Configurer ChatGPT pour UserLock Single Sign-On (SSO)

Ce guide explique comment intégrer ChatGPT à UserLock Single Sign-On (SSO) en utilisant le protocole SAML 2.0.

Une fois configuré, les connexions ChatGPT sont authentifiées par UserLock via Active Directory, permettant aux administrateurs d'appliquer les stratégies d'accès (MFA, restrictions temporelles, machines, ou localisation) aux sessions ChatGPT.

OpenAI exige au moins un domaine vérifié avant de pouvoir configurer le SSO.

1. Ouvrez la page OpenAI Identity sur https://admin.openai.com/identity et connectez-vous avec un compte Global Admin.

2. Dans la section de gestion des domaines, cliquez sur + Add Domain.

3. Saisissez le domaine d'e-mail utilisé par vos utilisateurs ChatGPT, par exemple contoso.com. Saisissez uniquement le domaine, sans @, sans protocole et sans adresse e-mail.

4. Copiez le nom et la valeur de l'enregistrement TXT générés par OpenAI.

5. Ajoutez l'enregistrement TXT à la zone DNS de votre domaine.

6. Une fois l'enregistrement DNS disponible, revenez sur la page OpenAI Identity et cliquez sur Check ou Verify, selon le libellé affiché dans votre portail.

Le domaine doit apparaître avec le statut Verified avant de continuer.

1. Sur la page OpenAI Identity, cliquez sur Set up SSO.

2. Sur la page de sélection du fournisseur d'identité, sélectionnez Custom SAML.

3. Saisissez un nom pour le fournisseur d'identité, par exemple UserLock SSO.

4. Cliquez sur Continue.

5. Copiez les deux valeurs affichées par OpenAI :

   • Assertion consumer service (ACS) URL

   • Service provider entity ID

Gardez cette page ouverte. Vous saisirez ces deux valeurs dans UserLock à l'étape suivante.

1. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO).

2. Dans la liste des applications disponibles, cliquez sur OpenAI.

3. Renseignez le profil applicatif avec les valeurs fournies par OpenAI :

   Paramètre	Valeur
   Domaine d'e-mail	Le domaine vérifié utilisé par vos utilisateurs ChatGPT, sans @ ni protocole. Par exemple contoso.com
   Issuer	Le Service provider entity ID fourni par OpenAI
   ACS URL	L'Assertion consumer service (ACS) URL fournie par OpenAI

4. Enregistrez le profil.

L'URL de votre SSO UserLock est affichée dans ⚙️ Paramètres du serveur ▸ Authentification unique (SSO). Dans ce guide, <SSO_address> désigne cette URL sans le protocole. Pour https://sso.contoso.com, l'adresse SSO est sso.contoso.com.

Revenez à l'assistant de configuration SSO d'OpenAI et poursuivez jusqu'à Set Identity Provider Metadata. Utilisez l'une des deux méthodes ci-dessous.

1. Sélectionnez Dynamic configuration.

2. Dans Identity provider metadata URL, saisissez https://<SSO_address>/metadata.

3. Cliquez sur Continue.

OpenAI récupère les endpoints et le certificat de signature du fournisseur d'identité UserLock depuis les métadonnées : aucun certificat n'a donc à être chargé manuellement.

Utilisez la configuration manuelle si OpenAI ne parvient pas à récupérer l'URL de métadonnées UserLock.

1. Sélectionnez Manual configuration.

2. Renseignez les champs avec les valeurs suivantes :

   Champ OpenAI	Valeur
   Identity provider Single Sign-On URL	https://<SSO_address>/saml/sso
   Identity provider issuer	https://<SSO_address>
   Certificat X.509	Le certificat SAML UserLock

3. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO), cliquez sur Télécharger ▸ Certificat SAML et enregistrez le fichier.

4. Revenez dans OpenAI et chargez le fichier dans Certificate X.509.

5. Cliquez sur Continue.

Pour une URL de SSO UserLock https://sso.contoso.com, la Single Sign-On URL est https://sso.contoso.com/saml/sso et l'issuer est https://sso.contoso.com.

1. Poursuivez jusqu'à Configure SAML Attributes, conservez la configuration d'attributs par défaut affichée par OpenAI, puis cliquez sur Continue.

2. Poursuivez jusqu'à Application Link. Cette étape configure la connexion initiée par le fournisseur d'identité, que UserLock n'utilise pas pour cette intégration. Laissez-la non configurée et cliquez sur Continue.

3. Poursuivez jusqu'à Test Single Sign-On et cliquez sur Continue to sign-in dans une fenêtre de navigation privée.

4. Authentifiez-vous via UserLock avec un compte de test qui utilise le domaine d'e-mail vérifié, existe dans Active Directory, et est déjà membre de l'espace de travail ChatGPT ou y a été invité.

5. Vérifiez que l'authentification aboutit et que l'utilisateur atteint l'espace de travail ChatGPT. OpenAI affiche alors la connexion comme Connection activated.

6. Depuis la page de la connexion activée, cliquez à nouveau sur Test sign-in pour confirmer que la connexion finalisée reste opérationnelle.

La création de la connexion SAML ne désactive pas la connexion par mot de passe. Ne configurez l'application du SSO qu'après avoir testé la connexion avec succès.

1. Ouvrez https://admin.openai.com/identity.

2. Allez dans Access ▸ Single Sign-On (SSO).

3. Cliquez sur Manage SSO.

4. Configurez les paramètres suivants :

   Paramètre	Configuration recommandée
   Paramètres SSO ChatGPT	Conservez Optionnel pendant les tests. Passez sur Requis uniquement après validation du SSO avec les utilisateurs concernés
   Paramètres SSO du portail administrateur	Conservez Optionnel pour qu'un Global Admin garde un moyen de secours si le fournisseur d'identité devient indisponible

Lorsque Paramètres SSO ChatGPT est défini sur Requis, les utilisateurs du domaine vérifié appartenant à l'espace de travail doivent s'authentifier via UserLock. Les méthodes de connexion par mot de passe et par réseau social ne sont plus disponibles pour cet espace de travail.

Lorsque vous renouvelez le certificat SAML UserLock, traitez OpenAI pendant l'étape de mise à jour des applications SaaS de la procédure Renouveler le certificat SAML.

Les connexions créées avec Dynamic configuration récupèrent le nouveau certificat depuis les métadonnées UserLock : aucune action n'est nécessaire. Vérifiez que l'URL de métadonnées est toujours https://<SSO_address>/metadata.

Les connexions créées avec Manual configuration doivent être mises à jour :

1. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO) et cliquez sur Télécharger ▸ Certificat SAML.

2. Ouvrez https://admin.openai.com/identity, cliquez sur Manage SSO et ouvrez la connexion active.

3. Remplacez le Certificat X.509 existant.

4. Cliquez sur Test sign-in et vérifiez que l'authentification aboutit.

Réinitialisez la connexion lorsque la configuration SAML existante ne peut pas être modifiée et doit être recréée.

1. Ouvrez https://admin.openai.com/identity.

2. Allez dans Access ▸ Single Sign-On (SSO) et cliquez sur Manage SSO.

3. Ouvrez la connexion existante, cliquez sur Reset connection et confirmez.

4. Créez à nouveau la connexion Custom SAML, puis copiez les nouvelles valeurs Assertion consumer service (ACS) URL et Service provider entity ID.

5. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO) et ouvrez le profil OpenAI.

6. Remplacez les valeurs existantes :

   Paramètre UserLock	Nouvelle valeur OpenAI
   Issuer	Nouveau Service provider entity ID
   ACS URL	Nouvelle Assertion consumer service (ACS) URL

7. Enregistrez le profil UserLock.

8. Terminez l'assistant OpenAI et testez à nouveau la connexion avant d'imposer le SSO.

Pour les problèmes courants, consultez la page Dépannage du SSO. Si le problème persiste, contactez le support IS Decisions.

Vérifiez que vous êtes connecté en tant que Global Admin OpenAI, que le nom et la valeur de l'enregistrement TXT correspondent à ceux fournis par OpenAI, que l'enregistrement est publiquement accessible par une résolution DNS, et que le domaine n'a pas déjà été vérifié dans un autre OpenAI Admin Portal. Comptez jusqu'à 24 heures pour la propagation DNS.

Si + Add Domain est indisponible, ou si OpenAI affiche un message vous demandant de contacter le support, contactez le support OpenAI sur https://help.openai.com.

Ouvrez https://<SSO_address>/metadata depuis un navigateur situé hors de votre réseau interne. L'URL doit être joignable en HTTPS et renvoyer les métadonnées SAML UserLock. Si ce n'est pas le cas, vérifiez l'enregistrement DNS externe de l'adresse SSO UserLock, la liaison HTTPS et le certificat SSL, ainsi que toute règle réseau bloquant l'accès externe. Utilisez la Configuration manuelle dans OpenAI le temps de corriger l'accès aux métadonnées.

Le certificat X.509 configuré dans OpenAI ne correspond pas au certificat utilisé par UserLock pour signer la réponse SAML. Cela se produit après un renouvellement du certificat SAML sur une connexion créée avec la Configuration manuelle : les connexions utilisant la Configuration dynamique récupèrent le nouveau certificat depuis les métadonnées et ne nécessitent aucune mise à jour.

1. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO).

2. Cliquez sur Télécharger ▸ Certificat SAML.

3. Chargez ce certificat dans la connexion SSO OpenAI.

4. Cliquez sur Test sign-in et vérifiez que l'authentification aboutit.

Utilisez un compte Global Admin, qui peut toujours atteindre l'Admin Console tant que Paramètres SSO du portail administrateur reste sur Optionnel.

1. Ouvrez https://admin.openai.com/identity.

2. Allez dans Access ▸ Single Sign-On (SSO) ▸ Manage SSO.

3. Passez Paramètres SSO ChatGPT de Requis à Optionnel le temps d'investiguer.

Si aucun Global Admin ne peut accéder au portail, contactez le support OpenAI sur https://help.openai.com.

Vous pouvez étendre la sécurité des sessions SaaS en appliquant les stratégies d’accès UserLock, en complément de l’authentification.

• Appliquer la MFA sur les sessions SaaS : exiger une authentification renforcée.

• Restrictions horaires : définir quand les utilisateurs sont autorisés à se connecter.

• Règles de géolocalisation : appliquer des politiques en fonction de l’emplacement de l’utilisateur.

• Limites de sessions : autoriser ou interdire totalement l’ouverture de sessions SaaS pour certains utilisateurs.