Configurer la gestion des utilisateurs (SCIM)

Vous pouvez utiliser les fonctions de création et de suppression de comptes utilisateurs, associées au protocole SAML, pour créer et supprimer des comptes instantanément.

Who can use this feature

Users on Professional plans and above.

Présentation

Après avoir configuré l’authentification unique (SSO) SAML dans Tulip{target=_blank}, vous souhaiterez peut-être également créer et supprimer des comptes d’utilisateurs en temps réel, via l’API SCIM.

Avec SCIM, votre fournisseur d’identité (IdP) crée automatiquement des utilisateurs dans Tulip, met à jour leurs noms et les désactive lorsqu’ils quittent l’entreprise, ce qui vous permet de gérer les accès depuis un seul et même endroit. La configuration de SCIM comporte deux étapes : obtenir vos informations SCIM auprès de Tulip et configurer une application SCIM personnalisée dans votre IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Étape 1 : Obtenir vos informations SCIM auprès de Tulip

Pour connecter votre IdP à Tulip, vous devrez saisir deux valeurs fournies par Tulip dans une application SCIM personnalisée au sein de votre IdP (voir Étape 2) :- URL du tenant : le point de terminaison SCIM vers lequel votre IdP envoie ses requêtes.- Clé API/Secret : le jeton Bearer que votre IdP utilise pour s’authentifier auprès de Tulip. Conservez-les en lieu sûr.

Pour les trouver dans Tulip : 1. Accédez aux « Paramètres du compte » et cliquez sur la page « SAML ». 2. Sélectionnez l’onglet « SCIM ».

Copiez l’URL du tenant. Générez ensuite une clé API (ou régénérez-la si elle existe déjà) et copiez la clé API et le secret. Vous devez être administrateur système ou propriétaire du compte pour effectuer cette opération. Conservez ces deux valeurs à portée de main pour l’étape 2.

Étape 2 : Créez une application SCIM personnalisée dans votre IdP

Tulip ne fournit pas d’application SCIM préconfigurée ni de configuration pour les fournisseurs d’identité ; vous devrez donc créer une application personnalisée (hors galerie) dans votre IdP.

Saisissez dans cette application l’URL du locataire ainsi que la clé API et le secret que vous avez copiés à l’étape 1. Selon votre IdP, ces champs peuvent porter des noms différents (par exemple, « Secret Token »).

Lorsque vous configurez l’application, assurez-vous que votre IdP est configuré comme suit : - Associez l’attribut IdP correspondant au nom d’utilisateur SCIM à la même valeur que celle envoyée par votre IdP en tant que NameID SAML. Cela permet aux utilisateurs provisionnés de se connecter lors de leur première connexion SAML.- Vérifiez les mappages de votre nom d’utilisateur et de votre adresse e-mail avant d’attribuer des utilisateurs. Ces valeurs sont fixes une fois l’utilisateur provisionné. - Désactivez le provisionnement des groupes. Tulip ne provisionne que les utilisateurs ; les groupes ne sont pas synchronisés via SCIM.

Microsoft Entra ID

Pour les utilisateurs de Microsoft Entra comme IdP, l’application Tulip de la galerie Entra prend uniquement en charge l’authentification unique SAML et ne comporte pas d’onglet « Provisioning ». Ce comportement est normal et ne signifie pas qu’une configuration est incorrecte.

Pour utiliser SCIM avec Microsoft Entra ID :

Dans le centre d’administration Microsoft Entra, accédez à Entra ID > Applications d’entreprise > Nouvelle application > Créer votre propre application.
1. Donnez-lui un nom, sélectionnez « Intégrer toute autre application que vous ne trouvez pas dans la galerie (Hors galerie) », puis créez-la. Utilisez cette application uniquement pour le provisionnement.
Dans la nouvelle application, sélectionnez « Provisioning » > « Connecter votre application ».
1. Définissez la méthode d’authentification sur « Authentification Bearer ».
2. Saisissez l’URL de votre locataire (https:///scim/v2) et la clé API obtenue à l’étape 1 comme jeton secret, puis sélectionnez Tester la connexion.
Ouvrez « Mappage des attributs ». Associez l’attribut SCIM « userName » à la même valeur que votre « NameID » SAML, puis désactivez le mappage des groupes.
Dans l’onglet « Utilisateurs et groupes », attribuez des utilisateurs individuels. N’attribuez pas de groupes, car Tulip ne prend pas en charge leur synchronisation et le provisionnement échouera.
Utilisez « Provisionnement à la demande » pour tester un utilisateur, puis sélectionnez « Démarrer le provisionnement ».

Étant donné qu’Entra et d’autres fournisseurs d’identité (IdP) peuvent nécessiter une personnalisation supplémentaire pour votre environnement, contactez votre administrateur IdP ou l’assistance Tulip si vous avez besoin d’aide pour planifier votre déploiement.

Fonctionnalités prises en charge

Tulip prend en charge les mises à jour en temps réel suivantes via l’API SCIM : - Création d’utilisateurs - Mises à jour du nom d’un utilisateur - Suppression / désactivation d’utilisateurs

Création d’utilisateurs

Au sein de votre IdP, vous contrôlez quels utilisateurs ont accès à l’application Tulip.

Lorsque Tulip est enregistré en tant que fournisseur de services, votre IdP utilise l’API SCIM pour provisionner tous les utilisateurs qui ont besoin d’accéder à Tulip. Ces utilisateurs seront créés automatiquement dans Tulip sans accès à aucune partie de la plateforme.

Une fois que vous aurez configuré SAML dans Tulip, lorsqu’un utilisateur se connectera via SAML pour la première fois, un espace de travail et un rôle lui seront attribués en fonction de votre configuration SAML.

Par la suite, lorsqu’un nouvel utilisateur devant avoir accès à Tulip est ajouté à votre IdP, il sera immédiatement provisionné dans Tulip sans accès à aucune autre partie de la plateforme.

Mises à jour du nom d’utilisateur

Lorsqu’un nom d’utilisateur est mis à jour dans votre IdP, ou si vous modifiez l’ordre du nom de famille et du prénom dans les paramètres SCIM de Tulip, les noms d’utilisateur seront mis à jour en temps réel sur la plateforme Tulip.

Suppression / désactivation d’un utilisateur

L’API SCIM utilise le terme « supprimer » pour désigner la suppression des droits d’accès des utilisateurs, mais dans Tulip, les utilisateurs ne peuvent être que désactivés, et non supprimés. Tulip prévoit que le point de terminaison « supprimer un utilisateur » ne soit utilisé que pour la désactivation des utilisateurs.

Lorsque le point de terminaison « delete user » est utilisé pour un utilisateur donné, celui-ci est immédiatement désactivé dans Tulip.

Points à garder à l’esprit lors de la configuration de SCIM avec Tulip

Pour faciliter le bon déroulement de votre déploiement, gardez à l’esprit les points suivants :

Réactivez les utilisateurs dans Tulip. Lorsqu’un utilisateur est supprimé ou désactivé dans votre IdP, SCIM le désactive dans Tulip. SCIM ne peut pas annuler cette opération ; par conséquent, si vous ajoutez ou réactivez ultérieurement ce même utilisateur dans votre IdP, il restera désactivé dans Tulip. Pour lui redonner accès, réactivez l’utilisateur dans Tulip, puis lancez une synchronisation dans votre IdP (par exemple, « Provision on demand » dans Microsoft Entra ID) afin que les deux systèmes soient synchronisés.
Seuls certains utilisateurs sont visibles par SCIM. SCIM ne fonctionne qu’avec les utilisateurs disposant d’une adresse e-mail et d’un NameID SAML. Les utilisateurs qui ne remplissent pas ces deux conditions n’apparaissent pas dans SCIM ; votre IdP ne peut donc pas les voir et les modifications effectuées dans votre IdP ne s’appliqueront pas à eux. Si la synchronisation d’un utilisateur ne se déroule pas comme prévu, vérifiez d’abord qu’il dispose bien d’une adresse e-mail et d’un NameID SAML.