Gestion des utilisateurs et des lecteurs avec SCIM à Entra

SCIM (System for Cross-domain Identity Management) est un protocole standard ouvert qui automatise le provisionnement et le déprovisionnement des utilisateurs entre les fournisseurs d’identité et les applications. Intégré à Microsoft Entra, SCIM vous permet de synchroniser automatiquement les utilisateurs, lecteurs et groupes d’Entra vers Document360, éliminant ainsi le besoin de gestion manuelle des utilisateurs. Tout changement apporté à Entra, comme l’ajout, la mise à jour ou la désactivation d’utilisateurs, est automatiquement reflété dans Document360, garantissant ainsi que votre équipe dispose toujours du bon niveau d’accès.

Avant de commencer, assurez-vous que les prérequis suivants sont remplis :

1. Complétez la configuration SCIM dans Microsoft Entra ID. Pour les instructions de configuration, voir SAML SSO avec Entra.

2. Votre application Microsoft Entra ID doit être créée en tant qu’application non-galerie en utilisant :

   Nouvelle application > Créez votre propre application > Intégrez toute autre application que vous ne trouvez pas dans la galerie.

   Si vous utilisez une application Gallery, le provisionnement SCIM ne sera pas disponible. Voir SAML SSO avec Entra pour plus de détails.

3. Le SSO SAML doit être entièrement configuré et fonctionner entre Microsoft Entra ID et Document360.

4. Le provisionnement SCIM doit être activé dans Document360. Naviguez dans Paramètres > Utilisateurs & permissions > Configuration SSO, ouvrez votre configuration SSO et confirmez que le bouton Activer le provisionnement SCIM est activé.

Commencez à provisionner

Pour commencer à provisionner dans Entra, assurez-vous d’avoir déjà créé et intégré SCIM avec Entra. Une fois terminé :

1. Accédez à votre application SCIM sur Entra et cliquez sur Démarrer le provisionnement.

2. Dans la boîte de confirmation, cliquez sur Oui.

Avec SCIM, vous pouvez gérer les lecteurs, utilisateurs et groupes, et toute modification effectuée sera automatiquement synchronisée avec Document360.

Assignation de correspondance

Pour créer un nouveau mappage d’attributs pour la condition de rôle utilisateur,

1. Ouvrez l’onglet de l’application Enterprise et sélectionnez votre application SCIM SSO.

2. Naviguez jusqu’à l’onglet Provisionnement , puis sélectionnez Correspondance (Aperçu) dans le menu de gauche et cliquez sur Provisionner Microsoft Entra ID Utilisateurs.

3. Faites défiler jusqu’à la section Correspondance des attributs, sélectionnez la case Afficher les options avancées puis cliquez sur Modifier la liste des attributs pour personnaliser les applications afin de continuer.

4. Sur la page de liste d’attributs Modifier , faites défiler vers le bas, entrez le paramètre URL dans le champ Nom , et définissez le Type sur Booléen à partir du menu déroulant, comme indiqué ci-dessous.

 NOTE

Assurez-vous qu’il n’y a pas d’espaces blancs lors de la saisie du paramètre URL dans le champ Nom .

5. Cliquez sur Enregistrer, puis sur Oui dans la boîte de confirmation.

Utilisation du constructeur d’expressions pour mapper les rôles

Vous pouvez configurer une expression de correspondance d’attributs dans Entra qui évalue l’attribut de profil existant de chaque utilisateur, comme le titre du poste, et détermine automatiquement s’il doit être provisionné en tant qu’utilisateur ou lecteur dans Document360.

L’expression correspond directement à l’attribut isTeamAccount :

• isTeamAccount = True → provisionné en tant qu’utilisateur

• isTeamAccount = False → fourni en tant que lecteur

Étapes à configurer

1. Ouvrez votre application SCIM SSO dans Entra et naviguez dans Provisionnement > Correspondance d’attributs.

2. Localisez l’attribut isTeamAccount et cliquez sur l’icône Modifier à côté. Cela mènera à la page Modifier l’attribut .

3. Réglez le type de mappage sur Expression.

4. Entrez votre expression dans le champ d’expression. L’expression évalue l’attribut du profil de chaque utilisateur et détermine s’il doit être provisionné en tant qu’Utilisateur ou Lecteur. Consultez le lien Utilisez le constructeur d’expressions sous le champ d’expression pour construire visuellement et tester votre expression contre un utilisateur réel dans votre répertoire avant de l’appliquer.

 NOTE

Pour plus d’informations sur la création et le test d’expressions dans Entra, consultez la documentation Expression Builder de Microsoft.

5. Réglez la valeur par défaut si nulle (optionnelle) sur Faux, cela garantit que tout utilisateur sans valeur d’attribut correspondante est provisionné comme lecteur par défaut.

6. Cliquez sur Ok pour enregistrer l’attribut.

Exemple

Si vos utilisateurs ont un attribut Titre de poste dans leur profil Entra, vous pouvez attribuer des rôles en fonction de leur titre :

Switch([jobTitle], "False", "Manager", "True", "Senior Manager", "True", "Team Lead", "True")

Les utilisateurs portant les titres Manager, Senior Manager ou Team Lead sont désignés comme Utilisateurs. Tout autre titre de poste retourne False et l’utilisateur est provisionné en tant que lecteur.

Créer Utilisateur, Lecteur & Groupe

Gérer l’accès au contenu pour les utilisateurs, lecteurs et groupes

Dans Document360, les noms d’utilisateurs et de groupes ne peuvent pas être modifiés ou supprimés directement, ces actions doivent être gérées depuis Entra. Cependant, vous pouvez toujours gérer les rôles, les permissions et l’accès au contenu dans Document360.

1. Sélectionnez l’utilisateur désiré et cliquez sur Gérer l’accès au contenu.

2. Dans la boîte de dialogue, utilisez les menus déroulants pour sélectionner l’accès au contenu souhaité.

3. Si besoin, vous pouvez aussi gérer les affectations de groupe et ajouter l’utilisateur à un groupe souhaité.

4. Cliquez sur Mettre à jour pour confirmer et enregistrer les modifications.

Mise à jour utilisateur, lecteur et groupes

Pour modifier le nom utilisateur/groupe,

1. Dans la barre de navigation de gauche, cliquez sur Utilisateurs et recherchez l’utilisateur dans la barre de recherche, puis cliquez sur Sélectionner.

2. Sur la page d’aperçu de l’utilisateur, ouvrez l’onglet Propriétés et cliquez sur l’icône Modifier pour effectuer les modifications nécessaires.

3. Une fois les modifications effectuées, cliquez sur Enregistrer.

4. Pour refléter ces changements dans Document360, naviguez vers les applications d’entreprise > SCIM SSO application > Provisioning > Provision on Demand.

5. Sélectionnez l’utilisateur mis à jour dans la page Provisionnement à la demande , puis cliquez sur Provision.

Les informations utilisateur mises à jour seront désormais reflétées dans Document360.

Supprimer l’utilisateur, le lecteur ou le groupe

Pour supprimer un utilisateur, un lecteur ou un groupe,

1. Ouvrez l’onglet Utilisateurs dans le menu de gauche, et recherchez et sélectionnez l’utilisateur désiré.

2. Ensuite, cliquez sur Supprimer.

L’utilisateur est supprimé avec succès. Ce changement sera reflété dans Document360.

 NOTE

Supprimer un utilisateur dans Entra ne supprime pas le profil utilisateur de Document360. À la place, le statut de l’utilisateur passera de Actif à Inactif.

Héritage d’une autre application

Lors de la création d’une nouvelle configuration SSO dans Document360, vous pouvez hériter des paramètres SCIM d’une connexion SSO existante. Cette approche simplifie le processus de configuration, évite la répétition des étapes de configuration et aide les administrateurs à gagner du temps tout en assurant la cohérence entre les intégrations.

Configuration SSO héritée enfant

Sur la page Configurer le fournisseur d’identité (IdP ), sélectionnez le champ Configurer une connexion existante et sélectionnez l’application parente compatible SCIM SSO dont vous souhaitez hériter. En sélectionnant cette option, le projet en cours sera désigné comme projet enfant, héritant de toutes les propriétés pertinentes du parent concerné.

NOTE

Une fois la configuration SSO créée, les paramètres de provisionnement SCIM seront hérités de l’application mère et ne pourront pas être modifiés dans l’application fille.

Configuration SSO héritée par le parent

L’application mère affichera une liste de tous les projets ayant hérité de sa configuration. Toute modification apportée à l’application mère sera automatiquement reflétée dans l’application enfant.

• Si SCIM est activé dans le projet parent après que les projets enfants l’ont déjà hérité, les utilisateurs et groupes seront automatiquement provisionnés sur tous les projets enfants en arrière-plan.

• Activer l’héritage facilite la gestion de plusieurs configurations SSO avec SCIM activé, car tous les paramètres sont contrôlés depuis une application parente. Cela permet de gagner du temps et réduit l’effort nécessaire pour gérer chaque configuration individuellement.

Dépannage

La synchronisation a échoué à cause d’une erreur serveur SCIM

Lors de l’ajout de nouveaux utilisateurs depuis Entra, cette erreur indique qu’un ou plusieurs utilisateurs n’ont pas pu être synchronisés avec Document360. Cela peut être causé par :

• Provisionnement des utilisateurs en double

• Limite d’utilisateurs atteinte en fonction de votre abonnement actuel

• Autres erreurs de validation ou de traitement.

Cliquez sur Voir les détails pour voir quels utilisateurs n’ont pas réussi à synchroniser.