Configurer Zoom pour UserLock Single Sign-On (SSO)

Ce guide explique comment intégrer Zoom à UserLock Single Sign-On (SSO) en utilisant le protocole SAML 2.0.

Une fois configuré, les connexions Zoom sont authentifiées par UserLock via Active Directory, permettant aux administrateurs d'appliquer les stratégies d'accès (MFA, restrictions temporelles, machines, ou localisation) aux sessions Zoom. Zoom agit comme fournisseur de services SAML et peut créer un compte utilisateur Zoom lors de la première connexion réussie.

Pour demander ou vérifier une Vanity URL, ouvrez https://zoom.us/account, allez dans Account Management ▸ Account Profile et repérez Vanity URL. Zoom ne peut pas être configuré pour le SSO SAML tant que la Vanity URL n'a pas été approuvée.

1. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO).

2. Dans la liste des applications disponibles, cliquez sur Zoom.

3. Renseignez les champs suivants :

   Paramètre	Valeur
   Domaine d'application	Le sous-domaine de la Vanity URL uniquement. Pour https://contoso.zoom.us, saisissez contoso
   Domaine d'e-mail	Domaine utilisé pour l'authentification des utilisateurs. Par exemple contoso.com
   Certificat	Laissez vide, sauf si vous activez les requêtes SAML signées dans Zoom

4. Enregistrez le profil.

Pour une Vanity URL https://contoso.zoom.us, UserLock attend les valeurs de fournisseur de services Zoom suivantes :

L'Entity ID n'inclut pas https://.

L'URL de votre SSO UserLock est affichée dans ⚙️ Paramètres du serveur ▸ Authentification unique (SSO). Dans ce guide, <SSO_address> désigne cette URL sans le protocole. Pour https://sso.contoso.com, l'adresse SSO est sso.contoso.com. Si l'URL utilise un port personnalisé, incluez-le dans tous les endpoints : https://sso.contoso.com:450 donne sso.contoso.com:450.

1. Ouvrez https://zoom.us/signin et connectez-vous avec un compte propriétaire ou administrateur Zoom.

2. Allez dans Advanced ▸ Single Sign-On.

3. Si votre compte dispose de plusieurs Vanity URL, sélectionnez celle que vous configurez.

4. Cliquez sur Edit.

Choisissez ensuite l'une des deux méthodes ci-dessous.

1. Importez les métadonnées SAML UserLock par l'une des deux options :

   • Metadata URL : saisissez https://<SSO_address>/metadata.

   • Metadata file : dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO), cliquez sur Télécharger ▸ Fichier de métadonnées, puis chargez le fichier dans Zoom.

2. Comparez les valeurs importées au tableau de la méthode B, et corrigez tout champ que Zoom n'a pas rempli ou a mal rempli.

3. Cliquez sur Save Changes.

Complétez la configuration SSO de Zoom avec les valeurs suivantes :

Configurez ensuite l'Identity Provider Certificate :

1. Dans la console UserLock, accédez à ⚙️ Paramètres du serveur ▸ Authentification unique (SSO) et cliquez sur Télécharger ▸ Certificat SAML.

2. Ouvrez le certificat dans un éditeur de texte et copiez son contenu intégral, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.

3. Collez le contenu dans le champ Identity Provider Certificate de Zoom.

4. Cliquez sur Save Changes.

UserLock envoie l'adresse e-mail correspondante de l'utilisateur comme NameID SAML, et fournit l'adresse e-mail, le prénom et le nom comme attributs SAML. Configurez Zoom pour les associer aux champs du profil utilisateur.

1. Dans le portail web Zoom, allez dans Advanced ▸ Single Sign-On.

2. Ouvrez l'onglet SAML Response Mapping.

3. Sous SAML Basic Information Mapping, configurez :

   • Email Address : urn:oid:0.9.2342.19200300.100.1.3

   • First Name : urn:oid:2.5.4.42

   • Last Name : urn:oid:2.5.4.4

4. Définissez Default License Assignment :

   • Basic pour un utilisateur Zoom sans licence.

   • Licensed si les utilisateurs doivent recevoir une licence payante disponible.

   • None uniquement si vous utilisez l'Advanced SAML Mapping pour attribuer les licences de façon sélective.

5. Vous pouvez activer Update at each SSO login pour les champs prénom et nom, afin que Zoom synchronise ces valeurs à chaque connexion.

6. Enregistrez le mappage de la réponse.

Gardez votre session d'administration Zoom ouverte pendant le test.

Depuis un navigateur web :

1. Ouvrez une fenêtre de navigation privée.

2. Ouvrez votre Vanity URL, par exemple https://contoso.zoom.us, et cliquez sur Sign in.

3. Authentifiez-vous via UserLock avec un compte Active Directory dont l'adresse e-mail appartient au Domaine d'e-mail configuré dans le profil Zoom.

4. Vérifiez que l'utilisateur est redirigé vers UserLock, que l'authentification aboutit, qu'il atteint le bon compte Zoom avec l'adresse e-mail, le prénom et le nom attendus, et que la licence prévue lui est attribuée.

Depuis l'application Zoom Workplace :

1. Ouvrez l'application desktop ou mobile et sélectionnez Sign In with SSO.

2. Saisissez le company domain, c'est-à-dire le sous-domaine de la Vanity URL. Pour https://contoso.zoom.us, saisissez contoso, et non le domaine d'e-mail ni l'URL complète.

3. Continuez et authentifiez-vous via UserLock.

La configuration standard n'exige pas que Zoom signe les requêtes d'authentification SAML entrantes. Laissez Sign SAML request et Sign SAML logout request désactivés, sauf si votre organisation impose la validation des signatures.

Si vous activez l'un de ces paramètres :

1. Ouvrez les métadonnées de fournisseur de services Zoom sur https://<Zoom_subdomain>.zoom.us/saml/metadata/sp, par exemple https://contoso.zoom.us/saml/metadata/sp.

2. Repérez le certificat X.509 associé à la clé de signature et copiez sa valeur.

3. Dans la console UserLock, ouvrez le profil applicatif Zoom et collez la valeur dans le champ Certificat.

4. Enregistrez le profil.

Si Zoom modifie ensuite son certificat de signature de fournisseur de services, mettez à jour le champ Certificat dans UserLock avant que le nouveau certificat soit utilisé.

Ajouter votre domaine d'e-mail comme domaine associé Zoom supprime la confirmation de propriété de l'adresse pour les nouveaux utilisateurs, et c'est un prérequis pour imposer le SSO sur ce domaine.

1. Dans le portail web Zoom, allez dans Account Management ▸ Account Profile.

2. Ouvrez l'onglet Account Profile.

3. Sous Associated Domains, cliquez sur + Add Other Domains.

4. Saisissez le domaine d'e-mail utilisé par vos utilisateurs Zoom, par exemple contoso.com, puis cliquez sur Add Domains.

5. Cliquez sur Verify à côté du domaine et choisissez une méthode de vérification : enregistrement DNS TXT, dépôt d'un fichier HTML, balise meta sur le site web du domaine, ou validation manuelle par le support Zoom.

6. Une fois le domaine vérifié, activez Manage users with the same domain et enregistrez.

Un administrateur de secours peut se connecter avec un mot de passe Zoom alors que le SSO est imposé. Configurez-le avant d'imposer le SSO.

1. Allez dans Advanced ▸ Security.

2. Sous Sign-in Methods, vérifiez que Allow users to sign in with work email reste activé. Sans une seconde méthode de connexion, le compte de contournement est inutilisable.

3. Vérifiez qu'au moins un propriétaire ou administrateur du compte Zoom possède un mot de passe Zoom connu.

4. Sous Specify users who can bypass SSO sign-in, cliquez sur + Add Users et ajoutez l'adresse e-mail de l'administrateur de secours.

5. Enregistrez, puis testez le compte de secours dans une fenêtre de navigation privée depuis https://zoom.us/signin.

Configurer le SSO SAML ne désactive pas la connexion par mot de passe. Pour forcer les utilisateurs de votre domaine d'e-mail à passer par UserLock, le domaine doit d'abord être vérifié et géré.

1. Allez dans Advanced ▸ Security ▸ Sign-in Methods et activez Allow users to sign in with Single Sign-On (SSO).

2. Sélectionnez Require users to sign in with SSO if their e-mail address belongs to one of the domains below.

3. Cliquez sur Select Domains et sélectionnez le domaine d'e-mail vérifié.

4. Vérifiez que l'administrateur de secours figure dans la liste de contournement du SSO.

5. Cliquez sur Save.

Lorsque vous renouvelez le certificat SAML UserLock, remplacez le certificat dans Zoom pendant l'étape de mise à jour des applications SaaS de la procédure Renouveler le certificat SAML.

1. Copiez le nouveau certificat affiché dans l'assistant de configuration UserLock.

2. Dans le portail web Zoom, allez dans Advanced ▸ Single Sign-On et cliquez sur Edit.

3. Remplacez l'Identity Provider Certificate, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.

4. Cliquez sur Save Changes, puis revenez à l'assistant.

Pour les problèmes courants, consultez la page Dépannage du SSO. Si le problème persiste, contactez le support IS Decisions.

UserLock n'a trouvé aucune adresse e-mail correspondant au Domaine d'e-mail configuré dans le profil Zoom sur le compte Active Directory qui s'authentifie. Vérifiez que :

• Le Domaine d'e-mail dans UserLock est correct.

• L'utilisateur Active Directory possède une adresse e-mail dans ce domaine, présente dans les attributs mail ou proxyAddresses.

• L'adresse ne contient aucune faute de saisie ni sous-domaine inattendu.

Un Domaine d'e-mail contoso.com exige une adresse du type user@contoso.com.

Le Domaine d'application contient autre chose que le seul sous-domaine de la Vanity URL. Voir l'étape 1.

Vérifiez les trois mappages d'attributs dans Advanced ▸ Single Sign-On ▸ SAML Response Mapping par rapport à l'étape 3, puis vérifiez que le compte Active Directory contient la bonne adresse e-mail, le bon prénom et le bon nom.

Sign SAML request ou Sign SAML logout request est activé dans Zoom, et le certificat de signature de fournisseur de services Zoom en cours est absent ou obsolète dans le profil Zoom de UserLock. Voir Valider les requêtes SAML signées. Si la signature des requêtes n'est pas nécessaire, désactivez les deux paramètres Zoom et laissez le champ Certificat de UserLock vide.

Ouvrez https://<SSO_address>/metadata depuis un navigateur situé hors de votre réseau d'entreprise. L'URL doit être joignable en HTTPS et renvoyer les métadonnées SAML UserLock. Si ce n'est pas le cas, vérifiez l'enregistrement DNS public, la liaison HTTPS et le certificat SSL, l'accès externe au port HTTPS, ainsi que toute règle de proxy inverse ou de pare-feu. En attendant, vous pouvez configurer Zoom manuellement en suivant Saisir les paramètres SAML manuellement à l'étape 2.

Utilisez l'administrateur de secours ajouté à la liste de contournement du SSO Zoom.

1. Ouvrez https://zoom.us/signin et connectez-vous avec l'adresse e-mail professionnelle et le mot de passe Zoom de l'administrateur de secours.

2. Allez dans Advanced ▸ Security ▸ Sign-in Methods.

3. Décochez Require users to sign in with SSO if their e-mail address belongs to one of the domains below et enregistrez.

Les utilisateurs peuvent alors se connecter avec une autre méthode activée le temps que le service SSO soit indisponible. Réactivez l'exigence une fois le SSO UserLock de nouveau joignable.

Vous pouvez étendre la sécurité des sessions SaaS en appliquant les stratégies d’accès UserLock, en complément de l’authentification.

• Appliquer la MFA sur les sessions SaaS : exiger une authentification renforcée.

• Restrictions horaires : définir quand les utilisateurs sont autorisés à se connecter.

• Règles de géolocalisation : appliquer des politiques en fonction de l’emplacement de l’utilisateur.

• Limites de sessions : autoriser ou interdire totalement l’ouverture de sessions SaaS pour certains utilisateurs.