Activer les connexions SSO de Google Workspace avec votre compte OVHcloud

Objectif

Vous pouvez utiliser l'authentification SSO (Single Sign-On) pour vous connecter à votre compte OVHcloud. Pour activer ces connexions, votre compte OVHcloud et vos comptes Google Workspace doivent être configurés à l'aide des authentifications SAML (Security Assertion Markup Language).

Ce guide vous explique comment associer votre compte OVHcloud à un service Google Workspace externe.

Prérequis

• Être administrateur d'un service Google Workspace
• Disposer d'un compte OVHcloud

Accès à l'espace client OVHcloud

• Lien direct : SSO SAML
• Pour y accéder : Identité, Sécurité & Opérations > Utilisateurs > Connexion SSO

En pratique

Enregistrer OVHcloud sur Google Workspace

Votre Google Workspace agit en tant que fournisseur d'identité. Les demandes d'authentification de votre compte OVHcloud ne seront acceptées que si vous l'avez d'abord déclaré comme organisme tiers de confiance.

Cela signifie qu'il doit être ajouté en tant que Web and mobile apps.

Connectez vous sur l'interface d'administration de Google Workspace avec votre compte administrateur.

Rendez vous dans Apps puis Web and mobile apps.

Cliquez sur Add app puis sur Add custom SAML app.

Dans l'étape « App details », ajoutez un nom pour cette interconnexion. Si vous n'avez pas d'inspiration, OVHcloud est un nom qui convient. Cliquez sur Continue.

Dans l'étape « Google Identity Provider details », téléchargez le fichier de métadonnées en cliquant sur Download metadata puis cliquez sur Continue.

Dans l'étape « Service provider details », complétez les champs ACS URL et Entity ID avec les valeurs de votre région :

• Region EU : ACS URL : https://www.ovhcloud.com/eu/auth/saml/acs et Entity ID : https://www.ovhcloud.com/eu/auth/
• Region CA : ACS URL : https://www.ovhcloud.com/ca/auth/saml/acs et Entity ID : https://www.ovhcloud.com/ca/auth/

Cliquez sur Continue.

Dans l'étape « Attribute mapping », ajoutez le mapping suivant :

• First Name : Prénom
• Last Name : Nom
• Primary email : Adresse e-mail

Cliquez sur Finish.

Activez l'accès à cette application en cliquant sur OFF for everyone dans la rubrique « User Access ». Cliquez sur ON for everyone puis sur le bouton SAVE

Votre service Google Workspace fait désormais confiance à OVHcloud en tant que fournisseur de services. L'étape suivante consiste à vous assurer que le compte OVHcloud fait confiance à votre Google Workspace en tant que fournisseur d'identité.

Établir la confiance du compte OVHcloud et configurer la connexion

L'ajout de votre Google Workspace en tant que fournisseur d'identité de confiance s'effectue dans votre espace client OVHcloud. Accédez à la page SSO SAML, puis cliquez sur le bouton Connexion SSO.

Renseignez les métadonnées XML de votre service Google Workspace. Complétez le champ « Nom d'attribut d'utilisateur » avec la valeur Name et le champ « Nom d'attribut de groupe » avec la valeur Group. Cliquez sur Confirmer.

Il est possible de conserver les utilisateurs locaux en cochant la case Conserver les utilisateurs OVHcloud actifs.

Vous devez maintenant retrouver votre Google Workspace en tant que fournisseur d'identité, ainsi que les groupes par défaut.

Pour plus d'informations, cliquez sur le lien situé sous « URL du service SSO ».

Le bouton ... permet de mettre à jour ou de supprimer le SSO, et d’en consulter les détails.

Votre Google Workspace est maintenant considéré comme fournisseur d'identité de confiance. Cependant, vous devez tout de même ajouter des groupes à votre compte OVHcloud.

Pour cela, vous devez autoriser les groupes qui seront transmis de Google Workspace vers OVHcloud. Ces groupes sont les mêmes que ceux utilisés pour catégoriser vos utilisateurs.

Pour cela, connectez vous sur l'interface d'administration de Google Workspace avec votre compte administrateur

Rendez vous dans Apps puis Web and mobile apps.

Cliquez sur la ligne de l'application que vous avez ajoutée précédemment.

Cliquez sur SAML attribute mapping pour éditer le mapping des informations partagées entre Google Workspace et OVHcloud.

Dans la catégorie « Group membership (optional) », ajoutez tous les groupes que vous souhaitez autoriser à se connecter sur OVHcloud. Dans le champ « App attribute », indiquez Group.

Vous devez ensuite attribuer des rôles à ces groupes d'utilisateurs chez OVHcloud. Dans le cas contraire, votre compte OVHcloud ne sait pas ce que l'utilisateur est autorisé à faire et, par défaut, aucun droit n'est attribué.

Dans votre espace client OVHcloud, rendez-vous dans la section Identités puis dans l'onglet Groupes d'utilisateurs. Cliquez ensuite sur le bouton Déclarer un groupe et remplissez les champs :

• Nom de groupe : Nom du groupe au sein de Google Workspace
• Privilège : Niveau de droit accordé à ce groupe

Vous pourrez ensuite vérifier que le groupe est ajouté à votre compte OVHcloud dans la section « Groupes » :

Lorsque vous vous connecterez par la suite avec un utilisateur du group Intern, votre compte OVHcloud reconnaîtra que l'utilisateur a le rôle « UNPRIVILEGED » spécifié par son groupe.

Attention, si vous donnez le privilège Aucun, il sera nécessaire d'attribuer des droits à ce groupe via les politiques IAM

Vous pourrez ensuite vous déconnecter de votre compte et vous reconnecter avec votre Google Workspace en tant que fournisseur d'identité.

Connexion via SSO

Sur la page d'identification OVHcloud, renseignez votre identifiant suivi de /idp sans mot de passe et cliquez sur le bouton Login .

Vous êtes ensuite redirigé vers votre page de connexion Google Workspace. Entrez un login/password d'un utilisateur de votre Google Workspace, puis cliquez sur le bouton Sign in .

Vous êtes maintenant connecté avec le même identifiant client, mais via votre utilisateur Google Workspace.

Aller plus loin

Créer un compte OVHcloud

Sécuriser mon compte OVHcloud et gérer mes informations personnelles

Définition et gestion du mot de passe de votre compte

Sécuriser son compte OVHcloud avec la double authentification

Créer des politiques d'accès IAM

Échangez avec notre communauté d'utilisateurs.