune valeur à recopier à la main.
Étape 1 — Générer la paire de clés côté supervision
Dans la supervision : Paramètres techniques → onglet Authentification SSO → carte SAML 2.0 → Configurer.
Dans la section À transmettre à votre fournisseur d'identité, cliquez sur Générer la paire de clés. Cette paire est propre à votre tenant : elle signe les demandes d'authentification envoyées à votre annuaire.
Le bouton Télécharger nos métadonnées (XML) apparaît alors. Téléchargez le fichier — il porte un nom de la forme chargekeeper-sp-metadata-votre-tenant.xml — et transmettez-le à votre administrateur Entra.
La paire de clés doit exister avant le téléchargement : tant qu'elle est absente, le bouton est remplacé par un message vous invitant à la générer.
Étape 2 — Créer l'application dans Microsoft Entra
Dans le centre d'administration Microsoft Entra : Applications d'entreprise → Nouvelle application → Créer votre propre application.
Attention au menu. Le SAML se configure dans Applications d'entreprise, et non dans Inscriptions d'applications — ce dernier sert aux applications OAuth / OpenID Connect et ne propose pas d'authentification unique SAML.
Nommez l'application, par exemple Chargekeeper SAML, puis choisissez Intégrer une autre application que vous ne trouvez pas dans la galerie (non galerie).
Dans l'application créée, ouvrez Authentification unique et choisissez SAML.
Étape 3 — Charger nos métadonnées
En haut de la page d'authentification unique, cliquez sur Charger le fichier de métadonnées et sélectionnez le fichier téléchargé à l'étape 1.
La section 1 — Configuration SAML de base se remplit toute seule :
- Identificateur (ID d'entité) — notre identifiant, propre à votre tenant.
- URL de réponse (Assertion Consumer Service) — l'adresse à laquelle Entra renvoie la réponse d'authentification. Elle est identique pour tous les tenants : c'est l'état du relais qui porte l'information du tenant, pas l'URL.
Les champs URL de connexion, État du relais et URL de déconnexion restent vides.
Étape 4 — Attributs et revendications
Rien à changer. Les noms d'attributs posés par défaut par Entra sont exactement ceux que Chargekeeper lit sans configuration supplémentaire.
Si votre annuaire a été personnalisé et n'émet pas ces attributs, la fenêtre de configuration Chargekeeper permet de surcharger les noms lus, dans Mapping des attributs SAML.
Étape 5 — Récupérer les métadonnées de fédération
Dans la section 3 — Certificats SAML, téléchargez le XML de métadonnées de fédération.
Téléchargez bien le XML de métadonnées de fédération, et non le Certificat (en base64). Le fichier XML contient à lui seul l'identifiant de l'annuaire, son URL de connexion et son certificat : un seul import suffit. Le certificat seul ne sert que lors d'une rotation où l'annuaire ne fournit pas de nouveau fichier.
Notez l'expiration affichée sur cette page : le certificat de signature d'Entra a une durée de vie limitée, et sa rotation demande de réimporter les métadonnées dans la supervision.
Étape 6 — Affecter les utilisateurs à l'application
Par défaut, Entra bloque toute connexion d'un utilisateur qui n'est pas explicitement affecté à l'application.
Dans l'application : Utilisateurs et groupes → Ajouter un utilisateur/groupe → sélectionnez les comptes → Attribuer.
Ce n'est pas le menu Rôles et administrateurs. Celui-ci sert à désigner qui a le droit d'administrer l'application ; il n'ouvre aucun accès à la connexion.
L'affectation par groupe demande une licence Microsoft Entra ID P1 ou P2. Sans elle, Entra affiche un avertissement et seuls des utilisateurs individuels peuvent être affectés.
Étape 7 — Renseigner l'annuaire dans la supervision
Retournez dans la fenêtre Configuration SAML SSO de la supervision, et utilisez Importer le metadata XML de l'IdP avec le fichier récupéré à l'étape 5. L'entityID IdP, l'URL SSO de l'IdP et les certificats de signature se remplissent automatiquement.
Complétez ensuite :
- Nom affiché sur le bouton de connexion — ce que vos utilisateurs lisent sur le bouton « Se connecter avec … ».
- Provisionner automatiquement les nouveaux utilisateurs et Domaines email autorisés — si vous souhaitez qu'un compte Chargekeeper soit créé à la première connexion. La liste de domaines vide vaut « personne » : aucun compte ne sera créé.
- Groupe par défaut des utilisateurs créés — le groupe attribué aux comptes créés automatiquement.
- Activer SAML SSO pour ce tenant, puis Enregistrer.
Le groupe choisi doit porter une politique d'accès. Un compte correctement authentifié mais dont aucun groupe n'ouvre de droits est refusé au dernier moment, avec la référence
USER_CANNOT_LOG_TO_UI.
Le bouton Tester la configuration vérifie la forme des valeurs saisies — certificat lisible, URL en HTTPS, deux certificats au maximum. Il n'établit aucune connexion avec l'annuaire : un résultat vert ne garantit pas qu'une connexion aboutira.
Étape 8 — Vérifier la connexion
Ouvrez la page de connexion de votre tenant : le bouton de connexion SSO y apparaît. Authentifiez-vous avec un compte affecté à l'application à l'étape 6.
Partez de la page de connexion Chargekeeper, pas de la tuile du portail Mes applications de Microsoft. Chargekeeper n'accepte que les réponses correspondant à une demande qu'il a lui-même émise : une connexion initiée depuis le portail Microsoft échoue par conception.
Dépannage
« AADSTS50105 » — l'utilisateur n'est pas affecté
AADSTS50105: Your administrator has configured the application <nom> to block users
unless they are specifically granted ('assigned') access to the application.
L'étape 6 n'a pas été faite pour ce compte. Ce refus a lieu chez Microsoft : aucune trace n'apparaît dans les journaux Chargekeeper, c'est normal.
« AADSTS7500529 » — identifiant de demande refusé
L'annuaire refuse l'identifiant de la demande d'authentification. Signalez-le au support Chargekeeper en précisant l'heure de la tentative.
« AADSTS75011 » — méthode d'authentification
L'annuaire indique que la méthode d'authentification utilisée (carte à puce, double facteur) ne correspond pas à celle demandée. Chargekeeper n'en demande aucune : les méthodes acceptables relèvent de votre annuaire et de son accès conditionnel. Ce message ne devrait donc plus survenir — s'il apparaît, signalez-le au support Chargekeeper avec l'heure de la tentative.
« USER_CANNOT_LOG_TO_UI » — le compte n'a aucun accès
L'authentification a réussi ; c'est Chargekeeper qui refuse l'entrée, faute de politique d'accès sur les groupes du compte. Rattachez le compte à un groupe qui en porte une.
« Invalid requester » ou identifiant inconnu
L'identifiant déclaré dans la section 1 d'Entra ne correspond pas au nôtre. Rechargez nos métadonnées (étape 3) plutôt que de corriger la valeur à la main.
Rotation des certificats
Deux certificats sont en jeu, et chacun se renouvelle de son côté.
- Le certificat d'Entra, affiché dans la section 3 avec sa date d'expiration. Lorsqu'il change, réimportez les métadonnées de fédération dans la supervision. Chargekeeper accepte deux certificats simultanément, ce qui permet de préparer la bascule sans interruption.
- Notre paire de clés, régénérable depuis la fenêtre de configuration. Attention : tant que l'annuaire n'a pas réimporté nos métadonnées, les connexions échouent. Ne la régénérez que si c'est nécessaire, et prévenez votre administrateur Entra avant.
