Configurer le provisionnement automatique des utilisateurs avec des profils SCIM personnalisés (bêta)

Le provisionnement automatique des utilisateurs avec des profils SCIM personnalisés est une fonctionnalité bêta disponible uniquement pour un nombre limité de participants. Si l'option "Provisionnement automatique" ne s'affiche pas sur la page d'informations de votre application, cela signifie qu'elle n'est pas encore disponible pour votre organisation.

Vous pouvez configurer et gérer automatiquement les comptes utilisateur dans une application SAML personnalisée ou pré-intégrée compatible avec SCIM 2.0 en utilisant le provisionnement automatique des utilisateurs avec des profils SCIM personnalisés.

Avant de commencer

Pour configurer un profil SCIM personnalisé, vous devez disposer des éléments suivants :

• Un compte Cloud Identity avec un rôle de super-administrateur. Pour en savoir plus, consultez Rôles d'administrateur prédéfinis.
• Une application SAML personnalisée ou préintégrée configurée et activée pour les utilisateurs dans votre console d'administration

Votre application doit disposer d'un serveur SCIM qui :

• Compatible avec SCIM version 2.0
• Utilise des méthodes HTTP standards, y compris POST, GET, PATCH avec remplacement par PUT, et DELETE
• Compatible avec l'authentification par jeton de support. L'authentification par jeton OAuth n'est pas prise en charge.

Configurer le provisionnement automatique des utilisateurs avec un profil SCIM personnalisé

1. Dans la console d'administration Google, accédez à Menu  Applications Applications Web et mobiles.

   Accéder à "Applications Web et mobiles"

   Pour cette tâche, vous devez être connecté en tant que super-administrateur.

2. Cliquez sur le nom de votre application SAML.
3. Sous Provisionnement automatique, cliquez sur Configurer le provisionnement automatique.
4. Saisissez le jeton de support de votre application dans Jeton d'accès, puis cliquez sur Continuer.
5. Saisissez l'URL du point de terminaison SCIM de votre application dans le champ URL du point de terminaison, puis cliquez sur Continuer. Google se connecte à votre point de terminaison SCIM pour détecter automatiquement les attributs compatibles.
6. Mappez les attributs de votre annuaire Google sur les attributs d'application correspondants. Si votre application est compatible avec la découverte de schémas, le tableau est prérempli avec les attributs découverts. Pour mapper manuellement des attributs personnalisés, cliquez sur Ajouter un mappage Continuer lorsque vous avez terminé.
7. (Facultatif) Si vous n'ajoutez aucun groupe, tous les utilisateurs ayant accès à l'application SAML sont provisionnés. Pour limiter le provisionnement automatique à des groupes d'utilisateurs spécifiques :
   • Dans le champ Search groups (Rechercher des groupes), saisissez une ou plusieurs lettres du nom du groupe, sélectionnez-en un et choisissez un niveau d'accès.
   • Ajoutez d'autres groupes.
   • (Facultatif) Pour supprimer un groupe, cliquez sur Supprimer.
     Si un groupe contient des utilisateurs externes à l'organisation ou appartenant à un domaine secondaire, ces utilisateurs ne sont pas provisionnés.
8. Déterminez la durée pendant laquelle les utilisateurs peuvent accéder à l'application une fois que celle-ci est désactivée pour eux, ou que leur compte Google Workspace est suspendu ou supprimé. Vous pouvez choisir de suspendre leur compte, de le supprimer définitivement, ou de le suspendre, puis de le supprimer définitivement. Vous pouvez définir le délai individuellement pour chaque action.
   1. Sélectionnez les options de chaque événement si nécessaire :
      • Lorsqu'une application est désactivée pour un utilisateur
      • Lorsqu'un compte utilisateur est suspendu au niveau de Google
      • Lorsqu'un compte utilisateur est supprimé de Google
        Si vous suspendez un compte utilisateur, il est marqué comme désactivé. Si vous supprimez définitivement le compte utilisateur, il est supprimé de l'application. Définissez toujours un délai de suppression définitive supérieur. Pour en savoir plus sur la suspension et la suppression, consultez Modifier les délais de déprovisionnement.
   2. Cliquez sur Continuer.

9. Testez la connexion :

   1. Pour Utilisateur de l'annuaire Google, recherchez et sélectionnez un utilisateur qui ne possède pas de compte dans votre application.

   2. Cliquez sur Tester.
      

      Google crée un compte pour l'utilisateur dans votre application, le met à jour, puis le supprime. Chaque opération affiche Réussite, Échec ou Non exécuté. Pour une opération ayant échoué, examinez le code HTTP, le type d'erreur SCIM et les détails de l'option Afficher la réponse brute de votre application.
      

      Remarque : Si votre application ne renvoie pas 201 Created pour le nouvel utilisateur, par exemple parce que l'utilisateur existe déjà, l'opération Créer un utilisateur échoue, et Google ignore les opérations de mise à jour et de suppression. Si l'option Supprimer l'utilisateur échoue, supprimez manuellement le compte de test dans votre application.

10. Cliquez sur Terminer.
    Vous pouvez cliquer sur Terminer même si le test a échoué, puis réessayer plus tard. Cette étape enregistre la configuration, mais n'active pas le provisionnement automatique. Pour l'activer, accédez à la page d'informations de votre application  Provisionnement automatique, puis activez l'option Actif.
    Remarque : Le paramètre est désactivé si votre application n'est activée pour aucun utilisateur. Cliquez sur Accès des utilisateurs, puis activez l'application pour activer le provisionnement automatique.

Modifier les informations de provisionnement

Désactiver le provisionnement automatique et supprimer les informations de configuration

Vous pouvez désactiver le provisionnement automatique pour l'application sans perdre les informations de configuration. Vous pouvez également désactiver le provisionnement automatique et supprimer toutes les informations de configuration.

Consulter les informations sur l'utilisation

• Une fois le provisionnement automatique activé, vous pouvez consulter les informations sur l'utilisation. Pour en savoir plus, consultez Contrôler le provisionnement automatique des utilisateurs.
• Vous pouvez consulter les informations suivantes sur l'utilisation des 30 derniers jours :

Événement du journal d'administration	Description
Création d'un compte utilisateur via le provisionnement automatique	Utilisateurs créés lors du provisionnement automatique
Mise à jour de l'utilisateur provisionné automatiquement	Utilisateurs mis à jour lors du provisionnement automatique
Suspension de l'utilisateur provisionné automatiquement	Utilisateurs suspendus lors du provisionnement automatique
Annuler la suspension de l'utilisateur provisionné automatiquement	Utilisateurs réactivés lors du provisionnement automatique
Supprimer définitivement l'utilisateur provisionné automatiquement	Utilisateurs supprimés lors du provisionnement automatique
Échecs	Requêtes ayant échoué

Si le provisionnement automatique cesse de fonctionner

Le provisionnement automatique cesse de fonctionner si Google ne peut plus se connecter à votre application. Par exemple, le jeton de support peut avoir expiré ou avoir été révoqué, ou l'URL SCIM de l'application peut avoir changé. Pour résoudre ce problème, mettez à jour le jeton ou l'URL :

1. Dans la console d'administration Google, accédez à Menu  Applications Applications Web et mobiles.

   Accéder à "Applications Web et mobiles"

   Pour cette tâche, vous devez être connecté en tant que super-administrateur.

2. Cliquez sur le nom de votre application SAML.
3. Cliquez sur Provisionnement automatique.
4. Pour mettre à jour le jeton de support :
   1. Dans le champ Autorisation de l'application, cliquez sur Autoriser à nouveau.
   2. Dans le champ Jeton d'accès, collez un nouveau jeton de support depuis votre application.
   3. Cliquez sur Autoriser à nouveau.
5. Pour mettre à jour l'URL de base SCIM, cliquez sur Modifier pour URL du point de terminaison, saisissez la nouvelle URL, puis cliquez sur Mettre à jour.
6. (Facultatif) Pour vérifier la connexion, cliquez sur Tester pour Tester la connexion.

Pour en savoir plus sur les autres raisons pour lesquelles le provisionnement automatique peut cesser de fonctionner, consultez la documentation de l'application.