Synchronisation d’annuaire (SCIM)

La synchronisation d’annuaire (SCIM 2.0) permet à l’annuaire de votre entreprise de gérer les accès. Quand l’informatique ajoute quelqu’un à l’application dans Okta ou Microsoft Entra ID, cette personne reçoit un siège ici; quand l’informatique la désactive, son siège prend fin. Les groupes de l’annuaire décident des clients (espaces) qu’elle voit.

Ce qu’elle fait

• Nouvelle personne dans l’annuaire → un siège Développeur limité aux espaces. Si elle a déjà un siège, il garde son rôle.
• Appartenance à un groupe → les rôles d’espace que vous associez à ce groupe (Membre ou Admin d’espace). Entre plusieurs groupes, le rôle le plus élevé l’emporte.
• Désactivée ou retirée dans l’annuaire → son siège et ses sessions prennent fin immédiatement. Les clés d’API qu’elle a créées continuent de fonctionner, car elles servent souvent des agents en production. La page Clés les marque Créateur parti pour que vous décidiez.
• Réactivée dans l’annuaire → rien ne change ici. Rendre un siège retiré est la décision d’un propriétaire : invitez-la de nouveau sous Membres.
• Les groupes n’accordent jamais de rôle d’organisation. Propriétaires, admins et Finance se règlent à la main sous Membres.
• Les appartenances aux espaces réglées à la main (Clients → Personnes) ne sont jamais modifiées par l’annuaire.

Étape 1 : créer un jeton SCIM

• Dans Paramètres → Synchronisation d’annuaire (SCIM), choisissez Créer un jeton SCIM.
• Copiez le jeton tout de suite : il n’est affiché qu’une fois. Copiez aussi l’URL de base SCIM :

https://autonomousrelay.com/v1/scim/v2

Gardez le jeton secret : quiconque le possède peut ajouter et désactiver des personnes dans votre organisation. Remplacer le jeton en émet un nouveau et arrête l’ancien immédiatement.

Étape 2 : connecter votre annuaire

Okta

• Ouvrez l’application Autonomous Relay créée pour l’authentification unique. Dans l’onglet General, sous App Settings, choisissez Edit, réglez Provisioning sur SCIM et enregistrez.
• Dans le nouvel onglet Provisioning, choisissez Integration → Edit :
  • SCIM connector base URL : l’URL de base de l’étape 1.
  • Unique identifier field for users : userName.
  • Supported provisioning actions : Push New Users, Push Profile Updates et Push Groups.
  • Authentication Mode : HTTP Header, et collez le jeton comme autorisation Bearer.
• Choisissez Test Connector Configuration, puis Save.
• Sous Provisioning → To App, choisissez Edit et activez Create Users, Update User Attributes et Deactivate Users.
• Dans Assignments, attribuez les personnes ou groupes qui doivent avoir accès. Dans Push Groups, poussez les groupes à associer aux clients.

Microsoft Entra ID

• Dans le centre d’administration Entra, allez dans Identity → Applications → Enterprise applications → New application → Create your own application. Nommez-la Autonomous Relay directory sync et choisissez Integrate any other application you don’t find in the gallery (Non-gallery).
• Ouvrez sa page Provisioning et choisissez Get started. Réglez Provisioning Mode sur Automatic.
• Sous Admin Credentials, réglez Tenant URL sur l’URL de base de l’étape 1 et Secret Token sur le jeton. Choisissez Test Connection, puis Save.
• Sous Mappings, gardez les valeurs par défaut (userPrincipalName → userName). Le nom d’utilisateur principal doit appartenir à un de vos domaines vérifiés.
• Sous Settings, réglez Scope sur Sync only assigned users and groups, puis attribuez utilisateurs et groupes dans la page Users and groups de l’application.
• Réglez Provisioning Status sur On et enregistrez. Entra synchronise environ toutes les 40 minutes; Provision on demand pousse une personne tout de suite.

Autres annuaires

Tout client SCIM 2.0 peut utiliser l’URL de base et le jeton dans un en-tête Authorization: Bearer. Nous prenons en charge /Users et /Groups en création, lecture, remplacement, PATCH et suppression, et les filtres userName eq, externalId eq et displayName eq. Le userName doit être le courriel professionnel de la personne.

Étape 3 : associer les groupes aux clients

• Une fois les groupes poussés par votre annuaire, ils apparaissent sous Paramètres → Synchronisation d’annuaire → Groupes de l’annuaire.
• Pour chaque groupe, choisissez un espace et un rôle (Membre ou Admin d’espace) et choisissez Associer. Un groupe peut être associé à plusieurs espaces.
• Les changements s’appliquent immédiatement : chaque membre du groupe reçoit le rôle, et quiconque quitte le groupe le perd.

Arrêter la synchronisation

Arrêter la synchronisation supprime le jeton : votre annuaire ne peut plus rien changer. Les personnes approvisionnées gardent leur siège et leurs rôles; gérez-les ensuite sous Membres.

Dépannage

• 401 dans votre annuaire : le jeton est faux ou a été remplacé. Créez-en un nouveau et collez-le de nouveau.
• 403 : l’organisation n’est pas au forfait Entreprise.
• « … is not one of this organisation’s verified domains » : vérifiez d’abord ce domaine sous Paramètres → Authentification unique, ou corrigez le nom d’utilisateur de la personne.
• « A user with userName … already exists » : la personne a déjà été approvisionnée. Votre annuaire la retrouve normalement par userName à la synchronisation suivante.
• Quelqu’un ne voit aucun client : son siège est limité aux espaces. Associez un de ses groupes à un client, ajoutez-la sous Clients → Personnes, ou réglez Ce qu’ils voient sur Toute l’organisation sous Membres.