L'Authentification Unique (SSO) est un type d'authentification qui permet aux utilisateurs d'accéder à plusieurs applications et services en utilisant un seul ensemble d'identifiants de connexion.

L'intégration SSO Enterprise de DataCamp permet aux clients de gérer les membres de leur organisation en dehors des flux de connexion et de création de compte préexistants de DataCamp.

Parmi les avantages du SSO, on trouve :

Pour configurer le SSO, vous devez disposer d'un plan DataCamp Enterprise et être administrateur de votre organisation. Les informations sur les fonctionnalités et les tarifs pour passer à un plan DataCamp Enterprise sont disponibles ici.

À l'heure actuelle, DataCamp ne prend en charge que l'intégration SAML 2.0. Pour configurer le SSO, vous devez disposer d'un fournisseur d'identité SAML (IdP) configuré. L'IdP est l'annuaire ou la base de données qui contient les comptes utilisateurs et organisationnels.

Connectez-vous à DataCamp et accédez à votre organisation Enterprise, puis sélectionnez Paramètres > SSO > Autoriser SAML 2.0.

Pour compléter l'intégration, vous devez saisir les informations ci-dessous, qui sont uniques à votre organisation :

En plus de cela, il est important d'aligner les noms des attributs SAML pour les informations utilisateur importantes. DataCamp accepte les revendications suivantes : prénom, nom et email.

Parmi ces 3, l'email est obligatoire pour que l'intégration fonctionne correctement. Le prénom et le nom sont optionnels mais recommandés pour offrir la meilleure expérience utilisateur.

Pour ces 3 champs, nous acceptons une liste de noms d'attributs :

Email

Prénom :

Nom :

Ne pas envoyer un de ces attributs entraînera le fait que la valeur correspondante dans DataCamp ne sera pas mise à jour. En substance, cela signifie que :

Fournir une valeur vide pour un (ou plusieurs) des attributs mettra cependant à jour les valeurs correspondantes dans DataCamp. Ainsi, les utilisateurs qui avaient un prénom/nom avant l'activation du SSO auront un prénom/nom vide après leur première connexion réussie via SSO.

Une fois que vous avez saisi les informations correctes à la fois dans DataCamp et dans votre IdP, la dernière étape consiste à sélectionner Activer le SSO, et vous êtes prêt ! Le SSO est activé pour votre organisation.

DataCamp prend en charge deux options pour configurer le format NameID :

Si vous souhaitez que DataCamp utilise votre identifiant employé interne comme identifiant unique au lieu de l'email, vous devrez configurer votre IdP pour envoyer le format nameID en "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" et la valeur "unspecified" à l'identifiant employé. Vous devrez ensuite sélectionner "unspecified" dans vos paramètres SSO DataCamp. Vous devrez toujours envoyer "emailAddress" comme attribut car cela est requis par notre plateforme. Bien que facultatif, il est fortement recommandé d'envoyer également le Prénom et le Nom comme attributs SAML, car c'est la seule façon pour vos apprenants sur DataCamp d'avoir leurs noms complets renseignés.

Une fois que l'IdP a été configuré pour envoyer la valeur "unspecified" et que le paramètre a été défini dans les paramètres SSO de DataCamp, nous commencerons à stocker l'identifiant employé pour chaque utilisateur lors de leur connexion. Si vous mettez à jour votre configuration alors que vous avez déjà des membres dans votre organisation, nous n'aurons pas leur valeur d'identifiant employé avant leur prochaine connexion.

Pour certaines intégrations LMS ou LXP, l'identifiant employé peut être requis. Dans ce cas, vous devrez configurer vos paramètres SSO pour envoyer et stocker l'identifiant employé comme format NameID "unspecified". Si nous ne disposons pas d'un identifiant employé pour une raison quelconque (par exemple, l'utilisateur ne s'est pas connecté depuis la mise à jour de la configuration), nous ne pourrons pas envoyer les informations d'achèvement de contenu pour cet utilisateur tant qu'il ne se sera pas connecté et que nous aurons son identifiant employé stocké.

Vous pouvez voir les derniers mappages de NameID synchronisés dans l'onglet de configuration SSO. Une fois que nous commençons à recevoir des mappages, vous verrez les derniers apparaître ainsi :

Configuré pour recevoir les mappages NameID. Mappages récemment reçus :

La valeur de gauche est l'identifiant employé (par ex. 10101010) et la valeur de droite est l'email.

Si les mappages sont incorrects, veuillez contacter notre équipe de support pour les réinitialiser.

Si le provisionnement JIT est activé, DataCamp créera automatiquement un compte et attribuera une licence aux nouveaux membres lorsqu'ils se connecteront via SSO (via leur IdP ou LMS). Sinon, les nouveaux membres seront ajoutés à la liste d'attente, nécessitant l'approbation d'un administrateur avant qu'une licence ne soit attribuée.

Option « Activer le provisionnement JIT »

Si vous souhaitez rendre DataCamp disponible uniquement à un public spécifique au sein de votre organisation, il est recommandé de désactiver le provisionnement JIT et d'utiliser plutôt l'un des autres mécanismes d'invitation des utilisateurs tels que les liens d'invitation. Notez que le JIT ne prendra jamais effet tant que vous n'aurez pas explicitement donné accès à vos utilisateurs sur l'IdP ou créé et partagé un lien profond SSO personnalisé (voir ci-dessous pour plus d'informations).

Si le SSO est obligatoire, tous les membres et administrateurs devront se connecter via le fournisseur d'identité. Si le SSO est optionnel, les membres et administrateurs peuvent se connecter via le fournisseur d'identité ou avec l'email et le mot de passe associés à leur compte DataCamp.

Si vous avez des membres dans votre organisation lorsque votre intégration SSO commence avec le SSO obligatoire, ou lorsque le SSO devient obligatoire, ils seront immédiatement déconnectés de DataCamp et forcés de se réauthentifier via SSO.

Nous recommandons fortement de rendre le SSO obligatoire pour plusieurs raisons, le principal avantage étant que les utilisateurs seront automatiquement dirigés pour utiliser le SSO pour l'authentification, plutôt que d'avoir la possibilité de choisir une méthode d'authentification alternative.

Note : Bien que nous recommandions fortement de rendre le SSO obligatoire, il est important de s'assurer que votre configuration SSO fonctionne correctement avant de la rendre obligatoire. Par précaution, nous recommandons de laisser le paramètre optionnel jusqu'à ce que vous soyez sûr que cela fonctionne, afin d'éviter la possibilité d'être verrouillé hors du compte. Actuellement, il n'existe pas de méthode alternative pour les administrateurs d'organisation pour se connecter au système ; tout le monde doit passer par le même flux.

Une fois que vous avez terminé de configurer vos paramètres SSO, vous êtes prêt à activer le SSO. Pour activer le SSO, cliquez sur « Activer le SSO » en bas du formulaire.

Lorsque le SSO est activé, les utilisateurs recevront un email expliquant que l'organisation a activé le SSO et qu'ils devront se reconnecter avec leurs identifiants SSO.

Un lien dans l'email les redirigera vers la page de connexion de DataCamp. Sur cette page, ils doivent entrer leur adresse email et appuyer sur Suivant. Si cet email est associé à un membre appartenant à un groupe avec SSO activé, ils seront redirigés vers la page de connexion de l'IdP pour compléter le processus de connexion. Là, ils devront se connecter avec leurs identifiants SSO. Si cela réussit, ils seront redirigés vers DataCamp avec accès à la plateforme.

Les utilisateurs reçoivent un email lorsque leur organisation active ou désactive le SSO

De même, si un membre est retiré de l'organisation ou si le SSO est désactivé au sein de l'organisation, il recevra des instructions par email l'invitant à réinitialiser son mot de passe sur DataCamp, lui permettant de se connecter sans SSO.

Vous souhaitez configurer une intégration avec l'un des fournisseurs d'identité suivants ? Consultez notre documentation d'aide ici :

Nous sommes également disponibles en tant qu'application dans la galerie Azure de Microsoft.

Comme mentionné précédemment, nous recommandons fortement de rendre le SSO obligatoire pour plusieurs raisons, le principal avantage étant que les utilisateurs seront automatiquement dirigés pour utiliser le SSO pour l'authentification, plutôt que d'avoir la possibilité de choisir une méthode d'authentification alternative. Cependant, nous couvrirons l'option d'utiliser des méthodes d'authentification alternatives dans notre documentation, au cas où il y aurait des circonstances où le SSO ne serait pas adapté ou disponible.

Note : Pour des raisons de sécurité, si un utilisateur a déjà un compte existant sur DataCamp avant d'être invité dans votre organisation, vous devrez utiliser l'une des méthodes décrites ci-dessous. Les deux options ci-dessous comportent une étape de vérification supplémentaire pour confirmer que l'utilisateur déjà présent sur la plateforme est bien le même que dans votre IdP.

Vous pouvez inviter un membre spécifique par son adresse email. L'avantage de cette méthode d'invitation est que vous pouvez également personnaliser ses permissions (par exemple, en faire un administrateur) pendant le processus d'invitation.

Note : Si la personne que vous essayez d'inviter a déjà un compte sur DataCamp, vous devrez l'inviter avec son email existant sur la plateforme afin que sa progression d'apprentissage soit transférée.

Vous pouvez générer un lien d'invitation standard et personnaliser ce lien pour ajouter automatiquement les membres à des équipes spécifiques lorsqu'ils rejoignent via cette méthode.

Quelques autres avantages de cette méthode d'invitation :

Un lien profond SSO est tout lien vers une page sur DataCamp qui contient un identifiant SSO d'entreprise. Lorsqu'un utilisateur clique sur ce lien, il sera automatiquement redirigé vers l'IdP pour se connecter avec le SSO (s'il ne l'est pas déjà), puis redirigé vers la page qu'il souhaitait initialement visiter. Si le provisionnement juste-à-temps est activé et qu'il n'a pas encore de compte DataCamp, nous lui en créons automatiquement un nouveau.

Le format de tout lien profond SSO est : https://www.datacamp.com/groups/<IDENTIFIANT_DU_GROUPE>/sso/saml/login?path=<CHEMIN>

Un exemple de <CHEMIN> serait "/home" pour pointer vers notre page d'accueil. Vous pouvez diriger les liens profonds SSO vers des cours spécifiques et des pages de suivi.

Si le provisionnement juste-à-temps est activé, cette méthode d'invitation peut être utilisée pour créer des comptes nouveaux sur DataCamp. Cette méthode peut toujours être utilisée pour se connecter à des comptes déjà ajoutés à votre organisation. Si un utilisateur a un compte existant et n'est pas encore dans l'organisation, il sera automatiquement ajouté comme membre lors de la connexion.

Selon la configuration spécifique de l'IdP, les membres peuvent également s'inscrire directement depuis l'IdP en sélectionnant l'application DataCamp dans l'annuaire.

Si le provisionnement juste-à-temps est activé, cette méthode d'invitation peut être utilisée pour créer des comptes nouveaux sur DataCamp. Cette méthode peut toujours être utilisée pour se connecter à des comptes déjà ajoutés à votre organisation. Si un utilisateur a un compte existant et n'est pas encore dans l'organisation, il sera automatiquement ajouté comme membre lors de la connexion.

Note : Certains fournisseurs d'identité, tels que Degreed, ne prennent pas en charge la connexion initiée par l'IdP.

Si vous utilisez l'une de nos intégrations LMS ou LXP existantes, il est également possible de combiner le SSO afin que les utilisateurs puissent accéder de manière transparente à DataCamp via SSO directement depuis l'IdP. Pour plus d'informations, veuillez consulter notre documentation LMS et LXP.

Cette méthode d'invitation peut être utilisée pour créer des comptes nouveaux sur DataCamp (si le provisionnement juste-à-temps est activé) ou pour se connecter à des comptes déjà ajoutés à votre organisation. Si un utilisateur a un compte existant et n'est pas encore dans l'organisation, il sera automatiquement ajouté comme membre lors de la connexion.

Votre administrateur peut vous inviter de plusieurs manières à rejoindre une organisation lorsque le SSO est activé et obligatoire.

Votre administrateur peut vous inviter à rejoindre leur organisation DataCamp par email.

Note : Si vous avez un compte DataCamp existant avec une adresse email différente et que vous souhaitez que votre progression dans les cours soit reflétée dans le groupe, vous pouvez mettre à jour votre email dans votre profil avant d'accepter l'invitation, puis demander à votre administrateur de renvoyer l'invitation (leur email sera inclus dans l'email d'invitation). Sinon, vous créerez un compte distinct.

Lorsque vous êtes prêt à accepter, sélectionnez simplement Rejoindre le groupe dans votre email, ou dans vos notifications intégrées si vous avez déjà un compte. Vous serez redirigé vers le fournisseur d'identité (IdP) pour vous connecter avec vos identifiants SSO. Si la connexion réussit, vous serez redirigé vers DataCamp et aurez accès à l'organisation sur DataCamp.

Note : Si le SSO est optionnel, vous serez redirigé vers le formulaire d'inscription. Comme c'est optionnel, nous ne vous obligerons pas à passer par votre IdP !

Si le SSO est activé et obligatoire, les membres qui cliquent sur un lien d'invitation seront automatiquement redirigés vers le fournisseur d'identité (IdP) pour se connecter avec leurs identifiants SSO.

Après authentification réussie :

Les membres pourront également s'ajouter à l'organisation en se connectant d'abord à votre IdP, en trouvant l'application DataCamp et en cliquant dessus pour rejoindre. De même, il est généralement possible de rejoindre l'organisation via votre système LMS ou LXP (si votre administrateur l'a configuré) ou via un lien profond SSO personnalisé créé par votre administrateur. Si l'organisation a activé le provisionnement juste-à-temps et que vous n'avez pas de compte DataCamp, l'utilisation de cette méthode d'invitation créera un compte pour vous.

Note : Pour des raisons de sécurité, si vous avez un compte DataCamp existant et que vous n'êtes pas déjà dans l'organisation, votre administrateur devra vous inviter avec l'une des méthodes d'invitation alternatives listées ci-dessus.

Si vous essayez de rejoindre via un lien d'invitation DataCamp, mais que votre organisation n'a plus de licences disponibles, vous serez ajouté à une liste d'attente. Votre administrateur sera informé que vous essayez d'accéder à l'organisation. S'il approuve votre demande de liste d'attente, vous serez ajouté à l'organisation et recevrez un email pour le confirmer.

Une fois que vous avez créé un compte DataCamp et que vous êtes inscrit dans votre organisation, vous pouvez vous connecter à DataCamp avec le SSO de plusieurs façons.

Vous pouvez vous rendre sur notre page de connexion habituelle ici : https://www.datacamp.com/users/sign_in.

Entrez votre email (cela doit être le même email associé à vos identifiants SSO). Tant que vous êtes membre de l'organisation, nous détecterons que vous devez vous connecter avec le SSO et vous redirigerons vers votre IdP pour compléter le processus de connexion. Une fois terminé, vous serez redirigé vers DataCamp pour continuer à apprendre.

Si le SSO est activé pour votre organisation, mais pas obligatoire, vous pourrez vous connecter avec le SSO (en cliquant sur le bouton « Utiliser le SSO » affiché ci-dessous) ou en utilisant votre email et mot de passe DataCamp.

Le bouton « Utiliser le SSO » sera affiché si le SSO est optionnel pour votre organisation

Les membres pourront également se connecter à DataCamp en se connectant d'abord à votre IdP, en trouvant l'application DataCamp et en cliquant dessus. De même, vous pouvez généralement vous connecter à DataCamp via votre système LMS ou LXP (si votre administrateur l'a configuré) ou via un lien profond SSO personnalisé créé par votre administrateur. En supposant que vous ayez déjà un compte DataCamp et que vous soyez membre du groupe, cela ne devrait nécessiter qu'un clic pour vous connecter à DataCamp.

Pour les clients qui ont une intégration LMS avec DataCamp, nous proposons une option pour identifier les utilisateurs par un identifiant LMS, qui peut différer de leur email ou de leur NameID. Cela est utile dans les cas où vos membres pourraient avoir des identifiants différents pour les trois (email, NameID et leur ID LMS), et que vous souhaitez utiliser un identifiant spécifique pour les intégrations LMS.

Pour supporter cette fonctionnalité, nous acceptons l'identifiant LMS comme un attribut SAML dans la réponse SAML avec l'un des noms suivants :

Lorsque cela nous est envoyé, nous l'enregistrons et pouvons l'utiliser dans vos intégrations LMS avec DataCamp, c'est-à-dire l'inclure comme identifiant utilisateur dans les événements de complétion utilisateur.

Nous supportons l'ajout automatique d'utilisateurs aux équipes de votre groupe DataCamp via les attributs SAML en utilisant l'attribut SAML dc_groups. Pour utiliser cette fonctionnalité, configurez l'attribut dc_groups dans votre fournisseur d'identité (IdP) pour inclure un ou plusieurs noms d'équipe comme valeurs, où chaque nom d'équipe est une valeur chaîne/texte.

Pour plusieurs équipes, fournissez un attribut multi-valeurs, par exemple :

Pour une seule équipe, vous pouvez fournir un attribut à valeur unique, par exemple :

Pour ajouter un utilisateur à une équipe existante, il est essentiel que le nom de l'équipe fourni corresponde exactement au nom de l'équipe configuré dans DataCamp (insensible à la casse). Si une équipe spécifiée n'existe pas, nous créerons automatiquement une nouvelle équipe et y ajouterons l'utilisateur.

Note importante (#1) : Cette fonctionnalité est actuellement strictement additive uniquement. Cela signifie que nous ne retirerons jamais les utilisateurs d'une équipe. Si un utilisateur appartient à une ou plusieurs équipes, l'envoi d'une valeur dc_groups vide, ou son omission complète, ne retirera pas l'utilisateur de ces équipes.

Note importante (#2) : Actuellement, un utilisateur ne sera pas ajouté à l'équipe ou aux équipes si, durant le flux SSO, il se retrouve sur la liste d'attente ou doit confirmer la propriété du compte durant le flux. Cela est dû à une limitation de notre côté.

La liste blanche des domaines email permet à votre organisation de revendiquer un ou plusieurs domaines email (par exemple, votreentreprise.com) et de rediriger automatiquement les utilisateurs avec des adresses email correspondantes vers votre fournisseur d'identité Single Sign-On (IdP) lors des flux de connexion et d'inscription.

Une fois votre domaine inscrit en liste blanche :

Pour initier le processus de liste blanche des domaines email, veuillez contacter votre Customer Success Manager ou le support DataCamp. Dans le cadre de ce processus, nous vérifierons que votre organisation contrôle bien le(s) domaine(s) que vous souhaitez revendiquer.

Une fois le SSO activé, vos membres existants recevront un email les invitant à se connecter avec leurs identifiants IdP. Une fois cela fait, vos membres devront toujours se connecter avec leurs identifiants IdP tant qu'ils sont membres d'une organisation avec le SSO activé.

Le membre sera ajouté à la liste d'attente, et un email sera envoyé à tous les administrateurs. Après approbation d'un de ces administrateurs, une licence sera ajoutée et l'utilisateur pourra utiliser DataCamp.

DataCamp prend en charge à la fois l'authentification unique initiée par l'IdP et par le fournisseur de service (SP).

Oui, le SSO est pris en charge sur l'application mobile.

Il n'existe pas de paramètre DataCamp pour bloquer l'accès mobile avec l'authentification unique. Cependant, par le passé, des clients ont réussi à bloquer l'accès sur mobile de leur côté dans la configuration de leur IdP.

Si un membre de votre organisation est supprimé en tant que membre sur DataCamp, il recevra un email l'invitant à créer de nouvelles informations de connexion. Il sera également invité à confirmer son adresse email et à créer un nouveau mot de passe. Il n'aura plus accès à votre organisation ni au contenu premium faisant partie de votre abonnement.

Si vous supprimez un membre de votre IdP et désactivez ses identifiants de connexion IdP, il ne pourra plus se connecter à DataCamp. Notez que le membre ne sera pas automatiquement retiré de la liste des Membres de l'organisation DataCamp ; cela devra être fait manuellement sur la page des membres. Veuillez contacter notre équipe de support si vous avez besoin d'aide pour retirer un membre de votre organisation.

Nous nous appuyons fortement sur le format NameID pour identifier de manière unique les utilisateurs en fonction des informations de connexion fournies par leur organisation.

Si le format NameID est défini sur email, alors changer l'email crée essentiellement une nouvelle identité utilisateur, ce qui entraîne la perte d'accès à leur compte d'origine.

Si le format NameID est défini sur unspecified, alors changer l'email est parfaitement acceptable — nous le mettrons automatiquement à jour dans notre système tant que nous pouvons faire correspondre l'utilisateur en fonction de son NameID. Cependant, cela ne fonctionnera pas si le nouvel email est déjà associé à un autre compte.

Tous les certificats sont auto-signés par défaut. Veuillez contacter notre équipe de support si vous avez besoin de certificats signés par une CA.

Si vous obtenez une erreur indiquant que le lien DataCamp ne fonctionne pas, comme dans la capture d'écran ci-dessous :

Ou peut-être une erreur plus descriptive, comme celle-ci sur Azure AD :

Ces erreurs se produisent au niveau de l'IdP, vous devrez donc contacter votre administrateur et demander l'accès à l'application DataCamp. Malheureusement, ce n'est pas quelque chose que DataCamp peut corriger.

Nous exigeons deux URLs ACS pour prendre pleinement en charge les flux de connexion initiés par le fournisseur de service (SP) et initiés par le fournisseur d'identité (IdP). Les deux URLs doivent être configurées pour garantir que l'authentification fonctionne correctement, que les utilisateurs commencent le processus de connexion depuis la page de connexion DataCamp ou directement depuis votre fournisseur d'identité (IdP).

Lors de la mise à jour du certificat SSO (par exemple, en raison d'une expiration), il est crucial que la mise à jour soit coordonnée entre DataCamp et votre fournisseur d'identité (IdP) afin d'éviter toute interruption de connexion.

Vous avez deux options :

Lorsqu'un utilisateur tente de se connecter via le SSO d'un groupe DataCamp et que nous constatons qu'il existe déjà un compte DataCamp avec cet email, nous ne pouvons pas ajouter l'utilisateur au groupe tant qu'il ne prouve pas qu'il est le propriétaire du compte DataCamp existant. Cela s'appelle le flux de confirmation de propriété de compte.

Dans ce flux, nous redirigeons l'utilisateur vers le formulaire de connexion standard où il doit prouver sa propriété en se connectant avec son mot de passe (ou un fournisseur de connexion sociale tel que Google). Il ne peut pas prouver sa propriété en se connectant avec le SSO du groupe. Il doit se connecter avec l'une des méthodes d'authentification existantes sur le compte DataCamp existant.

Une fois qu'il a prouvé sa propriété en se connectant, nous l'ajoutons au groupe et il pourra utiliser le SSO de son groupe pour s'authentifier à l'avenir.