Provisionner les membres avec SCIM

Avec SCIM, votre fournisseur d’identité garde les membres de Polzy alignés sur votre annuaire. Quand quelqu’un arrive, change ou part de votre côté, votre annuaire le signale aussitôt à Polzy, et personne n’a à inviter ou retirer des gens à la main. Ce guide couvre le jeton, la configuration dans chaque annuaire et ce que Polzy fait de chaque changement.

Comment ça marche

• Ajouté. Une nouvelle personne dans votre annuaire devient membre, dans l’espace de travail et avec le rôle choisis pour l’authentification unique, sans e-mail d’invitation. Elle se connecte via votre fournisseur d’identité.
• Mis à jour. Un changement de nom atteint chaque espace de travail dont elle est membre.
• Désactivé. Désactiver quelqu’un dans votre annuaire le désactive aussitôt dans Polzy et met fin à ses sessions. Sa place est libérée.
• Retiré. Supprimer quelqu’un de votre annuaire retire ses adhésions à votre organisation. Ses réponses et ce qu’il a créé restent.
• Groupes. Votre annuaire envoie ses groupes en plus de ses personnes. Les règles de groupe de l’étape Personnes de l’authentification unique donnent aux personnes de chaque groupe un espace de travail et un rôle : un seul jeu de règles pour l’authentification unique et SCIM.

Dans Paramètres de l'organisation → Membres, les personnes que votre annuaire a créées ou détient portent l’étiquette Géré par votre annuaire.

Avant de commencer

• L’authentification unique, jusqu’à l’étape Personnes. SCIM place les personnes avec l’espace de travail, le rôle et les règles de groupe que vous y choisissez. Choisissez l’espace de travail sous Créer un membre automatiquement ; si vous passez ensuite à Seulement les personnes déjà invitées ou synchronisées, l’espace choisi est conservé pour SCIM. Voir Choisir qui peut entrer.
• Tous les domaines vérifiés. Une personne dont l’adresse est sur un autre domaine est refusée. Voir Vérifier votre domaine.
• Pas de synchronisation de personnes. SCIM et une synchronisation depuis BambooHR, Workday, Personio ou Microsoft Entra ID ne peuvent pas gérer ensemble une même organisation. Déconnectez la synchronisation dans Contacts → Synchro et champs avant de créer un jeton ; tant qu’un jeton existe, aucune synchronisation ne peut être connectée.
• Des places libres. Chaque adhésion créée par un annuaire occupe une place de votre forfait.

Créer le jeton

1. Ouvrez Paramètres de l'organisation → Sécurité. Dans la section Authentification unique, repérez Provisionnement SCIM et choisissez Configurer.
2. Sous Connectez votre annuaire, copiez l’URL de base SCIM : https://api.polzy.ai/api/scim/v2.
3. Sous Jeton, choisissez Créer un jeton. Copiez-le dans la fenêtre qui s’ouvre : il n’est affiché qu’une fois. Polzy n’en garde qu’une empreinte, et ses premiers caractères pour le reconnaître.
4. Collez les deux dans votre annuaire, comme le décrivent les sections ci-dessous.

• Remplacer le jeton vous donne un nouveau jeton et laisse l’actuel fonctionner 24 heures, le temps de coller le nouveau dans votre annuaire.
• Révoquer arrête tous les jetons à la fois, et le provisionnement avec. Les membres ajoutés par votre annuaire restent tels quels.
• Activité récente montre combien de changements votre annuaire a faits au cours des 30 derniers jours.
• Espaces de travail et rôles indique où arrivent les personnes envoyées par votre annuaire. Modifier les règles de groupe ouvre l’étape Personnes de l’authentification unique, où se trouvent l’espace par défaut, le rôle par défaut et les règles de groupe.

Si quelqu’un d’autre gère votre annuaire, le lien de configuration que vous lui envoyez depuis la section Authentification unique comporte une étape SCIM où il peut créer le jeton lui-même. Le remplacer reste entre vos mains, et révoquer le lien arrête un jeton créé par son biais. Voir Confier la configuration à votre équipe IT.

Okta

Dans Okta, SCIM fonctionne dans l’application créée pour l’authentification unique. Les menus des fournisseurs sont cités en anglais.

1. Dans l’onglet General de l’application, choisissez Edit sous App Settings, réglez Provisioning sur SCIM et enregistrez. Un onglet Provisioning apparaît.
2. Dans l’onglet Provisioning, ouvrez Integration et choisissez Edit. Collez l’URL de base dans SCIM connector base URL et saisissez userName comme Unique identifier field for users.
3. Sous Supported provisioning actions, sélectionnez Push New Users, Push Profile Updates et Push Groups.
4. Réglez Authentication Mode sur HTTP Header et collez le jeton comme bearer token dans Authorization. Choisissez Test Connector Configuration, puis Save.
5. Sous To App, choisissez Edit, activez Create Users, Update User Attributes et Deactivate Users, et enregistrez.
6. Dans l’onglet Push Groups, choisissez Push Groups et poussez les groupes que nomment vos règles de groupe. Attribuer un groupe dans l’onglet Assignments envoie ses personnes, pas le groupe : seul un groupe poussé atteint vos règles de groupe.

Okta envoie le nom d’utilisateur Okta comme userName : ce doit donc être l’adresse e-mail de la personne, sur l’un de vos domaines vérifiés.

Guides d’Okta : Add SCIM provisioning to app integrations et Enable Group Push.

Microsoft Entra ID

1. Dans le centre d’administration Microsoft Entra, ouvrez l’application d’entreprise Polzy créée pour l’authentification unique et allez dans Provisioning.
2. Réglez Provisioning Mode sur Automatic (dans les locataires récents, choisissez New configuration).
3. Sous Admin Credentials, collez l’URL de base comme Tenant URL et le jeton comme Secret Token. Choisissez Test Connection, puis enregistrez.
4. Sous Mappings, ouvrez le mappage des utilisateurs et vérifiez la source de userName : userPrincipalName par défaut, ou mail si les noms de connexion de vos équipes ne sont pas leurs adresses e-mail.
5. Sous Settings, réglez la portée sur Sync only assigned users and groups, et affectez les personnes et les groupes sous Users and groups.
6. Réglez Provisioning Status sur On et enregistrez.

Entra provisionne par cycles d’environ 40 minutes. Provision on demand envoie une personne, ou un groupe de cinq au plus, immédiatement : le moyen le plus rapide d’essayer.

Entra envoie les groupes attribués à l’application avec leur ID d’objet comme externalId : une règle de groupe peut donc nommer un groupe par son nom ou par cet ID d’objet, celui qu’envoie la revendication de groupes d’Entra à la connexion.

Guides de Microsoft : Develop and plan provisioning for a SCIM endpoint, Configure automatic user provisioning et Provision a user or group on demand.

OneLogin

OneLogin provisionne via son connecteur SCIM Provisioner with SAML, qui connecte aussi les personnes en SAML : vous pouvez y configurer l’authentification unique dans la même application, avec les valeurs de la section OneLogin du guide de l’authentification unique.

1. Allez dans Applications → Add App et ajoutez SCIM Provisioner with SAML (le schéma de base). Nommez-la Polzy.
2. Dans l’onglet Configuration, collez l’URL de base dans SCIM Base URL et le jeton dans SCIM Bearer Token. Gardez le SCIM JSON Template par défaut, qui envoie l’adresse e-mail comme userName. Enregistrez, puis choisissez Enable sous API Connection.
3. Dans l’onglet Provisioning, cochez Enable provisioning.
4. Dans l’onglet Parameters, ouvrez Groups et cochez Include in User Provisioning.
5. Donnez accès à l’application aux personnes qui utilisent Polzy.

Guide de OneLogin : Create a SCIM app.

JumpCloud

1. Dans le JumpCloud Admin Portal, ouvrez l’application Polzy sous Access → SSO Applications et allez dans son onglet Provisioning.
2. Collez l’URL de base dans Base URL et le jeton dans Token. Sous Test User Email, saisissez l’adresse d’une personne déjà présente dans Polzy, et choisissez Test Connection.
3. Activez Enable management of User Groups and Group Membership in this application, puis choisissez Activate. Choisir Save à la place laisse le provisionnement désactivé.
4. Dans l’onglet User Groups, ajoutez les groupes qui utilisent Polzy.

Guide de JumpCloud : Integrate with custom SCIM.

Ping Identity

1. Dans PingOne, allez dans Integrations → Provisioning et ajoutez une New Connection de type Identity Store → SCIM Outbound.
2. Saisissez l’URL de base comme SCIM Base URL, /Users comme Users Resource et /Groups comme Groups Resource, et choisissez SCIM 2.0.
3. Réglez Authentication Method sur OAuth 2 Bearer Token, collez le jeton dans OAuth Access Token et choisissez Test connection.
4. Réglez le User Identifier sur l’adresse e-mail, et autorisez la création, la mise à jour, la désactivation et le déprovisionnement des utilisateurs.
5. Ajoutez une règle sortante qui désigne les personnes et les groupes à provisionner : une connexion seule ne provisionne personne.

Guides de Ping Identity : Creating a SCIM connection et Creating an outbound rule.

Google Workspace

Google Workspace provisionne les applications hors de son catalogue par des profils SCIM personnalisés, une version bêta ouverte à un nombre limité de participants. Si votre Google Workspace en dispose, configurez le provisionnement automatique sur l’application SAML Polzy avec l’URL de base comme Endpoint URL et le jeton comme Access token.

Guide de Google : Set up automated user provisioning with custom SCIM profiles.

Un autre annuaire SCIM 2.0

Tout client SCIM 2.0 capable d’envoyer un bearer token fonctionne. Pointez-le vers l’URL de base et envoyez Authorization: Bearer suivi du jeton.

• Utilisateurs et groupes. /Users et /Groups, avec un filtrage par userName, emails.value et externalId (l’opérateur eq, reliés par and ; userName et emails.value sans tenir compte de la casse). Les membres d’un groupe arrivent par /Groups, en POST, PUT ou PATCH ; un attribut groups envoyé sur un utilisateur est en lecture seule dans SCIM et ignoré.
• Ce que porte un utilisateur. userName (l’adresse e-mail), name.givenName, name.familyName, externalId et active. Dans l’extension entreprise, department et employeeNumber remplissent les champs d’espace de travail du même nom, et manager définit le manager de la personne là où les lignes hiérarchiques sont activées.
• Non pris en charge. Les requêtes groupées (bulk), le tri, les ETags et les changements de mot de passe.
• Limite de débit. 600 requêtes par minute et par jeton.

Ce que fait Polzy

• Membres existants. Une personne déjà dans votre organisation est reconnue par son adresse e-mail. Si elle est arrivée en se connectant par votre fournisseur d’identité, votre annuaire reprend son adhésion dès qu’il envoie un groupe dont elle fait partie, et les règles de groupe décident ensuite de son rôle ; cette reprise n’abaisse jamais son rôle. Une personne invitée par un administrateur garde ses espaces de travail et ses rôles.
• Groupes. Une personne d’un groupe nommé par une règle est membre de l’espace de travail de cette règle, avec le rôle le plus élevé que lui donnent ses groupes, et jamais moins que le rôle par défaut dans l’espace par défaut. Les règles s’appliquent chaque fois que votre annuaire ajoute quelqu’un à un groupe ou l’en retire : Okta et Microsoft Entra ID créent d’abord la personne puis l’ajoutent au groupe un instant plus tard, et le rôle suit à ce moment-là. Une règle reconnaît un groupe à son nom, sans tenir compte de la casse, ou à l’ID que votre annuaire envoie comme externalId. Quitter le groupe retire cette adhésion, sauf si l’espace par défaut ou une autre règle la donne encore.
• Ce qui reste à vous. Les adhésions créées à la main par un administrateur ne sont jamais retirées ni modifiées par l’annuaire. Le propriétaire n’est jamais désactivé ni retiré par lui, et une personne bloquée par le propriétaire le reste.
• Places. Chaque adhésion demande une place libre. Quand aucune n’est libre, Polzy refuse le changement et votre annuaire signale l’erreur. Désactiver quelqu’un libère ses places ; le réactiver en demande de libres.
• Journal d’audit. Chaque changement fait par l’annuaire est consigné dans le journal d’audit, avec Annuaire (SCIM) comme auteur.

Quand vous changez l’espace de travail par défaut ou les règles de groupe à l’étape Personnes de l’authentification unique, toutes les personnes placées par votre annuaire sont replacées selon ces règles, en arrière-plan.

Dépannage

Votre annuaire affiche la réponse de Polzy, en anglais, dans son journal de provisionnement. Les plus courantes :

Limites

• SCIM 2.0, pour les utilisateurs et les groupes, testé avec le provisionnement d’Okta et de Microsoft Entra ID.
• Un annuaire par organisation, par un seul jeton à la fois.
• Les noms d’utilisateur doivent être des adresses e-mail de vos domaines vérifiés, et un nom d’utilisateur ne peut pas changer.
• SCIM et une synchronisation de personnes ne peuvent pas gérer ensemble la même organisation.
• Supprimer quelqu’un retire ses adhésions, pas ses données : effacer une personne est une étape distincte qu’un administrateur fait depuis sa fiche. Voir Personnes, contacts et champs.

Liens utiles

• Okta: Add SCIM provisioning to app integrations
• Microsoft: Develop and plan provisioning for a SCIM endpoint
• OneLogin: Create a SCIM app
• JumpCloud: Integrate with custom SCIM
• Ping Identity: Creating a SCIM connection
• Configurer l’authentification unique, sur laquelle SCIM s’appuie.