Rôles des utilisateurs Tenant administrator✗Collaborateur ✗Collaborateur externe ✗Utilisateur Pulse 

Les cabinets qui ont déjà migré vers Visma Connect ou qui vont migrer peuvent permettre à leurs collègues de se connecter à Silverfin via leur propre identity provider, par exemple Microsoft Entra ID, au lieu d'un mot de passe Visma Connect. Le tenant administrator de votre propre cabinet configure la connexion dans Visma Connect Authentication Settings ; Silverfin Support met en place le tenant et vérifie l'identity provider à la fin. Cet article concerne les tenant administrators et les contacts IT des cabinets qui utilisent déjà Visma Connect.

Table des matières 

Qui configure le SSO pour mon cabinet ?

Le tenant administrator de votre propre cabinet effectue la configuration, dans Visma Connect. Silverfin Support ne peut pas configurer le SSO à votre place.

Comment demander le SSO ?

Contactez Silverfin Support en indiquant l'adresse e-mail de la personne qui administrera le tenant, généralement l'administrateur IT de votre cabinet. 

Avant de désigner quelqu'un, parcourez les étapes de Comment configurer la connexion SSO ? afin de savoir ce que ce rôle implique.

Que dois-je vérifier avant de commencer ?

  • Votre cabinet a déjà été migré vers Visma Connect. Le SSO ne peut être configuré que sur un tenant Visma Connect existant.
  • Les adresses e-mail correspondent exactement. L'adresse e-mail de chaque utilisateur dans Silverfin doit correspondre exactement à son adresse dans votre identity provider. Un seul caractère de différence empêche cet utilisateur de se connecter.
  • Vos utilisateurs existent déjà dans Silverfin. Le SSO ne crée pas d'utilisateurs Silverfin, donc toute personne qui a besoin d'un accès doit d'abord être ajoutée dans Silverfin.

Comment configurer la connexion SSO ?

  1. Connectez-vous à Visma Connect avec le compte du tenant d'administration et assurez-vous que l'authentification multifacteur (MFA) est configurée. Si le compte vient d'être créé, activez-le d'abord via l'e-mail de bienvenue. Connectez-vous avec le mot de passe afin d'éviter un refus d'accès. 
  2. Ajoutez et vérifiez chaque domaine e-mail avec lequel vos utilisateurs SSO se connecteront, par exemple yourfirm.be. Vous vérifiez un domaine avec un enregistrement DNS TXT ou avec un fichier de vérification sur votre site web. Consultez la documentation de Visma sur Domains.
  3. Dans l'onglet Single Sign-On, définissez le nom My Domain et Redirect after sign-in: Silverfin avant d'ajouter l'identity provider. Le nom My Domain ne peut être modifié que tant qu'aucun provider n'existe, et le routage de Silverfin l'utilise.
  4. Configurez la connexion SSO vers votre identity provider dans le tenant, par exemple Microsoft Entra ID. Laissez Just-in-time provisioning désactivé lors de la configuration de l'identity provider, car les utilisateurs doivent déjà exister dans Silverfin. Consultez la documentation de Visma sur Microsoft Entra ID ; les autres providers sont listés dans la navigation de gauche de cette page.
  5. Vérifiez que l'identity provider envoie email_verified: true pour chaque utilisateur Silverfin. Visma Connect refuse la connexion de tout utilisateur sans cette valeur.
  6. Confirmez la connexion. Vérifiez d'abord que l'utilisateur avec lequel vous allez tester apparaît dans l'onglet Users d'Authentication Settings, afin que cet utilisateur existe à la fois dans Visma Connect et dans Silverfin. Ouvrez ensuite connect.getsilverfin.com dans une fenêtre de navigateur normale et connectez-vous avec un compte sur l'un de vos domaines vérifiés, en choisissant le bouton SSO à la deuxième étape du flux de connexion. Envoyez ensuite à Silverfin Support la confirmation que la connexion fonctionne.
    • Une fenêtre de navigation privée montre chaque étape de la connexion, y compris l'écran de votre identity provider, et constitue donc la meilleure démonstration. Ne l'utilisez que si la politique de navigateur de votre identity provider autorise les fenêtres privées, car un tenant géré peut les bloquer. C'est pourquoi une fenêtre normale est l'option par défaut.
    • Une autre option consiste à ouvrir connect.getsilverfin.com/f/<firm_id>. Si la politique du tenant Visma Connect oblige tous les utilisateurs de votre cabinet à utiliser le SSO, l'utilisateur est envoyé directement vers l'identity provider de votre cabinet.
    • Si vous répétez le test dans le même navigateur, la connexion se fait silencieusement tant que votre identity provider dispose encore d'une session. C'est donc la première tentative qui prouve que la connexion fonctionne.
  7. Vérifiez que chaque utilisateur figurant dans l'onglet Users d'Authentication Settings pour vos domaines vérifiés dispose d'un compte auprès de l'identity provider connecté. Dès que la connexion par mot de passe est désactivée, ces utilisateurs ne peuvent plus se connecter que via le provider, et toute personne qui n'y a pas de compte perd l'accès.
  8. Désactivez la connexion par mot de passe dans les politiques du tenant en y désactivant Visma Connect. À partir de ce moment, les utilisateurs de vos domaines vérifiés ne peuvent plus se connecter qu'avec le SSO. Les utilisateurs externes ne sont pas concernés et conservent la connexion Visma Connect habituelle.

Que se passe-t-il après avoir confirmé que la connexion fonctionne ?

Votre confirmation permet à Silverfin Support de vérifier que votre identity provider est enregistré du côté de Silverfin. À partir de ce moment, votre cabinet ne s'ouvre que pour les utilisateurs qui se sont connectés via votre provider enregistré, et un utilisateur qui atteint votre cabinet via un autre identity provider est refusé.

Qu'est-ce qui change pour mes collègues une fois la connexion par mot de passe désactivée ?

Les utilisateurs dont l'adresse figure sur l'un de vos domaines vérifiés se connectent uniquement via votre identity provider. Ils n'utilisent plus de mot de passe Visma Connect.

Les utilisateurs externes ne sont pas concernés. Ils conservent la connexion Visma Connect habituelle.

Que faire lorsque l'adresse e-mail d'un utilisateur change ?

Modifiez d'abord l'adresse sur le compte Visma Connect, puis dans l'identity provider, car Visma Connect associe les utilisateurs par adresse e-mail.

Pour les étapes complètes, y compris la manière de modifier plusieurs adresses à la fois avec un fichier CSV, consultez How do I change email addresses for users in my firm? (Visma Connect).

Avant de désactiver la connexion par mot de passe à l'étape 8, vérifiez une dernière fois l'onglet Users. Tout utilisateur sur un domaine vérifié qui n'a pas de compte auprès de l'identity provider connecté perd l'accès dès que les mots de passe sont désactivés.