Provisionnement automatique des utilisateurs avec SCIM guide

Avec une connexion SCIM, votre organisation envoie elle-même à 2LRN4 les nouveaux collaborateurs, les modifications et les départs, depuis Microsoft Entra ID, Okta ou Google. Vous n'avez pas besoin de donner à 2LRN4 un accès à votre propre environnement : c'est vous qui décidez qui et quoi est transmis. La connexion est gratuite et fonctionne avec chaque forfait.

Cette page décrit la configuration dans Microsoft Entra. Okta et Google utilisent les mêmes informations (l'URL du locataire et le jeton secret que vous recevez de notre part) ; seuls les écrans diffèrent. Les libellés ci-dessous suivent l'interface anglaise de Microsoft Entra.

SCIM fonctionne dans un seul sens. Les modifications vont de votre annuaire d'utilisateurs vers 2LRN4, jamais l'inverse.

Ce que fait la connexion

Nouveau collaborateur. Lorsque vous affectez une personne à l'application dans Entra, 2LRN4 crée le compte et l'inscrit au programme de formation de l'organisation.
Modification. Le nom, le service, la langue préférée et le rôle sont mis à jour. Si un service n'existe pas encore, 2LRN4 le crée.
Départ. Lorsque vous retirez une personne de l'application, ou que vous désactivez le compte, le collaborateur passe à l'état inactif dans 2LRN4. La progression et les certificats sont conservés ; ensuite, les durées de conservation habituelles s'appliquent.
Rôle. Un rôle d'application dans Entra détermine si une personne devient apprenant, manager ou administrateur (voir Rôles ci-dessous).

2LRN4 ne conserve que ce qui est nécessaire : nom, adresse e-mail, service, langue préférée, rôle et statut actif du compte. Les autres informations qu'Entra envoie, comme la fonction ou le numéro de téléphone, ne sont pas enregistrées.

Différence avec la synchronisation des utilisateurs

2LRN4 propose aussi la synchronisation des utilisateurs avec Microsoft Entra. Dans ce cas, 2LRN4 récupère lui-même les utilisateurs, au moyen d'une inscription d'application disposant d'un accès en lecture à vos utilisateurs et groupes. Avec SCIM, c'est l'inverse : Entra envoie les données, et 2LRN4 n'obtient aucun accès en lecture à votre locataire. C'est pourquoi de nombreuses équipes de sécurité préfèrent SCIM.

Utilisez l'une des deux méthodes par organisation, pas les deux en même temps. La synchronisation rend inactifs les collaborateurs qui ne figurent pas dans son groupe, même s'ils sont gérés par SCIM.

Avant de commencer

Demandez la connexion via support@2lrn4.com. Nous activons SCIM pour votre organisation et vous transmettons deux informations :
- l'URL du locataire (Tenant URL), l'adresse à laquelle Entra envoie les données ;
- un jeton secret qui commence par scim_. Traitez-le comme un mot de passe : avec ce jeton, il est possible de créer et de désactiver des comptes dans votre organisation. Nous l'affichons une seule fois ; si vous le perdez, nous en créons un nouveau et l'ancien cesse de fonctionner.
Indiquez-nous les rôles que vous souhaitez utiliser. Par exemple : le rôle d'application Administrator devient administrateur client, le rôle d'application Manager devient manager. Toute personne sans rôle correspondant devient apprenant.
Vérifiez vos domaines de messagerie. 2LRN4 n'accepte que les adresses des domaines configurés pour votre organisation. Signalez-nous à l'avance tout nouveau domaine.
Vérifiez votre licence Entra ID. L'affectation d'utilisateurs individuels fonctionne dans toutes les éditions d'Entra ID, y compris la version gratuite. L'affectation de groupes nécessite Microsoft Entra ID P1 ou P2.

Étape 1 : créer l'application

Rendez-vous sur entra.microsoft.com et ouvrez Enterprise applications.
Cliquez sur New application, puis sur Create your own application.
Donnez un nom à l'application, par exemple 2LRN4.
Choisissez Integrate any other application you don't find in the gallery (Non-gallery) et cliquez sur Create.

Étape 2 : créer des rôles d'application (pour les rôles)

Passez cette étape si tout le monde peut être apprenant.

Ouvrez App registrations, choisissez All applications et ouvrez l'application que vous venez de créer.
Allez dans App roles et cliquez sur Create app role.
Renseignez Display name et Value, par exemple Administrator pour les deux. Sous Allowed member types, choisissez Users/Groups, ajoutez une description et cliquez sur Apply.
Répétez l'opération pour chaque rôle convenu avec nous, par exemple Manager. La valeur doit correspondre exactement à ce que vous avez communiqué à 2LRN4.

Étape 3 : établir la connexion

Revenez à Enterprise applications, ouvrez l'application et choisissez Provisioning.
Réglez le Provisioning Mode sur Automatic.
Dépliez Admin Credentials. Si Entra y affiche un message indiquant que les identifiants ont été déplacés, cliquez sur le lien de ce message.
Laissez la méthode d'authentification sur Bearer authentication et renseignez :
- Tenant URL : l'adresse que vous avez reçue de 2LRN4.
- Secret Token : le jeton que vous avez reçu de 2LRN4.
Cliquez sur Test Connection. Si le test réussit, cliquez sur Create ou Save en bas de la page.

Étape 4 : transmettre le rôle

Par défaut, Entra envoie déjà le nom, l'adresse e-mail, le service et le statut. Pour le rôle, vous ajoutez un mappage.

Dans l'application, ouvrez Provisioning, puis Attribute mapping pour les utilisateurs.
Cliquez sur Add new mapping.
Sous Mapping type, choisissez Expression et saisissez comme expression : SingleAppRoleAssignment([appRoleAssignments])
Choisissez comme Target attribute : roles[primary eq "True"].value
Cliquez sur Ok, puis sur Save.

Dans la même liste, vérifiez que userPrincipalName est mappé vers userName. C'est l'adresse avec laquelle les collaborateurs se connectent. Si votre adresse e-mail diffère de l'adresse de connexion, prévenez-nous à l'avance.

Étape 5 : affecter les collaborateurs et tester

Dans l'application, ouvrez Users and groups et cliquez sur Add user/group.
Choisissez d'abord un utilisateur de test, sélectionnez le bon rôle d'application et cliquez sur Assign.
Allez dans Provisioning, choisissez Provision on demand, recherchez l'utilisateur de test et cliquez sur Provision. Entra indique pour chaque étape ce qui a été envoyé et si cela a réussi.
Vérifiez que le collaborateur apparaît dans 2LRN4 avec le bon service et le bon rôle. Si tout est correct, affectez les autres collaborateurs ou groupes.
Allez dans l'Overview de l'approvisionnement et cliquez sur Start provisioning. Entra envoie ensuite les modifications environ toutes les 40 minutes. Le premier cycle peut être plus long lorsqu'il y a beaucoup de collaborateurs.

Sous Settings, laissez le Scope sur Sync only assigned users and groups. Sinon, Entra envoie toute votre organisation.

Rôles

Le rôle dans 2LRN4 provient du rôle d'application que vous affectez dans Entra. À chaque modification, 2LRN4 détermine à nouveau le rôle. Si vous changez le rôle d'application dans Entra, le rôle dans 2LRN4 change donc aussi. Un rôle que vous modifiez à la main dans 2LRN4 n'est pas conservé tant que SCIM gère le collaborateur.

Via SCIM, seuls les rôles propres à votre organisation sont possibles : apprenant, manager, administrateur client, communication et helpdesk. Les rôles de 2LRN4 ou d'un partenaire ne peuvent pas être attribués via SCIM.
Toute personne sans rôle d'application, ou avec un rôle d'application non convenu, devient apprenant.
Avec Entra ID P1, vous pouvez aussi associer des rôles à des groupes. Communiquez-nous alors les noms des groupes.

Un apprenant compte dans votre nombre de licences. Lorsque votre licence est complète, 2LRN4 refuse les nouveaux apprenants actifs jusqu'à ce qu'une place se libère. Les administrateurs et les managers ne comptent pas.

Connexion

Les collaborateurs créés via SCIM se connectent avec leur compte Microsoft. Voir Se connecter avec le compte de son organisation (SSO). C'est nous qui définissons, par organisation, s'ils reçoivent un e-mail de bienvenue. Les messages habituels concernant les cours sont envoyés comme pour tout nouvel utilisateur.

Résolution des problèmes

Dans Provisioning logs, Entra indique pour chaque collaborateur ce qui s'est passé. Les messages les plus fréquents :

Test Connection échoue. Vérifiez que l'URL du locataire correspond exactement à l'adresse que vous avez reçue de notre part et que le jeton a été copié en entier. Si cela ne fonctionne toujours pas, la connexion est peut-être désactivée ; contactez-nous.
Le domaine de messagerie n'appartient pas à cette organisation. L'adresse se situe en dehors des domaines configurés pour votre organisation.
Un compte avec cette adresse e-mail existe déjà. L'adresse est déjà utilisée dans 2LRN4 en dehors de votre organisation. Contactez-nous ; nous vérifierons à qui elle appartient. Un compte qui figurait déjà dans votre propre organisation est simplement repris par SCIM.
La licence de cette organisation est complète. Il n'y a plus de place pour un apprenant actif supplémentaire. Désactivez les collaborateurs partis ou étendez votre licence.
Trop de désactivations en peu de temps. Lorsque de nombreux départs arrivent en moins d'une heure, 2LRN4 les retient jusqu'à ce que nous les ayons vérifiés. Ainsi, une erreur, comme un groupe vidé, ne peut pas désactiver tout le monde d'un coup. Si les départs sont corrects, contactez-nous. Après notre validation, Entra traite automatiquement les modifications au cycle suivant.

Si vous êtes bloqué, écrivez à support@2lrn4.com. Indiquez le nom de votre organisation et l'heure du message. Nous pouvons voir dans le journal de la connexion ce qui est arrivé.