Initial release: DictIA v0.8.14-alpha (fork de Speakr, AGPL-3.0)

client_docs/guide-admin/sso.md

@@ -0,0 +1,103 @@
+# Authentification unique (SSO)
+
+DictIA supporte l'authentification unique (SSO) via le protocole OpenID Connect (OIDC), vous permettant d'intégrer la plateforme avec votre fournisseur d'identité existant.
+
+## Qu'est-ce que le SSO?
+
+L'authentification unique permet à vos utilisateurs de se connecter à DictIA en utilisant les mêmes identifiants que pour les autres applications de votre organisation. Au lieu de gérer un mot de passe séparé pour DictIA, les utilisateurs se connectent via votre fournisseur d'identité centralisé.
+
+### Avantages du SSO
+
+- **Simplicité pour les utilisateurs** : Un seul ensemble d'identifiants pour toutes les applications
+- **Sécurité renforcée** : Politique de mots de passe centralisée, authentification multifacteur gérée par le fournisseur d'identité
+- **Administration simplifiée** : Gestion centralisée des accès, désactivation rapide des comptes
+- **Conformité Loi 25** : Meilleur contrôle de l'accès aux renseignements personnels grâce à la gestion centralisée des identités
+
+## Fournisseurs d'identité supportés
+
+DictIA est compatible avec tout fournisseur d'identité supportant le protocole OpenID Connect (OIDC), notamment :
+
+- **Microsoft Entra ID** (anciennement Azure AD)
+- **Google Workspace**
+- **Keycloak**
+- **Auth0**
+- **Okta**
+- Et tout autre fournisseur OIDC compatible
+
+## Configuration
+
+La configuration technique du SSO (identifiants client, URL de découverte, redirections) est effectuée par l'équipe InnovA AI. Contactez le support InnovA AI pour mettre en place le SSO sur votre instance.
+
+### Informations à fournir
+
+Pour configurer le SSO, vous devrez fournir à InnovA AI :
+
+- Le **fournisseur d'identité** que vous utilisez
+- Les **identifiants client** (Client ID et Client Secret) émis par votre fournisseur
+- L'**URL de découverte** OIDC de votre fournisseur
+- Les **domaines de courriel autorisés** pour l'auto-inscription (si souhaité)
+
+### Options de configuration
+
+Lors de la mise en place, vous pourrez choisir parmi les options suivantes :
+
+**Auto-inscription** : Les nouveaux utilisateurs sont automatiquement créés lors de leur première connexion SSO, à condition que leur domaine de courriel soit autorisé. Cela élimine le besoin de créer manuellement chaque compte.
+
+**Restriction de domaine** : Limitez l'accès SSO aux courriels de domaines spécifiques (ex. : votre-entreprise.com). Utile pour s'assurer que seuls les employés autorisés peuvent accéder à DictIA.
+
+**Désactivation de la connexion par mot de passe** : Forcez l'utilisation exclusive du SSO pour tous les utilisateurs réguliers. Les administrateurs conservent la possibilité de se connecter par mot de passe comme mécanisme de secours.
+
+## Expérience utilisateur
+
+### Première connexion
+
+Lors de sa première connexion via SSO, l'utilisateur :
+
+1. Clique sur le bouton de connexion SSO sur la page de connexion de DictIA
+2. Est redirigé vers la page de connexion de votre fournisseur d'identité
+3. Se connecte avec ses identifiants habituels
+4. Est automatiquement redirigé vers DictIA avec une session active
+
+Si l'auto-inscription est activée, le compte DictIA est créé automatiquement. Sinon, un administrateur doit d'abord créer le compte.
+
+### Lier un compte existant
+
+Les utilisateurs qui possèdent déjà un compte DictIA peuvent lier leur compte SSO :
+
+1. Se connecter à DictIA avec leur mot de passe habituel
+2. Accéder à **Compte** → **Authentification unique**
+3. Cliquer sur **Lier le compte** pour associer leur identité SSO
+
+Une fois lié, l'utilisateur peut se connecter via SSO ou par mot de passe (si la connexion par mot de passe n'est pas désactivée).
+
+### Délier un compte SSO
+
+Les utilisateurs peuvent délier leur compte SSO depuis **Compte** → **Authentification unique**. Les utilisateurs qui ont créé leur compte via SSO (sans mot de passe) doivent d'abord définir un mot de passe avant de pouvoir délier leur compte SSO.
+
+## Considérations de sécurité
+
+- Lorsqu'un utilisateur se connecte via SSO avec un courriel correspondant à un compte DictIA existant, les comptes sont automatiquement liés
+- La sécurité de l'accès SSO dépend de votre fournisseur d'identité : assurez-vous que celui-ci est correctement sécurisé (authentification multifacteur, politique de mots de passe forte)
+- Utilisez la restriction de domaine pour limiter l'accès aux seuls courriels de votre organisation
+
+## Dépannage
+
+### La connexion SSO échoue immédiatement
+
+Les identifiants client ou l'URL de découverte sont peut-être incorrects. Contactez le support InnovA AI pour vérifier la configuration.
+
+### Un utilisateur est créé sans adresse courriel
+
+Certains fournisseurs d'identité ne retournent pas l'adresse courriel par défaut. Contactez le support InnovA AI pour ajuster la configuration des attributs (claims).
+
+### Le domaine de courriel est rejeté
+
+Vérifiez que le domaine de courriel de l'utilisateur fait partie de la liste des domaines autorisés. Contactez le support InnovA AI pour ajouter un domaine si nécessaire.
+
+### Un compte SSO est déjà lié à un autre utilisateur
+
+Chaque identité SSO ne peut être liée qu'à un seul compte DictIA. L'utilisateur peut délier son compte SSO depuis ses paramètres de compte, puis le relié à un autre compte.
+
+---
+
+Retour au [Guide d'administration](index.md) →