Base de connaissance

Authentification unique (SSO) pour Okta

Date de dernière modification: 26 oct. 2026

L'authentification unique (Single Sign-On / SSO) TeamViewer connecte TeamViewer à Okta, permettant aux utilisateurs de s’authentifier via le fournisseur d’identité de leur organisation. Vous pouvez configurer le SSO en ajoutant l’application TeamViewer préconfigurée depuis le Okta Integration Network (OIN) ou en créant une application SAML 2.0 personnalisée dans Okta. Cet article explique les deux méthodes de configuration et comment vérifier votre domaine.

Cet article s’applique à tous les détenteurs d’une licence TeamViewer Tensor.

Exigences

Pour configurer le SSO TeamViewer avec Okta, vous avez besoin de :

Une licence TeamViewer Tensor
Un client TeamViewer version 13.2.1080 ou ultérieure sur les appareils qui utilisent le SSO
Un compte TeamViewer avec des droits d’administrateur de l’entreprise
Un accès au client web TeamViewer ou au full client installé
Un accès à la gestion DNS du domaine que vous souhaitez activer pour le SSO
Un environnement Okta

Les versions antérieures de TeamViewer ne peuvent pas rediriger les utilisateurs vers le fournisseur d’identité lors de la connexion.

Comment configurer l'authentification unique avec Okta

Choisissez la méthode de configuration qui correspond à votre configuration Okta.

Utilisez cette méthode pour ajouter l’application TeamViewer préconfigurée à partir du catalogue Okta Integration Network. L’application contient déjà la configuration du fournisseur de services TeamViewer ainsi que les déclarations d’attributs SAML.

Fonctionnalités prises en charge

L’application TeamViewer dans l’Okta Integration Network (OIN) prend en charge les fonctionnalités SAML 2.0 suivantes :

SSO initié par le fournisseur de services (SP) (Service provider (SP)-initiated SSO) : Les utilisateurs démarrent le processus de connexion depuis le full client TeamViewer ou le client web TeamViewer et sont redirigés vers Okta pour l’authentification.
SSO initié par le fournisseur d’identité (IdP) (Identity provider (IdP)-initiated SSO) : Les utilisateurs peuvent démarrer le processus de connexion directement depuis leur tableau de bord Okta.
Signature SHA-256 : Les messages SAML sont signés avec SHA-256.

Pour plus d’informations sur les fonctionnalités répertoriées, consultez le glossaire Okta dans le centre d’aide Okta.

Note : Le SSO SAML et le provisionnement SCIM sont des fonctionnalités indépendantes. Vous pouvez configurer et utiliser le SSO SAML sans provisionnement SCIM. Si vous souhaitez également automatiser la gestion du cycle de vie des utilisateurs et des groupes, configurez le provisionnement SCIM séparément. Pour plus d’informations, consultez le guide de configuration SCIM.

Étapes de configuration

Le SSO TeamViewer se configure sur deux côtés :

Dans Okta, vous ajoutez l’application OIN TeamViewer et saisissez votre Identifiant Client (Customer Identifier) TeamViewer.
Dans le client web ou le client installé, ajoutez votre domaine, collez l’URL des métadonnées Okta puis générez l’Identifiant Client.

Étape 1 : Ajouter l’application TeamViewer depuis le catalogue OIN

Dans la console d’administration Okta, ouvrez Applications and Resources (Applications et Ressources) puis sélectionnez Applications.
Sélectionnez Browse App Catalog (Parcourir le catalogue d'applications).

Recherchez TeamViewer puis sélectionnez-le dans les résultats.
Cliquez sur Add Integration (Ajouter l’intégration).

Dans l’onglet General Settings (Paramètres généraux), modifiez l’application si nécessaire.
Cliquez sur Next (Suivant).

L’application OIN TeamViewer est préconfigurée avec les valeurs correctes du fournisseur de services et les déclarations d’attributs, vous n’avez donc pas besoin de les saisir manuellement. Pour référence, les valeurs sont :

Paramètre	Valeur
URL d’authentification unique (URL ACS)	https://sso.teamviewer.com/saml/acs
URI d’audience (ID d’entité SP)	https://sso.teamviewer.com/saml/metadata
Format d’identifiant de nom	Adresse e-mail

Note : Vous devez définir ultérieurement le format du nom d’utilisateur de l’application sur Email dans la configuration.

Étape 2 : Copier l’URL des métadonnées Okta

Ouvrez l’onglet Sign-On Options (Options de connexion).
Faites défiler jusqu’à Metadata details.
Copiez le Metadata URL (URL des métadonnées).

Étape 3 : Ajouter votre domaine et générer l’Identifiant Client

Veuillez suivre ces étapes :

Identifiez-vous au client web ou au full client installé.
Ouvrez les Paramètres d’administration.
Sélectionnez Single Sign-On (Authentification unique).
Cliquez sur + Add domain (+ Ajouter un domaine).

Saisissez le domaine que vous souhaitez activer pour l’authentification unique.
Laissez la Configuration définie sur Metadata URL (URL de métadonnées) (par défaut).
Collez l’URL des métadonnées que vous avez copiée depuis Okta (Étape 2).
TeamViewer télécharge les métadonnées et renseigne automatiquement l’URL de connexion, l’ID d’entité et la clé publique. Configurez les Options disponibles selon vos besoins, puis cliquez sur Continuer.

Dans Set up SSO access (Configurer l’accès SSO), sélectionnez une liste d’exclusions ou une liste d’inclusions.
Ajoutez les utilisateurs ou groupes requis, puis cliquez sur Continuer.

Sur l’écran Custom Identifier (Identifiant Client), sélectionnez Generate (Générer) ou saisissez une chaîne de caractères de votre choix.
Copiez le Customer Identifier (Identifiant Client) et conservez-le en lieu sûr pour le reste de la configuration.
Cliquez sur Continuer.

Important : Ne modifiez pas le Customer Identifier (Identifiant Client) après la configuration. Le modifier interrompt le SSO et TeamViewer ne stocke pas cette valeur.

Étape 4 : Vérifier la propriété du domaine

Le SSO reste inactif jusqu’à ce que vous vérifiiez la propriété du domaine.

Sur l’écran Domain verification (Vérification du domaine), créez un nouvel enregistrement TXT pour votre domaine en utilisant le Name/Host (Nom/Hébergeur) et la Value/Data (Valeur/Donnée) affichés.

Connectez-vous à votre fournisseur DNS (votre bureau d’enregistrement de domaine ou votre hébergeur DNS ; par exemple, GoDaddy, Cloudflare, Namecheap ou AWS Route 53) dans un onglet de navigateur séparé.
Ajoutez un nouvel enregistrement DNS avec :

Type : TXT
Name / Host : La valeur affichée dans TeamViewer (saisissez @ si votre fournisseur l’exige pour le domaine racine)
Value / TXT Data : La valeur affichée dans TeamViewer
TTL : Laissez la valeur par défaut (par exemple, 1 heure)

Sauvegardez l’enregistrement. Les libellés exacts des champs varient selon le fournisseur, mais chaque fournisseur dispose d’une page de gestion DNS équivalente pour ajouter un enregistrement TXT.

Cliquez sur Start verification (Démarrer la vérification). Le statut devient Verification in progress (Vérification en cours) ; cliquez sur Finish (Terminer).

Note : La propagation DNS peut prendre plusieurs heures. TeamViewer recherche l’enregistrement TXT pendant 24 heures après le démarrage de la vérification. Si l’enregistrement n’est pas trouvé dans ce délai, la vérification échoue et vous devez la redémarrer depuis le panneau de modification du domaine.

Étape 5 : Ajouter l’attribut d’Identifiant Client dans Okta

Revenez à votre application SAML personnalisée dans Okta.
Ouvrez l’onglet General (Général).
Modifiez les paramètres SAML.
Cliquez sur Next (Suivant) pour ouvrir les Attribute Statements (Déclarations d’attribut).

Étape 6 : Attribuer des utilisateurs et tester la connexion

Ouvrez l’application TeamViewer dans Okta.
Ouvrez Assignments (Affectations).
Affectez les utilisateurs ou groupes nécessitant un accès.
Demandez à un utilisateur affecté de se connecter et de vérifier la configuration.

Attributs d’assertion SAML

TeamViewer lit le SAML NameID comme l’adresse e-mail de l’utilisateur et l’utilise pour rechercher le compte. L’application OIN envoie automatiquement les instructions d’attribut suivantes (à l’aide de l’Identifiant Client que vous avez saisi à l’étape 5) :

Attribut	Valeur	Utilisé pour
NameID (format d’adresse e-mail )	user.email	Identifie l’utilisateur par e-mail
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.email	E-mail de l'utilisateur
http://sso.teamviewer.com/saml/claims/customeridentifier	Identifiant Client	Lie l’assertion à votre entreprise TeamViewer

Le NameID doit contenir une adresse e-mail valide qui correspond au compte TeamViewer de l’utilisateur. Les utilisateurs figurant sur la liste d’exclusion SSO continuent de se connecter avec leur mot de passe TeamViewer.

Utilisez cette méthode lorsque vous souhaitez créer et configurer une application SAML 2.0 personnalisée dans Okta, plutôt que d’utiliser l’application de catalogue prédéfinie (OIN).

Étape 1 : Créer l’application SAML Okta

Dans la console d’administration Okta, ouvrez Applications puis sélectionnez Applications.
Sélectionnez Create App Integration (Créer une intégration d'application).

Sélectionnez SAML 2.0.
Cliquez sur Next (Suivant).

Créer une nouvelle intégration d’application SAML

Saisissez un nom pour l’application.
Sélectionnez Next (Suivant).
Sur la page des Paramètres SAML, saisissez les valeurs du tableau suivant.

Champs	Informations à saisir
URL d’authentification unique	https://sso.teamviewer.com/saml/acs (Note : Laissez la case Use this for Recipient URL and Destination URL (Utiliser ceci pour l’URL du destinataire et l’URL de destination) cochée.)
URI d’audience (ID d’entité SP)	https://sso.teamviewer.com/saml/metadata
Format de l’identifiant de nom :	Adresse e-mail
Nom d’utilisateur de l’application	E-mail

Sélectionnez Show Advanced Settings (Afficher les paramètres avancés).
Définissez Assertion Encryption (Chiffrement des assertions) sur Encrypted (Chiffré).

Téléchargez la clé publique TeamViewer dans Encryotion Certificate (Certificat de chiffrement) au format Base64.

Sous Attribute Statements (Instructions d’attribut), ajoutez l’attribut d’e-mail suivant :

Nom : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Format du nom : Référence URI

Valeur : user.email

Cliquez sur Next (Suivant).
Sélectionnez I'm an Okta customer adding an internal app (Je suis un client Okta ajoutant une application interne).
Sélectionnez This is an internal app (Ceci est une application interne).
Cliquez sur Finish (Terminer).

Comment obtenir la clé publique TeamViewer

Exécutez la commande PowerShell suivante pour télécharger les métadonnées SAML de TeamViewer, extraire la clé publique et l’enregistrer comme fichier de certificat :

"-----BEGIN PUBLIC KEY-----`n"+ `
((Select-Xml `
-Content ((Invoke-WebRequest `
https://sso.teamviewer.com/saml/metadata.xml).Content) `
-xpath "//*[local-name()='X509Certificate']").Node[0].'#text') + `
"`n-----END PUBLIC KEY-----" `
| Out-File -FilePath "sso.teamviewer.com -saml.cer" -Encoding ascii

Le fichier obtenu s’appelle sso.teamviewer.com-saml.cer

Pour exporter le certificat au format X.509 encodé en Base64 :

Ouvrez sso.teamviewer.com-saml.cer.
Ouvrez l’onglet Détails.
Sélectionnez Copy to File (Copier dans un fichier).
Sélectionnez Next (Suivant).
Sélectionnez Base-64 encoded X.509.
Sélectionnez Next (Suivant).
Saisissez un nom de fichier.
Sélectionnez Next (Suivant), puis Finish (Terminer).

Le certificat Base64 obtenu doit ressembler à ceci :

Certificat de chiffrement - aperçu final

Étape 2 : Copier l’URL des métadonnées Okta

Ouvrez votre application SAML personnalisée dans Okta.
Ouvrez l’onglet Sign On (Connexion).
Copiez l’URL des métadonnées du fournisseur d’identité.

Voir les instructions de configuration SAML

Étape 3 : Ajouter votre domaine et générer l’Identifiant Client

Veuillez suivre ces étapes :

Identifiez-vous au client web ou au full client installé.
Ouvrez les Paramètres d’administration.
Sélectionnez Single Sign-On.
Sélectionnez + Add domain (+ Ajouter un domaine).

Saisissez le domaine que vous souhaitez activer pour l'authentification unique.
Laissez la Configuration définie sur Metadata URL (URL de métadonnées) (par défaut).
Collez l’URL de métadonnées que vous avez copiée depuis Okta (étape 2).
TeamViewer télécharge les métadonnées et renseigne automatiquement l’URL de connexion, l’ID d’entité et la clé publique. Configurez les Options disponibles selon vos besoins, puis sélectionnez Continuer.

Dans Set up SSO access (Configurer l’accès SSO), sélectionnez une liste d’exclusions ou une liste d’inclusions.
Ajoutez les utilisateurs ou groupes requis, puis sélectionnez Continuer.

Sur l’écran Custom Identifier,(Identifiant Client) sélectionnez Generate (Générer) ou saisissez la chaîne de caractères de votre choix.
Copiez le Customer Identifier et conservez-le en lieu sûr pour la suite de la configuration.
Cliquer sur Continuer.

Important : Ne modifiez pas le Customer Identifier après la configuration. Le modifier interrompt le SSO et TeamViewer ne stocke pas cette valeur.

Étape 4 : Vérifier la propriété du domaine

Le SSO reste inactif jusqu’à ce que vous vérifiiez la propriété du domaine.

Sur l’écran Domain verification (Vérification du domaine), créez un nouvel enregistrement TXT pour votre domaine en utilisant le Name/Host (Nom/Hébergeur) et la Value/Data (Valeur/Donnée) affichés.

Connectez-vous à votre fournisseur DNS (votre bureau d’enregistrement de domaine ou votre hébergeur DNS ; par exemple, GoDaddy, Cloudflare, Namecheap ou AWS Route 53) dans un onglet de navigateur distinct.
Ajoutez un nouvel enregistrement DNS avec :

Type : TXT
Name / Host : La valeur affichée dans TeamViewer (saisissez @ si votre fournisseur l’exige pour le domaine racine)
Value / TXT Data : La valeur affichée dans TeamViewer
TTL : Laissez la valeur par défaut (par exemple, 1 heure)

Cliquez sur Start verification (Démarrer la vérification). Le statut devient Verification in progress (Vérification en cours) ; cliquez sur Finish (Terminer).

Note : La propagation DNS peut prendre plusieurs heures. TeamViewer recherche l’enregistrement TXT pendant 24 heures après le début de la vérification. Si l’enregistrement n’est pas trouvé dans ce délai, la vérification échoue et vous devez la redémarrer depuis le panneau de modification du domaine.

Étape 5 : Ajouter l’attribut d’Identifiant Client dans Okta

Revenez à votre application SAML personnalisée dans Okta.
Ouvrez l’onglet General (Général).
Modifiez les paramètres SAML.
Sélectionnez Next (Suivant) pour ouvrir Attribute Statements (Déclarations d'attribut).

Ajoutez l’attribut d’Identifiant Client :

Nom : http://sso.teamviewer.com/saml/claims/customeridentifier

Format du nom : Non spécifié

Valeur : L’Identifiant Client que vous avez généré dans TeamViewer

Cliquez sur Next (Suivant).
Cliquez sur Finish (Terminer).

8. Copiez ce jeton puis retournez à votre application Okta.

Configuration du client TeamViewer

Par défaut, TeamViewer utilise un navigateur intégré pour l’authentification du fournisseur d’identité. Vous pouvez configurer TeamViewer pour utiliser à la place le navigateur par défaut du système d’exploitation.

Windows

Définissez la valeur de registre suivante :

HKEY_CURRENT_USER\Software\TeamViewer\SsoUseEmbeddedBrowser = 0

macOS

Exécutez la commande suivante :

defaults write com.teamviewer.teamviewer.preferences SsoUseEmbeddedBrowser -int 0

Dépannage

Les informations de dépannage suivantes proviennent de la page source OIN. La page source SAML personnalisée ne contient pas de section de dépannage équivalente. Ce contenu doit faire l’objet d’une révision technique avant de devenir une section commune aux deux méthodes.

Problème	Vérification suggérée
L'authentification unique n’est pas activée	Confirmez que la vérification du domaine par enregistrement TXT s’est terminée avec succès.
Réponse SAML non valide apparaît	Confirmez que TeamViewer a pu récupérer et importer l’URL des métadonnées Okta.
Un utilisateur n’est pas reconnu après l’authentification Okta	Confirmez que le NameID SAML contient l’adresse e-mail associée au compte TeamViewer de l’utilisateur.
L'authentification unique a cessé de fonctionner	Confirmez que l’identifiant client n’a pas changé.
Une assertion a expiré	Confirmez que les horloges système concernées sont synchronisées.

La source OIN suggère également de rajouter le domaine pour actualiser les métadonnées après une rotation du certificat de signature Okta.

Contacter l’assistance

Si vous avez besoin d’aide pour la configuration, contactez l’équipe d'assistance de TeamViewer.

TeamViewer Remote

TeamViewer Tensor

TeamViewer DEX

TeamViewer Frontline

Plateforme TeamViewer ONE