Skip to main content
ClickHouse Cloud prend en charge l’authentification unique (SSO) via Security Assertion Markup Language (SAML). Cela vous permet de vous connecter en toute sécurité à votre organisation ClickHouse Cloud en vous authentifiant auprès de votre fournisseur d’identité (IdP). Nous prenons en charge le SSO initié par le fournisseur de services, plusieurs organisations utilisant des connexions distinctes, ainsi que le provisionnement juste à temps. Nous prenons également en charge le provisionnement SCIM en avant-première privée, avec prise en charge d’Okta. Nous ne prenons pas encore en charge le mappage des attributs. Les clients qui activent les intégrations SAML peuvent également définir le rôle par défaut qui sera attribué aux nouveaux utilisateurs et ajuster les paramètres d’expiration de session.

​
Avant de commencer

Vous aurez besoin de droits d’administrateur dans votre IdP, de la possibilité d’ajouter un enregistrement TXT aux paramètres DNS de votre domaine, ainsi que du rôle Admin dans votre organisation ClickHouse Cloud. Nous vous recommandons également de configurer un lien direct vers votre organisation, en plus de votre connexion SAML, afin de simplifier le processus de connexion. Chaque IdP gère cela différemment. Lisez la suite pour savoir comment procéder avec votre IdP.

​
Fonctionnement

Une fois SAML SSO configuré, les utilisateurs se connectent via un flux initié par le fournisseur de services :
  1. L’utilisateur accède à https://console.clickhouse.cloud et saisit son adresse e-mail (ou utilise le lien direct de votre organisation).
  2. ClickHouse Cloud le redirige vers votre fournisseur d’identité pour l’authentifier.
  3. Une fois l’authentification réussie, le fournisseur d’identité le redirige vers ClickHouse Cloud.
  4. ClickHouse Cloud le connecte, provisionne le compte juste à temps lors de la première connexion et attribue le rôle par défaut configuré.
Le reste de ce guide porte sur cette configuration ponctuelle.

​
Configurer votre IdP

1

Accéder aux paramètres de l’organisation

Cliquez sur le nom de votre organisation dans l’angle inférieur gauche, puis sélectionnez Détails de l’organisation.
2

Activer l’authentification unique SAML

Cliquez sur le bouton bascule à côté de Enable SAML single sign-on. Laissez cet écran ouvert, car vous devrez y revenir plusieurs fois pendant le processus de configuration.
3

Créer une application dans votre fournisseur d’identité

Créez une application dans votre fournisseur d’identité, puis copiez les valeurs de l’écran Enable SAML single sign-on dans la configuration de votre fournisseur d’identité. Pour en savoir plus sur cette étape, consultez la section correspondant à votre fournisseur d’identité ci-dessous.
ClickHouse ne prend pas en charge l’authentification initiée par le fournisseur d’identité. Pour permettre à vos utilisateurs d’accéder facilement à ClickHouse Cloud, configurez un signet pour eux à l’aide de ce format d’URL de connexion : https://console.clickhouse.cloud/?connection={orgId}, où {orgID} correspond à votre Organization ID sur la page Organization details.
4

Ajoutez l’URL de métadonnées à votre configuration SAML

Récupérez la Metadata URL auprès de votre fournisseur SAML. Revenez dans ClickHouse Cloud, cliquez sur Next: Provide metadata URL, puis collez l’URL dans le champ de texte.
5

Obtenir le code de vérification du domaine

Cliquez sur Next: Verify your domains. Saisissez votre domaine dans la zone de texte, puis cliquez sur Check domain. Le système générera un code de vérification aléatoire à ajouter à un enregistrement TXT auprès de votre fournisseur DNS.
6

Vérifiez votre domaine

Créez un enregistrement TXT auprès de votre fournisseur DNS. Copiez TXT record name dans le champ Name de l’enregistrement TXT chez votre fournisseur DNS. Copiez Value dans le champ Content chez votre fournisseur DNS. Cliquez sur Verify and Finish pour terminer l’opération.
La mise à jour et la vérification de l’enregistrement DNS peuvent prendre plusieurs minutes. Vous pouvez quitter la page de configuration et y revenir plus tard pour terminer l’opération sans devoir recommencer. La valeur de vérification est valide pendant 48 heures à compter de sa génération initiale.
7

Mettre à jour le rôle par défaut et le délai d’expiration de la session

Une fois la configuration SAML terminée, vous pouvez définir le ou les rôles par défaut attribués à tous les utilisateurs lors de leur connexion, ainsi que modifier la durée d’expiration de la session. Pour consulter la liste des rôles système disponibles pouvant être attribués, reportez-vous à Rôles et permissions de la Console.
8

Configurez votre utilisateur Admin

Les utilisateurs configurés avec une autre méthode d’authentification seront conservés jusqu’à ce qu’un administrateur de votre organization les supprime.
Pour attribuer votre premier utilisateur Admin via SAML :
  1. Déconnectez-vous de ClickHouse Cloud.
  2. Dans votre fournisseur d’identité, attribuez l’utilisateur Admin aux applications ClickHouse.
  3. Demandez à l’utilisateur de se connecter via https://console.clickhouse.cloud/?connection={orgId} (URL de raccourci). Cela peut se faire via un favori que vous avez créé aux étapes précédentes. L’utilisateur n’apparaîtra pas dans ClickHouse Cloud avant sa première connexion.
  4. Si le rôle SAML par défaut n’est pas Admin, l’utilisateur devra peut-être se déconnecter, puis se reconnecter avec sa méthode d’authentification d’origine pour mettre à jour le rôle du nouvel utilisateur SAML.
    • Pour les comptes e-mail + mot de passe, utilisez https://console.clickhouse.cloud/?with=email.
    • Pour les connexions via un fournisseur social, cliquez sur le bouton approprié (Continuer avec Google ou Continuer avec Microsoft)
email dans ?with=email ci-dessus est la valeur littérale du paramètre, et non un espace réservé
  1. Déconnectez-vous une nouvelle fois, puis reconnectez-vous via l’URL de raccourci pour effectuer la dernière étape ci-dessous.
Pour réduire le nombre d’étapes, vous pouvez d’abord définir le rôle SAML par défaut sur Admin. Une fois l’administrateur attribué dans votre fournisseur d’identité et connecté pour la première fois, il pourra remplacer le rôle par défaut par une autre valeur.
9

Supprimer les autres méthodes d’authentification

Supprimez tous les utilisateurs qui utilisent une méthode autre que SAML afin de finaliser l’intégration et de restreindre l’accès aux seuls utilisateurs issus de la connexion à votre fournisseur d’identité.

​
Configurer votre fournisseur d’identité

Vous allez configurer deux App Integrations dans Okta pour chaque organisation ClickHouse : une application SAML et un signet pour contenir votre lien direct.

​
Créer un groupe pour gérer l’accès

  1. Connectez-vous à votre instance Okta en tant qu’Administrator.
  2. Sélectionnez Groups dans le menu de gauche.
  3. Cliquez sur Add group.
  4. Saisissez un nom et une description pour le groupe. Ce groupe servira à garder les utilisateurs synchronisés entre l’application SAML et l’application de signet associée.
  5. Cliquez sur Save.
  6. Cliquez sur le nom du groupe que vous avez créé.
  7. Cliquez sur Assign people pour attribuer les utilisateurs auxquels vous souhaitez donner accès à cette organisation ClickHouse.

​
Créer une application de signet pour permettre aux utilisateurs de se connecter facilement

  1. Sélectionnez Applications dans le menu de gauche, puis la sous-rubrique Applications.
  2. Cliquez sur Browse App Catalog.
  3. Recherchez et sélectionnez Bookmark App.
  4. Cliquez sur Add integration.
  5. Choisissez un libellé pour l’application.
  6. Saisissez l’URL suivante : https://console.clickhouse.cloud/?connection={organizationid}
  7. Accédez à l’onglet Assignments et ajoutez le groupe que vous avez créé ci-dessus.

​
Créer une application SAML pour permettre la connexion

  1. Sélectionnez Applications dans le menu de gauche, puis la sous-rubrique Applications.
  2. Cliquez sur Create App Integration.
  3. Sélectionnez SAML 2.0, puis cliquez sur Next.
  4. Saisissez un nom pour votre application, cochez la case Don’t display application icon to users, puis cliquez sur Next.
  5. Utilisez les valeurs suivantes pour renseigner l’écran des paramètres SAML.
  6. Saisissez l’Attribute Statement suivant.
  7. Cliquez sur Next.
  8. Saisissez les informations demandées sur l’écran Feedback, puis cliquez sur Finish.
  9. Accédez à l’onglet Assignments et ajoutez le groupe que vous avez créé ci-dessus.
  10. Dans l’onglet Sign On de votre nouvelle application, cliquez sur le bouton Copy metadata URL.
  11. Revenez à Ajouter l’URL de métadonnées à votre configuration SAML pour poursuivre le processus.

​
Dépannage

Cause : connexion initiée par le fournisseur d’identité, ce qui n’est pas pris en charge.Fix : utilisez le lien direct https://console.clickhouse.cloud/?connection={organizationid}. Suivez les instructions ci-dessus correspondant à votre fournisseur d’identité pour en faire la méthode de connexion par défaut pour vos utilisateurs.
Cause : le fournisseur d’identité n’a pas de mappage pour l’attribut d’e-mail.Fix : suivez les instructions ci-dessus correspondant à votre fournisseur d’identité pour configurer l’attribut d’e-mail de l’utilisateur, puis reconnectez-vous.
Cause : l’utilisateur n’a pas été affecté à l’application ClickHouse dans le fournisseur d’identité.Fix : affectez l’utilisateur à l’application dans le fournisseur d’identité, puis reconnectez-vous.
Cause : vous êtes toujours connecté à la première organisation.Fix : déconnectez-vous, puis connectez-vous à l’autre organisation.
Cause : votre domaine d’e-mail ne correspond pas au domaine configuré.Fix : contactez l’assistance pour obtenir de l’aide afin de résoudre cette erreur.

​
FAQ

Non — uniquement les flux initiés par le fournisseur de services. Les utilisateurs accèdent à https://console.clickhouse.cloud et saisissent leur e-mail pour être redirigés vers votre fournisseur d’identité. Configurez un signet ou un lien direct (https://console.clickhouse.cloud/?connection={organizationid}) afin que les utilisateurs n’aient pas à mémoriser l’URL.
ClickHouse Cloud prend en charge le SSO multi-organisation, avec une connexion distincte par organisation. Utilisez le lien direct (https://console.clickhouse.cloud/?connection={organizationid}) pour vous connecter à chacune d’elles, puis déconnectez-vous d’une organisation avant de vous connecter à une autre. Si vous ne souhaitez pas que les utilisateurs de votre domaine soient automatiquement dirigés vers une organisation lorsqu’ils saisissent leur e-mail sur https://console.clickhouse.cloud, ouvrez un ticket d’assistance pour désactiver ce comportement.
ClickHouse Cloud n’associe pas automatiquement les comptes SSO et non SSO. Par conséquent, un utilisateur qui s’est connecté des deux façons peut apparaître plusieurs fois dans votre liste d’utilisateurs, même avec la même adresse e-mail.

​
Étapes suivantes

Dernière modification le 24 juillet 2026