Mark AI prend en charge le Single Sign-On (SSO) avec Microsoft Entra ID (anciennement Azure AD) via le protocole SAML 2.0. Vos collaborateurs se connectent à Mark AI avec leur compte professionnel Microsoft, sans créer de mot de passe séparé.
Cet article concerne uniquement Microsoft Entra ID. Pour Okta ou tout autre fournisseur d'identité SAML 2.0, consultez Comment configurer le Single Sign-on (SSO) SAML.
Le Single Sign On est disponible en option uniquement sur le plan Enterprise
Étape 1 : Choisir Microsoft Entra ID
Sur la page Settings > Single Sign On (lien direct) :
Cliquez sur la tuile Microsoft Entra ID.
Avant de commencer : dans Microsoft Entra, il vous faut le rôle Administrateur d'application cloud ou Administrateur d'application. Toutes les offres Microsoft Entra ID conviennent, y compris l'offre gratuite.
Dans le champ Nom de domaine d'email, saisissez le domaine principal de votre entreprise (par exemple entreprise.com).
Laissez le champ Domaines supplémentaires vide : avec Microsoft Entra ID, une connexion SSO prend en charge un seul domaine e-mail pour le moment. Si vos collaborateurs utilisent plusieurs domaines, contactez-nous via le chat avant de continuer.
Cliquez sur Créer une connexion. Vous pouvez maintenant passer à l'étape 2.
Étape 2 : Configurer Microsoft Entra ID
Sur la plateforme Mark AI :
À l'étape 2, Mark AI affiche une fiche tutoriel intitulée "Configurer Mark AI dans Microsoft Entra ID". Elle reprend les étapes ci-dessous et affiche les deux valeurs à copier dans Entra.
Cliquez sur "Ouvrir le centre d'administration Microsoft Entra" pour ouvrir la console dans un nouvel onglet.
Dans le centre d'administration Microsoft Entra :
Allez dans Entra ID > Applications d'entreprise > Toutes les applications, sélectionnez Nouvelle application, puis Créer votre propre application. Nommez-la "Mark AI", choisissez l'option d'intégration d'une application hors galerie, puis cliquez sur Créer.
Dans la nouvelle application, ouvrez Authentification unique et sélectionnez SAML.
Dans Configuration SAML de base, cliquez sur Modifier et renseignez les champs suivants avec les valeurs exactes ci-dessous, puis enregistrez. Laissez les autres champs vides.
1 | Identificateur (ID d'entité) | |
2 | URL de réponse (URL Assertion Consumer Service) |
4. Ouvrez Utilisateurs et groupes et attribuez les personnes ou les groupes qui doivent pouvoir se connecter à Mark AI. Cette étape est indispensable : tout utilisateur non attribué recevra une erreur lorsqu'il tentera de se connecter via SSO.
5. De retour dans Authentification unique, section Certificats SAML, copiez l'URL des métadonnées de fédération d'application : vous en aurez besoin à l'étape 3.
Attributs et revendications : rien à modifier dans le cas général. Entra transmet par défaut l'identifiant de l'utilisateur, son adresse e-mail, son prénom et son nom, que Mark AI utilise directement.
Vérifiez que vos utilisateurs ont une adresse e-mail. Entra transmet le champ E-mail de chaque utilisateur, et Mark AI refuse la connexion lorsqu'il est vide. Si vos comptes n'ont pas d'adresse e-mail renseignée, ouvrez Attributs et revendications, modifiez la revendication emailaddress et choisissez user.userprincipalname comme attribut source. Rien d'autre n'est à modifier.
➡️ Passez à l'étape 3 pour finaliser la configuration avec l'application Mark AI.
Étape 3 : Connecter Microsoft Entra ID
Revenez sur votre compte Mark AI, à l'étape 3 où nous en étions restés.
Collez l'URL des métadonnées de fédération d'application récupérée à l'étape 2 dans l'unique champ.
L'URL de métadonnées est un lien vers un fichier XML qui contient toute la configuration technique de votre locataire Entra (certificats, endpoints). Elle permet à Mark AI de se connecter automatiquement.
Cliquez sur Terminer. Mark AI valide la connexion et enregistre la configuration.
La configuration technique est maintenant terminée. Il reste à activer la connexion.
Activer la connexion
Activez le bouton "Connexion active". Cette action rend le SSO disponible pour tous les utilisateurs dont l'adresse e-mail correspond au domaine configuré.
À ce stade, vos collaborateurs peuvent se connecter via SSO, mais la connexion par mot de passe ou via Google reste également disponible. Pour qu'ils se connectent exclusivement via SSO, suivez la section "(Optionnel) Forcer la connexion via SSO" de l'article Comment configurer le Single Sign-on (SSO) SAML.
Résolution de problèmes
Message "Votre fournisseur d'identité n'a pas transmis d'adresse e-mail pour votre compte"
Le champ E-mail de cet utilisateur est vide dans Entra. Renseignez-le, ou faites pointer la revendication emailaddress vers user.userprincipalname (voir l'étape 2).
Erreur AADSTS50105 dans Microsoft
L'utilisateur qui tente de se connecter n'est pas attribué à l'application Mark AI. Ajoutez-le, ou ajoutez son groupe, dans l'onglet Utilisateurs et groupes de l'application.
Erreur AADSTS700016 ("Application with identifier ... was not found")
L'Identificateur (ID d'entité) saisi dans Entra ne correspond pas exactement à celui affiché dans Mark AI. Copiez-le à nouveau depuis Mark AI dans Configuration SAML de base.
La connexion ne fonctionne plus après un changement de certificat
Mark AI conserve le certificat de signature présent dans les métadonnées au moment de la connexion. Si vous renouvelez ou remplacez le certificat SAML dans Entra, contactez-nous via le chat pour que nous mettions la connexion à jour.
Le SSO ne se déclenche pas pour certains utilisateurs
Le domaine e-mail de ces utilisateurs est probablement différent de celui configuré à l'étape 1. Contactez-nous via le chat si vous avez besoin de plusieurs domaines.