Configurer SAML avec Keycloak

Cette page explique comment intégrer Keycloak comme fournisseur d’identité SAML pour authentifier vos utilisateurs sur Reemo.

Note

Selon votre mode de déploiement, l’activation SAML peut se faire au niveau de l’instance (Private Cloud / On-Prem) ou au niveau de l’organisation (Public Cloud).

Les captures d’écran et libellés peuvent varier légèrement selon vos versions d’interface.

Configurer SAML dans Reemo

Cas 1 : Activation au niveau de l’instance (Private Cloud / On-Prem)

Depuis verified_user Zone d’administration > dashboard Général > passkey Connecteurs SSO, configurez SAML pour l’instance.

Accéder à Connecteurs SSO dans la Zone d’administration de l’instance.

Cas 2 : Activation au niveau de l’organisation (Public Cloud)

Depuis domain Organisation > dashboard Général > passkey Connecteurs SSO, configurez SAML pour cette organisation.

Configurer SAML dans Organisation > Connecteurs SSO.

Créer le connecteur SAML côté Reemo

1. Depuis verified_user Zone d’administration > domain Organisations, sélectionnez votre organisation, puis accédez à dashboard Général > passkey Connecteurs SSO et cliquez sur Nouveau connecteur > Nouveau connecteur SAML.

2. Renseignez les champs de base :

   • Nom convivial : nom affiché à vos utilisateurs (ex. Keycloak).

   • Émetteur / ID URI de l’application : reemo.

   • Mappage des attributs : noms d’attributs que Reemo attend dans l’assertion SAML (par défaut email, username, fullname).

   • Les autres champs (ex. Point d’entrée IP, Certificat IP) seront complétés après la configuration Keycloak.

Renseigner les champs de base du connecteur SAML.

Renseigner le nom convivial et l’Issuer (reemo), puis enregistrer.

3. Cliquez sur Créer pour générer l’URL de callback du connecteur. Vous en aurez besoin dans Keycloak.

Copier l’URL de callback générée par le connecteur SAML.

Configurer le client SAML dans Keycloak

1. Connectez-vous à votre Admin Console Keycloak.

2. Sélectionnez le Realm cible dans le menu déroulant en haut à gauche.

3. Dans le menu de gauche, allez dans Clients > Create client.

Créer un nouveau client SAML dans Keycloak.

4. Renseignez les paramètres du client :

   • Client type : SAML.

   • Client ID : reemo.

Renseigner le type et le Client ID.

5. Dans les paramètres du client, configurez :

   • Valid redirect URIs : collez l’URL de callback du connecteur Reemo.

   • Master SAML Processing URL : collez l’URL de callback du connecteur Reemo.

   

   Renseigner les redirect URIs, la Master SAML Processing URL.

   • Sign documents : ON.

   • Sign assertions : ON.

   

   Activer Sign documents et Sign assertions.

6. Allez dans l’onglet Keys du client et désactivez l’option Client signature required.

Warning

Reemo ne signe pas les requêtes SAML sortantes. Si Client signature required reste activé, Keycloak rejettera les requêtes d’authentification.

Désactiver Client signature required dans l’onglet Keys du client.

7. Allez dans l’onglet Client scopes > cliquez sur le scope dédié (ex. reemo-dedicated) > Add mapper > By configuration.

   Ajoutez les mappers d’attributs suivants :

   Mapper type	Name	Property	SAML Attribute Name
   User Property	username	username	username
   User Property	email	email	email
   User Attribute	fullname	fullname	fullname

Warning

Le champ SAML Attribute Name est obligatoire sur chaque mapper. Sans lui, les attributs arrivent anonymes dans la réponse SAML et Reemo les rejette.

Warning

Keycloak ne propose pas de concaténation native de prénom et nom. Vous devez créer un attribut custom fullname sur chaque utilisateur dans la console Keycloak.

Configurer les mappers email, username et fullname dans les Client scopes.

8. Récupérez le certificat X.509 et le Point d’entrée IP (SSO URL) :

   • Certificat : depuis Realm settings > Keys > ligne RS256 > bouton Certificate. Copiez le contenu base64 brut.

   • Point d’entrée IP : suit le format :

   https://[keycloak_url]/realms/[realm]/protocol/saml
   

Warning

Utilisez bien le certificat RS256 du Realm, et non celui du client. Collez uniquement le base64 brut, sinon Reemo ne pourra pas valider les assertions signées.

Récupérer le certificat RS256 du Realm dans Realm settings > Keys.

9. Complétez le connecteur SAML de Reemo avec ces informations. Activez le connecteur (case Enabled) puis cliquez sur Update pour enregistrer.

Déclarer les utilisateurs

Deux approches sont possibles pour donner l’accès SSO aux utilisateurs.

Approche A : Provisionnement explicite depuis l’organisation

Depuis verified_user Zone d’administration > domain Organisations, sélectionnez votre organisation, puis accédez à inventory_2 Inventaire > person Utilisateurs et cliquez sur Nouvel utilisateur > Provisionner un utilisateur SAML pour ajouter des utilisateurs en renseignant leur e-mail.

Choisir Provisionner un utilisateur SAML depuis le menu Nouvel utilisateur.

Ajouter des utilisateurs par e-mail via la popup de provisionnement.

Approche B : Just-In-Time (JIT) Provisioning

Depuis verified_user Zone d’administration > domain Organisations, sélectionnez votre organisation, puis accédez à dashboard Général > passkey Connecteurs SSO, cliquez sur le connecteur puis activez Provisionnement Juste-à-Temps activé : les comptes sont créés automatiquement lors de la première connexion SSO réussie.

Activer Just In Time Provisioning pour créer les comptes à la première connexion.

Gérer les droits dynamiquement depuis l’annuaire

Cette configuration permet à Reemo de lire l’appartenance de chaque utilisateur à un groupe de l’annuaire d’entreprise et d’affecter automatiquement l’accès aux collections correspondantes, sans provisionnement manuel dans Reemo.

Dans Keycloak

1. Dans le menu Clients, ouvrez votre client (ex. reemo), allez dans l’onglet Client scopes et cliquez sur le scope dédié (ex. reemo-dedicated) > Add mapper > By configuration.

2. Sélectionnez Group list dans la fenêtre de configuration du mapper.

Sélectionner Group list dans la fenêtre de configuration du mapper.

3. Configurez le mapper avec les champs suivants :

   • Name : un libellé pour ce mapper (ex. groups).

   • Group attribute name : le nom de l’attribut envoyé dans l’assertion SAML (ex. groups).

   • Single Group Attribute : Off.

   • Full group path : Off.

Renseigner le Name, le Group attribute name, et laisser les deux bascules sur Off.

4. Enregistrez le mapper. Il apparaît maintenant dans la liste des mappers aux côtés des autres mappers d’attributs.

Le mapper groups apparaît en tant que Group Mapper / Group list.

Dans Reemo

1. Ouvrez la fiche du connecteur SSO en allant dans Zone d’administration > Général > Connecteurs SSO.

2. Dans les paramètres du connecteur, allez à la section Mappage supplémentaire.

3. Dans le champ Collections, saisissez le nom d’attribut de groupe configuré dans Keycloak (ex. groups), puis cliquez sur Mettre à jour.

Saisir le nom d’attribut de groupe dans le champ Collection du Mappage supplémentaire.

4. Dans Inventaire > Collections, sélectionnez une collection et cliquez sur Edit. Dans le champ SSO Mapping Identifier, saisissez le nom du groupe de l’annuaire correspondant.

Lors de la connexion via SAML, Reemo lit les groupes transmis par Keycloak et applique automatiquement les droits sur les collections.

Se connecter via SAML

Une fois le connecteur actif et les utilisateurs déclarés (ou JIT activé), vos utilisateurs peuvent se connecter :

• Accès général à votre portail (Private Cloud / On-Prem) :

  https://[portal_url]/
  

• Accès direct à l’organisation (Public Cloud) :

  https://[portal_url]/login/[organization_shortname]
  

Sur l’écran de connexion, sélectionnez l’onglet SSO, puis cliquez sur Se connecter pour être redirigé vers le fournisseur d’identité.

Sélectionner l’onglet SSO, puis cliquer sur Se connecter.