Configurer XFA comme fournisseur d'identité pour Google Workspace Beta

Ici, c'est XFA qui prend en charge l'authentification

Cette intégration est différente des autres intégrations de fournisseur d'identité. Avec Okta, Microsoft Entra ID, OneLogin et PingIdentity, votre fournisseur d'identité existant continue d'authentifier l'utilisateur, et XFA s'ajoute comme facteur supplémentaire qui vérifie l'appareil.

Pour Google Workspace, c'est XFA qui devient le fournisseur d'identité. Google délègue la connexion à XFA, et XFA authentifie l'utilisateur sans mot de passe, avec une clé d'accès (passkey) (Built-in passkey) avant d'attester son identité auprès de Google. Il n'y a pas d'étape de mot de passe : la clé d'accès sur un appareil de confiance fait office de connexion, et XFA y impose toujours la sécurité de l'appareil.

Bêta

La connexion sans mot de passe à Google Workspace est en bêta et s'active par organisation. Si vous ne voyez pas l'intégration Identity Provider dans votre tableau de bord, contactez XFA pour l'activer. Les libellés exacts des champs dans le tableau de bord XFA et dans la console d'administration Google peuvent différer un peu de ceux des autres guides ; les étapes ci-dessous décrivent la configuration à obtenir.

Remarque : ce guide part du principe que votre organisation dispose d'un compte XFA, que vous en êtes administrateur dans XFA et que vous êtes super-administrateur dans la console d'administration Google. Si vous n'avez pas encore de compte, vous pouvez en créer un sur https://dashboard.xfa.tech/signup.

Comment ça fonctionne

Lorsqu'un utilisateur ouvre une application Google Workspace, Google le redirige vers XFA pour la connexion. XFA l'authentifie avec une clé d'accès sur un appareil qu'il a enregistré dans XFA (Built-in passkey), vérifie l'état de sécurité de l'appareil, puis renvoie à Google une assertion SAML signée. Google s'y fie et laisse entrer l'utilisateur.

Comme c'est XFA qui prend en charge la connexion, l'utilisateur ne tape jamais de mot de passe Google. Son premier appareil est amorcé par une étape de récupération préparée par un administrateur (ci-dessous). Ensuite, la connexion tient en une touche sur la clé d'accès d'un appareil de confiance.

Créer une intégration Identity Provider dans le tableau de bord XFA

Après vous être connecté au tableau de bord XFA, allez sur la page Enforcement, cliquez sur Nouveau et choisissez Identity Provider comme type d'intégration.

Vous recevez alors les informations dont Google a besoin pour faire confiance à XFA :

• Single Sign-On URL : l'URL de la page de connexion XFA.
• Issuer URI (Entity ID) : identifie XFA auprès de Google.
• un certificat que vous pouvez télécharger en cliquant sur Download Certificate, et que Google utilise pour vérifier les assertions de XFA.

Gardez ces informations sous la main pour la configuration de Google à l'étape suivante.

Sur la même intégration, vous configurez aussi :

• Allowed email domains : le ou les domaines de votre Google Workspace (par exemple example.com). XFA n'authentifie et n'atteste que des e-mails de ces domaines ; tout ce qui est en dehors est refusé. Laisser ce champ vide refuse tout le monde (fail-closed), réglez-le donc avant la mise en production.
• Service Provider details : l'ID d'entité et l'URL du service consommateur d'assertion (ACS) que Google vous fournit (voir l'étape suivante). Vous pouvez les laisser vides pour l'instant et les remplir après avoir configuré Google.

Laissez cet onglet ouvert : vous y reviendrez une fois que Google vous aura donné son Entity ID et son ACS URL.

Configurer l'authentification unique dans Google Workspace

Dans la console d'administration Google, allez dans Security > Authentication > SSO with third-party IdP et configurez un profil de fournisseur d'identité tiers :

• Sign-in page URL : la Single Sign-On URL fournie par XFA.
• Sign-out page URL : l'URL de déconnexion ou de tableau de bord de votre organisation.
• Verification certificate : téléversez le certificat que vous avez téléchargé depuis XFA.
• IdP entity ID : l'Issuer URI fourni par XFA.
• Utilisez le binding HTTP-POST.

Enregistrez le profil, puis assignez-le aux unités organisationnelles ou aux groupes dont les utilisateurs doivent se connecter via XFA. Commencez par une petite unité organisationnelle pilote avant de déployer à toute l'organisation.

Google vous affiche alors l'Entity ID et l'ACS URL correspondant à son côté de la relation de confiance. Copiez-les.

Les super-administrateurs gardent leur propre connexion

Google exclut automatiquement les super-administrateurs des profils SSO tiers. Ils continuent de se connecter avec leur mot de passe Google, même dans une unité organisationnelle que vous assignez à XFA : vous avez donc toujours un moyen de revenir dans la console d'administration si la configuration XFA doit être corrigée. Vous n'avez pas besoin de créer pour cela une unité organisationnelle de secours distincte.

Toutes les autres personnes d'une unité organisationnelle assignée se connectent via XFA.

Terminer l'intégration dans le tableau de bord XFA

Retournez dans le tableau de bord XFA et remplissez les informations Service Provider restantes pour l'intégration :

• ID d'entité du Service Provider : l'Entity ID fourni par Google.
• URL du service consommateur d'assertion : l'ACS URL fournie par Google.

Cliquez sur Suivant pour enregistrer l'intégration et ajustez les politiques de sécurité des appareils que vous souhaitez appliquer lors de la connexion.

Préparer les utilisateurs pour leur premier appareil

Comme c'est désormais XFA qui prend en charge la connexion, un appareil tout neuf n'a pas encore de clé d'accès, et l'utilisateur ne peut généralement pas recevoir d'e-mail dans la boîte Google à laquelle il est justement en train de se connecter. Le premier appareil est donc amorcé par un administrateur.

Sur la page Utilisateurs, renseignez pour chaque utilisateur qui se connectera via XFA un secondary email : une adresse personnelle ou secondaire qu'il peut consulter. Vous pouvez ensuite lui envoyer un onboarding link à cette adresse, ce qui lui permet d'enregistrer sa clé d'accès sans jamais taper de mot de passe.

Si vous préférez ne pas envoyer de lien par e-mail, vous pouvez à la place générer un one-time onboarding password pour un utilisateur et le lui transmettre par le canal de votre choix.

Comment les utilisateurs se connectent

• Premier appareil : l'utilisateur ouvre l'onboarding link reçu sur son secondary email (ou saisit l'onboarding password que vous lui avez donné) et enregistre une clé d'accès sur son appareil. XFA vérifie la sécurité de l'appareil au passage, et cette clé d'accès devient dès lors sa connexion à Google.
• Tous les appareils suivants : l'utilisateur touche sa clé d'accès, sans mot de passe ni rien à taper, et XFA confirme le nouvel appareil sur un appareil qu'il a déjà enregistré avant de le connecter.

Et le second facteur ?

XFA remplace entièrement la connexion par mot de passe de Google : il n'y a donc pas de second facteur distinct à perdre. La clé d'accès sur un appareil auquel vous avez explicitement fait confiance dans XFA est le facteur fort. C'est le Built-in passkey de XFA. Pour en savoir plus, consultez la documentation sur le Built-in passkey.

Si vous en voulez tout de même un, rien ne l'empêche : activez la 2-Step Verification de Google pour ces utilisateurs dans la console d'administration Google, de la manière habituelle. Google la demande alors en plus de la clé d'accès XFA.