Passer au contenu principal

Ouvrir dans AthenaHQ

app.athenahq.ai/settings/security

​
Objectif

Les administrateurs contrôlent ici comment leurs collègues rejoignent l’espace et s’authentifient. L’adhésion automatique par domaine évite les invitations individuelles ; SSO et SCIM apportent des contrôles de sécurité d’entreprise. L’accès par domaine peut couvrir toute l’organisation ou certains sites uniquement. Les clients Enterprise peuvent connecter un fournisseur SAML ou OIDC, comme Okta, Google Workspace ou Microsoft Entra, et automatiser création et désactivation des comptes.

​
Contenu de la page

​
Accès à l’organisation

Liste des domaines donnant accès à toute l’organisation, avec Ajouter un domaine :
  • Domaines : chaque @domain configuré.
  • Vérification : badge vert Vérifié via DNS ou e-mails des membres correspondants ; sinon badge orange Vérifier le DNS.
  • Rôle par défaut : Lecteur, Administrateur ou rôle personnalisé attribué aux nouveaux membres de ce domaine.
  • Modifier : ouvre « Modifier @[domain] ».

​
Accès aux sites web

Domaines donnant accès à des sites précis, sans accès global :
  • Liste regroupée par @domain, avec Vérifié ou Vérifier le DNS, comme au niveau organisation.
  • Sites associés : logo et nom des sites autorisés.
  • Rôle par défaut attribué.
  • Modifier : change le rôle, ajoute ou retire des sites, ou retire entièrement le domaine.

​
Authentification unique

Disponible avec Enterprise. Sans configuration, un formulaire demande le domaine e-mail de l’entreprise. Sinon :
  • Statut : protocole SAML ou OIDC et badge Actif.
  • Menu ⋯ : retrait du SSO. L’infobulle des non-administrateurs indique « Seuls les administrateurs de l’organisation peuvent retirer le fournisseur SSO ».
  • Rôle par défaut des nouveaux utilisateurs : rôle SSO et Modifier. Infobulle : « Seuls les administrateurs peuvent modifier ce rôle, puisqu’il est accordé à chaque nouveau membre SSO ».
  • Détails de connexion : section dépliable avec champs copiables requis par le fournisseur : Issuer, Callback URL, SP metadata URL.

​
Provisionnement SCIM

Visible après configuration du SSO pour gérer la synchronisation des utilisateurs :
  • Endpoint SCIM : URL de base en lecture seule, copiable.
  • Statut du token : Actif, Révoqué ou Non configuré.
  • Générer un token SCIM / Renouveler le token SCIM : crée ou renouvelle le token Bearer.
  • Configurer SCIM chez votre fournisseur d’identité : instructions pas à pas dépliables.
Table de correspondance des attributs SCIM Dans les instructions, Champ du fournisseur d’identité indique l’attribut (userName, name.givenName, name.familyName, active, par exemple) et Champ AthenaHQ son équivalent : E-mail, Prénom, Nom, Statut actif.

​
Actions disponibles

  • Ajouter un domaine d’organisation : Ajouter un domaine ouvre « Ajouter un domaine e-mail ». Saisissez le domaine, choisissez un rôle par défaut et enregistrez.
  • Ajouter un domaine de site : ouvre « Ajouter un domaine d’accès aux sites web ». Saisissez le domaine, sélectionnez les sites et le rôle, puis Ajouter un domaine.
  • Vérifier le DNS : ouvre « Vérifier la propriété du domaine » avec un enregistrement TXT à ajouter chez votre fournisseur DNS. Cliquez ensuite sur Vérifier.
  • Modifier un domaine : change le rôle et, au niveau site, la liste des sites. Retirer le domaine supprime entièrement la règle.
  • Configurer SSO : saisissez le domaine et Continuer. L’assistant guide la vérification DNS si nécessaire et propose les onglets OIDC/SAML. Terminez avec Terminer la configuration ou Vérifier le domaine et terminer la configuration.
  • Retirer SSO : ⋯ > Retirer SSO ouvre « Retirer le fournisseur SSO ? Toute personne utilisant @[domain] reviendra aux codes e-mail ou à la connexion Google/Microsoft. Les membres existants conservent leur accès. » Confirmez avec Retirer SSO.
  • Changer le rôle SSO : Modifier près du rôle par défaut, choisissez le rôle puis Enregistrer.
  • Générer / Renouveler le token SCIM : ajoutez éventuellement un libellé puis Générer le token ou Renouveler le token. Le nouveau token n’est affiché qu’une fois ; copiez-le avant de fermer.
  • Copier les détails : cliquez sur un extrait de code, une URL de rappel, un TXT DNS ou un token ; « Copié ! » confirme.
  • Passer à Enterprise : sans cette offre, la section SSO présente Voir les offres pour ouvrir les abonnements.

​
Données affichées

  • Domaines d’adhésion automatique configurés pour l’espace ou certains sites.
  • Configuration SSO SAML/OIDC liée à l’organisation.
  • Connexion SCIM : état du token et endpoints de synchronisation de l’annuaire.

​
Procédures courantes

Configurer l’adhésion automatique à des sites
  1. Dans Accès aux sites web, Ajouter un domaine.
  2. Saisissez le domaine, par exemple acmecorp.com.
  3. Choisissez les sites autorisés.
  4. Choisissez le rôle puis Ajouter un domaine.
  5. Si nécessaire, Vérifier le DNS, ajoutez le TXT fourni chez l’hébergeur DNS, puis Vérifier.
Configurer SSO
  1. Saisissez le domaine et Continuer.
  2. Effectuez la vérification DNS si nécessaire.
  3. Choisissez OIDC ou SAML selon votre fournisseur.
  4. Copiez Callback URL et Entity ID dans son application SSO.
  5. Reportez Issuer URL, Client ID et Client Secret, ou Metadata URL pour SAML, dans AthenaHQ.
  6. Terminer la configuration.
Renouveler un token SCIM
  1. Cliquez sur Renouveler le token SCIM.
  2. Lisez l’avertissement : l’ancien token sera immédiatement révoqué.
  3. Renouveler le token.
  4. Copiez le nouveau token et mettez à jour SCIM chez votre fournisseur.
  5. Terminé ferme la fenêtre.

​
États vides, de chargement et d’erreur

  • Vide : « Aucun domaine configuré » dans les listes sans domaine.
  • Chargement : animation centrale et lignes de substitution pendant la récupération.
  • Erreur : « Impossible de charger votre configuration SSO » avec Réessayer, ou « Impossible de charger le statut du token » en rouge/orange.
  • Accès : Paramètres > Connexion et accès.
  • Liens sortants : tableau de bord et aide du fournisseur DNS détecté dans la vérification de domaine ; offres dans Voir les offres.

​
Questions fréquentes

Pourquoi dois-je vérifier le DNS ? Si le domaine ne correspond pas à l’adresse vérifiée d’un membre existant, un TXT DNS prouve sa propriété et empêche un utilisateur de revendiquer un domaine qui ne lui appartient pas. Puis-je arrêter l’adhésion automatique sans retirer le domaine ? Pour l’arrêter entièrement, retirez le domaine. Pour seulement limiter les accès, choisissez un rôle personnalisé plus restrictif ou passez d’Accès à l’organisation à Accès aux sites web. Retirer un domaine ou un site révoque-t-il les accès ? Les adhésions accordées par ce domaine sont révoquées lorsque vous retirez un site de sa liste ou le domaine entier. Les accès obtenus aussi par invitation directe ou rôle global sont conservés. Pourquoi ne puis-je pas choisir Administrateur par défaut ? Un rôle d’adhésion automatique ou SSO supérieur à Lecteur nécessite d’être administrateur actif de l’organisation, pour empêcher les non-administrateurs d’accorder des privilèges aux nouveaux utilisateurs.