Identité : comptes, groupes, SSO, MFA

L'essentiel

• Une seule source de vérité pour les identités : le fournisseur d'identité (IdP) du cabinet. La Box ne gère pas de mots de passe ; elle fait confiance à un jeton OIDC.
• Trois cas selon le cabinet : déjà sous Microsoft 365 → Entra ID (OIDC, passkeys inclus dans l'édition Free) ; sous Google Workspace → Google comme IdP ; ni l'un ni l'autre → un IdP auto-hébergé sur la Box, Authentik (MIT + EE) ou Keycloak (Apache 2.0, CNCF).
• Les groupes de l'IdP (« associés », « avocat-A », « secrétariat », « dossier-0042 ») sont transmis dans le jeton et deviennent : rôles dans l'interface, puis liste de dossiers autorisés dans le filtre du RAG. C'est le fil qui relie identité et permissions RAG.
• MFA obligatoire, portée par l'IdP ; passkeys recommandées ; sessions courtes ; comptes techniques séparés des comptes humains.
• Recommandation initiale Hypothèse : Entra ID quand il existe, sinon Authentik sur la Box ; Keycloak si le cabinet ou l'intégrateur le maîtrise déjà.

Vocabulaire

• Compte : une personne physique (jamais partagé). Les comptes techniques (connecteur SMB, service RAG) sont des identités séparées, sans accès interactif.
• Groupe : ensemble de comptes défini dans l'IdP ; c'est l'unité de gestion des droits.
• Rôle Box : ce qu'un compte peut faire dans l'interface (utilisateur, administrateur fonctionnel, administrateur technique).
• ACL dossier : quels groupes peuvent lire un dossier ; consommée par le RAG.
• SSO : l'utilisateur s'authentifie une fois auprès de l'IdP ; l'interface reçoit un jeton signé avec son identité et ses groupes.

Fournisseurs d'identité

Entra ID : pour un cabinet déjà sous Microsoft 365, c'est l'option sans nouveau composant. Open WebUI le supporte directement (MICROSOFT_CLIENT_ID, MICROSOFT_CLIENT_TENANT_ID, scope offline_access) ⁴ ; LibreChat synchronise même les groupes via Graph ⁶. Réserve : l'authentification de la Box dépend alors d'un service cloud (si Microsoft est indisponible, personne ne se connecte) ; les données des dossiers, elles, ne quittent pas la Box. Les politiques d'accès conditionnel avancées exigent des licences P1/P2 (non vérifié).

Authentik : IdP moderne, déploiement simple en Compose, interface d'administration lisible, fonctions de base suffisantes en édition MIT ; périmètre de l'EE à surveiller à chaque release ¹. Peut fédérer un Entra ID ou un Google existant tout en restant le point d'entrée unique de la Box.

Keycloak : référence de l'écosystème, sans édition payante, plus lourd à exploiter (JVM), courbe d'apprentissage plus raide ; à préférer si l'intégrateur le connaît ².

LDAP seul : suffisant pour vérifier un mot de passe, insuffisant pour la MFA et les jetons ; à fédérer derrière Authentik ou Keycloak plutôt qu'à brancher directement.

Du groupe IdP à l'ACL RAG

Trois conventions à fixer :

1. Nommage des groupes : un groupe par rôle (box-associes, box-avocats, box-secretariat, box-admin) et un groupe par dossier ou par portefeuille (dossier-2026-0042, ou portefeuille-avocat-a). Le nombre de groupes par dossier peut devenir grand ; l'alternative est une table d'ACL dans la Box alimentée par convention de chemin (documents).
2. Claim de groupes : le jeton doit contenir les groupes (claim groups) ; dans Entra ID, cela se configure dans l'app registration (attention à la limite du nombre de groupes dans un jeton : non vérifiée ici). Open WebUI lit OAUTH_GROUPS_CLAIM et aligne strictement les groupes locaux sur les claims ⁵.
3. Résolution de portée : à chaque requête, l'API RAG traduit les groupes du jeton en liste de dossier_id via la table des dossiers, puis construit le filtre (permissions). La traduction est faite côté serveur ; le client n'envoie jamais de liste de dossiers.

MFA, passkeys, sessions

• MFA obligatoire pour tous les comptes humains, appliquée par l'IdP (politique d'accès conditionnel Entra, flux Authentik, required action Keycloak).
• Passkeys (WebAuthn / FIDO2) recommandées : résistantes au phishing, incluses dans Entra ID Free ³, dans Authentik et Keycloak ^{1 2}.
• Sessions : durée courte (par exemple 8 à 12 heures avec réauthentification quotidienne : valeur à fixer avec le cabinet), déconnexion à la fermeture du navigateur pour les postes partagés, révocation des sessions à la désactivation d'un compte.
• Comptes administrateurs : distincts des comptes d'usage, MFA renforcée, journalisés.

Politiques d'accès

Recommandation initiale

Questions ouvertes

Ce qu'il reste à tester

• Brancher le RAG de la Box sur Open WebUI (pipeline, endpoint, outil)Un endpoint OpenAI-compatible exposé par le service RAG de la Box, appelé par Open WebUI comme un modèle, transmet l'identité de l'utilisateur de façon vérifiable et affiche les citations (dossier, pièce, page, lien) sans dépendre du RAG intégré ni de ses knowledge bases.À tester