Avec une connexion SCIM, votre organisation envoie elle-même à 2LRN4 les nouveaux collaborateurs, les modifications et les départs, depuis Microsoft Entra ID, Okta ou Google. Vous n'avez pas besoin de donner à 2LRN4 un accès à votre propre environnement : c'est vous qui décidez qui et quoi est transmis. La connexion est gratuite et fonctionne avec chaque forfait.

Cette page décrit la configuration dans Microsoft Entra. Okta et Google utilisent les mêmes informations (l'URL du locataire et le jeton secret du portail) ; seuls les écrans diffèrent. Les libellés ci-dessous suivent l'interface anglaise de Microsoft Entra.

SCIM fonctionne dans un seul sens. Les modifications vont de votre annuaire d'utilisateurs vers 2LRN4, jamais l'inverse.

Ce que fait la connexion

• Nouveau collaborateur. Lorsque vous affectez une personne à l'application dans Entra, 2LRN4 crée le compte et l'inscrit au programme de formation de l'organisation.
• Modification. Le nom, le service, la langue préférée et le rôle sont mis à jour. Si un service n'existe pas encore, 2LRN4 le crée.
• Départ. Lorsque vous retirez une personne de l'application, ou que vous désactivez le compte, le collaborateur passe à l'état inactif dans 2LRN4. Un compte inactif ne peut plus se connecter et ne compte pas dans vos licences. La progression et les certificats sont conservés, afin que vous puissiez démontrer plus tard qui a suivi quelle formation. Après le délai que votre organisation choisit dans ses paramètres (365 jours par défaut), 2LRN4 supprime automatiquement le compte inactif. La personne de contact reçoit chaque mois un récapitulatif avec l'historique de formation des comptes supprimés, et la liste des utilisateurs indique à l'avance quand un compte sera supprimé.
• Rôle. Un rôle d'application dans Entra détermine si une personne devient apprenant, manager ou administrateur (voir Rôles ci-dessous).

2LRN4 ne conserve que ce qui est nécessaire : nom, adresse e-mail, service, langue préférée, rôle et statut actif du compte. Les autres informations qu'Entra envoie, comme la fonction ou le numéro de téléphone, ne sont pas enregistrées.

Différence avec la synchronisation des utilisateurs

2LRN4 propose aussi la synchronisation des utilisateurs avec Microsoft Entra. Dans ce cas, 2LRN4 récupère lui-même les utilisateurs, au moyen d'une inscription d'application disposant d'un accès en lecture à vos utilisateurs et groupes. Avec SCIM, c'est l'inverse : Entra envoie les données, et 2LRN4 n'obtient aucun accès en lecture à votre locataire. C'est pourquoi de nombreuses équipes de sécurité préfèrent SCIM.

Utilisez l'une des deux méthodes par organisation, pas les deux en même temps. La synchronisation rend inactifs les collaborateurs qui ne figurent pas dans son groupe, même s'ils sont gérés par SCIM.

Avant de commencer

1. Activez la connexion. En tant qu'administrateur client, ouvrez dans le portail Intégrations, puis Connexion SCIM, cochez Connexion SCIM activée et cliquez sur sauvegarder. Vous voyez alors deux informations :
   • l'URL du locataire (Tenant URL), l'adresse à laquelle Entra envoie les données ;
   • un jeton secret qui commence par scim_. Traitez-le comme un mot de passe : avec ce jeton, il est possible de créer et de désactiver des comptes dans votre organisation. Le portail ne l'affiche qu'une seule fois. Si vous le perdez, créez-en un nouveau avec Créer un nouveau jeton ; l'ancien cesse immédiatement de fonctionner.
2. Définissez les rôles que vous souhaitez utiliser. Par exemple : le rôle d'application Administrator devient administrateur client, le rôle d'application Manager devient manager. Vous le configurez sur la même page, sous Règles de rôle. Toute personne sans rôle correspondant reçoit le rôle par défaut, généralement apprenant. Vous pouvez aussi utiliser les valeurs fixes indiquées sous Rôles ; vous n'avez alors rien à configurer.
3. Vérifiez vos domaines de messagerie. 2LRN4 n'accepte que les adresses des domaines configurés pour votre organisation. Signalez-nous à l'avance tout nouveau domaine.
4. Vérifiez votre licence Entra ID. L'affectation d'utilisateurs individuels fonctionne dans toutes les éditions d'Entra ID, y compris la version gratuite. L'affectation de groupes nécessite Microsoft Entra ID P1 ou P2.

Étape 1 : créer l'application

1. Rendez-vous sur entra.microsoft.com et ouvrez Enterprise applications.
2. Cliquez sur New application, puis sur Create your own application.
3. Donnez un nom à l'application, par exemple 2LRN4.
4. Choisissez Integrate any other application you don't find in the gallery (Non-gallery) et cliquez sur Create.

Étape 2 : créer des rôles d'application (pour les rôles)

Passez cette étape si tout le monde peut être apprenant.

1. Ouvrez App registrations, choisissez All applications et ouvrez l'application que vous venez de créer.
2. Allez dans App roles et cliquez sur Create app role.
3. Renseignez Display name et Value, par exemple Administrator pour les deux. Sous Allowed member types, choisissez Users/Groups, ajoutez une description et cliquez sur Apply.
4. Répétez l'opération pour chaque rôle que vous souhaitez utiliser, par exemple Manager. La valeur doit correspondre exactement à celle de vos règles de rôle dans le portail, ou à l'une des valeurs fixes.

Étape 3 : établir la connexion

1. Revenez à Enterprise applications, ouvrez l'application et choisissez Provisioning.
2. Réglez le Provisioning Mode sur Automatic.
3. Dépliez Admin Credentials. Si Entra y affiche un message indiquant que les identifiants ont été déplacés, cliquez sur le lien de ce message.
4. Laissez la méthode d'authentification sur Bearer authentication et renseignez :
   • Tenant URL : l'URL du locataire indiquée dans le portail.
   • Secret Token : le jeton que vous avez créé dans le portail.
5. Cliquez sur Test Connection. Si le test réussit, cliquez sur Create ou Save en bas de la page.

Étape 4 : transmettre le rôle

Par défaut, Entra envoie déjà le nom, l'adresse e-mail, le service et le statut. Pour le rôle, vous ajoutez un mappage.

1. Dans l'application, ouvrez Provisioning, puis Attribute mapping pour les utilisateurs.
2. Cliquez sur Add new mapping.
3. Sous Mapping type, choisissez Expression et saisissez comme expression : SingleAppRoleAssignment([appRoleAssignments])
4. Choisissez comme Target attribute : roles[primary eq "True"].value
5. Cliquez sur Ok, puis sur Save.

Dans la même liste, vérifiez que userPrincipalName est mappé vers userName. C'est l'adresse avec laquelle les collaborateurs se connectent. Si votre adresse e-mail diffère de l'adresse de connexion, prévenez-nous à l'avance.

Étape 5 : affecter les collaborateurs et tester

1. Dans l'application, ouvrez Users and groups et cliquez sur Add user/group.
2. Choisissez d'abord un utilisateur de test, sélectionnez le bon rôle d'application et cliquez sur Assign.
3. Allez dans Provisioning, choisissez Provision on demand, recherchez l'utilisateur de test et cliquez sur Provision. Entra indique pour chaque étape ce qui a été envoyé et si cela a réussi.
4. Vérifiez que le collaborateur apparaît dans 2LRN4 avec le bon service et le bon rôle. Si tout est correct, affectez les autres collaborateurs ou groupes.
5. Allez dans l'Overview de l'approvisionnement et cliquez sur Start provisioning. Entra envoie ensuite les modifications environ toutes les 40 minutes. Le premier cycle peut être plus long lorsqu'il y a beaucoup de collaborateurs.

Sous Settings, laissez le Scope sur Sync only assigned users and groups. Sinon, Entra envoie toute votre organisation.

Rôles

Le rôle dans 2LRN4 provient du rôle d'application que vous affectez dans Entra. Vous choisissez vous-même le nom de ces rôles d'application, dans n'importe quelle langue ; dans le portail, vous les associez aux rôles ci-dessous sous Règles de rôle. À chaque modification, 2LRN4 détermine à nouveau le rôle. Si vous changez le rôle d'application dans Entra, le rôle dans 2LRN4 change donc aussi. Un rôle que vous modifiez à la main dans 2LRN4 n'est pas conservé tant que SCIM gère le collaborateur.

Valeurs fixes. Si vous ne souhaitez pas configurer de règles de rôle, donnez à vos rôles d'application l'une de ces valeurs. 2LRN4 les reconnaît toujours, dans chaque organisation : 2LRN4.Admin (administrateur client), 2LRN4.Manager (manager), 2LRN4.Communication (communication), 2LRN4.Helpdesk (helpdesk) et 2LRN4.User (apprenant). Les majuscules et minuscules n'ont pas d'importance. Si une personne en a plusieurs, c'est la première de cette liste qui s'applique. Les règles de rôle du portail sont prioritaires.

• Via SCIM, seuls les rôles propres à votre organisation sont possibles : apprenant, manager, administrateur client, communication et helpdesk. Les rôles de 2LRN4 ou d'un partenaire ne peuvent pas être attribués via SCIM.
• Toute personne sans rôle d'application, ou avec un rôle d'application sans règle de rôle, reçoit le rôle par défaut, généralement apprenant.
• Avec Entra ID P1, vous pouvez aussi associer des rôles à des groupes. Créez alors dans le portail une règle de rôle avec la source Groupe et le nom du groupe.

Un apprenant compte dans votre nombre de licences. Lorsque votre licence est complète, 2LRN4 refuse les nouveaux apprenants actifs jusqu'à ce qu'une place se libère. Les administrateurs et les managers ne comptent pas.

Connexion

Les collaborateurs créés via SCIM se connectent avec leur compte Microsoft. Voir Se connecter avec le compte de son organisation (SSO). Vous définissez vous-même sur la page SCIM du portail s'ils reçoivent un e-mail de bienvenue. Les messages habituels concernant les cours sont envoyés comme pour tout nouvel utilisateur.

Résolution des problèmes

Dans Provisioning logs, Entra indique pour chaque collaborateur ce qui s'est passé. Les messages les plus fréquents :

• Test Connection échoue. Vérifiez que l'URL du locataire correspond exactement à celle du portail et que le jeton a été copié en entier. En cas de doute, créez un nouveau jeton. Si cela ne fonctionne toujours pas, vérifiez que la connexion SCIM est activée dans le portail.
• Le domaine de messagerie n'appartient pas à cette organisation. L'adresse se situe en dehors des domaines configurés pour votre organisation.
• Un compte avec cette adresse e-mail existe déjà. L'adresse est déjà utilisée dans 2LRN4 en dehors de votre organisation. Contactez-nous ; nous vérifierons à qui elle appartient. Un compte qui figurait déjà dans votre propre organisation est simplement repris par SCIM.
• La licence de cette organisation est complète. Il n'y a plus de place pour un apprenant actif supplémentaire. Désactivez les collaborateurs partis ou étendez votre licence.
• Trop de désactivations en peu de temps. Lorsque de nombreux départs arrivent en moins d'une heure, 2LRN4 les retient jusqu'à ce que nous les ayons vérifiés. Ainsi, une erreur, comme un groupe vidé, ne peut pas désactiver tout le monde d'un coup. Si les départs sont corrects, contactez-nous. Après notre validation, Entra traite automatiquement les modifications au cycle suivant.

Si vous êtes bloqué, écrivez à support@2lrn4.com. Indiquez le nom de votre organisation et l'heure du message. Nous pouvons voir dans le journal de la connexion ce qui est arrivé.