Authentification unique (SSO)

Le SSO permet à votre équipe de se connecter à Gheima via votre propre fournisseur d’identité OpenID Connect (OIDC) : Okta, Microsoft Entra, Google Workspace, Keycloak ou tout autre IdP compatible OIDC. Quand une personne se connecte chez votre IdP avec une adresse sur votre domaine revendiqué, Gheima l’ajoute à votre compte comme membre dès sa première connexion.

Revendiquez votre domaine#

1. 1

   Ajouter une connexion

   Saisissez l’URL de votre émetteur OIDC, ainsi que l’ID client et le secret client d’une application que vous enregistrez chez votre IdP. Définissez son URL de redirection sur https://gheima.ma/api/sso/callback.

2. 2

   Publier l’enregistrement DNS

   Nous générons un enregistrement TXT à _gheima-sso.<votre-domaine>. Ajoutez-le chez votre hébergeur DNS pour prouver la propriété du domaine, et laissez-le en place : nous le vérifions chaque jour, et la connexion par ce fournisseur s’arrête s’il manque trois jours de suite.

3. 3

   Vérifier

   Une fois l’enregistrement en ligne, vérifiez la connexion. Elle devient active et votre URL de connexion SSO fonctionne.

Fonctionnement de la connexion#

Les membres ouvrent votre URL de connexion SSO et sont redirigés vers votre fournisseur d’identité. Après authentification, Gheima vérifie le jeton d’identité renvoyé, confirme que l’e-mail est sur votre domaine revendiqué et crée une session. Les nouveaux utilisateurs sont ajoutés automatiquement à votre compte en tant que membres.

curl https://api.gheima.ma/v1/sso/connections \
  -H "Authorization: Bearer $GHEIMA_TOKEN" \
  -d '{"emailDomain":"acme.com","issuer":"https://login.acme.com","clientId":"gheima","clientSecret":"…"}'