Une organisation gérée peut prouver qu’un domaine de messagerie lui appartient, puis laisser ses membres se connecter avec l’identifiant de l’organisation : ENT, Microsoft Entra ID, Google Workspace, Keycloak ou tout fournisseur OpenID Connect. Tout se règle dans l’administration › « Connexion » (page « Sécurité et connexion »), avec la permission « Gérer la sécurité ».
Vérifier un domaineLien vers la section Vérifier un domaine
- Administration › « Connexion » › carte « Domaines » › « Ajouter un domaine ».
- Saisissez le domaine de vos adresses, par exemple
ecole.fr, puis « Ajouter ». - Moon AI affiche un enregistrement TXT : son « Nom de l’enregistrement » est
_moonai.suivi de votre domaine, et sa « Valeur de l’enregistrement » commence parmoonai-verification=. - Ajoutez cet enregistrement dans le DNS du domaine, puis cliquez sur « Vérifier ». Le domaine passe à « Vérifié le » suivi de la date.
Les domaines des messageries publiques (Gmail, Outlook…) ne peuvent pas être vérifiés. Un domaine déjà vérifié par une autre organisation non plus. La vérification est refaite régulièrement : si l’enregistrement disparaît, le domaine n’est plus considéré comme vérifié.
Un domaine vérifié permet :
- de gérer les comptes de ce domaine (voir Comptes des membres) ;
- de créer leurs comptes par la connexion unique ou par l’annuaire SCIM ;
- d’obliger la connexion de l’organisation ;
- le rattachement automatique, si vous l’activez.
Retirer un domaine ne retire aucun membre : ses comptes ne rejoignent plus l’organisation d’eux-mêmes et la connexion de l’organisation ne s’applique plus à eux.
Réglages d’un domaineLien vers la section Réglages d’un domaine
« Réglages » sur la ligne du domaine :
- « Rattachement automatique » : un compte de ce domaine dont l’adresse est vérifiée rejoint l’organisation à sa prochaine connexion, tant qu’il reste des sièges. Pas proposé tant que l’organisation paie par carte : chaque compte ajouterait un siège facturé.
- « Rôle à l’arrivée » : jamais le rôle d’administrateur.
- « Groupes à l’arrivée » : parmi les groupes choisis à la main.
« Comptes existants » liste les comptes Moon AI déjà créés avec une adresse du domaine. Choisissez ceux à inviter : chaque personne reçoit un e-mail et rejoint l’organisation quand elle accepte.
Relier votre fournisseur d’identitéLien vers la section Relier votre fournisseur d’identité
Ce qu’il faut chez votre fournisseurLien vers la section Ce qu’il faut chez votre fournisseur
Créez une application OpenID Connect de type « web » (avec un secret), et donnez-lui l’adresse de redirection affichée par Moon AI :
https://chat.realmoon.ai/api/v1/orgs/sso/callbackNotez l’adresse de l’émetteur (« issuer »), l’identifiant client et le secret client.
| Fournisseur | Adresse de l’émetteur |
|---|---|
| Microsoft Entra ID | https:// |
| Google Workspace | https:// |
| Keycloak | https:// |
| ENT ou autre fournisseur | L’émetteur indiqué par son administrateur, en https |
Une adresse terminée par / est aussi acceptée.
Configurer la connexionLien vers la section Configurer la connexion
- Administration › « Connexion » › carte « Connexion de l’organisation (SSO) ».
- Saisissez l’« Adresse du fournisseur d’identité », l’« Identifiant client » et le « Secret client ».
- Cliquez sur « Tester » : Moon AI vérifie que le fournisseur répond (« Le fournisseur répond. … clés de signature trouvées. »).
- Activez la connexion, puis « Enregistrer ».
Moon AI affiche alors le « Lien de connexion de l’organisation », à partager avec vos membres : il ouvre directement la connexion avec votre fournisseur.
Réglages avancésLien vers la section Réglages avancés
| Réglage | Par défaut | Rôle |
|---|---|---|
| « Permissions » | openid | Les informations demandées au fournisseur. openid est toujours ajouté. |
| « Champ de l’adresse e-mail » | email | Le champ qui donne l’adresse. Le fournisseur ne confirme en général que le champ email : avec un autre champ, la connexion est refusée. |
| « Champ du nom » | name | Le nom affiché. À défaut, le prénom et le nom de famille. |
| « Champ des groupes » | vide | Facultatif. Vide, les groupes du fournisseur ne sont pas lus. |
| « Groupes du fournisseur » | aucun | Chaque correspondance relie un groupe du fournisseur à un groupe de l’organisation. |
| « Faire confiance aux adresses de ce fournisseur » | désactivé | Certains fournisseurs marquent les adresses comme non vérifiées : chaque connexion est alors refusée. Activez cette option seulement si vos utilisateurs ne peuvent pas changer eux-mêmes leur adresse chez votre fournisseur. |
Avec les groupes du fournisseur, un membre rejoint le groupe choisi à chaque connexion, et le quitte quand il n’en fait plus partie chez le fournisseur. Un groupe qui donne le rôle d’administrateur ne peut pas être choisi.
Qui peut se connecter ainsiLien vers la section Qui peut se connecter ainsi
- Sans domaine vérifié : les membres de l’organisation et les personnes invitées se connectent avec leur propre adresse, quel que soit son domaine. Personne d’autre.
- Avec un domaine vérifié, ou un fournisseur servi sur votre domaine : toute adresse de ce domaine peut se connecter. Un compte Moon AI est créé à la première connexion si la personne n’en a pas, et elle rejoint l’organisation tant qu’il reste des sièges.
- Le propriétaire de l’organisation ne se connecte jamais par la connexion unique : il garde son mot de passe et ses autres moyens de connexion.
Si le compte Moon AI de la personne a la double authentification, son code est demandé après le passage chez le fournisseur.
Obliger la connexion de l’organisationLien vers la section Obliger la connexion de l’organisation
Avec au moins un domaine vérifié, « Obliger le SSO » force les comptes de vos domaines vérifiés à se connecter par votre fournisseur : leur mot de passe et les autres moyens de connexion sont refusés. Les sessions ouvertes autrement sont fermées.
- Le propriétaire garde son mot de passe.
- Les administrateurs gardent leurs autres moyens de connexion, pour ne jamais perdre l’accès à l’administration si le fournisseur tombe en panne.
« Retirer la connexion » rend à chacun son mot de passe et ses autres moyens, et supprime le secret client.
Côté membreLien vers la section Côté membre
- Sur la page de connexion, choisissez « Continuer avec l’identifiant de mon organisation ».
- Saisissez « Votre e-mail professionnel ou scolaire ».
- Connectez-vous chez votre fournisseur : vous revenez dans Moon AI, sur l’organisation.
Le lien de connexion de l’organisation ouvre directement cette connexion. Dans les applications mobiles, la page du fournisseur s’ouvre dans le navigateur du téléphone, puis vous ramène dans l’application.
Si l’organisation oblige sa connexion, une connexion par mot de passe affiche : « Votre organisation demande de vous connecter avec son identifiant. Choisissez « Continuer avec l’identifiant de mon organisation ». ».
Messages d’erreurLien vers la section Messages d’erreur
| Message | Que faire |
|---|---|
| « La connexion a expiré ou a déjà été utilisée. Recommencez. » | Relancez la connexion depuis le début. |
| « Votre adresse n’appartient pas à un domaine vérifié par cette organisation. » | Utilisez l’adresse de l’organisation, ou demandez une invitation. |
| « Votre adresse n’est pas encore dans cette organisation. Demandez une invitation à son administrateur, puis reconnectez-vous. » | L’organisation n’a pas de domaine vérifié : il faut une invitation. |
| « Le fournisseur d’identité n’a pas confirmé votre adresse e-mail. » | L’administrateur vérifie l’adresse chez le fournisseur, ou l’option « Faire confiance aux adresses de ce fournisseur ». |
| « Le fournisseur d’identité ne confirme pas l’adresse lue dans le champ choisi par votre organisation. Contactez son administrateur. » | Le « Champ de l’adresse e-mail » doit être email. |
| « Ce compte ne peut pas se connecter avec l’identifiant d’une organisation. » | C’est le compte du propriétaire : il se connecte avec son mot de passe. |
| « La connexion de votre organisation n’est pas active. » | L’administrateur doit tester puis réactiver la connexion. |
| « Le fournisseur d’identité de votre organisation n’a pas répondu correctement. Réessayez ou contactez son administrateur. » | Réessayez ; si cela continue, l’administrateur vérifie la configuration. |
Voir aussiLien vers la section Voir aussi
- Comptes des membres, pour exiger la double authentification et limiter la durée des sessions
- Annuaire SCIM
- Domaines et Connexion unique (OpenID Connect) dans l’API des organisations