Configurer le SSO SAML et SCIM pour une application B2B

Vendre un logiciel SaaS aux clients d'entreprise exige de répondre à des normes de sécurité strictes. Le simple couple identifiant et mot de passe ne convient pas aux équipes informatiques grands comptes. Ces clients exigent deux fonctionnalités fondamentales pour gérer leurs accès : la connexion unique via SSO SAML (Security Assertion Markup Language) et le provisioning automatique des comptes via SCIM (System for Cross-domain Identity Management).

Aurabase propose une gestion d'identité intégrée nativement à son infrastructure backend souveraine hébergée en Allemagne et en Finlande. Cette architecture évite de multiplier les services tiers pour administrer l'auth B2B backend. Voici un guide pas à pas pour configurer le SSO SAML et SCIM tout en associant les rôles d'entreprise à votre base de données PostgreSQL dédiée.

Pourquoi structurer son auth B2B backend avec SAML et SCIM

Dans un contexte d'entreprise, la gestion manuelle des utilisateurs devient vite un risque de sécurité majeur. Lorsqu'un salarié quitte une entreprise cliente, son compte doit être désactivé immédiatement. Sans le protocole SCIM, votre base de données continue d'héberger des accès obsolètes mais actifs.

De même, l'authentification SSO SAML centralise la vérification des identifiants chez le client. L'entreprise applique directement ses propres exigences d'authentification multifacteur (MFA) et ses filtres d'accès réseau avant d'autoriser la connexion à votre application SaaS.

Étape 1 : Configurer l'intégration SSO SAML

Le protocole SAML établit une liaison de confiance entre votre backend (le fournisseur de service) et l'annuaire de votre client B2B (le fournisseur d'identité, comme Okta ou Microsoft Entra ID).

Pour mettre en place cette liaison dans Aurabase, le processus se déroule en trois temps :

• Récupérez l'URL d'ACS (Assertion Consumer Service) et l'identifiant d'entité générés par Aurabase pour votre projet.
• Transmettez ces paramètres à l'équipe informatique de votre client afin qu'elle enregistre votre application dans son annuaire.
• Importez en retour le fichier de métadonnées XML du fournisseur d'identité ou saisissez l'URL du métadonnées, l'émetteur et le certificat X.509 de validation dans la console.

Lorsque l'utilisateur final saisit son adresse email professionnelle sur votre page de connexion, la demande est redirigée vers son portail d'entreprise. Une fois authentifié, l'annuaire renvoie une assertion SAML cryptée. Aurabase valide la signature et émet un jeton de session pour le client.

Étape 2 : Automatiser le provisioning d'annuaire via SCIM

Si SAML valide l'identité lors de la tentative de connexion, il ne permet pas d'anticiper la création des comptes ni de gérer les départs. La synchronisation d'annuaire SCIM comble ce besoin en permettant une communication continue entre l'annuaire client et votre backend.

Le service d'identité d'Aurabase intègre un point d'entrée standard SCIM 2.0. Sa mise en service suit une procédure simple :

1. Générez un jeton d'accès SCIM secret associé au compte de l'organisation cliente.
2. Fournissez l'URL du point d'accès SCIM d'Aurabase et le jeton d'authentification au responsable réseau du client.
3. L'annuaire de l'entreprise cliente effectue dès lors des requêtes HTTP automatisées vers votre backend.

Quand un administrateur affecte un nouvel employé à votre application dans son annuaire, une requête HTTP POST est transmise à Aurabase, créant immédiatement le profil utilisateur. Si cet employé quitte la société, une requête HTTP DELETE désactive l'accès à la minute près.

Étape 3 : Associer les rôles d'entreprise aux politiques de sécurité

Les assertions SAML et les requêtes SCIM ne se limitent pas à transmettre un nom et un email. Elles véhiculent également des attributs contextuels, comme le service, le groupe d'appartenance ou le rôle applicatif.

Le backend d'Aurabase conserve ces attributs dans les métadonnées de la session. Dans la base de données PostgreSQL dédiée, ces informations permettent de restreindre les droits d'accès aux données de manière dynamique. Pour apprendre à appliquer ces contraintes au niveau de la base de données, lisez notre guide pour protéger vos données utilisateurs avec PostgreSQL RLS sur Aurabase.

Grâce à ce couplage, la couche de données applique la sécurité sans logique métier complexe dans vos routeurs d'API. Si un compte est révoqué via SCIM, les politiques RLS ferment automatiquement l'accès aux enregistrements SQL associés.

Étape 4 : Consommer l'authentification avec le SDK TypeScript

Côté client, le SDK @aurabase/aurabase-js simplifie les appels d'authentification B2B. Pour démarrer le flux SSO pour un domaine d'entreprise, il suffit d'invoquer la méthode d'authentification dédiée :

import { aura } from '@/lib/aurabase'

const { data, error } = await aura.auth.signInWithSSO({ domain: 'entreprise-client.com' })

Cette méthode orchestre la redirection vers le fournisseur d'identité. Une fois la session établie, toutes les requêtes subséquentes vers PostgreSQL via le SDK incluent le jeton d'accès de l'utilisateur, garantissant un contrôle strict de la gouvernance des données.