Connexion de votre application à Microsoft Azure Active Directory

Vous pouvez intégrer Microsoft Azure Active Directory (AD) si vous voulez permettre aux utilisateurs :

• d’utiliser votre application depuis votre entreprise, à partir d’un Azure AD contrôlé par vous ou votre organisation;

• d’utiliser votre application depuis les Azure AD d’autres entreprises. (Nous vous recommandons de configurer les annuaires externes comme des connexions différentes.)

Pour connecter votre application à Azure AD, vous devez :

1. Enregistrer votre application auprès d’Azure AD,

2. Créer une connexion d’entreprise dans Auth0

3. Activer la connexion d’entreprise pour votre Application Auth0

4. Tester la connexion

Pour enregistrer votre application avec Azure AD, consultez le guide Démarrage rapide de Microsoft : Enregistrer une application avec la plateforme d’identités de Microsoft.

Lors de l’enregistrement, configurez les paramètres suivants :

Au cours de ce processus, Microsoft génère un ID d’application (client) pour votre application; vous pouvez le trouver sur l’écran Présentation de l’application. Notez cette valeur.

Pour créer un secret client, consultez le Guide de démarrage de Microsoft : Configuration d’une application client pour accéder aux API Web - Ajout d’identifiants à votre application Web.

Une fois générée, notez cette valeur.

Pour ajouter des permissions, consultez le Guide de démarrage de Microsoft : Configuration d’une application client pour accéder aux API web - Ajout de permissions pour accéder aux API web.

Lorsque vous configurez des permissions, réfléchissez à ce qui suit :

Si vous souhaitez activer des attributs étendus (tels que Profil étendu ou groupes de sécurité), vous devrez configurer les autorisations suivantes pour l’API Microsoft Graph

Créez et configurez une connexion d’entreprise Azure AD dans Auth0. Assurez-vous que l’ID d’application (client) et que le secret client sont générés lorsque vous configurez votre application dans le portail Microsoft Azure.

1. Accédez à Auth0 Dashboard > Authentification > Entreprise, trouvez Microsoft Azure AD et sélectionnez le signe +.

   

2. Saisissez les détails de votre connexion et sélectionnez Créer :

   Champ	Description
   Connection name (Nom de la connexion)	Identifiant logique de votre connexion; il doit être unique pour votre locataire. Une fois défini, ce nom ne peut pas être modifié.
   Microsoft Entra ID Domain (Domaine Microsoft Entra ID)	Votre nom de domaine Entra ID. Vous pouvez le trouver sur la page de présentation de votre annuaire Entra ID dans le portail Microsoft Azure.
   ID client (Identifiant Client)	Identifiant unique de votre application Entra ID enregistrée. Saisissez la valeur enregistrée de Application (client) ID (Identifiant de l’application (client)) pour l’application que vous venez d’enregistrer dans Entra ID.
   Secret client (Secret client)	Chaîne utilisée pour accéder à votre application Entra ID enregistrée. Saisissez la valeur enregistrée du Secret client pour l’application que vous venez d’enregistrer dans Entra ID.
   User ID Attribute Type (Type d’attribut d’identifiant utilisateur)	Attribut dans le jeton d’ID qui sera mappé à la propriété user_id dans Auth0. Les options correspondent aux deux types d’identifiant pris en charge décrits dans la documentation de Microsoft : Référence des revendications de jeton d’ID - Plateforme d’identité Microsoft
   Use common endpoint (Utiliser un point de terminaison commun)	(Facultatif) Lorsque cette option est activée, votre application accepte dynamiquement les utilisateurs des nouveaux répertoires. Généralement activée si vous avez sélectionné une option multilocataire pour les types de comptes pris en charge pour l’application que vous venez d’enregistrer dans Entra ID. Auth0 redirige les utilisateurs vers le point de terminaison de connexion commun d’Entra et Entra effectue la découverte du domaine d’accueil en fonction du domaine de l’adresse courriel de l’utilisateur.
   Identity API	API utilisée par Auth0 pour interagir avec les points de terminaison Entra ID. Découvrez les différences de comportement dans le document Microsoft Pourquoi mettre à jour vers la plateforme d’identités Microsoft (v2.0).
   Attributes (Attributs)	Attributs de base pour l’utilisateur connecté auxquels votre application peut accéder. Indique la quantité d’informations que vous souhaitez stocker dans le profil utilisateur Auth0.
   Extended Attributes (Attributs étendus) (facultatif)	Attributs étendus pour l’utilisateur connecté auxquels votre application peut accéder.
   API Auth0 (facultatif)	Lorsqu’il est sélectionné, indique que nous avons besoin de la possibilité d’effectuer des appels à l’API Entra ID, ce qui nous permet de rechercher des utilisateurs dans Entra ID Graph même s’ils ne se sont jamais connectés à Auth0.
   Email Verification (Vérification du courriel)	Choisissez comment Auth0 définit le champ « email_verified » dans le profil utilisateur. Pour en savoir plus, veuillez consulter Vérification des courriels pour Entra ID et ADFS.

   

3. Dans la vue Provisioning (Approvisionnement), vous pouvez configurer la manière dont les profils utilisateurs sont créés et mis à jour dans Auth0.

   Champ	Description
   Synchroniser les attributs du profil utilisateur à chaque connexion	Lorsqu’il est activé, Auth0 synchronise automatiquement les données du profil utilisateur avec chaque connexion utilisateur, garantissant ainsi que les modifications apportées à la source de connexion sont automatiquement mises à jour dans Auth0.
   Synchroniser les profils utilisateur à l’aide du SCIM	Lorsqu’il est activé, Auth0 permet de synchroniser les données du profil utilisateur à l’aide de SCIM. Pour plus d’informations, veuillez consultez Configurer le SCIM entrant).

4. Dans la vue Expérience de connexion, vous pouvez configurer la façon dont les utilisateurs peuvent se connecter à cette connexion.

   Champ	Description
   Découverte du domaine d’origine	Compare le domaine de l’adresse courriel de l’utilisateur avec les domaines du fournisseur d’identité fourni. Pour plus d’informations, lisez Configurer l’authentification Identifier First
   Afficher le bouton de connexion	Cette option affiche les choix suivants pour personnaliser le bouton de connexion de votre application.
   Nom d’affichage du bouton (Facultatif)	Texte utilisé pour personnaliser le bouton de connexion pour la connexion universelle. Lorsque défini, le bouton affiche : Continuer avec {Nom d’affichage du bouton}.
   Logo du bouton URL (Facultatif)	URL de l’image utilisée pour personnaliser le bouton de connexion pour la connexion universelle. Lorsque défini, le bouton de connexion de la connexion universelle affiche l’image sous la forme d’un carré de 20 px sur 20 px.

   Les champs optionnels ne sont disponibles qu’avec connexion universelle. Les clients utilisant la connexion classique ne verront pas le bouton Ajouter, le nom d’affichage du bouton ou l’URL du logo du bouton.

5. Si vous disposez des autorisations administratives Azure AD nécessaires pour donner votre accord à l’application afin que les utilisateurs puissent se connecter, cliquez sur Continuer. Il vous sera demandé de vous connecter à votre compte Azure AD et de donner votre consentement. Autrement, fournissez l’URL fournie à votre administrateur pour lui permettre de donner son consentement.

Pour utiliser votre nouvelle connexion d’entreprise Azure AD, vous devez d’abord activer la connexion pour vos applications Auth0.

Vous êtes maintenant prêt à tester votre connexion.

Voici quelques conseils de dépannage :

J’ai enregistré mon application avec Azure AD, mais lorsque je retourne à mes enregistrements d’applications Azure Active Directory, je ne peux pas voir mon application.

Il se peut que vous ayez accidentellement enregistré votre application dans le mauvais répertoire Azure AD (ou que vous n’ayez pas créé de répertoire Azure AD avant d’enregistrer votre application). Il vous sera probablement plus facile de réenregistrer votre application dans Azure AD. Assurez-vous que vous êtes dans le bon répertoire lorsque vous enregistrez l’application. Si vous devez créer un répertoire Azure AD, consultez le Guide de démarrage rapide de Microsoft : Créer un nouveau locataire dans Azure Active Directory - Créer un nouveau locataire pour votre organisation.

Je reçois le message d’erreur suivant : «L’accès à ce service n’est pas possible car le listage du service n’est pas correctement configuré par l’éditeur ».

Pour résoudre ce problème, essayez de modifier les types de comptes pris en charge pour votre application Azure AD enregistrée. Assurez-vous d’avoir choisi une option multilocataire appropriée dans les paramètres d’authentification de l’application Azure AD. Les options multilocataires sont les suivantes : Comptes dans n’importe quel répertoire d’organisation (tout répertoire Azure AD - Multilocataire).

Lorsque les utilisateurs essaient de se connecter, nous recevons le message d’erreur suivant : "invalid_request ; échec de l'obtention du jeton d'accès".

La raison la plus probable de cette erreur est un secret client Azure AD incorrect. Pour résoudre ce problème, générez un nouveau secret client pour votre application dans Azure AD, puis mettez à jour le secret client dans la connexion d’entreprise configurée avec Auth0.

Les clés de connexion sont utilisées par le fournisseur d’identités pour signer le jeton d’authentification qu’il émet, et par l’application consommatrice (Auth0 dans ce cas) pour valider l’authenticité du jeton généré.

Pour des raisons de sécurité, la clé de connexion d’Azure AD change régulièrement. Si cela se produit, vous n’avez rien à faire. Auth0 utilisera automatiquement la nouvelle clé.

Si vous utilisez un domaine personnalisé, l’invite de consentement de l’application pour la connexion à Azure AD peut indiquer que votre domaine est « non vérifié ». Pour supprimer le libellé « non vérifié » :

1. Vérifiez le domaine de l’application Auth0: Ajoutez votre nom de domaine personnalisé à l’aide du portail Azure Active Directory.

2. Attribuez le domaine vérifié à l’application Auth0 : Comment faire : Configurez le domaine d’éditeur d’une application.

• Intégrer Auth0 en utilisant l’une de nos bibliothèques

• Intégrer Auth0 en utilisant notre Authentication API

• En savoir plus sur le flux d’authentification

• Transmettre des paramètres supplémentaires au fournisseur d’identité

• Redemander des autorisations aux utilisateurs