Si votre application est utilisée par des communes suédoises, leurs agents doivent pouvoir se connecter avec leurs identités professionnelles existantes. À mesure que de nouvelles communes vous rejoignent, vous devez relier différents fournisseurs d’identité sans créer une nouvelle intégration de connexion dans votre application pour chaque commune.
Des clients utilisent déjà FoxIDs pour connecter leurs applications aux fournisseurs d’identité de plusieurs communes suédoises.
Une intégration applicative, plusieurs connexions municipales
Votre application peut s’intégrer à FoxIDs via OpenID Connect. Vous configurez les connexions aux fournisseurs d’identité municipaux comme méthodes d’authentification dans FoxIDs et autorisez votre application à les utiliser. Ces connexions peuvent utiliser SAML 2.0 ou OpenID Connect, indépendamment du protocole employé par votre application. Une commune peut disposer de sa propre connexion, tandis que plusieurs communes utilisant Microsoft Entra ID peuvent partager une connexion multitenant.
Vous pouvez ainsi conserver la même intégration OpenID Connect dans votre application lorsque vous ajoutez des communes. Chaque client FoxIDs configure ses propres connexions municipales dans son propre environnement FoxIDs, en accord avec l’équipe informatique de chaque commune.
Plateformes d’identité utilisées par les communes suédoises
Les plateformes d’identité suivantes couvrent la plupart des communes suédoises et ont été vérifiées avec FoxIDs par des clients :
La plupart des communes suédoises préfèrent SAML 2.0 pour ces connexions. OpenID Connect est également une option lorsque la commune le prend en charge et le propose. Commencez par demander à son équipe informatique quel protocole et quelle configuration elle utilise pour les applications externes.
Laisser la commune gérer la MFA et l’identification électronique suédoise
Le fournisseur d’identité de la commune gère l’authentification multifacteur (MFA) et l’intégration des méthodes d’identification électronique qu’elle propose à ses agents. Il associe la personne dont l’identité a été vérifiée à son identité professionnelle. FoxIDs reçoit cette identité et les claims convenus via la connexion SAML 2.0 ou OpenID Connect.
L’identification électronique suédoise (e-legitimation) comprend à la fois des identités personnelles et des identités délivrées pour un usage professionnel. Voici quelques exemples pertinents :
- BankID et Freja+ (Freja eID+) : des identités électroniques personnelles qu’une commune peut proposer pour la connexion de ses agents.
- Freja OrganisationsID : une identité professionnelle délivrée par l’intermédiaire de l’employeur.
- SITHS : une identité professionnelle utilisée dans les communes, les régions et le secteur de la santé, disponible sur carte ou sur appareil mobile.
La commune décide des méthodes qu’elle propose. Le répertoire des identités électroniques approuvées de Digg présente d’autres possibilités.
Avec cette architecture, ni FoxIDs ni votre application n’ont besoin d’une intégration directe avec BankID, Freja ou SITHS.
Exemples de pages de connexion municipales. Les noms et logos des communes ainsi que les coordonnées locales ont été supprimés ; les captures illustrent les options de connexion et ne signifient pas que les communes sont clientes de FoxIDs. Ouvrez une image pour l’afficher en plus grand.
Orienter les utilisateurs selon leur domaine de messagerie
Une configuration utile consiste à connecter votre propre application multitenant Microsoft Entra ID via OpenID Connect et à l’utiliser comme option par défaut commune, en complément des connexions municipales dédiées.
Utilisez Home Realm Discovery (HRD) pour sélectionner une méthode d’authentification selon le domaine de messagerie de l’utilisateur. Autorisez les méthodes d’authentification concernées pour votre application et configurez leurs domaines HRD comme suit :
- Pour chaque méthode d’authentification municipale dédiée, indiquez le ou les domaines de messagerie de la commune. Un domaine correspondant sélectionne le fournisseur d’identité de cette commune.
- Pour la méthode d’authentification Microsoft Entra ID partagée, indiquez
*comme domaine HRD. Elle sert alors de solution de repli pour les domaines de messagerie non configurés dans une autre méthode d’authentification.
Vous pouvez ainsi conserver des connexions municipales dédiées lorsque cela est nécessaire et utiliser une seule connexion Entra ID pour les autres domaines. Dans la configuration multitenant, définissez les tenants Entra ID auxquels vous faites confiance.
Gérer les accès avec des utilisateurs externes dans FoxIDs
Si vous souhaitez gérer dans FoxIDs les personnes autorisées à se connecter, vous pouvez créer à l’avance des utilisateurs externes pour la méthode d’authentification concernée, à partir de leurs adresses e-mail connues. Créez-les dans FoxIDs Control Client ou via Control API. Configurez la méthode d’authentification pour exiger un utilisateur externe existant et laissez la création automatique d’utilisateurs désactivée.
Configurez email comme redemption claim et un identifiant utilisateur stable comme link claim. Convenez avec l’équipe informatique de la commune que le fournisseur d’identité transmette les deux. Lors de la première connexion, FoxIDs rapproche le claim e-mail reçu du fournisseur d’identité municipal de l’utilisateur créé à l’avance. C’est la redemption par e-mail : FoxIDs associe l’utilisateur à son identifiant externe stable et utilise cet identifiant lors des connexions suivantes.
Vous pouvez enregistrer des claims pour chaque utilisateur externe ou gérer ses autorisations au moyen de structures d’accès dans FoxIDs. Configurez la transmission des claims concernés à votre application. Celle-ci les utilise pour associer l’utilisateur à la bonne commune et appliquer les autorisations d’accès à ses données.
Configurer la première connexion municipale
D’après notre expérience, la mise en place de la connexion avec l’équipe informatique de la commune se déroule généralement sans difficulté. Un bon point de départ consiste à convenir de la personne qui configure chaque côté et de celle qui peut fournir un compte de test.
Définir les informations nécessaires à votre application
Précisez quels utilisateurs ont besoin d’un accès et quelles informations votre application attend après la connexion. Convenez d’un identifiant utilisateur stable et des attributs nécessaires, tels que le nom, l’adresse e-mail ou les informations sur l’organisation. Vérifiez les attributs que la commune peut fournir au lieu de supposer que toutes les communes utilisent les mêmes noms et valeurs.
Échanger la configuration avec l’équipe informatique municipale
Pour SAML 2.0, créez une méthode d’authentification dans FoxIDs et configurez-la avec les métadonnées du fournisseur d’identité de la commune. Privilégiez l’URL de métadonnées de la commune lorsqu’elle est disponible et demandez à son équipe informatique d’utiliser l’URL de métadonnées de votre méthode d’authentification SAML 2.0 dans FoxIDs pour configurer le fournisseur d’identité municipal.
Avec des URL de métadonnées dans les deux sens et la mise à jour automatique des métadonnées activée des deux côtés, les certificats publics peuvent être échangés et mis à jour automatiquement lors de leur renouvellement ou de leur remplacement. Suivez le guide de la méthode d’authentification SAML 2.0 pour effectuer la configuration.
Pour OpenID Connect, coordonnez l’enregistrement du client avec l’équipe informatique municipale. Configurez l’authority et les informations du client dans FoxIDs, puis transmettez à l’équipe informatique la redirect URI affichée pour la méthode d’authentification. Le guide de la méthode d’authentification OpenID Connect décrit la configuration.
Tester l’ensemble du parcours de connexion à l’application
Commencez par une application de test dans FoxIDs. Sélectionnez Test authentication sur la méthode d’authentification concernée et ouvrez l’application de test pour afficher les claims reçus directement sur la page. Partagez l’URL de l’application de test avec l’équipe informatique municipale et les utilisateurs concernés. Un compte de test permet de vérifier que les claims attendus sont renvoyés, tandis que chaque utilisateur peut confirmer qu’il parvient à se connecter.
Testez ensuite l’ensemble du parcours de connexion dans votre propre application. Vérifiez que les utilisateurs sont associés à la bonne commune et obtiennent les accès prévus. Incluez un utilisateur qui doit avoir accès et un autre qui ne doit pas y avoir accès. Si vous utilisez des utilisateurs externes, testez également la redemption lors de la première connexion, puis une connexion ultérieure avec l’identité associée.
L’intégration de votre application avec FoxIDs reste la même pour toutes les communes.
Une aide lorsque vous en avez besoin
Les clients communiquent généralement directement avec l’équipe informatique municipale et configurent eux-mêmes les connexions. Nous avons aidé plusieurs clients à se connecter à différentes communes, mais notre intervention a rarement été nécessaire. Lorsqu’ils ont eu besoin d’aide, c’était le plus souvent au début.
Si vous avez besoin d’aide, l’équipe FoxIDs peut vous accompagner dans l’intégration de votre application avec FoxIDs ou dans la configuration et le test d’une connexion municipale. Nous pouvons également vous aider sur l’architecture de sécurité de l’ensemble de votre solution et sur des questions de sécurité précises. Vous pouvez convenir d’une réunion en ligne pour discuter de votre première connexion ou d’un besoin particulier.
FoxIDs appartient à des propriétaires danois, donc de l’UE, et est développé au Danemark. FoxIDs Cloud est hébergé en France chez des hébergeurs détenus dans l’UE. Consultez nos options de déploiement si la propriété, l’hébergement ou l’exploitation de la plateforme sur votre propre infrastructure font partie de votre évaluation.