Fabriq prend en charge SAML 2.0 Single Sign-On (SSO), ce qui permet à votre organisation d’authentifier les utilisateurs via votre fournisseur d’identité (IdP) d’entreprise.

L’assistant Self-serve SSO Wizard permet aux équipes IT et Sécurité de configurer, valider et déployer le SSO sans intervention du support, en offrant une autonomie complète et une expérience de configuration guidée et fiable.

ℹ️ SSO is available for:
- Enterprise plan customers
- Advanced and Standard plans (as add-on)

❗️ Requires a SAML 2.0 identity provider (Microsoft Entra ID, Google Workspace, Okta, OneLogin, or similar).

1. Avantages du SSO dans Fabriq

🔒 Sécurité et gouvernance renforcées

Authentification et MFA entièrement contrôlées par votre IdP
Application cohérente des politiques d’accès conditionnel, de confiance des appareils et de gestion des risques
Garantit une identité nominative pour l’audit, la traçabilité et la conformité

⚙ Efficacité opérationnelle

Les utilisateurs se connectent avec leurs identifiants d’entreprise existants
Aucune réinitialisation de mot de passe ni maintenance de comptes locaux
Connexion plus rapide dans des environnements multi-équipes et multi-appareils
Simplifie l’onboarding lors des extensions de site ou du turnover des équipes

👥 Provisioning JIT = autonomie des utilisateurs

Fabriq utilise le Just-In-Time (JIT) provisioning.

Cela permet :

Création automatique de compte lors de la première connexion SSO
Aucune invitation requise
Les utilisateurs peuvent immédiatement demander l’accès aux équipes
Les administrateurs Fabriq approuvent l’accès en un clic
Onboarding fluide lors de la montée en charge des opérations ou de la rotation du personnel

Ceci est particulièrement utile pour les équipes terrain distribuées.

2. Types de comptes et implications du SSO

Fabriq prend en charge plusieurs types d’identité afin de répondre aux besoins des utilisateurs d’entreprise comme des environnements opérationnels.

Type de compte	Exemple	Objectif	Authentification
Nominatif d’entreprise	`[email protected]`	Utilisateur Fabriq standard (team lead, manager, OpEx, etc.)	SSO via IdP (MFA au niveau de l’IdP). Traçabilité personnelle complète.
Nominatif générique (identité Fabriq)	`[email protected]`	Opérateurs sans e-mail d’entreprise	Non partagé. Authentification par mot de passe + filtrage IP Fabriq. Peut rediriger les notifications vers l’e-mail d’un superviseur si nécessaire.
Comptes de service / d’affichage	`[email protected]`	TV/grands écrans pour les tableaux de bord	SSO ou mot de passe + filtrage IP Fabriq. Auditor (lecture seule) uniquement. Jamais pour la saisie de données.

Recommandations sur la stratégie de domaine

Seuls les domaines d’e-mail d’entreprise doivent être ajoutés au SSO.

.fabriq.tech les domaines doivent rester en dehors du SSO, car ces comptes reposent sur une authentification gérée par Fabriq plutôt que par votre fournisseur d’identité.

Cela évite que les comptes opérateur et de service ne soient bloqués involontairement.

3. Prérequis

Avant de commencer, assurez-vous de disposer de :

Un accès administrateur de l’organisation dans Fabriq
Un accès administrateur dans votre fournisseur d’identité
Votre ou vos domaines d’e-mail d’entreprise
URL de métadonnées de l’IdP URL de métadonnées (recommandée) ou XML
Un utilisateur de test dans votre IdP

4. Vue d’ensemble du Self-serve SSO Wizard

Pour commencer à configurer le SSO :

1. Connectez-vous à Fabriq

2. Accédez à Organisation → Security

3. Repérez la section Single Sign-On (SSO) .

4. Cliquez sur Set up SSO pour lancer le Self-serve SSO Wizard

L’assistant comporte quatre étapes :

Configurer le fournisseur
Mapper les claims
Vérifier la connectivité
Enregistrer et déployer

Étape 1 : Configurer le fournisseur

A) Sélectionnez votre fournisseur d’identité

Choisissez l’IdP utilisé par votre organisation.

Des guides de configuration spécifiques aux fournisseurs sont liés ici pour plus de simplicité :

B) Copiez les valeurs SP de Fabriq dans votre IdP

Fabriq fournit :

ID d’entité
URL ACS

Ces éléments doivent être ajoutés à l’application SAML de votre IdP pour établir la relation de confiance.

C) Importez les métadonnées de l’IdP

Vous pouvez fournir :

URL de métadonnées (préférée, actualise automatiquement les certificats)
XML de métadonnées (mises à jour manuelles)

D) Ajoutez les domaines SSO

Ajoutez les domaines d’entreprise dont les utilisateurs doivent s’authentifier via le SSO.

N’ajoutez pas .fabriq.tech de domaines.

Étape 2 : Mapper les claims

Configurez la manière dont Fabriq reçoit les attributs utilisateur depuis votre IdP.

Attributs requis :

Adresse e-mail d’authentification
Adresse e-mail de communication
Prénom
Nom

Exigences relatives au NameID

Fabriq recommande fortement d’utiliser un identifiant stable et immuable comme NameID, et non une adresse e-mail. Cela garantit que si l’e-mail d’un utilisateur change, il ne perd pas l’accès, le mapping utilisateur reste intact et l’e-mail mis à jour est automatiquement répercuté dans Fabriq.”

Les options valides incluent :

Azure AD Object ID
UUID Okta
ID unique OneLogin
ID employé/RH

Si une valeur instable est détectée (par ex. un e-mail), l’assistant affichera un avertissement.

Étape 3 : Vérifier la connectivité

Cliquez sur Test Connection pour valider votre configuration.

Fabriq vérifie :

Accès aux métadonnées et signature
Association correcte entre ACS et ID d’entité
Présence des attributs
Format du NameID
Structure de l’assertion SAML

Résultats possibles

🟢 Succès

Votre configuration est complète et valide.

🟡 Avertissements

Cas courants :

Attributs e-mail manquants
NameID utilisant un e-mail au lieu d’un identifiant stable
Attributs inattendus ou non mappés

🔍 Aperçu de l’assertion SAML

L’assistant affiche l’assertion réelle envoyée par votre IdP, y compris :

NameID
Attributs e-mail
Prénom et nom
Sources des attributs

Utilisez cet aperçu pour vous assurer de l’exactitude avant le déploiement.

Étape 4 : Enregistrer et déployer

Une fois la configuration validée, décidez quels utilisateurs s’authentifieront avec le SSO.

Outils d’activation des utilisateurs

Rechercher par e-mail
Activer les utilisateurs individuellement ou en masse
Tout sélectionner / Effacer / Inverser la sélection
Exporter votre liste d’utilisateurs au format CSV

Notifications par e-mail

Fabriq informe automatiquement les utilisateurs lorsque :

le SSO est activé pour leur compte
le SSO est désactivé, en les invitant à définir un mot de passe

Cela garantit la transparence et réduit la confusion pendant les transitions.

Comportement après déploiement

Les utilisateurs sélectionnés s’authentifient via le SSO lors de leur prochaine connexion
Les nouveaux utilisateurs avec des domaines correspondants utilisent automatiquement le SSO (provisioning JIT)
Les utilisateurs non migrés vers le SSO continuent d’utiliser leur connexion par mot de passe existante

5. Après la configuration

La page des paramètres SSO affiche :

IdP configuré
Domaines actifs
Couverture utilisateur (avec/sans SSO)

Vous pouvez modifier votre configuration à tout moment.

La désactivation du SSO fait revenir les utilisateurs à une connexion par mot de passe (avec notifications automatiques par e-mail).

6. Stratégie de déploiement recommandée

Phase 1 : Pilote administrateur

Activez le SSO pour 2–3 administrateurs afin de valider les parcours de connexion (bureau, VPN, mobile).

Phase 2 : Déploiement contrôlé

Déployez-le auprès d’une équipe, d’une usine ou d’une fonction spécifique.

Phase 3 : Déploiement complet

Activez le SSO pour tous les utilisateurs nominatifs d’entreprise.

Phase 4 : Gouvernance continue

Supprimez les comptes inutilisés
Maintenez des listes de domaines propres
Vérifiez régulièrement la couverture utilisateur

Si votre organisation fonctionne avec des modèles d’identité non standard, le support Fabriq peut vous aider à valider votre configuration.

Authentification unique SAML (SSO) 🔐