Authentification unique

Permettez à vos collaborateurs de se connecter à mTime avec le fournisseur d’identité de votre organisation, et restreignez un espace de travail pour que ce soit la seule voie d’accès.

Vue d’ensemble

mTime peut connecter les utilisateurs avec Google, Microsoft ou Visma Connect, et un espace de travail peut être restreint à un seul d’entre eux.

mTime est un client de votre fournisseur d’identité, et non un fournisseur d’identité lui-même. Lorsqu’une personne se connecte avec Microsoft, toute l’authentification — nom d’utilisateur, mot de passe, multifacteur et les règles d’accès conditionnel que vous appliquez — a lieu dans votre propre locataire, et la connexion est enregistrée dans vos propres journaux. Il n’y a aucune fédération entre votre locataire et le nôtre, et aucun compte utilisateur n’est créé chez nous.

Fonctionnement

La personne choisit Se connecter avec Microsoft — ou Google, ou Visma Connect.
mTime la redirige vers le fournisseur, où elle s’authentifie selon vos propres règles.
Le fournisseur la renvoie, et mTime lit quatre informations : un identifiant utilisateur stable, une adresse e-mail, un nom complet et un prénom. Rien d’autre — ni messagerie, ni agenda, ni fichiers, ni accès à votre annuaire.
mTime recherche la personne. Si elle n’existe pas déjà dans mTime, la connexion est refusée.
mTime crée sa propre session.

Se connecter ne donne pas accès

Une connexion valide auprès de votre fournisseur d’identité ne donne accès à rien en soi. La personne doit déjà exister en tant qu’utilisateur dans mTime, et les utilisateurs ne sont créés que de trois façons : par approvisionnement SCIM depuis votre fournisseur d’identité, automatiquement à partir des données d’emploi, ou sur invitation d’un administrateur. Il n’y a pas d’inscription en libre-service.

Une première connexion nécessite en outre l’invitation envoyée à l’adresse approvisionnée — un lien à usage unique qui expire. mTime n’associe jamais un compte de fournisseur à un utilisateur existant sur la seule foi d’une adresse e-mail.

Il y a donc deux couches, et elles restent séparées. Votre fournisseur d’identité détermine qui est la personne. L’utilisateur dans mTime détermine ce qu’elle peut faire : le rôle et l’emploi s’y trouvent — jamais d’identifiants de connexion.

Configuration

Un propriétaire ou un Administrateur de l’espace de travail restreint un espace de travail dans Admin › Espace de travail, à l’aide de deux paramètres qui vont ensemble :

Fournisseur d'authentification unique — le seul fournisseur que cet espace de travail accepte
Domaines de messagerie autorisés — les domaines que possède votre organisation, par exemple ku.dk

Les deux sont obligatoires. Un fournisseur seul n’est pas une restriction : mTime ne l’enregistre donc pas sans au moins un domaine.

Une fois la restriction activée, pour cet espace de travail :

Tout le monde se connecte avec ce seul fournisseur, et l’adresse de son compte mTime doit appartenir à l’un des domaines indiqués.
Tout autre accès est refusé : mots de passe, clés d’accès, les autres fournisseurs, le support mTime et toute session créée avant la restriction.
Les invitations indiquent avec quel fournisseur se connecter. Vous ne pouvez inviter que des adresses des domaines indiqués.

Avant de l’activer

L’administrateur qui effectue la modification doit déjà s’être connecté avec le fournisseur choisi, et sa propre adresse mTime doit appartenir à l’un des domaines indiqués. Sinon, mTime refuse la modification et indique quelle moitié manque.

L’exigence porte sur la personne qui effectue la modification, et non sur n’importe quel administrateur, parce que la modification la déconnecte elle aussi. Ainsi, la personne qui active la restriction peut toujours se reconnecter et la désactiver.

Ce qui se passe à l’activation

Tout le monde dans l’espace de travail est déconnecté, vous compris, et se reconnecte avec le fournisseur choisi.

Il en va de même chaque fois que vous modifiez la restriction de sorte qu’elle laisse entrer moins de monde : passer à un autre fournisseur ou retirer un domaine. Ajouter un domaine ne déconnecte personne.

La désactiver

Videz le paramètre Fournisseur d'authentification unique . La restriction est levée immédiatement et personne n’est déconnecté. La liste des domaines peut rester en place, si bien que la réactiver plus tard ne demande qu’un seul paramètre.

Elle s’applique aussi à nous

Il n’existe aucun contournement dans mTime : le support mTime ne peut pas non plus accéder à un espace de travail restreint. Si vous souhaitez notre aide dans l’espace de travail, un administrateur désactive la restriction, puis la réactive ensuite.

Si votre fournisseur d’identité cesse de fonctionner, plus personne ne peut se connecter à l’espace de travail — pas même les administrateurs qui pourraient désactiver la restriction. Si vous ne pouvez pas rétablir le fournisseur à temps, un contact habilité de votre organisation peut demander par écrit au support mTime de lever la restriction. Il s’agit d’une procédure manuelle, effectuée et consignée. Ensuite, votre administrateur réactive la restriction dès que le fournisseur fonctionne.

Dépannage

Problème	Solution
La connexion par mot de passe ne fonctionne plus	Normal une fois l’espace de travail restreint. Utilisez le fournisseur affiché sur la page de connexion.
La restriction ne s’enregistre pas	Vous ne vous êtes pas encore connecté avec ce fournisseur, ou votre propre adresse mTime n’appartient pas aux domaines indiqués. Le message précise lequel.
Une personne est refusée alors qu’elle s’est connectée chez le fournisseur	L’adresse de son compte mTime n’appartient à aucun des domaines indiqués — c’est cette adresse qui compte, pas celle qu’affiche le fournisseur. Modifiez l’adresse dans mTime, ou ajoutez le domaine.
Tout le monde est refusé et votre fournisseur est en panne	Rétablissez le fournisseur. Si vous ne le pouvez pas, contactez le support mTime — voir l’avertissement ci-dessus.
Notre prestataire ne peut pas nous aider dans l’espace de travail	Désactivez la restriction, puis réactivez-la une fois terminé.
Un utilisateur ne parvient pas à ajouter Microsoft à un compte existant	Connectez-vous d’abord, puis ajoutez le fournisseur sous Sécurité dans les paramètres du compte.

Pour votre équipe informatique et sécurité

Question	Réponse
De quel modèle s’agit-il ?	Un enregistrement d’application multilocataire. Le consentement crée une application d’entreprise dans votre propre locataire, que vous possédez, pouvez cibler par accès conditionnel et pouvez supprimer. Aucun compte invité n’est créé nulle part.
Est-ce de la fédération ?	Non. Il y a un fournisseur d’identité — le vôtre — et une application qui l’utilise. Aucune relation de confiance n’existe entre votre locataire et le nôtre.
SAML est-il pris en charge ?	Non. L’authentification passe uniquement par OpenID Connect / OAuth 2.0.
Quelles données sont lues ?	`sub`, `email`, `name` et `given_name`. Aucune autorisation d’application n’est demandée.
Comment le domaine est-il vérifié ?	Une comparaison exacte de la partie domaine de l’adresse du compte mTime de la personne, sans distinction de casse. Ni caractères génériques, ni sous-domaines. Cela délimite l’espace de travail ; ce n’est pas une preuve de propriété du domaine.
Qu’est-ce qui arrête quelqu’un venant d’un autre locataire ?	L’exigence d’approvisionnement et l’invitation. mTime n’associe pas un compte de fournisseur à un utilisateur sur la seule base de l’adresse e-mail : une adresse ressemblante n’apporte rien.
Les rôles peuvent-ils venir des groupes ?	Oui, mais un groupe arrive sans aucune autorisation ; c’est un administrateur qui les accorde. Le rôle Owner ne peut jamais être attribué par approvisionnement.
Combien de temps dure une session ?	30 jours à compter de la dernière activité. La désactivation d’un utilisateur via SCIM met fin immédiatement à ses sessions.

Sécurité du compte