Comment configurer Single Sign-On (SSO) avec Microsoft Entra

La fonctionnalité 'Single Sign On' permet à votre entreprise de disposer d'un environnement plus sécurisé en renforçant la sécurité de l'accès à vos projets Dalux. Avec cette fonctionnalité, vous pouvez contrôler comment les utilisateurs de votre organisation accèdent aux projets en leur donnant l'option ou en leur imposant d'utiliser SSO.

Cet article aborde comment configurer le SSO pour vos projets en utilisant la connexion Microsoft (MS Entra, anciennement AzureAD).

La connexion doit être approuvée à la fois par Dalux et par l'organisation du client afin d'autoriser les utilisateurs à se connecter à l'aide de leur connexion Microsoft.

Options de configuration

Lors de la configuration du SSO, vous avez plusieurs options pour contrôler la façon dont la connexion doit apparaître pour les utilisateurs de votre organisation. Dans tous les cas, Dalux doit être enregistré dans Microsoft Entra avant que vous puissiez fournir les informations requises à Dalux pour la configuration.

Si vous souhaitez utiliser les groupes Microsoft Entra pour gérer les autorisations utilisateur dans Dalux HelpDesk, Operations & Maintenance, ou BIM & Documentation, assurez-vous d'enregistrer Dalux comme 'Multitenant'.

Administrateur Microsoft avec accès Dalux

1. Dalux permet la connexion Microsoft pour le domaine client
2. Un administrateur ayant les accès appropriés dans Microsoft Entra se connecte à Dalux. Ici, on lui demande d'accorder l'accès à tous les utilisateurs de l'organisation.
3. (Optionnel) Si le consentement administrateur n'a pas été accordé lors de la première connexion Microsoft à Dalux, l'application Dalux peut être trouvée dans la section 'Applications' de Microsoft Entra. L'administrateur peut alors accorder le consentement à partir de là.
4. Dans Dalux, définissez la politique de connexion de l'organisation.

Administrateur Microsoft sans accès Dalux

1. Dalux permet la connexion Microsoft pour le domaine client
2. L'administrateur Dalux de l'organisation définit la politique de connexion de l'organisation
3. L'administrateur Microsoft accorde le consentement à l'application dans les 'Applications' de Microsoft Entra.

Activer les demandes d'approbation

Vous pouvez décider si vous souhaitez accorder le consentement pour les utilisateurs de votre organisation de manière générale ou si un réviseur doit accorder le consentement individuellement.

Pour ce faire, activez les demandes de consentement dans Microsoft Entra et ajoutez au moins un type de réviseur. Ainsi, lorsqu'un utilisateur tente de se connecter avec Microsoft Login, il recevra un formulaire de demande d'approbation :

Le réviseur peut alors approuver ou refuser la demande pour cet utilisateur dans Microsoft Entra.

Informations à fournir à Dalux

Dalux prend en charge le Single-Sign-On (SSO) via OAuth2.0 par l'intermédiaire de Microsoft Entra et de Microsoft Graph. Demandez l'activation en contactant votre consultant Dalux et en fournissant les informations suivantes :

• Activation SSO : informez votre consultant que vous souhaitez activer le SSO pour votre organisation.
• Domaines : Listez les domaines pour lesquels vous souhaitez activer le SSO et fournissez l'enregistrement DNS TXT de Dalux (DALUX=COXXXXXX) afin d'identifier Dalux comme administrateur du domaine enregistré.
• Nom de votre organisation dans Dalux (Profil de l'entreprise)

Gestion des politiques de connexion

Vous pouvez spécifier comment les utilisateurs de votre organisation peuvent se connecter à Dalux. Il est possible de configurer un domaine comme « exclusivement SSO », ce qui signifie que les utilisateurs enregistrés avec une adresse e-mail de ce domaine n'auront accès à Dalux qu'après une authentification réussie par AD. Cela empêchera les utilisateurs d'avoir des mots de passe distincts dans Dalux.

Vous contrôlez cette option dans les réglages suivants. Pour Field, Box, Tender ou Handover, allez à

Profils d'entreprise Sélectionnez votre entreprise Réglages 'Domaines gérés'

Sélectionnez un domaine qui est relié à votre organisation et choisissez sa 'Politique de connexion'.

• Require AD : Nécessite que les utilisateurs se connectent avec leur connexion Microsoft
• AD et DaluxID : Les utilisateurs peuvent choisir de se connecter avec la connexion Microsoft ou leur compte Dalux.

Pour HelpDesk, Operations & Maintenance, ou BIM & Documentation : contactez votre CSM local.

Gestion des utilisateurs dans Dalux FM avec Entra

Gestion des autorisations utilisateur

Dalux FM vous permet de gérer vos groupes d'utilisateurs Dalux avec des groupes de Microsoft Entra. Avec cela, vous pouvez gérer les autorisations des utilisateurs dans votre AD, qui seront synchronisées avec Dalux.

Assurez-vous que vos groupes d'utilisateurs dans Dalux FM sont correctement configurés, puis allez à

RéglagesIntégrationsAzure AD

Copiez l'Id Client et l'Id Locataire depuis Microsoft Entra et entrez le 'Secret Client' dans la fenêtre qui apparaît, puis cliquez sur 'Enregistrer'. Ce n'est qu'après l'enregistrement que le service tentera de se connecter. Si la connexion est réussie, les options réelles de mappage des groupes Microsoft, des groupes Dalux et des Régions apparaîtront.

Le mappage de vos groupes AD avec des groupes d'utilisateurs et des régions d'utilisateurs permet à un groupe AD d'être mappé à un seul groupe d'utilisateurs Dalux et à une seule région. Il n'autorise pas le mappage à plusieurs combinaisons. Vous pouvez mapper plusieurs groupes AD au même groupe d'utilisateurs et région Dalux.

En entrant le nom du groupe AD, vous pouvez cliquer sur 'Valider' pour vous assurer que Dalux trouve le groupe dans votre répertoire.

Les nouveaux groupes d'utilisateurs Dalux ou groupes AD sont affichés immédiatement et peuvent être mappés, la synchronisation est exécutée chaque nuit, donc les changements prennent une journée pour apparaître dans Dalux.

Mettre à jour les informations utilisateur

Lorsqu'un utilisateur s'authentifie via Microsoft Entra, le profil utilisateur local Dalux peut être mis à jour avec les valeurs suivantes de l'API Microsoft Graph (user.read):

• Utilisateur.email -> Email
• Utilisateur.givenName -> Name
• Utilisateur.surname -> Name
• Utilisateur.companyName -> Entreprise
• Utilisateur.mobilePhone -> Phone

Ces données dans Dalux sont remplacées par les entrées faites dans votre répertoire. Si la valeur dans votre répertoire est vide, les données dans Dalux sont conservées.