--- locale: "fr" updated_at: "2026-10-29T12:40:30.099Z" canonical: "https://www.isdecisions.com/fr/userlock/docs/guides/sso/configurer-applications/zoom" --- # Configurer Zoom pour UserLock Single Sign-On (SSO) Configuration SAML 2.0, mappage des attributs et application du SSO pour un compte Zoom. ## Introduction Ce guide explique comment intégrer **Zoom** à **UserLock Single Sign-On (SSO)** en utilisant le protocole **SAML 2.0**. Une fois configuré, les connexions Zoom sont authentifiées par **UserLock** via **Active Directory**, permettant aux administrateurs d'appliquer les [stratégies d'accès](/userlock/docs/reference/core-concepts/access-policies) (MFA, restrictions temporelles, machines, ou localisation) aux sessions Zoom. Zoom agit comme fournisseur de services SAML et peut créer un compte utilisateur Zoom lors de la première connexion réussie. > **🚩️ Avant de commencer :** > > - Vous devez disposer d'un compte Zoom **Business**, **Education** ou **Enterprise**. > - Vous devez disposer des droits de propriétaire ou d'administrateur du compte Zoom. > - Votre compte Zoom doit disposer d'une **Vanity URL** approuvée, par exemple `https://contoso.zoom.us`. > - Vous devez connaître le domaine d'e-mail utilisé par vos utilisateurs Zoom, par exemple `contoso.com`. > - Le SSO UserLock doit déjà être [installé et configuré](/userlock/docs/guides/sso/install-configure-sso), et joignable publiquement en HTTPS avec un certificat SSL valide. Pour demander ou vérifier une Vanity URL, ouvrez `https://zoom.us/account`, allez dans **Account Management ▸ Account Profile** et repérez **Vanity URL**. Zoom ne peut pas être configuré pour le SSO SAML tant que la Vanity URL n'a pas été approuvée. > **⚠️ Important** > > Conservez au moins un compte administrateur Zoom dont vous connaissez le mot de passe, et ajoutez-le à la liste de contournement du SSO avant d'imposer le SSO. Un compte de contournement ajouté après une panne ne permet pas de reprendre la main. Voir [Configurer un administrateur de secours Zoom](#configure-a-zoom-recovery-administrator). > N'imposez pas le SSO pour votre domaine d'e-mail tant que le parcours de connexion complet n'a pas été testé. ## Étape 1. Activer Zoom dans UserLock SSO 1. Dans la **console UserLock**, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**. 2. Dans la liste des applications disponibles, cliquez sur **Zoom**. 3. Renseignez les champs suivants : | Paramètre | Valeur | | --- | --- | | Domaine d'application | Le sous-domaine de la Vanity URL uniquement. Pour `https://contoso.zoom.us`, saisissez `contoso` | | Domaine d'e-mail | Domaine utilisé pour l'authentification des utilisateurs. Par exemple `contoso.com` | | Certificat | Laissez vide, sauf si vous activez les requêtes SAML signées dans Zoom | 4. Enregistrez le profil. ![](https://a.storyblok.com/f/122374/707x644/dab16bd1eb/zoom_settings.png) Pour une Vanity URL `https://contoso.zoom.us`, UserLock attend les valeurs de fournisseur de services Zoom suivantes : | Valeur SAML | Valeur attendue | | --- | --- | | Service Provider Entity ID / Audience | `contoso.zoom.us` | | Assertion Consumer Service URL | `https://contoso.zoom.us/saml/SSO` | L'Entity ID n'inclut pas `https://`. > **Remarque** > > UserLock accepte plusieurs profils Zoom. Créez un profil par compte Zoom ou par Vanity URL à fédérer. ### Étape 2. Configurer Zoom pour l'authentification unique (SSO) L'URL de votre SSO UserLock est affichée dans ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**. Dans ce guide, `` désigne cette URL sans le protocole. Pour `https://sso.contoso.com`, l'adresse SSO est `sso.contoso.com`. Si l'URL utilise un port personnalisé, incluez-le dans tous les endpoints : `https://sso.contoso.com:450` donne `sso.contoso.com:450`. 1. Ouvrez `https://zoom.us/signin` et connectez-vous avec un compte propriétaire ou administrateur Zoom. 2. Allez dans **Advanced ▸ Single Sign-On**. 3. Si votre compte dispose de plusieurs Vanity URL, sélectionnez celle que vous configurez. 4. Cliquez sur **Edit**. Choisissez ensuite l'une des deux méthodes ci-dessous. #### Importer les métadonnées UserLock (recommandé) 1. Importez les métadonnées SAML UserLock par l'une des deux options : - **Metadata URL** : saisissez `https:///metadata`. - **Metadata file** : dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)**, cliquez sur **Télécharger ▸ Fichier de métadonnées**, puis chargez le fichier dans Zoom. 2. Comparez les valeurs importées au tableau de la méthode B, et corrigez tout champ que Zoom n'a pas rempli ou a mal rempli. 3. Cliquez sur **Save Changes**. #### Saisir les paramètres SAML manuellement Complétez la configuration SSO de Zoom avec les valeurs suivantes : | Paramètre Zoom | Valeur | | --- | --- | | Sign-in page URL | `https:///saml/sso` | | Sign-out page URL | `https:///connect/endsession` | | Service Provider (SP) Entity ID | La valeur sans `https://`, par exemple `contoso.zoom.us` | | Issuer (IdP Entity ID) | `https://` | | Binding | **HTTP-POST** | | Signature Hash Algorithm | **SHA-256** | | Provision User | **At Sign-In** | | Sign SAML request | Désactivé | | Sign SAML logout request | Désactivé | | Support encrypted assertions | Désactivé | Configurez ensuite l'**Identity Provider Certificate** : 1. Dans la console UserLock, accédez à ⚙ **Paramètres du serveur ▸ Authentification unique (SSO)** et cliquez sur **Télécharger ▸ Certificat SAML**. 2. Ouvrez le certificat dans un éditeur de texte et copiez son contenu intégral, y compris les lignes `-----BEGIN CERTIFICATE-----` et `-----END CERTIFICATE-----`. 3. Collez le contenu dans le champ **Identity Provider Certificate** de Zoom. 4. Cliquez sur **Save Changes**. ## Étape 3. Configurer le mappage de la réponse SAML UserLock envoie l'adresse e-mail correspondante de l'utilisateur comme NameID SAML, et fournit l'adresse e-mail, le prénom et le nom comme attributs SAML. Configurez Zoom pour les associer aux champs du profil utilisateur. 1. Dans le portail web Zoom, allez dans **Advanced ▸ Single Sign-On**. 2. Ouvrez l'onglet **SAML Response Mapping**. 3. Sous **SAML Basic Information Mapping**, configurez : - **Email Address** : `urn:oid:0.9.2342.19200300.100.1.3` - **First Name** : `urn:oid:2.5.4.42` - **Last Name** : `urn:oid:2.5.4.4` 4. Définissez **Default License Assignment** : - **Basic** pour un utilisateur Zoom sans licence. - **Licensed** si les utilisateurs doivent recevoir une licence payante disponible. - **None** uniquement si vous utilisez l'Advanced SAML Mapping pour attribuer les licences de façon sélective. 5. Vous pouvez activer **Update at each SSO login** pour les champs prénom et nom, afin que Zoom synchronise ces valeurs à chaque connexion. 6. Enregistrez le mappage de la réponse. > **⚠️ Important** > > Si **Default License Assignment** est défini sur **None** et qu'aucun mappage avancé n'attribue de licence, les nouveaux utilisateurs SSO se voient refuser l'accès. > > ### ## Étape 4. Tester l'authentification unique Zoom Gardez votre session d'administration Zoom ouverte pendant le test. Depuis un navigateur web : 1. Ouvrez une fenêtre de navigation privée. 2. Ouvrez votre Vanity URL, par exemple `https://contoso.zoom.us`, et cliquez sur **Sign in**. 3. Authentifiez-vous via UserLock avec un compte Active Directory dont l'adresse e-mail appartient au **Domaine d'e-mail** configuré dans le profil Zoom. 4. Vérifiez que l'utilisateur est redirigé vers UserLock, que l'authentification aboutit, qu'il atteint le bon compte Zoom avec l'adresse e-mail, le prénom et le nom attendus, et que la licence prévue lui est attribuée. Depuis l'application Zoom Workplace : 1. Ouvrez l'application desktop ou mobile et sélectionnez **Sign In with SSO**. 2. Saisissez le company domain, c'est-à-dire le sous-domaine de la Vanity URL. Pour `https://contoso.zoom.us`, saisissez `contoso`, et non le domaine d'e-mail ni l'URL complète. 3. Continuez et authentifiez-vous via UserLock. > **Remarque** > > Avec **Provision User** défini sur **At Sign-In**, Zoom crée un compte après la première authentification SSO réussie. Si le domaine d'e-mail de l'utilisateur n'est pas un domaine associé Zoom approuvé, Zoom peut demander à l'utilisateur de confirmer qu'il est bien propriétaire de l'adresse avant de finaliser la création. Vérifier le domaine supprime cette étape. ## Valider les requêtes SAML signées La configuration standard n'exige pas que Zoom signe les requêtes d'authentification SAML entrantes. Laissez **Sign SAML request** et **Sign SAML logout request** désactivés, sauf si votre organisation impose la validation des signatures. Si vous activez l'un de ces paramètres : 1. Ouvrez les métadonnées de fournisseur de services Zoom sur `https://.zoom.us/saml/metadata/sp`, par exemple `https://contoso.zoom.us/saml/metadata/sp`. 2. Repérez le certificat X.509 associé à la clé de signature et copiez sa valeur. 3. Dans la console UserLock, ouvrez le profil applicatif Zoom et collez la valeur dans le champ **Certificat**. 4. Enregistrez le profil. Si Zoom modifie ensuite son certificat de signature de fournisseur de services, mettez à jour le champ **Certificat** dans UserLock avant que le nouveau certificat soit utilisé. ## Ajouter et vérifier le domaine associé Zoom Ajouter votre domaine d'e-mail comme domaine associé Zoom supprime la confirmation de propriété de l'adresse pour les nouveaux utilisateurs, et c'est un prérequis pour imposer le SSO sur ce domaine. 1. Dans le portail web Zoom, allez dans **Account Management ▸ Account Profile**. 2. Ouvrez l'onglet **Account Profile**. 3. Sous **Associated Domains**, cliquez sur **+ Add Other Domains**. 4. Saisissez le domaine d'e-mail utilisé par vos utilisateurs Zoom, par exemple `contoso.com`, puis cliquez sur **Add Domains**. 5. Cliquez sur **Verify** à côté du domaine et choisissez une méthode de vérification : enregistrement DNS TXT, dépôt d'un fichier HTML, balise meta sur le site web du domaine, ou validation manuelle par le support Zoom. 6. Une fois le domaine vérifié, activez **Manage users with the same domain** et enregistrez. > **⚠️ Important** > > L'activation de la gestion du domaine affecte les utilisateurs Zoom existants qui partagent le même domaine d'e-mail sans appartenir à votre compte Zoom. Consultez le **User Summary** avant de l'activer. ## Configurer un administrateur de secours Zoom Un administrateur de secours peut se connecter avec un mot de passe Zoom alors que le SSO est imposé. Configurez-le avant d'imposer le SSO. 1. Allez dans **Advanced ▸ Security**. 2. Sous **Sign-in Methods**, vérifiez que **Allow users to sign in with work email** reste activé. Sans une seconde méthode de connexion, le compte de contournement est inutilisable. 3. Vérifiez qu'au moins un propriétaire ou administrateur du compte Zoom possède un mot de passe Zoom connu. 4. Sous **Specify users who can bypass SSO sign-in**, cliquez sur **+ Add Users** et ajoutez l'adresse e-mail de l'administrateur de secours. 5. Enregistrez, puis testez le compte de secours dans une fenêtre de navigation privée depuis `https://zoom.us/signin`. ## Imposer la connexion Zoom via UserLock SSO Configurer le SSO SAML ne désactive pas la connexion par mot de passe. Pour forcer les utilisateurs de votre domaine d'e-mail à passer par UserLock, le domaine doit d'abord être vérifié et géré. 1. Allez dans **Advanced ▸ Security ▸ Sign-in Methods** et activez **Allow users to sign in with Single Sign-On (SSO)**. 2. Sélectionnez **Require users to sign in with SSO if their e-mail address belongs to one of the domains below**. 3. Cliquez sur **Select Domains** et sélectionnez le domaine d'e-mail vérifié. 4. Vérifiez que l'administrateur de secours figure dans la liste de contournement du SSO. 5. Cliquez sur **Save**. ## Mettre à jour le certificat SAML dans Zoom Lorsque vous renouvelez le certificat SAML UserLock, remplacez le certificat dans Zoom pendant l'étape de mise à jour des applications SaaS de la procédure [Renouveler le certificat SAML](/userlock/docs/guides/sso/renew-saml-certificate). 1. Copiez le nouveau certificat affiché dans l'assistant de configuration UserLock. 2. Dans le portail web Zoom, allez dans **Advanced ▸ Single Sign-On** et cliquez sur **Edit**. 3. Remplacez l'**Identity Provider Certificate**, y compris les lignes `-----BEGIN CERTIFICATE-----` et `-----END CERTIFICATE-----`. 4. Cliquez sur **Save Changes**, puis revenez à l'assistant. > **Remarque** > > Le paramètre **Automatically manage the certificate** de Zoom concerne le certificat de fournisseur de services propre à Zoom. Il ne remplace pas le certificat de fournisseur d'identité UserLock. ## Dépannage Pour les problèmes courants, consultez la page [Dépannage du SSO](/userlock/docs/support/troubleshooting/sso-issues). Si le problème persiste, contactez le [support IS Decisions](/userlock/docs/support/need-assistance). ### Erreur : "Your account doesn't have any email address matching with the provided domain name" UserLock n'a trouvé aucune adresse e-mail correspondant au **Domaine d'e-mail** configuré dans le profil Zoom sur le compte Active Directory qui s'authentifie. Vérifiez que : - Le **Domaine d'e-mail** dans UserLock est correct. - L'utilisateur Active Directory possède une adresse e-mail dans ce domaine, présente dans les attributs `mail` ou `proxyAddresses`. - L'adresse ne contient aucune faute de saisie ni sous-domaine inattendu. Un **Domaine d'e-mail** `contoso.com` exige une adresse du type `user@contoso.com`. #### Zoom rejette l'Entity ID ou l'ACS URL Le **Domaine d'application** contient autre chose que le seul sous-domaine de la Vanity URL. Voir l'étape 1. #### L'utilisateur est créé avec une adresse e-mail incorrecte ou sans nom Vérifiez les trois mappages d'attributs dans **Advanced ▸ Single Sign-On ▸ SAML Response Mapping** par rapport à l'étape 3, puis vérifiez que le compte Active Directory contient la bonne adresse e-mail, le bon prénom et le bon nom. #### Les requêtes SAML signées échouent **Sign SAML request** ou **Sign SAML logout request** est activé dans Zoom, et le certificat de signature de fournisseur de services Zoom en cours est absent ou obsolète dans le profil Zoom de UserLock. Voir [Valider les requêtes SAML signées](/userlock/docs/guides/sso/configure-the-applications/zoom#validate-signed-saml-requests). Si la signature des requêtes n'est pas nécessaire, désactivez les deux paramètres Zoom et laissez le champ **Certificat** de UserLock vide. #### Zoom ne parvient pas à récupérer les métadonnées UserLock Ouvrez `https:///metadata` depuis un navigateur situé hors de votre réseau d'entreprise. L'URL doit être joignable en HTTPS et renvoyer les métadonnées SAML UserLock. Si ce n'est pas le cas, vérifiez l'enregistrement DNS public, la liaison HTTPS et le certificat SSL, l'accès externe au port HTTPS, ainsi que toute règle de proxy inverse ou de pare-feu. En attendant, vous pouvez configurer Zoom manuellement en suivant **Saisir les paramètres SAML manuellement** à l'étape 2. #### En cas d'indisponibilité du SSO Utilisez l'administrateur de secours ajouté à la liste de contournement du SSO Zoom. 1. Ouvrez `https://zoom.us/signin` et connectez-vous avec l'adresse e-mail professionnelle et le mot de passe Zoom de l'administrateur de secours. 2. Allez dans **Advanced ▸ Security ▸ Sign-in Methods**. 3. Décochez **Require users to sign in with SSO if their e-mail address belongs to one of the domains below** et enregistrez. Les utilisateurs peuvent alors se connecter avec une autre méthode activée le temps que le service SSO soit indisponible. Réactivez l'exigence une fois le SSO UserLock de nouveau joignable. ## Étapes suivantes Vous pouvez étendre la sécurité des sessions SaaS en appliquant les stratégies d’accès UserLock, en complément de l’authentification. - [Appliquer la MFA sur les sessions SaaS](/userlock/docs/guides/implementation-mfa/mfa-sso) : exiger une authentification renforcée. - [Restrictions horaires](/userlock/docs/reference/strategies-acces/restrictions-de-temps) : définir quand les utilisateurs sont autorisés à se connecter. - [Règles de géolocalisation](/userlock/docs/reference/strategies-acces/geolocalisation) : appliquer des politiques en fonction de l’emplacement de l’utilisateur. - [Limites de sessions](/userlock/docs/reference/strategies-acces/limites-de-sessions) : autoriser ou interdire totalement l’ouverture de sessions SaaS pour certains utilisateurs.