B2B Connect - Entreprise

​

Avantages

1. Maintenir une sécurité et une interopérabilité rigoureuses.
2. Offrir à la clientèle une expérience d’intégration et de cycle de vie irréprochable.
3. Libérer et soutenir l’innovation au sein de votre produit principal.

​

Cas d’utilisation

• Ajouter le SSO d’entreprise à un serveur d’autorisation existant
• Offrir une intégration en libre-service à vos clients d’entreprise
• Préserver votre expérience de connexion et votre émission de jetons actuelles
• Enrichir les jetons d’ID de vos applications avec des demandes d’entreprise
• Diriger les utilisateurs vers les IdP d’entreprise selon le domaine de courriel vérifié
• Déléguer l’administration des identités à vos clients B2B
• Prendre en charge la gestion des sessions conforme à IPSIE et Universal Logout

​

Fonctionnement

1. L’utilisateur amorce la connexion dans votre application.
2. Votre application envoie une demande d’authentification à votre serveur d’autorisation au moyen de son flux existant.
3. Votre serveur d’autorisation reconnaît l’utilisateur comme un utilisateur B2B Connect - Entreprise et acheminE la demande vers Auth0.
4. Auth0 B2B Connect - Entreprise envoie une demande d’authentification à l’IdP d’entreprise de l’utilisateur (comme Okta, Microsoft Entra ID, Google Workspace ou PingFederate) au moyen de SAML ou d’OpenID Connect (OIDC).
5. L’utilisateur s’authentifie auprès de l’IdP d’entreprise avec ses informations d’identification d’entreprise.
6. L’IdP d’entreprise renvoie une assertion SAML ou un jeton OIDC à Auth0 B2B Connect - Entreprise.
7. Votre serveur d’autorisation renvoie son propre jeton à votre application.
8. Votre application valide le jeton et amorce sa propre session.
9. L’utilisateur obtient l’accès à votre application.

​

Connexions d’entreprise prises en charge

• SAML
• OIDC
• Okta Workforce
• Microsoft Entra ID (Azure AD)
• Google Workspace
• Active Directory / LDAP
• ADFS
• PingFederate

​

Intégrer B2B Connect - Entreprise

​

Serveur d’autorisations personnalisées

Application → Custom Auth Server → Auth0 B2B Connect - Enterprise → Enterprise IdP
                    ↑                         |
                    └─────── identity ────────┘

1. Nom et type : nommez l’intégration, puis sélectionnez Custom Authorization Server.
2. Authentification : sélectionnez OIDC (recommandé) ou SAML.
3. Configurer Auth0 comme IdP : fournissez les valeurs tirées de votre serveur d’authentification pour qu’Auth0 puisse agir à titre de fournisseur d’identité :
   • OIDC : URL de l’émetteur et URL de rappel de votre application.
   Déployez Show individual endpoints si votre serveur d’authentification ne prend pas en charge la découverte de l’émetteur, afin d’obtenir l’URL d’autorisation, l’URL du jeton, le Client ID et le Client Secret.
   • SAML : émetteur, empreinte SHA1 du fournisseur d’identité, URL de connexion du fournisseur d’identité, certificat Auth0 ou métadonnées de l’IdP, et URL de rappel de votre application.
4. Intégration créée : passez à la configuration des Organizations et de la configuration Entreprise en libre-service (SSEC) pour intégrer votre premier client B2B.

​

Serveur d’autorisation géré par un tiers

Application → Third-party Auth Server → Auth0 B2B Connect - Enterprise → Enterprise IdP
                    ↑                              |
                    └──────────identity ───────────┘

• Amazon Cognito
• PingIdentity PingOne
• Ory
• Keycloak
• Transmit Security

1. Nom et type : nommez l’intégration, puis sélectionnez Third-party Managed Authorization Server.
2. Protocole d’authentification : sélectionnez OIDC (recommandé) ou SAML.
3. Configurer Auth0 comme IdP : mêmes champs OIDC ou SAML que pour le type 1. Enregistrez Auth0 comme fournisseur d’identité en amont dans votre serveur d’authentification géré.
4. Intégration créée : passez à la configuration des Organizations et de la SSEC.

​

Application

Application (embeds Auth0 SDK) → Auth0 B2B Connect - Enterprise → Enterprise IdP
         ↑                                    |
         └──────────── identity ──────────────┘

1. Nom et type : nommez l’intégration, puis sélectionnez Application.
2. Configurer l’intégration : saisissez vos URL de rappel autorisées. Auth0 redirige les utilisateurs vers ces URL après l’authentification. Au moins une URL est requise.
3. Poursuivre la configuration : l’intégration est créée. Suivez le guide de démarrage rapide pour ajouter un bouton Se connecter avec SSO à votre application et configurer les Organizations et la SSEC.

​

Configurer l’intégration des clients

1. Dans Auth0 Dashboard, accédez à B2B Connect. Sous l’onglet Organizations, sélectionnez Set up.
2. Saisissez un nom pour votre profil de configuration d’entreprise en libre-service.
   
3. Facultatif. Ajoutez une description.
4. Auth0 crée un profil d’attribut utilisateur (UAP) portant le nom de votre profil SSEC. Sélectionnez Continue.
5. Choisissez la façon dont vous souhaitez générer les tickets SSEC :
   • Intégration par API
   • Auth0 Dashboard
6. Sélectionnez Done.

​

Créer ou configurer une Organization Auth0

​

Créer une nouvelle Organization Auth0

1. Sélectionnez +Create Organization ou le symbole <> pour obtenir les instructions d’intégration à l’API.
2. Indiquez un Name destiné aux utilisateurs finaux.
3. Facultatif. Indiquez un nom d’affichage. S’il est omis, le nom d’affichage reprend par défaut le nom de l’Organization.
4. Pour ignorer la création du billet d’intégration, sélectionnez Create.
5. Pour créer un billet d’intégration pour cette Organization :
   • Cochez la case, puis sélectionnez Create and Continue.
   • Ajoutez un nom de connexion et un nom d’affichage.
   • Sélectionnez Create and Continue.
   • Copiez l’URL du billet et transmettez-la à votre client B2B. Sélectionnez Copy and Close.
6. L’administrateur de votre client lance l’assistant en libre-service à partir de l’URL du billet et suit les étapes pour configurer sa connexion et effectuer la vérification du domaine.
   

​

Configurer une Organization Auth0 existante

1. Dans B2B Connect - Entreprise, sélectionnez dans la liste l’icône de l’Organization que vous souhaitez configurer.
2. Ajoutez un nom de connexion (Connection Name) et un nom d’affichage (Display Name).
3. Sélectionnez Create and Continue.
4. Copiez l’URL du billet et transmettez-la à votre client B2B. Sélectionnez Copy and Close.
5. L’administrateur de votre client ouvre l’assistant en libre-service à partir de l’URL du billet, puis suit les étapes indiquées pour configurer sa connexion et effectuer la vérification du domaine.

​

Auth0 Events

​

Configurer les événements de cycle de vie

1. Dans Auth0 Dashboard, allez à Event Streams.
2. Sélectionnez + Create Event Stream.
3. Choisissez votre destination : Webhooks, AWS EventBridge ou Auth0 Actions.
4. Saisissez votre configuration et choisissez les catégories d’événements que vous souhaitez recevoir :
   • Événements d’utilisateur : user.created, user.deleted, user.updated
   • Événements d’Organization : organization.created, organization.deleted, organization.member.*, organization.updated
   • Événements de connexion : connection.created, connection.deleted, connection.updated
5. Sélectionnez Save.

​

Intégrer les SDK Auth0

​

SDK pris en charge

​

Modèle d’intégration

• Mode sans état : les SDK serveur omettent le magasin de session (stateStore / state_store). La méthode de rappel (completeInteractiveLogin / complete_interactive_login) renvoie directement les demandes de l’utilisateur ainsi que le jeton d’ID. Lisez l’identité à partir de la valeur renvoyée plutôt qu’avec getSession().
• Aucun jeton d’actualisation : B2B Connect - Entreprise n’émet pas de jetons d’actualisation. Attribuez à scope la valeur openid profile email et omettez offline_access.
• Organization requise : transmettez organization à /authorize pour lier la connexion à la bonne Organization Auth0 et activer la transmission silencieuse vers l’IdP d’entreprise. Validez la demande org_id dans le jeton renvoyé avant de faire confiance à la connexion.
• Déconnexion fédérée : au moment de la déconnexion, redirigez vers le /v2/logout d’Auth0 avec federated: true afin de mettre fin à la session de l’IdP d’entreprise. Sans cela, la session de l’IdP demeure active.

​

Connexion avec SSO

​

Routage des utilisateurs par domaine (Webfinger)

GET https://{your-auth0-domain}/.well-known/webfinger
  ?resource=urn:auth0:discovery:domain:{user-domain}
  &rel=http://openid.net/specs/connect/1.0/issuer

const isAuth0Managed = await isFederatedDomain(AUTH0_DOMAIN, 'acme.com');
if (isAuth0Managed) {
  // rediriger vers B2B Connect - Entreprise
} else {
  // rediriger vers le flux d'authentification existant
}

​

Approche de routage recommandée

• Une seule connexion activée : Auth0 effectue la HRD au niveau de l’org à l’aide du domaine de courriel et achemine l’utilisateur directement vers l’IdP d’entreprise. Aucune configuration additionnelle n’est requise.
• Plusieurs connexions activées : Auth0 effectue la HRD au niveau de l’org, puis la HRD au niveau de la connexion. Cela exige que Identifier First soit activé sur votre locataire afin qu’Auth0 puisse déterminer la bonne connexion sans solliciter l’utilisateur.

​

Gestion des sessions

​

Expiration de session IPSIE (OIDC)

​

DPoP

​

Universal Logout

​

Administration déléguée

• Gérer la configuration de l’IdP d’entreprise de leur organisation
• Gérer la vérification des domaines
• Inviter et gérer les membres de l’organisation
• Attribuer et retirer des rôles aux membres
• Mettre à jour les renseignements et l’image de marque de l’organisation

​

Dépannage

​

La liste des connexions est vide

​

Le client B2B n’a pas reçu son billet libre-service

​

La connexion d’entreprise n’apparaît pas dans le flux de connexion

1. Assurez-vous que la connexion d’entreprise est activée sur la bonne Organization.
2. Confirmez que l’Organization a obtenu l’accès à l’application d’intégration B2B (accès par application).
3. Vérifiez que le domaine de courriel de l’utilisateur correspond au domaine vérifié associé à l’Organization.