> ## Documentation Index
> Fetch the complete documentation index at: https://clickhouse.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Configuration de SAML SSO

> Configurer SAML SSO avec ClickHouse Cloud

export const EnterprisePlanFeatureBadge = ({feature = 'Cette fonctionnalité', support = false, linking_verb_are = false}) => {
  return <div className="enterprisePlanFeatureContainer">
            <div className="enterprisePlanFeatureBadge">
                Fonctionnalité du plan Enterprise
            </div>
            <div>
                <p>{feature} {linking_verb_are ? 'sont disponibles' : 'est disponible'} avec le plan Enterprise. {support ? `Contactez l’assistance pour activer cette fonctionnalité.` : 'Pour effectuer la mise à niveau, consultez la page des plans dans la Cloud Console.'}</p>
            </div>
        </div>;
};

export const Image = ({img, alt, size = "lg"}) => {
  const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
  return <div className={`ch-image-${normalizedSize}`}>
      <Frame>
        <img src={img} alt={alt} />
      </Frame>
    </div>;
};

<EnterprisePlanFeatureBadge feature="SAML SSO" />

ClickHouse Cloud prend en charge l’authentification unique (SSO) via Security Assertion Markup Language (SAML). Cela vous permet de vous connecter en toute sécurité à votre organisation ClickHouse Cloud en vous authentifiant auprès de votre fournisseur d’identité (IdP).

Nous prenons en charge le SSO initié par le fournisseur de services, plusieurs organisations utilisant des connexions distinctes, ainsi que le provisionnement juste à temps. Nous prenons également en charge le [provisionnement SCIM](/docs/fr/products/cloud/guides/security/cloud-access-management/scim-setup) en avant-première privée, avec prise en charge d’Okta. Nous ne prenons pas encore en charge le mappage des attributs.

Les clients qui activent les intégrations SAML peuvent également définir le rôle par défaut qui sera attribué aux nouveaux utilisateurs et ajuster les paramètres d’expiration de session.

<div id="before-you-begin">
  ## Avant de commencer
</div>

Vous aurez besoin de droits d’administrateur dans votre IdP, de la possibilité d’ajouter un enregistrement TXT aux paramètres DNS de votre domaine, ainsi que du rôle **Admin** dans votre organisation ClickHouse Cloud. Nous vous recommandons également de configurer un **lien direct vers votre organisation**, en plus de votre connexion SAML, afin de simplifier le processus de connexion. Chaque IdP gère cela différemment. Lisez la suite pour savoir comment procéder avec votre IdP.

<div id="how-it-works">
  ## Fonctionnement
</div>

Une fois SAML SSO configuré, les utilisateurs se connectent via un flux initié par le fournisseur de services :

1. L'utilisateur accède à `https://console.clickhouse.cloud` et saisit son adresse e-mail (ou utilise le lien direct de votre organisation).
2. ClickHouse Cloud le redirige vers votre fournisseur d'identité pour l'authentifier.
3. Une fois l'authentification réussie, le fournisseur d'identité le redirige vers ClickHouse Cloud.
4. ClickHouse Cloud le connecte, provisionne le compte juste à temps lors de la première connexion et attribue le rôle par défaut configuré.

Le reste de ce guide porte sur cette configuration ponctuelle.

<div id="how-to-configure-your-idp">
  ## Configurer votre IdP
</div>

<Steps>
  <Step title="Accéder aux paramètres de l’organisation" id="access-organization-settings">
    Cliquez sur le nom de votre organisation dans l’angle inférieur gauche, puis sélectionnez Détails de l’organisation.
  </Step>

  <Step title="Activer l’authentification unique SAML" id="enable-saml-sso">
    Cliquez sur le bouton bascule à côté de `Enable SAML single sign-on`. Laissez cet écran ouvert, car vous devrez y revenir plusieurs fois pendant le processus de configuration.

    <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-self-serve-1.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=37bc32dd8c704500899a452bc388adcc" size="lg" alt="Commencer la configuration SAML" force width="2136" height="1334" data-path="images/cloud/security/saml-self-serve-1.webp" />
  </Step>

  <Step title="Créer une application dans votre fournisseur d’identité" id="create-idp-application">
    Créez une application dans votre fournisseur d’identité, puis copiez les valeurs de l’écran `Enable SAML single sign-on` dans la configuration de votre fournisseur d’identité. Pour en savoir plus sur cette étape, consultez la section correspondant à votre fournisseur d’identité ci-dessous.

    * [Okta](#okta)
    * [Google](#google)
    * [Azure (Microsoft)](#azure)
    * [Duo](#duo)

    <Tip>
      ClickHouse ne prend pas en charge l’authentification initiée par le fournisseur d’identité. Pour permettre à vos utilisateurs d’accéder facilement à ClickHouse Cloud, configurez un signet pour eux à l’aide de ce format d’URL de connexion : `https://console.clickhouse.cloud/?connection={orgId}`, où `{orgID}` correspond à votre Organization ID sur la page Organization details.
    </Tip>

    <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-self-serve-2.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=b7667eb8cf23219747842818880e3007" size="lg" alt="Créer une application dans le fournisseur d’identité" force width="2952" height="1744" data-path="images/cloud/security/saml-self-serve-2.webp" />
  </Step>

  <Step title="Ajoutez l’URL de métadonnées à votre configuration SAML" id="add-metadata-url">
    Récupérez la `Metadata URL` auprès de votre fournisseur SAML. Revenez dans ClickHouse Cloud, cliquez sur `Next: Provide metadata URL`, puis collez l’URL dans le champ de texte.

    <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-self-serve-3.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=b6e65734eba7b75333347dcee2e56498" size="lg" alt="Ajouter l’URL de métadonnées" force width="2962" height="1536" data-path="images/cloud/security/saml-self-serve-3.webp" />
  </Step>

  <Step title="Obtenir le code de vérification du domaine" id="get-domain-verification-code">
    Cliquez sur `Next: Verify your domains`. Saisissez votre domaine dans la zone de texte, puis cliquez sur `Check domain`. Le système générera un code de vérification aléatoire à ajouter à un enregistrement TXT auprès de votre fournisseur DNS.

    <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-self-serve-4.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=5c698b22fd991c2af8cae28135f58092" size="lg" alt="Ajouter un domaine à vérifier" force width="2954" height="1530" data-path="images/cloud/security/saml-self-serve-4.webp" />
  </Step>

  <Step title="Vérifiez votre domaine" id="verify-your-domain">
    Créez un enregistrement TXT auprès de votre fournisseur DNS. Copiez `TXT record name` dans le champ Name de l’enregistrement TXT chez votre fournisseur DNS. Copiez `Value` dans le champ Content chez votre fournisseur DNS. Cliquez sur `Verify and Finish` pour terminer l’opération.

    <Note>
      La mise à jour et la vérification de l’enregistrement DNS peuvent prendre plusieurs minutes. Vous pouvez quitter la page de configuration et y revenir plus tard pour terminer l’opération sans devoir recommencer. La valeur de vérification est valide pendant 48 heures à compter de sa génération initiale.
    </Note>

    <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-self-serve-5.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=9ef00f036771c1f1f2d7647b39c7c391" size="lg" alt="Vérifiez votre domaine" force width="2962" height="1594" data-path="images/cloud/security/saml-self-serve-5.webp" />
  </Step>

  <Step title="Mettre à jour le rôle par défaut et le délai d’expiration de la session" id="update-defaults">
    Une fois la configuration SAML terminée, vous pouvez définir le ou les rôles par défaut attribués à tous les utilisateurs lors de leur connexion, ainsi que modifier la durée d’expiration de la session. Pour consulter la liste des rôles système disponibles pouvant être attribués, reportez-vous à [Rôles et permissions de la Console](/docs/fr/products/cloud/reference/security/console-roles).
  </Step>

  <Step title="Configurez votre utilisateur Admin" id="configure-your-admin-user">
    <Note>
      Les utilisateurs configurés avec une autre méthode d’authentification seront conservés jusqu’à ce qu’un administrateur de votre organization les supprime.
    </Note>

    Pour attribuer votre premier utilisateur Admin via SAML :

    1. Déconnectez-vous de [ClickHouse Cloud](https://console.clickhouse.cloud).
    2. Dans votre fournisseur d’identité, attribuez l’utilisateur Admin aux applications ClickHouse.
    3. Demandez à l’utilisateur de se connecter via [https://console.clickhouse.cloud/?connection=\{orgId}](https://console.clickhouse.cloud/?connection=\{orgId}) (URL de raccourci). Cela peut se faire via un favori que vous avez créé aux étapes précédentes. L’utilisateur n’apparaîtra pas dans ClickHouse Cloud avant sa première connexion.
    4. Si le rôle SAML par défaut n’est pas `Admin`, l’utilisateur devra peut-être se déconnecter, puis se reconnecter avec sa méthode d’authentification d’origine pour mettre à jour le rôle du nouvel utilisateur SAML.
       * Pour les comptes e-mail + mot de passe, utilisez `https://console.clickhouse.cloud/?with=email`.
       * Pour les connexions via un fournisseur social, cliquez sur le bouton approprié (**Continuer avec Google** ou **Continuer avec Microsoft**)

    <Note>
      `email` dans `?with=email` ci-dessus est la valeur littérale du paramètre, et non un espace réservé
    </Note>

    5. Déconnectez-vous une nouvelle fois, puis reconnectez-vous via l’URL de raccourci pour effectuer la dernière étape ci-dessous.

    <Tip>
      Pour réduire le nombre d’étapes, vous pouvez d’abord définir le rôle SAML par défaut sur `Admin`. Une fois l’administrateur attribué dans votre fournisseur d’identité et connecté pour la première fois, il pourra remplacer le rôle par défaut par une autre valeur.
    </Tip>
  </Step>

  <Step title="Supprimer les autres méthodes d’authentification" id="remove-other-auth-methods">
    Supprimez tous les utilisateurs qui utilisent une méthode autre que SAML afin de finaliser l’intégration et de restreindre l’accès aux seuls utilisateurs issus de la connexion à votre fournisseur d’identité.
  </Step>
</Steps>

<div id="configure-idp">
  ### Configurer votre fournisseur d’identité
</div>

<Tabs>
  <Tab title="Okta" id="okta">
    Vous allez configurer deux App Integrations dans Okta pour chaque organisation ClickHouse : une application SAML et un signet pour contenir votre lien direct.

    #### Créer un groupe pour gérer l’accès

    1. Connectez-vous à votre instance Okta en tant qu’**Administrator**.
    2. Sélectionnez **Groups** dans le menu de gauche.
    3. Cliquez sur **Add group**.
    4. Saisissez un nom et une description pour le groupe. Ce groupe servira à garder les utilisateurs synchronisés entre l’application SAML et l’application de signet associée.
    5. Cliquez sur **Save**.
    6. Cliquez sur le nom du groupe que vous avez créé.
    7. Cliquez sur **Assign people** pour attribuer les utilisateurs auxquels vous souhaitez donner accès à cette organisation ClickHouse.

    #### Créer une application de signet pour permettre aux utilisateurs de se connecter facilement

    1. Sélectionnez **Applications** dans le menu de gauche, puis la sous-rubrique **Applications**.
    2. Cliquez sur **Browse App Catalog**.
    3. Recherchez et sélectionnez **Bookmark App**.
    4. Cliquez sur **Add integration**.
    5. Choisissez un libellé pour l’application.
    6. Saisissez l’URL suivante : `https://console.clickhouse.cloud/?connection={organizationid}`
    7. Accédez à l’onglet **Assignments** et ajoutez le groupe que vous avez créé ci-dessus.

    #### Créer une application SAML pour permettre la connexion

    1. Sélectionnez **Applications** dans le menu de gauche, puis la sous-rubrique **Applications**.

    2. Cliquez sur **Create App Integration**.

    3. Sélectionnez SAML 2.0, puis cliquez sur **Next**.

    4. Saisissez un nom pour votre application, cochez la case **Don't display application icon to users**, puis cliquez sur **Next**.

    5. Utilisez les valeurs suivantes pour renseigner l’écran des paramètres SAML.

       | Champ                                                       | Valeur                                                 |
       | ----------------------------------------------------------- | ------------------------------------------------------ |
       | URL de Single Sign-On                                       | Copiez la Single Sign-On URL depuis la console         |
       | URI d’audience (SP Entity ID)                               | Copiez le Service Provider Entity ID depuis la console |
       | RelayState par défaut                                       | Laisser vide                                           |
       | Format du Name ID                                           | Non spécifié                                           |
       | Nom d’utilisateur de l’application                          | E-mail                                                 |
       | Mettre à jour le nom d’utilisateur de l’application lors de | Création et mise à jour                                |

    6. Saisissez l’Attribute Statement suivant.

       | Name  | Name format | Value      |
       | ----- | ----------- | ---------- |
       | email | Basic       | user.email |

    7. Cliquez sur **Next**.

    8. Saisissez les informations demandées sur l’écran Feedback, puis cliquez sur **Finish**.

    9. Accédez à l’onglet **Assignments** et ajoutez le groupe que vous avez créé ci-dessus.

    10. Dans l’onglet **Sign On** de votre nouvelle application, cliquez sur le bouton **Copy metadata URL**.

    11. Revenez à [Ajouter l’URL de métadonnées à votre configuration SAML](#add-metadata-url) pour poursuivre le processus.
  </Tab>

  <Tab title="Google" id="google">
    Vous devez configurer une application SAML dans Google pour chaque organisation et fournir à vos utilisateurs le lien direct (`https://console.clickhouse.cloud/?connection={organizationId}`) à ajouter à leurs favoris si vous utilisez le multi-org SSO.

    #### Créer une application Web Google

    1. Accédez à votre console d'administration Google (admin.google.com).

           <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-google-app.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=85e5ddbddb3a53903268e8bb4595863d" size="md" alt="Application SAML Google" force width="1224" height="608" data-path="images/cloud/security/saml-google-app.webp" />

    2. Cliquez sur **Apps**, puis sur **Web and mobile apps** dans le menu de gauche.

    3. Cliquez sur **Add app** dans le menu supérieur, puis sélectionnez **Add custom SAML app**.

    4. Saisissez un nom pour l'application, puis cliquez sur **Continue**.

    5. Copiez l'URL des métadonnées et enregistrez-la.

    6. Saisissez l'ACS URL et l'Entity ID ci-dessous.

       | Champ     | Valeur                                                 |
       | --------- | ------------------------------------------------------ |
       | ACS URL   | Copiez le Single Sign-On URL depuis la console         |
       | Entity ID | Copiez le Service Provider Entity ID depuis la console |

    7. Cochez la case **Signed response**.

    8. Sélectionnez **EMAIL** pour le Name ID Format et laissez le Name ID sur **Basic Information > Primary email**.

    9. Cliquez sur **Continue**.

    10. Saisissez le mappage d'attributs suivant :

        | Champ             | Valeur        |
        | ----------------- | ------------- |
        | Basic information | Primary email |
        | App attributes    | email         |

    11. Cliquez sur **Finish**.

    12. Pour activer l'application, cliquez sur **OFF** pour tout le monde, puis remplacez ce paramètre par **ON** pour tout le monde. Vous pouvez également limiter l'accès à des groupes ou à des unités organisationnelles en sélectionnant les options situées à gauche de l'écran.

    13. Revenez à [Ajoutez l'URL des métadonnées à votre configuration SAML](#add-metadata-url) pour poursuivre le processus.
  </Tab>

  <Tab title="Azure (Microsoft)" id="azure">
    Azure (Microsoft) SAML peut également être appelé Azure Active Directory (AD) ou Microsoft Entra.

    #### Créer une application d’entreprise Azure

    Vous allez configurer une intégration d’application avec une URL de connexion distincte pour chaque organisation.

    1. Connectez-vous au centre d’administration Microsoft Entra.

    2. Accédez à **Applications > Applications d’entreprise** dans le menu de gauche.

    3. Cliquez sur **Nouvelle application** dans le menu supérieur.

    4. Cliquez sur **Créer votre propre application** dans le menu supérieur.

    5. Saisissez un nom et sélectionnez **Intégrer toute autre application que vous ne trouvez pas dans la galerie (hors galerie)**, puis cliquez sur **Créer**.

           <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-azure-app.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=2b17a3cd8cc1fb3c8b4612fb0a4e4f14" size="md" alt="Application Azure hors galerie" force width="980" height="624" data-path="images/cloud/security/saml-azure-app.webp" />

    6. Cliquez sur **Utilisateurs et groupes** à gauche, puis assignez des utilisateurs.

    7. Cliquez sur **Authentification unique** à gauche.

    8. Cliquez sur **SAML**.

    9. Utilisez les paramètres suivants pour renseigner l’écran **Configuration SAML de base**.

       | Champ                                                    | Valeur                                                          |
       | -------------------------------------------------------- | --------------------------------------------------------------- |
       | Identifiant (Entity ID)                                  | Copiez le Service Provider Entity ID depuis la console          |
       | URL de réponse (URL du service consommateur d’assertion) | Copiez la Single Sign-On URL depuis la console                  |
       | URL de connexion                                         | `https://console.clickhouse.cloud/?connection={organizationid}` |
       | État de relais                                           | Laisser vide                                                    |
       | URL de déconnexion                                       | Laisser vide                                                    |

    10. Ajoutez (A) ou mettez à jour (U) les éléments suivants sous **Attributs et revendications** :

        | Nom de la revendication                      | Format         | Attribut source |
        | -------------------------------------------- | -------------- | --------------- |
        | (U) Identifiant utilisateur unique (Name ID) | Adresse e-mail | user.mail       |
        | (A) email                                    | Basic          | user.mail       |
        | (U) /identity/claims/name                    | Omitted        | user.mail       |

            <Image img="https://mintcdn.com/private-7c7dfe99/7KTNIE_ER4ouwRNt/images/cloud/security/saml-azure-claims.webp?fit=max&auto=format&n=7KTNIE_ER4ouwRNt&q=85&s=639d6890c29c84209f474ad82c130d68" size="md" alt="Attributs et revendications" force width="1242" height="816" data-path="images/cloud/security/saml-azure-claims.webp" />

    11. Copiez l’URL des métadonnées et revenez à [Ajouter l’URL des métadonnées à votre configuration SAML](#add-metadata-url) pour poursuivre la procédure.
  </Tab>

  <Tab title="Duo" id="duo">
    #### Créez un fournisseur de services SAML générique pour Duo

    1. Suivez les instructions de [Duo Single Sign-On for Generic SAML Service Providers](https://duo.com/docs/sso-generic).

    2. Utilisez le mappage d’attributs Bridge suivant :

       | Attribut Bridge | Attribut ClickHouse |
       | :-------------- | :------------------ |
       | Adresse e-mail  | email               |

    3. Utilisez les valeurs suivantes pour mettre à jour votre Cloud Application dans Duo :

       | Champ                                | Valeur                                                          |
       | :----------------------------------- | :-------------------------------------------------------------- |
       | Entity ID                            | Copiez le Service Provider Entity ID depuis la console          |
       | Assertion Consumer Service (ACS) URL | Copiez la Single Sign-On URL depuis la console                  |
       | Service Provider Login URL           | `https://console.clickhouse.cloud/?connection={organizationid}` |

    4. Copiez l’URL des métadonnées, puis revenez à [Ajoutez l’URL des métadonnées à votre configuration SAML](#add-metadata-url) pour poursuivre le processus.
  </Tab>
</Tabs>

<div id="troubleshooting">
  ## Dépannage
</div>

<AccordionGroup>
  <Accordion title="Il peut y avoir une erreur de configuration du système ou une interruption de service">
    **Cause :** connexion initiée par le fournisseur d'identité, ce qui n'est pas pris en charge.

    **Fix :** utilisez le lien direct `https://console.clickhouse.cloud/?connection={organizationid}`. Suivez les instructions ci-dessus correspondant à votre fournisseur d'identité pour en faire la méthode de connexion par défaut pour vos utilisateurs.
  </Accordion>

  <Accordion title="Vous êtes redirigé vers votre fournisseur d'identité, puis renvoyé vers la page de connexion">
    **Cause :** le fournisseur d'identité n'a pas de mappage pour l'attribut d'e-mail.

    **Fix :** suivez les instructions ci-dessus correspondant à votre fournisseur d'identité pour configurer l'attribut d'e-mail de l'utilisateur, puis reconnectez-vous.
  </Accordion>

  <Accordion title="L'utilisateur n'est pas affecté à cette application">
    **Cause :** l'utilisateur n'a pas été affecté à l'application ClickHouse dans le fournisseur d'identité.

    **Fix :** affectez l'utilisateur à l'application dans le fournisseur d'identité, puis reconnectez-vous.
  </Accordion>

  <Accordion title="Vous arrivez toujours dans la même organisation avec plusieurs orgs SAML">
    **Cause :** vous êtes toujours connecté à la première organisation.

    **Fix :** déconnectez-vous, puis connectez-vous à l'autre organisation.
  </Accordion>

  <Accordion title="L'URL affiche brièvement un accès refusé">
    **Cause :** votre domaine d'e-mail ne correspond pas au domaine configuré.

    **Fix :** contactez l'assistance pour obtenir de l'aide afin de résoudre cette erreur.
  </Accordion>
</AccordionGroup>

<div id="faq">
  ## FAQ
</div>

<AccordionGroup>
  <Accordion title="ClickHouse Cloud prend-il en charge la connexion initiée par le fournisseur d’identité ?">
    Non — uniquement les flux initiés par le fournisseur de services. Les utilisateurs accèdent à `https://console.clickhouse.cloud` et saisissent leur e-mail pour être redirigés vers votre fournisseur d’identité. Configurez un signet ou un lien direct (`https://console.clickhouse.cloud/?connection={organizationid}`) afin que les utilisateurs n’aient pas à mémoriser l’URL.
  </Accordion>

  <Accordion title="Comment utiliser SAML SSO avec plusieurs organisations ?">
    ClickHouse Cloud prend en charge le SSO multi-organisation, avec une connexion distincte par organisation. Utilisez le lien direct (`https://console.clickhouse.cloud/?connection={organizationid}`) pour vous connecter à chacune d’elles, puis déconnectez-vous d’une organisation avant de vous connecter à une autre. Si vous ne souhaitez pas que les utilisateurs de votre domaine soient automatiquement dirigés vers une organisation lorsqu’ils saisissent leur e-mail sur `https://console.clickhouse.cloud`, ouvrez un ticket d’assistance pour désactiver ce comportement.
  </Accordion>

  <Accordion title="Pourquoi est-ce que je vois plusieurs comptes pour le même utilisateur ?">
    ClickHouse Cloud n’associe pas automatiquement les comptes SSO et non SSO. Par conséquent, un utilisateur qui s’est connecté des deux façons peut apparaître plusieurs fois dans votre liste d’utilisateurs, même avec la même adresse e-mail.
  </Accordion>
</AccordionGroup>

<div id="next-steps">
  ## Étapes suivantes
</div>

* [Manage cloud users](/docs/fr/products/cloud/guides/security/cloud-access-management/manage-cloud-users) — gérez les autorisations et limitez l’accès aux seules connexions SAML.
* [SCIM provisioning](/docs/fr/products/cloud/guides/security/cloud-access-management/scim-setup) — automatisez le provisionnement des utilisateurs et des groupes (avant-première privée).
* [Console roles and permissions](/docs/fr/products/cloud/reference/security/console-roles) — les rôles que vous pouvez attribuer comme rôle SAML par défaut.