Authentification unique (SSO)

Configurez l’authentification unique avec des fournisseurs SAML ou OIDC comme Okta, Azure AD et Google Workspace pour sécuriser l’accès de l’équipe.

SSO est disponible avec les offres Enterprise.

Les administrateurs Enterprise peuvent configurer le SSO SAML pour Okta ou Microsoft Entra directement depuis le Tableau de bord Mintlify. Pour d’autres fournisseurs comme Google Workspace ou Okta OIDC, contactez-nous pour configurer le SSO.

​

Configurer le SSO

​

Okta

1. Configurer le SSO Okta dans votre Tableau de bord Mintlify

   1. Dans votre Tableau de bord Mintlify, accédez à la page Single Sign-On.
   2. Cliquez sur Configure.
   3. Sélectionnez Okta SAML.
   4. Copiez l’URL de Single sign on et l’Audience URI.
2. Créer une application SAML dans Okta

   1. Dans Okta, sous Applications, créez une nouvelle intégration d’application utilisant SAML 2.0.

   2. Saisissez les informations suivantes à partir de Mintlify :

      • Single sign on URL : l’URL que vous avez copiée depuis votre Tableau de bord Mintlify
      • Audience URI : l’URI que vous avez copiée depuis votre Tableau de bord Mintlify
      • Name ID Format : EmailAddress

   3. Ajoutez ces déclarations d’attribut :

      Name	Name format	Value
      firstName	Basic	user.firstName
      lastName	Basic	user.lastName

3. Copier l’URL de metadata Okta

   Dans Okta, allez dans l’onglet Sign On de votre application et copiez l’URL de metadata.

4. Enregistrer dans Mintlify

   De retour dans le Tableau de bord Mintlify, collez l’URL de metadata et cliquez sur Enregistrer les modifications.

​

Microsoft Entra

1. Configurer Microsoft Entra SSO dans votre tableau de bord Mintlify

   1. Dans votre tableau de bord Mintlify, accédez à la page Single Sign-On.
   2. Cliquez sur Configure.
   3. Sélectionnez Microsoft Entra ID SAML.
   4. Copiez l’URL de connexion unique et l’URI d’audience.
2. Créer une application d’entreprise dans Microsoft Entra

   1. Dans Microsoft Entra, accédez à Enterprise applications.
   2. Sélectionnez New application.
   3. Sélectionnez Create your own application.
   4. Sélectionnez « Integrate any other application you don’t find in the gallery (Non-gallery) ».
3. Configurer SAML dans Microsoft Entra

   1. Dans Microsoft Entra, accédez à Single Sign-On.
   2. Sélectionnez SAML.
   3. Sous Basic SAML Configuration, saisissez ce qui suit :
      • Identifier (Entity ID) : l’URI d’audience depuis Mintlify
      • Reply URL (Assertion Consumer Service URL) : l’URL de connexion unique depuis Mintlify

   Laissez les autres valeurs vides et sélectionnez Save.

4. Configurer Attributes & Claims dans Microsoft Entra

   1. Dans Microsoft Entra, accédez à Attributes & Claims.
   2. Sélectionnez Unique User Identifier (Name ID) sous « Required Claim ».
   3. Modifiez l’attribut Source en user.primaryauthoritativeemail.
   4. Sous Additional claims, créez les éléments suivants :

      Name	Value
      firstName	user.givenname
      lastName	user.surname

5. Copier l’URL de metadata Microsoft Entra

   Sous SAML Certificates, copiez l’App Federation Metadata URL.

6. Enregistrer dans Mintlify

   De retour dans le tableau de bord Mintlify, collez l’URL de metadata et cliquez sur Enregistrer les modifications.

7. Affecter des utilisateurs

   Dans Microsoft Entra, accédez à Users and groups. Affectez les utilisateurs qui doivent avoir accès à votre tableau de bord Mintlify.

​

Provisionnement JIT

Lorsque vous activez le provisionnement JIT (just-in-time), les utilisateurs qui se connectent via votre fournisseur d’identité sont automatiquement ajoutés à votre organisation Mintlify.

Le provisionnement JIT fonctionne uniquement pour les connexions initiées par l’IdP. Les utilisateurs doivent se connecter à partir de votre fournisseur d’identité (dashboard Okta ou portail Microsoft Entra) plutôt que de passer par la page de connexion Mintlify.

Pour activer le provisionnement JIT, vous devez avoir activé le SSO. Accédez à la page Single Sign-On de votre Dashboard, configurez le SSO, puis activez le provisionnement JIT.

​

Imposer la connexion uniquement via SSO

Les propriétaires de l’organisation peuvent exiger que tous les membres de l’organisation se connectent via votre fournisseur d’identité. Lorsque l’application du SSO est activée, Mintlify rejette les connexions par mot de passe, lien magique et Google OAuth pour les membres de l’organisation.

1. Accédez à la page Single Sign-On dans votre dashboard.
2. Vérifiez que le SSO est configuré et validé de bout en bout.
3. Activez le bouton bascule Enforce SSO-only sign-in.

Mintlify empêche l’application du SSO si son activation excluait tous les propriétaires de l’organisation. Configurez au moins un e-mail de secours (breakglass) ou vérifiez qu’un propriétaire peut se connecter via votre IdP avant d’imposer le SSO.

Pour cesser d’imposer le SSO, désactivez le bouton bascule. Les autres méthodes de connexion redeviennent immédiatement disponibles.

​

Domaines vérifiés

Ajoutez les domaines détenus par votre organisation afin que Mintlify puisse rattacher les connexions et les invitations à une identité de confiance. Vous pouvez ajouter jusqu’à cinq domaines vérifiés par organisation.

1. Accédez à la page Single Sign-On dans votre dashboard.
2. Dans la section Verified domains, cliquez sur Add domain.
3. Saisissez le domaine (par exemple, example.com) et cliquez sur Add.
4. Mintlify génère un jeton de vérification. Ajoutez-le en tant qu’enregistrement DNS TXT sur le domaine.
5. Revenez au dashboard et cliquez sur Verify. Le statut passe de Pending à Verified une fois l’enregistrement propagé.

Pour supprimer un domaine, cliquez sur le bouton de suppression à côté de celui-ci.

​

E-mails de secours (breakglass)

Désignez des comptes d’accès d’urgence qui peuvent se connecter même lorsque l’application du SSO est activée ou que votre fournisseur d’identité est inaccessible. Utilisez les e-mails de secours pour restaurer l’accès en cas de panne de votre IdP ou si une mauvaise configuration verrouille les membres.

1. Accédez à la page Single Sign-On dans votre dashboard.
2. Dans la section Breakglass emails, ajoutez les adresses e-mail des membres de l’organisation qui doivent conserver un accès hors SSO.
3. Cliquez sur Save changes.

Utilisez des e-mails de secours pour les comptes de propriétaires qui ne sont pas liés à votre IdP principal, conservez les identifiants dans un gestionnaire de mots de passe sécurisé, et révisez la liste à chaque changement dans l’équipe.

Chaque e-mail de secours doit déjà appartenir à un membre de votre organisation. Les membres listés comme breakglass peuvent se connecter avec un mot de passe, un lien magique ou Google OAuth, même lorsque l’application du SSO est activée.

​

Mapper les rôles RBAC avec les groupes SAML

Attribuez des rôles aux utilisateurs en fonction de leur appartenance à des groupes dans le fournisseur d’identité. Lorsqu’un utilisateur se connecte via SSO, Mintlify lit l’attribut groups de l’assertion SAML et associe ces groupes aux rôles du tableau de bord.

​

Configurer les déclarations d’attribut de groupe

Ajoutez une déclaration d’attribut groups à la configuration de votre fournisseur d’identité SAML. L’attribut doit utiliser le format de nom unspecified.

L’assertion SAML résultante doit inclure un AttributeStatement.

Example SAML assertion

<saml2:AttributeStatement xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
    <saml2:Attribute Name="groups" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
                              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                              xsi:type="xs:string">Everyone</saml2:AttributeValue>
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
                              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                              xsi:type="xs:string">Engineering</saml2:AttributeValue>
        <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
                              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                              xsi:type="xs:string">Admins</saml2:AttributeValue>
    </saml2:Attribute>
</saml2:AttributeStatement>

Exigences clés :

• Le nom de l’attribut doit être groups (sensible à la casse)
• Le format de nom doit être urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified
• Chaque groupe auquel l’utilisateur appartient doit être un élément AttributeValue distinct

Okta

Dans la configuration de votre application SAML Okta, ajoutez une déclaration d’attribut de groupe :

Name	Name format	Filter	Value
groups	Unspecified	Matches regex	.*

Ajustez le filtre pour correspondre aux groupes spécifiques que vous souhaitez envoyer à Mintlify.

Microsoft Entra

Dans votre application d’entreprise Microsoft Entra :

1. Accédez à Single Sign-On > Attributes & Claims.
2. Sélectionnez Add a group claim.
3. Sélectionnez les groupes à inclure (tous les groupes ou des groupes spécifiques).
4. Sous Advanced options, cochez Customize the name of the group claim et définissez le nom sur groups.

Une fois configuré, Mintlify associe les noms de groupes de l’assertion SAML aux rôles de votre organisation. Pour configurer ou modifier les mappages groupe-rôle, contactez votre représentant de compte Mintlify.

​

Modifier ou supprimer le fournisseur SSO

1. Accédez à la page Single Sign-On dans votre Dashboard.
2. Cliquez sur Configure.
3. Sélectionnez votre fournisseur SSO préféré ou choisissez de ne pas utiliser le SSO.

Si vous désactivez le SSO, les utilisateurs devront s’authentifier à l’aide d’un mot de passe, d’un lien magique ou de Google OAuth.

​

Autres fournisseurs

Pour les fournisseurs autres que Microsoft Entra ou Okta SAML, contactez-nous pour configurer le SSO.

​

Google Workspace avec SAML

1. Créer une application

   1. Dans Google Workspace, accédez à Web and mobile apps.
   2. Sélectionnez Add custom SAML app dans le menu déroulant Add app.

   
2. Envoyez-nous les informations de votre IdP

   Copiez l’URL SSO, l’Entity ID et le certificat x509 fournis, puis envoyez-les à l’équipe Mintlify.

   
3. Configurer l’intégration

   Sur la page Service provider details, saisissez les éléments suivants :

   • ACS URL (fournie par Mintlify)
   • Entity ID (fourni par Mintlify)
   • Name ID format : EMAIL
   • Name ID : Basic Information > Primary email

   

   À la page suivante, ajoutez les déclarations d’attribut suivantes :

   Google Directory Attribute	App Attribute
   First name	firstName
   Last name	lastName

   Une fois cette étape terminée et les utilisateurs attribués à l’application, informez notre équipe et nous activerons le SSO pour votre compte.

​

Okta (OIDC)

1. Créer une application

   Dans Okta, sous Applications, créez une nouvelle intégration d’application utilisant OIDC. Choisissez le type d’application Web Application.

2. Configurer l’intégration

   Sélectionnez le flux d’octroi « code d’autorisation » et renseignez l’URL de redirection fournie par Mintlify.

3. Envoyez-nous les informations de votre IdP

   Accédez à l’onglet General et repérez le Client ID et le client secret. Veuillez nous les transmettre de manière sécurisée, ainsi que l’URL de votre instance Okta (par exemple, <your-tenant-name>.okta.com). Vous pouvez les envoyer via un service comme 1Password ou SendSafely.