Customer Experience
Employee Experience
Brand Experience
Core XM
Design XM

Exigences techniques SSO

Synthèse des exigences techniques

L’authentification unique (SSO) permet à un tiers d’authentifier un utilisateur avant d’accorder l’accès au système Qualtrics. Qualtrics prend en charge quatre types d’authentification SSO : Google OAuth 2.0, Central Authentication Service (CAS), Lightweight Directory Access Protocol (LDAP) et Security Assertion Markup Language (SAML). Chaque type requiert que le tiers dispose d’un type de serveur spécifique. Par exemple, l’authentification SSO CAS repose sur le fait que le tiers dispose d’un serveur CAS.

Cette page couvre les exigences techniques que vous devez respecter. Ces paramètres doivent être configurés avec votre équipe informatique, puis communiqués à l’équipe d’assistance SSO de Qualtrics.

Google OAuth 2.0

Google OAuth 2.0 est un framework d’autorisation qui peut être utilisé pour authentifier les utilisateurs dans la plateforme Qualtrics. Pour configurer Google OAuth 2.0 pour l’authentification tierce, les utilisateurs qui accéderont à la plateforme doivent avoir un compte Google.

Les paramètres de configuration suivants doivent être fournis :

Domaines d’e-mail valides
- Des domaines de messagerie spécifiques sont requis pour authentifier les adresses e-mail des utilisateurs à chaque tentative de connexion.

Qualtrics reçoit uniquement l’e-mail associé aux comptes Google des utilisateurs lors de l’authentification à Google OAuth 2.0. L’e-mail est utilisé pour renseigner les champs Nom d’utilisateur, Prénom, Nom et Adresse e-mail de Qualtrics.

Une fois que les Domaines de messagerie valides souhaités sont fournis, Qualtrics peut organiser la configuration d’une intégration OAuth 2.0 de Google avec le tiers.

Attention : Google OAuth 2.0 ne prend pas en charge l’accès à l’application hors ligne Qualtrics.

Lightweight Directory Access Protocol (LDAP)

Lightweight Directory Access Protocol (LDAP) est un service d’annuaire par lequel un tiers peut s’authentifier. Qualtrics peut être configuré pour s’authentifier automatiquement sur un serveur LDAP lorsqu’un utilisateur tente de se connecter à la plateforme Qualtrics. Pour configurer une intégration LDAP, on suppose que le tiers dispose d’un serveur LDAPv3 fonctionnel.

Les paramètres de configuration suivants doivent être fournis :

Nom d’hôte du serveur LDAP : adresse IP ou nom du serveur.
Port du serveur LDAP : port que Qualtrics utilisera pour communiquer avec le serveur.
Nom distinctif de base (DN) : par exemple :
```
o=organisation
```
Bind Distinguished Name : utilisateur Bind DN ou Bind DN basé sur la recherche. Cela n’est pas nécessaire si le serveur LDAP autorise les recherches non authentifiées.
Lier le mot de passe : ce n‘est pas nécessaire si le serveur LDAP autorise les recherches non authentifiées.
Paramètres de filtre d’authentification : par exemple :
```
uid=%nomutilisateur%
```
URL de redirection lors de la déconnexion : Qualtrics requiert une URL de redirection de déconnexion pour effacer les sessions de connexion des utilisateurs lors de la déconnexion. Si aucune URL de redirection de déconnexion n’est fournie, Qualtrics peut rediriger les utilisateurs vers https://qualtrics.com ou vers une autre URL de votre choix. Cependant, cela n’effacera pas la session de connexion des utilisateurs et les utilisateurs pourront se reconnecter immédiatement en cliquant sur le bouton Retour ou en revenant à la page de connexion.
Attributs LDAP
- Obligatoire :
  - Attribut de zone Adresse e-mail (par exemple, e-mail)
    Astuce Qualtrics : cet attribut doit contenir des valeurs au format d’une adresse e-mail. Par exemple, value@email.com.
- Facultatif :
  - Attribut de zone Prénom (par exemple, prénom)
  - Attribut de zone de nom de famille (par exemple, sn)
  - Attribut de mappage du type d’utilisateur
  - Attribut de mappage de division
  - Attribut de mappage de groupe
  - Attribut(s) de métadonnées des tableaux de bord CX
  - Attribut(s) d’inscription automatique au rôle des tableaux de bord CX

Une fois les informations ci-dessus fournies, Qualtrics peut organiser la configuration d’une intégration LDAP avec le tiers.

Service d’authentification central (CAS)

Central Authentication Service (CAS) fournit un service de connexion unique d’entreprise et est pris en charge par JA-SIG CAS. Vous trouverez de plus amples informations sur le CAS à l’adresse https://www.apereo.org/projects/cas. Le système Qualtrics peut agir en tant que client CAS, ce qui permet à l’utilisateur de s’authentifier via CAS et de se connecter au système Qualtrics. Pour configurer la connexion unique CAS, il est supposé que le tiers dispose d’un serveur CAS fonctionnel utilisant le protocole CAS 2.0 ou une version plus récente.

Les paramètres de configuration suivants doivent être fournis :

Nom d’hôte du serveur CAS : nom du serveur.
Port du serveur CAS : le port Qualtrics sera utilisé pour communiquer avec le serveur.
URI vers le système CAS sur l’hôte
URL de redirection lors de la déconnexion : Qualtrics requiert une URL de redirection de déconnexion pour effacer les sessions de connexion des utilisateurs lors de la déconnexion. Si aucune URL de redirection de déconnexion n’est fournie, Qualtrics peut rediriger les utilisateurs vers https://qualtrics.com ou une autre URL de votre choix. Cependant, cela n’effacera pas la session de connexion des utilisateurs et les utilisateurs pourront se reconnecter immédiatement en cliquant sur le bouton Retour ou en accédant à nouveau à la page de connexion.

Les paramètres suivants varient selon que vous utilisez ou non une version de CAS qui prend en charge SAML 1.1.

Si SAML 1.1 n’est pas pris en charge : le nom d’utilisateur CAS sera utilisé pour renseigner les champs du nom d’utilisateur, de l’adresse e-mail, du prénom et du nom de famille de Qualtrics.
Si SAML 1.1 est pris en charge : les paramètres de configuration suivants doivent également être fournis :
- Obligatoire :
  - Attribut de zone Adresse e-mail (par exemple, e-mail)
    Astuce Qualtrics : cet attribut doit contenir des valeurs au format d’une adresse e-mail. Par exemple, value@email.com.
- Facultatif :
  - Attribut de zone Prénom (par exemple, prénom)
  - Attribut de zone de nom de famille (par exemple, sn)
  - Attribut de mappage du type d’utilisateur
  - Attribut de mappage de division
  - Attribut de mappage de groupe
  - Attribut(s) de métadonnées des tableaux de bord CX
  - Attribut(s) d’inscription automatique au rôle des tableaux de bord CX

Une fois les informations ci-dessus fournies, Qualtrics peut organiser la configuration de l’intégration CAS avec le tiers.

Security Assertion Markup Language (SAML)

Security Assertion Markup Language (SAML) est une norme XML pour l’échange de données d’authentification et d’autorisation entre des domaines de sécurité, ou un fournisseur d’identités (producteur d’assertions) et un fournisseur de services (consommateur d’assertions). Le système Qualtrics peut être configuré pour s’authentifier automatiquement via un fournisseur d’identité tiers à l’aide de SAML lorsqu’un utilisateur se connecte au système Qualtrics. Pour configurer une intégration SAML, il est supposé que la tierce partie dispose d’une implémentation SAML 2.0 ou Shibboleth 2.0 active et qu’elle peut prendre en charge les connexions initiées par le fournisseur de services (SP).

Qualtrics prend en charge les workflows initiés par IdP et par SP pour les connexions SAML. Le plus commun des deux est un échange initié par SP, où les utilisateurs commencent le flux à https://brandID.datacenter.qualtrics.com, ou l’URL Vanity de leur organisation. L’échange initié par IdP est principalement utilisé lorsque les utilisateurs s’authentifient sur un réseau interne, où les utilisateurs commencent le flux sur un portail d’application interne.

Les paramètres de configuration suivants doivent alors être fournis :

Métadonnées du fournisseur d’identités (IdP) (au format XML sous forme de lien ou de pièce jointe)
- Balises requises :
  - Descripteur d’entité
  - Descripteur clé
  - SingleSignOnService
    - Les liaisons HTTP Post et HTTP Redirect dans le service SingleSignOnService sont prises en charge. HTTP Post doit cependant être utilisé si vous avez besoin de la signature de notre AuthnRequest.
  - Service de connexion unique
    - Ce champ est utilisé pour rediriger les utilisateurs vers une URL qui effacera les sessions de connexion des utilisateurs lors de la déconnexion. Si aucune URL SingleLogoutService n’est fournie, Qualtrics peut rediriger les utilisateurs vers https://qualtrics.com ou une autre URL de votre choix. Cependant, cela n’effacera pas la session de connexion des utilisateurs et les utilisateurs pourront se reconnecter immédiatement en cliquant sur le bouton Retour ou en accédant à nouveau à la page de connexion.
Attributs SAML
- Obligatoire :
  - Attribut de zone de nom d’utilisateur (par ex. samAccountName)
    - L’attribut doit contenir des valeurs uniques, non modifiables et non confidentielles.
  - Attribut de zone Adresse e-mail (par exemple, e-mail)
    Astuce Qualtrics : cet attribut doit contenir des valeurs au format d’une adresse e-mail. Par exemple, value@email.com.
- Facultatif :
  - - Attribut de zone Prénom (par exemple, prénom)
    - Attribut de zone de nom de famille (par ex. sn)
    - Attribut de mappage du type d’utilisateur
    - Attribut de mappage de division
    - Attribut de mappage de groupe
    - Attribut(s) de métadonnées des tableaux de bord CX

Une fois les informations ci-dessus fournies, Qualtrics peut organiser la configuration d’une intégration Shibboleth/SAML avec la tierce partie.

Comment obtenir et déchiffrer une réponse SAML

Une réponse SAML est envoyée par le fournisseur d’identités au fournisseur de services après une authentification SAML réussie. La réponse SAML contient toutes les informations transmises par le fournisseur d’identités, telles que les attributs, les certificats, les liaisons, etc. Ces informations sont précieuses pour résoudre les problèmes d’autorisation ou tout au long du processus de connexion.

De nombreux outils sont disponibles pour faciliter l’obtention d’une réponse SAML. Vous trouverez ci-dessous une méthode qui devrait être disponible dans la plupart des navigateurs, mais n’hésitez pas à utiliser n’importe quelle méthode.

Ouvrez un nouvel onglet dans votre navigateur.
Ouvrez Outils de développement.
Astuce Qualtrics : ils peuvent être situés à différents endroits en fonction du navigateur utilisé. Les captures d’écran de cette page font référence à l’apparence d’un navigateur Chrome.
Sélectionnez l’onglet Network.
Sélectionnez Conserver le journal.
Saisissez l’URL de connexion dans cet onglet du navigateur et connectez-vous via SSO.
Sous Nom, vous voudrez sélectionner l’élément indiquant « default-sp ».
Sous En-têtes, en bas sous En-têtes de formulaire, vous verrez un bloc de caractères étiquetés réponse SAML.
Astuce Qualtrics : si notre équipe d’assistance a demandé une réponse SAML, vous pouvez vous arrêter à cette étape.
La réponse SAML est actuellement encodée en Base64. Pour décoder la réponse SAML dans un format lisible, vous pouvez utiliser n’importe quel décodeur Base64 trouvé en ligne.
Astuce Qualtrics : consultez ces outils pour coder base64 et décoder base64.

Comment lire une réponse SAML

Une réponse SAML contient quelques informations clés qui peuvent vous aider à résoudre les problèmes.

Destination : correspond à l’URL du service consommateur d’assertion du fournisseur de services et se trouve généralement en haut de la réponse SAML.
Émetteur : correspond à l’ID d’entité du fournisseur d’identités et se trouve généralement en haut de la réponse SAML.
Certificat X509: correspond au certificat de signature du fournisseur d’identités et se trouve généralement au milieu de la réponse SAML.
Public : correspond à l’ID d’entité du fournisseur de services et se trouve généralement au milieu de la réponse SAML.
Déclaration d’attribut : contient tous les noms et valeurs d’attributs envoyés par le fournisseur d’identités et se trouve généralement en bas de la réponse SAML.