Guides par fournisseur

1. Dans la console Google Cloud, sous APIs & Services › Credentials, créez un OAuth client ID de type Web application, et ajoutez l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) sous Authorized redirect URIs.
2. Réglez l'écran de consentement OAuth sur Internal, pour que seul votre Workspace puisse l'utiliser.
3. Rapportez l'ID client et le secret client. L'émetteur est https://accounts.google.com.
4. Listez le domaine de votre Workspace sous Who may sign in pour créer des comptes à la première connexion.

Google ne met pas les groupes dans son jeton d'identité : les associations de groupes ne peuvent donc pas être utilisées avec lui.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Dans le centre d'administration Entra, sous App registrations › New registration, un seul locataire (single tenant), avec l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) comme URI de plateforme Web. Puis Certificates & secrets › New client secret.
2. Rapportez le Directory (tenant) ID (le préréglage construit l'émetteur, https://login.microsoftonline.com/<tenant>/v2.0), l'Application (client) ID et la Value du secret (pas son ID).
3. Token configuration › Add optional claim › ID : email et xms_edov. Entra n'envoie jamais email_verified; pour ce préréglage, Ronne accepte xms_edov (le domaine du courriel est vérifié dans votre locataire) à la place. Sans lui, les connexions sont refusées.
4. Groupes (facultatif) : Token configuration › Add groups claim › Security groups. Entra envoie les ID d'objet des groupes : associez ceux-là. Au-delà de 200 groupes, la revendication est omise : n'assignez donc à l'application que les groupes que Ronne associe.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Applications › Create App Integration › OIDC, Web Application, avec l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) comme sign-in redirect URI. Assignez les personnes ou les groupes qui peuvent utiliser Ronne.
2. Rapportez l'ID client et le secret client de l'onglet General de l'application. L'émetteur est votre domaine Okta, https://<your-org>.okta.com (le serveur d'autorisation de l'organisation).
3. Groupes (facultatif) : dans l'onglet Sign On de l'application, définissez la revendication de groupes : nom groups, filtre Matches regex .* (ou seulement les groupes que Ronne associe). Ajoutez l'étendue groups.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Dans le realm, Clients › Create client : OpenID Connect, Client authentication activé, seulement Standard flow, et l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) sous Valid redirect URIs.
2. Rapportez l'ID client, et le secret client de l'onglet Credentials du client. L'émetteur est l'adresse du realm, https://<host>/realms/<realm>. Un Keycloak sur une adresse privée fonctionne : seul root peut taper un émetteur.
3. Groupes (facultatif) : Client scopes › l'étendue dédiée du client › Add mapper › Group Membership, token claim name groups, Full group path désactivé.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Applications › Providers › Create › OAuth2/OpenID Provider, confidentiel, avec l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) comme strict redirect URI. Puis une application qui l'utilise; son slug fait partie de l'émetteur.
2. Rapportez l'ID client et le secret client de la page du provider. L'émetteur est https://<host>/application/o/<slug>/, avec sa barre oblique finale.
3. Groupes : l'étendue profile les envoie déjà (les noms des groupes) dans la revendication groups.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Applications › Create Application › Regular Web Application, et l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) sous Allowed Callback URLs.
2. Rapportez le domaine (l'émetteur est https://<domain>/, avec sa barre oblique finale), l'ID client et le secret client de l'onglet Settings de l'application.
3. Groupes (facultatif) : Auth0 n'a pas de revendication de groupes propre. Ajoutez une Action post-login qui définit la revendication personnalisée https://ronne.ai/groups sur le jeton d'identité (à partir des rôles ou des métadonnées de l'application); le préréglage lit cette revendication.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.

1. Inscrivez une application web confidentielle qui utilise le flux de code d'autorisation avec PKCE, et l'URI de redirection (https://ronne.example.com/api/auth/sso/callback/<id>) exactement telle qu'elle est affichée.
2. Rapportez l'émetteur (l'adresse dont le fournisseur publie le /.well-known/openid-configuration, exactement comme l'émetteur de ce document l'écrit), l'ID client et le secret client. Il doit être en https://.
3. Groupes (facultatif) : la revendication qui les liste, habituellement groups.

Ronne lit sub, email, email_verified (il doit être true), name, et la revendication de groupes si vous associez des groupes. Test sign-in montre ce qui est arrivé. Les erreurs courantes sont sous Ajouter un fournisseur.