Configurer XFA comme fournisseur d'identité pour Google Workspace Beta

Contrairement aux autres guides de fournisseurs d'identité, XFA est ici le fournisseur d'identité : Google délègue la connexion à XFA, qui connecte les utilisateurs avec une clé d'accès (passkey) et vérifie leur appareil.

Remarque : ce guide part du principe que votre organisation dispose d'un compte XFA, que vous en êtes administrateur dans XFA et que vous êtes super-administrateur dans la console d'administration Google. Si vous n'avez pas encore de compte, vous pouvez en créer un sur https://dashboard.xfa.tech/signup.

Comment ça fonctionne

Lorsqu'un utilisateur ouvre une application Google Workspace, Google le redirige vers XFA pour la connexion. XFA l'authentifie avec une clé d'accès sur un appareil qu'il a enregistré dans XFA (Built-in passkey), vérifie l'état de sécurité de l'appareil, puis renvoie à Google une assertion SAML signée. Google s'y fie et laisse entrer l'utilisateur.

Google indique à XFA qui se connecte en ajoutant l'adresse e-mail de l'utilisateur à la redirection, dans le paramètre login_hint. Google ne le fait que si Autofill email est activé dans le profil SSO (ci-dessous), ce qui n'est pas le cas par défaut.

Comme c'est XFA qui prend en charge la connexion, l'utilisateur ne tape jamais de mot de passe Google. Son premier appareil est amorcé par une étape de récupération préparée par un administrateur (ci-dessous). Ensuite, la connexion tient en une touche sur la clé d'accès d'un appareil de confiance.

Créer une intégration Identity Provider dans le tableau de bord XFA

Après vous être connecté au tableau de bord XFA, allez sur la page Enforcement, cliquez sur Nouveau et choisissez Identity Provider comme type d'intégration.

Vous recevez alors les informations dont Google a besoin pour faire confiance à XFA :

Single Sign-On URL : l'URL de la page de connexion XFA.
Issuer URI (Entity ID) : identifie XFA auprès de Google.
un certificat que vous pouvez télécharger en cliquant sur Download Certificate, et que Google utilise pour vérifier les assertions de XFA.

Gardez ces informations sous la main pour la configuration de Google à l'étape suivante.

Sur la même intégration, vous configurez aussi :

Domaines d'e-mail autorisés : le ou les domaines de votre Google Workspace (par exemple example.com). XFA n'authentifie et n'atteste que les e-mails de ces domaines ou des domaines d'e-mail de votre organisation ; tout le reste est refusé. Sans domaine ici ni dans les domaines d'e-mail de l'organisation, personne ne peut se connecter (fail-closed) : renseignez-le donc avant la mise en production.
Service Provider details : l'ID d'entité et l'URL du service consommateur d'assertion (ACS) que Google vous fournit (voir l'étape suivante). Vous pouvez les laisser vides pour l'instant et les remplir après avoir configuré Google.

Laissez cet onglet ouvert : vous y reviendrez une fois que Google vous aura donné son Entity ID et son ACS URL.

Configurer l'authentification unique dans Google Workspace

Dans la console d'administration Google, allez dans Security > Authentication > SSO with third-party IdP et configurez un profil de fournisseur d'identité tiers :

Sign-in page URL : la Single Sign-On URL fournie par XFA.
Sign-out page URL : l'URL de déconnexion ou de tableau de bord de votre organisation.
Verification certificate : téléversez le certificat que vous avez téléchargé depuis XFA.
IdP entity ID : l'Issuer URI fourni par XFA.
Utilisez le binding HTTP-POST.
Autofill email : activez-le et choisissez le format login_hint. Sans cela, Google n'envoie pas l'adresse e-mail de l'utilisateur et XFA ne peut connecter personne.

Enregistrez le profil, puis assignez-le aux unités organisationnelles ou aux groupes dont les utilisateurs doivent se connecter via XFA. Commencez par une petite unité organisationnelle pilote avant de déployer à toute l'organisation.

Google vous affiche alors l'Entity ID et l'ACS URL correspondant à son côté de la relation de confiance. Copiez-les.

Les super-administrateurs gardent leur propre connexion

Google exclut automatiquement les super-administrateurs des profils SSO tiers. Ils continuent de se connecter avec leur mot de passe Google, même dans une unité organisationnelle que vous assignez à XFA : vous avez donc toujours un moyen de revenir dans la console d'administration si la configuration XFA doit être corrigée. Vous n'avez pas besoin de créer pour cela une unité organisationnelle de secours distincte.

Toutes les autres personnes d'une unité organisationnelle assignée se connectent via XFA.

Terminer l'intégration dans le tableau de bord XFA

Retournez dans le tableau de bord XFA et remplissez les informations Service Provider restantes pour l'intégration :

ID d'entité du Service Provider : l'Entity ID fourni par Google.
URL du service consommateur d'assertion : l'ACS URL fournie par Google.

Cliquez sur Suivant pour enregistrer l'intégration et ajustez les politiques de sécurité des appareils que vous souhaitez appliquer lors de la connexion.

Applications qui ont déjà une connexion XFA

Vous protégez peut-être déjà des applications qui se connectent avec Google en plaçant une connexion XFA (SAML ou OAuth) entre l'application et Google. Dès que cette intégration existe, la connexion à une telle application peut passer deux fois par la vérification XFA : une fois quand Google confie la connexion à XFA, et une seconde fois dans la connexion XFA propre à l'application.

Le tableau de bord XFA signale ces connexions XFA pour vous. Il les reconnaît à leurs URL de connexion Google (accounts.google.com, oauth2.googleapis.com) :

Sur la page Enforcement, leurs cartes affichent Les connexions via Google peuvent être vérifiées deux fois.
Sur l'intégration Google Workspace, un avis les répertorie, avec un lien vers chacune.

Garder les deux fonctionne. La connexion XFA vérifie toujours l'appareil chaque fois que l'application envoie un utilisateur se connecter, y compris quand Google réutilise une session existante et ne confie pas la connexion à XFA. Elle vous permet aussi d'appliquer une autre politique à cette application. Et le profil SSO dans Google ne s'applique qu'aux unités organisationnelles ou aux groupes auxquels vous l'assignez : les utilisateurs en dehors ne sont donc vérifiés que par la connexion XFA.

Pour ne vérifier qu'une seule fois, choisissez l'une de ces options :

Laisser Google Workspace couvrir l'application : configurez l'authentification unique de l'application directement avec Google, puis supprimez sa connexion XFA. Les utilisateurs sont alors vérifiés quand ils se connectent à Google.
Garder la connexion XFA pour ces utilisateurs : excluez-les des unités organisationnelles ou des groupes auxquels le profil SSO est assigné.

Préparer les utilisateurs pour leur premier appareil

Comme c'est désormais XFA qui prend en charge la connexion, un appareil tout neuf n'a pas encore de clé d'accès, et l'utilisateur ne peut généralement pas recevoir d'e-mail dans la boîte Google à laquelle il est justement en train de se connecter. Le premier appareil est donc amorcé par un administrateur.

Sur la page Personnes (sous Identité), renseignez pour chaque utilisateur qui se connectera via XFA un secondary email : une adresse personnelle ou secondaire qu'il peut consulter. Vous pouvez ensuite lui envoyer un onboarding link à cette adresse, ce qui lui permet d'enregistrer sa clé d'accès sans jamais taper de mot de passe. Le lien est à usage unique et valable 7 jours.

Pour ajouter quelques utilisateurs, cliquez sur Nouvel utilisateur. Pour en ajouter beaucoup à la fois, importez-les depuis Google (section suivante).

Si vous préférez ne pas envoyer de lien par e-mail, vous pouvez à la place générer un one-time onboarding password pour un utilisateur et le lui transmettre par le canal de votre choix.

Importer des utilisateurs depuis Google

Importez la liste des utilisateurs depuis la console d'administration Google pour préparer de nombreux utilisateurs en une seule fois, avec l'e-mail de récupération que Google détient déjà pour chacun d'eux. Vous devez avoir le rôle d'administrateur dans XFA, et votre organisation doit avoir une intégration de fournisseur d'identité.

Dans la console d'administration Google, allez dans Directory > Users.
Cliquez sur Download users, choisissez All user info columns et Comma-separated values (.csv), puis téléchargez le fichier.
Dans le tableau de bord XFA, ouvrez Identité > Personnes et cliquez sur Importer depuis Google.
Choisissez le fichier téléchargé. Le fichier est lu dans votre navigateur : seuls les utilisateurs que vous sélectionnez sont envoyés à XFA.
Choisissez qui importer. Par défaut, la liste affiche les utilisateurs Active de chaque Unité organisationnelle. Filtrez sur l'unité organisationnelle à laquelle vous avez assigné le profil SSO et, si besoin, sur État ou Service.
Vérifiez la colonne E-mail secondaire. Elle utilise l'E-mail de récupération de l'utilisateur dans Google. Pour un utilisateur qui n'en a pas, choisissez E-mail secondaire personnel, E-mail secondaire professionnel ou Sa propre boîte Google, pour chaque utilisateur ou pour tous à la fois. XFA ne fait jamais ce choix pour vous.
Vérifiez la colonne Ce qui se passe pour chaque utilisateur, puis cliquez sur Importer.
Vous pouvez aussi envoyer tout de suite les onboarding links. Les nouveaux utilisateurs sont cochés ; les utilisateurs déjà inscrits ne peuvent pas recevoir de lien.

La colonne Ce qui se passe indique, pour chaque utilisateur :

Nouvel utilisateur ou Déjà dans XFA. Si le secondary email d'un utilisateur existant diffère de celui du fichier, elle affiche le changement sous la forme ancien → nouveau : l'import le remplace.
Déjà inscrit ou Lien envoyé le avec la date, pour que vous n'envoyiez pas un deuxième lien par erreur.
E-mail secondaire partagé lorsque plusieurs utilisateurs sélectionnés reçoivent leur lien à la même adresse. Quiconque lit cette boîte peut faire l'onboarding de tous ces utilisateurs.
Protection avancée pour les utilisateurs inscrits à l'Advanced Protection Program de Google, qui ne pourront peut-être pas se connecter via un profil SSO tiers. Vérifiez ces utilisateurs avant le déploiement.

Les utilisateurs dont le domaine n'est ni un domaine d'e-mail de votre organisation ni dans les Domaines d'e-mail autorisés d'une intégration, ainsi que les utilisateurs listés deux fois dans le fichier, ne peuvent pas être sélectionnés.

L'import indique combien de sièges votre sélection utilise. Les utilisateurs importés comptent comme utilisateurs de votre plan ; si l'import devait dépasser votre limite de sièges, désélectionnez quelques nouveaux utilisateurs ou ajoutez d'abord des sièges.

Envoyer le lien dans la propre boîte Google de l'utilisateur

Ne choisissez Sa propre boîte Google que pour les utilisateurs qui feront leur onboarding avant que le profil SSO ne s'applique à eux : une fois qu'il s'applique, ils ne peuvent plus ouvrir cette boîte sans XFA. Ils n'ont pas non plus de boîte de récupération distincte tant que vous n'avez pas défini de secondary email. La page Personnes garde un avertissement sur ces utilisateurs.

Envoyer des onboarding links

Pour envoyer des liens plus tard, sélectionnez les utilisateurs sur la page Personnes et cliquez sur Envoyer le lien d'intégration. XFA met les e-mails en file d'attente et les envoie dans les minutes qui suivent ; la page Personnes affiche ensuite Lien envoyé le avec la date.

XFA ignore les utilisateurs suivants, et vous indique pourquoi :

les utilisateurs déjà inscrits,
les utilisateurs sans secondary email,
les utilisateurs qui ont reçu un lien il y a moins de 7 jours. Cliquez sur Renvoyer quand même pour en envoyer un nouveau ; il remplace le lien précédent.

L'état d'onboarding de chaque utilisateur s'affiche sur la page Personnes : Provisionné, Lien envoyé le, Inscrit, ou Inscription inconnue lorsque XFA n'a pas pu vérifier.

Premier appareil : l'utilisateur ouvre l'onboarding link reçu sur son secondary email (ou saisit l'onboarding password que vous lui avez donné) et enregistre une clé d'accès sur son appareil. XFA vérifie la sécurité de l'appareil au passage, et cette clé d'accès devient dès lors sa connexion à Google.
Tous les appareils suivants : l'utilisateur touche sa clé d'accès, sans mot de passe ni rien à taper, et XFA confirme le nouvel appareil sur un appareil qu'il a déjà enregistré avant de le connecter.

Et le second facteur ?

XFA remplace entièrement la connexion par mot de passe de Google : il n'y a donc pas de second facteur distinct à perdre. La clé d'accès sur un appareil auquel vous avez explicitement fait confiance dans XFA est le facteur fort. C'est le Built-in passkey de XFA. Pour en savoir plus, consultez la documentation sur le Built-in passkey.

Si vous en voulez tout de même un, rien ne l'empêche : activez la 2-Step Verification de Google pour ces utilisateurs dans la console d'administration Google, de la manière habituelle. Google la demande alors en plus de la clé d'accès XFA.