--- locale: "fr" updated_at: "2026-10-29T12:40:33.986Z" canonical: "https://www.isdecisions.com/fr/userlock/docs/guides/sso/configurer-applications/openai" --- # Configurer ChatGPT pour UserLock Single Sign-On (SSO) Vérification du domaine, connexion SAML et application du SSO pour un espace de travail ChatGPT. ## Introduction Ce guide explique comment intégrer **ChatGPT** à **UserLock Single Sign-On (SSO)** en utilisant le protocole **SAML 2.0**. Une fois configuré, les connexions ChatGPT sont authentifiées par **UserLock** via **Active Directory**, permettant aux administrateurs d'appliquer les [stratégies d'accès](/userlock/docs/getting-started/configuration-access-policy) (MFA, restrictions temporelles, machines, ou localisation) aux sessions ChatGPT. > **🚩️ Avant de commencer :** > > - Vous devez disposer d'un espace de travail ChatGPT **Business**, **Enterprise** ou **Edu**, avec accès à l'OpenAI Global Admin Console. > - Vous devez être **Global Admin** dans OpenAI. > - Vous devez avoir accès à la configuration DNS du domaine d'e-mail utilisé par vos utilisateurs ChatGPT. > - Le SSO UserLock doit déjà être [installé et configuré](/userlock/docs/guides/sso/install-configure-sso), et joignable publiquement en HTTPS avec un certificat SSL valide. > - Le compte utilisé pour tester le SSO doit déjà être membre de l'espace de travail ChatGPT, ou y avoir été invité. > **⚠️ Important** > > Conservez **Paramètres SSO du portail administrateur** sur **Optionnel**. C'est le seul moyen pour un Global Admin d'atteindre l'OpenAI Admin Console si le SSO UserLock devient indisponible. > Ne passez pas le SSO ChatGPT sur **Requis** tant que le parcours de connexion complet n'a pas été testé. ## Étape 1. Vérifier votre domaine dans OpenAI OpenAI exige au moins un domaine vérifié avant de pouvoir configurer le SSO. 1. Ouvrez la page OpenAI Identity sur `https://admin.openai.com/identity` et connectez-vous avec un compte Global Admin. 2. Dans la section de gestion des domaines, cliquez sur **+ Add Domain**. 3. Saisissez le domaine d'e-mail utilisé par vos utilisateurs ChatGPT, par exemple `contoso.com`. Saisissez uniquement le domaine, sans `@`, sans protocole et sans adresse e-mail. 4. Copiez le nom et la valeur de l'enregistrement TXT générés par OpenAI. 5. Ajoutez l'enregistrement TXT à la zone DNS de votre domaine. 6. Une fois l'enregistrement DNS disponible, revenez sur la page OpenAI Identity et cliquez sur **Check** ou **Verify**, selon le libellé affiché dans votre portail. Le domaine doit apparaître avec le statut **Verified** avant de continuer. > **Remarque** > > La propagation DNS peut prendre jusqu'à 24 heures. Un domaine ne peut être vérifié que dans un seul OpenAI Admin Portal : s'il a déjà été vérifié pour une autre organisation ou un autre espace de travail OpenAI, contactez le support OpenAI. Les sous-domaines doivent être vérifiés séparément de leur domaine parent. ## Étape 2. Créer la connexion SAML dans OpenAI 1. Sur la page OpenAI Identity, cliquez sur **Set up SSO**. 2. Sur la page de sélection du fournisseur d'identité, sélectionnez **Custom SAML**. 3. Saisissez un nom pour le fournisseur d'identité, par exemple `UserLock SSO`. 4. Cliquez sur **Continue**. 5. Copiez les deux valeurs affichées par OpenAI : - **Assertion consumer service (ACS) URL** - **Service provider entity ID** Gardez cette page ouverte. Vous saisirez ces deux valeurs dans UserLock à l'étape suivante. > **Remarque** > > L'ACS URL et le Service Provider Entity ID sont propres à votre organisation OpenAI. Copiez chaque valeur exactement telle qu'elle est affichée. OpenAI affiche également une Service provider metadata URL, que le profil OpenAI de UserLock n'utilise pas. ## Étape 3. Configurer OpenAI dans UserLock SSO 1. Dans la **console UserLock**, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**. 2. Dans la liste des applications disponibles, cliquez sur **OpenAI**. 3. Renseignez le profil applicatif avec les valeurs fournies par OpenAI : | Paramètre | Valeur | | --- | --- | | Domaine d'e-mail | Le domaine vérifié utilisé par vos utilisateurs ChatGPT, sans `@` ni protocole. Par exemple `contoso.com` | | Issuer | Le **Service provider entity ID** fourni par OpenAI | | ACS URL | L'**Assertion consumer service (ACS) URL** fournie par OpenAI | 4. Enregistrez le profil. ## Étape 4. Définir UserLock comme fournisseur d'identité dans OpenAI L'URL de votre SSO UserLock est affichée dans ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**. Dans ce guide, `` désigne cette URL sans le protocole. Pour `https://sso.contoso.com`, l'adresse SSO est `sso.contoso.com`. Revenez à l'assistant de configuration SSO d'OpenAI et poursuivez jusqu'à **Set Identity Provider Metadata**. Utilisez l'une des deux méthodes ci-dessous. #### Configuration dynamique (recommandé) 1. Sélectionnez **Dynamic configuration**. 2. Dans **Identity provider metadata URL**, saisissez `https:///metadata`. 3. Cliquez sur **Continue**. OpenAI récupère les endpoints et le certificat de signature du fournisseur d'identité UserLock depuis les métadonnées : aucun certificat n'a donc à être chargé manuellement. #### Configuration manuelle Utilisez la configuration manuelle si OpenAI ne parvient pas à récupérer l'URL de métadonnées UserLock. 1. Sélectionnez **Manual configuration**. 2. Renseignez les champs avec les valeurs suivantes : | Champ OpenAI | Valeur | | --- | --- | | Identity provider Single Sign-On URL | https:///saml/sso | | Identity provider issuer | https:// | | Certificat X.509 | Le certificat SAML UserLock | 3. Dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**, cliquez sur **Télécharger ▸ Certificat SAML** et enregistrez le fichier. 4. Revenez dans OpenAI et chargez le fichier dans **Certificate X.509**. 5. Cliquez sur **Continue**. Pour une URL de SSO UserLock `https://sso.contoso.com`, la Single Sign-On URL est `https://sso.contoso.com/saml/sso` et l'issuer est `https://sso.contoso.com`. ## Étape 5. Tester l'authentification unique ChatGPT 1. Poursuivez jusqu'à **Configure SAML Attributes**, conservez la configuration d'attributs par défaut affichée par OpenAI, puis cliquez sur **Continue**. 2. Poursuivez jusqu'à **Application Link**. Cette étape configure la connexion initiée par le fournisseur d'identité, que UserLock n'utilise pas pour cette intégration. Laissez-la non configurée et cliquez sur **Continue**. 3. Poursuivez jusqu'à **Test Single Sign-On** et cliquez sur **Continue to sign-in** dans une fenêtre de navigation privée. 4. Authentifiez-vous via UserLock avec un compte de test qui utilise le domaine d'e-mail vérifié, existe dans Active Directory, et est déjà membre de l'espace de travail ChatGPT ou y a été invité. 5. Vérifiez que l'authentification aboutit et que l'utilisateur atteint l'espace de travail ChatGPT. OpenAI affiche alors la connexion comme **Connection activated**. 6. Depuis la page de la connexion activée, cliquez à nouveau sur **Test sign-in** pour confirmer que la connexion finalisée reste opérationnelle. ## Imposer la connexion ChatGPT via UserLock SSO La création de la connexion SAML ne désactive pas la connexion par mot de passe. Ne configurez l'application du SSO qu'après avoir testé la connexion avec succès. 1. Ouvrez `https://admin.openai.com/identity`. 2. Allez dans **Access ▸ Single Sign-On (SSO)**. 3. Cliquez sur **Manage SSO**. 4. Configurez les paramètres suivants : | Paramètre | Configuration recommandée | | --- | --- | | Paramètres SSO ChatGPT | Conservez **Optionnel** pendant les tests. Passez sur **Requis **uniquement après validation du SSO avec les utilisateurs concernés | | Paramètres SSO du portail administrateur | Conservez **Optionnel** pour qu'un Global Admin garde un moyen de secours si le fournisseur d'identité devient indisponible | Lorsque **Paramètres SSO ChatGPT** est défini sur **Requis**, les utilisateurs du domaine vérifié appartenant à l'espace de travail doivent s'authentifier via UserLock. Les méthodes de connexion par mot de passe et par réseau social ne sont plus disponibles pour cet espace de travail. > **Remarque** > > OpenAI partage la vérification du domaine et la connexion SAML sous-jacente entre ChatGPT et l'API Platform. Le SSO doit malgré tout être activé et imposé séparément pour chaque produit. Ce guide couvre ChatGPT. ## Mettre à jour le certificat SAML dans OpenAI Lorsque vous renouvelez le certificat SAML UserLock, traitez OpenAI pendant l'étape de mise à jour des applications SaaS de la procédure [Renouveler le certificat SAML](/userlock/docs/guides/sso/renew-saml-certificate). Les connexions créées avec **Dynamic configuration** récupèrent le nouveau certificat depuis les métadonnées UserLock : aucune action n'est nécessaire. Vérifiez que l'URL de métadonnées est toujours `https:///metadata`. Les connexions créées avec **Manual configuration** doivent être mises à jour : 1. Dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)** et cliquez sur **Télécharger ▸ Certificat SAML**. 2. Ouvrez `https://admin.openai.com/identity`, cliquez sur **Manage SSO** et ouvrez la connexion active. 3. Remplacez le **Certificat X.509 **existant. 4. Cliquez sur **Test sign-in** et vérifiez que l'authentification aboutit. ## Réinitialiser la connexion SSO OpenAI Réinitialisez la connexion lorsque la configuration SAML existante ne peut pas être modifiée et doit être recréée. > **⚠️ Important** > > La réinitialisation de la connexion génère une nouvelle ACS URL et un nouveau Service Provider Entity ID. Les valeurs enregistrées dans le profil OpenAI de UserLock cessent immédiatement de fonctionner, et le SSO ChatGPT échoue tant que le profil n'a pas été mis à jour. > Passez **Paramètres SSO ChatGPT** sur **Optionnel** avant de réinitialiser la connexion. 1. Ouvrez `https://admin.openai.com/identity`. 2. Allez dans **Access ▸ Single Sign-On (SSO)** et cliquez sur **Manage SSO**. 3. Ouvrez la connexion existante, cliquez sur **Reset connection** et confirmez. 4. Créez à nouveau la connexion **Custom SAML**, puis copiez les nouvelles valeurs **Assertion consumer service (ACS) URL** et **Service provider entity ID**. 5. Dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)** et ouvrez le profil OpenAI. 6. Remplacez les valeurs existantes : | Paramètre UserLock | Nouvelle valeur OpenAI | | --- | --- | | Issuer | Nouveau Service provider entity ID | | ACS URL | Nouvelle Assertion consumer service (ACS) URL | 7. Enregistrez le profil UserLock. 8. Terminez l'assistant OpenAI et testez à nouveau la connexion avant d'imposer le SSO. ## Dépannage Pour les problèmes courants, consultez la page [Dépannage du SSO](/userlock/docs/support/troubleshooting/sso-issues). Si le problème persiste, contactez le [support IS Decisions](/userlock/docs/support/need-assistance). ### Le domaine ne peut pas être ajouté ou vérifié Vérifiez que vous êtes connecté en tant que Global Admin OpenAI, que le nom et la valeur de l'enregistrement TXT correspondent à ceux fournis par OpenAI, que l'enregistrement est publiquement accessible par une résolution DNS, et que le domaine n'a pas déjà été vérifié dans un autre OpenAI Admin Portal. Comptez jusqu'à 24 heures pour la propagation DNS. Si **+ Add Domain** est indisponible, ou si OpenAI affiche un message vous demandant de contacter le support, contactez le support OpenAI sur `https://help.openai.com`. ### OpenAI ne parvient pas à récupérer les métadonnées UserLock Ouvrez `https:///metadata` depuis un navigateur situé hors de votre réseau interne. L'URL doit être joignable en HTTPS et renvoyer les métadonnées SAML UserLock. Si ce n'est pas le cas, vérifiez l'enregistrement DNS externe de l'adresse SSO UserLock, la liaison HTTPS et le certificat SSL, ainsi que toute règle réseau bloquant l'accès externe. Utilisez la **Configuration manuelle** dans OpenAI le temps de corriger l'accès aux métadonnées. ### Erreur : Invalid thumbprint Le certificat X.509 configuré dans OpenAI ne correspond pas au certificat utilisé par UserLock pour signer la réponse SAML. Cela se produit après un [renouvellement du certificat SAML](/userlock/docs/guides/sso/renew-saml-certificate) sur une connexion créée avec la **Configuration manuelle **: les connexions utilisant la **Configuration dynamique** récupèrent le nouveau certificat depuis les métadonnées et ne nécessitent aucune mise à jour. 1. Dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**. 2. Cliquez sur **Télécharger ▸ Certificat SAML**. 3. Chargez ce certificat dans la connexion SSO OpenAI. 4. Cliquez sur **Test sign-in** et vérifiez que l'authentification aboutit. ### En cas d'indisponibilité du SSO Utilisez un compte Global Admin, qui peut toujours atteindre l'Admin Console tant que **Paramètres SSO du portail administrateur** reste sur **Optionnel**. 1. Ouvrez `https://admin.openai.com/identity`. 2. Allez dans **Access ▸ Single Sign-On (SSO) ▸ Manage SSO**. 3. Passez **Paramètres SSO ChatGPT** de **Requis **à **Optionnel** le temps d'investiguer. Si aucun Global Admin ne peut accéder au portail, contactez le support OpenAI sur `https://help.openai.com`. ## Étapes suivantes Vous pouvez étendre la sécurité des sessions SaaS en appliquant les stratégies d’accès UserLock, en complément de l’authentification. - [Appliquer la MFA sur les sessions SaaS](/userlock/docs/guides/implementation-mfa/mfa-sso) : exiger une authentification renforcée. - [Restrictions horaires](/userlock/docs/reference/strategies-acces/restrictions-de-temps) : définir quand les utilisateurs sont autorisés à se connecter. - [Règles de géolocalisation](/userlock/docs/reference/strategies-acces/geolocalisation) : appliquer des politiques en fonction de l’emplacement de l’utilisateur. - [Limites de sessions](/userlock/docs/reference/strategies-acces/limites-de-sessions) : autoriser ou interdire totalement l’ouverture de sessions SaaS pour certains utilisateurs.