Comment automatiser le provisioning et le déprovisioning des utilisateurs avec Entra ID (Azure AD) et SCIM

Le provisioning et le déprovisioning des utilisateurs forment un cycle de vie continu : arrivée → évolution → départ. Réalisé manuellement, ce processus est non seulement chronophage, mais il peut aussi entraîner des retards, des incohérences et des risques de sécurité. L’automatisation du processus grâce au provisioning des utilisateurs Microsoft Entra ID (Azure AD) via SCIM et aux Lifecycle Workflows d’Entra ID Governance permet d’éliminer ces risques.

Les entreprises peuvent créer, mettre à jour ou désactiver automatiquement des comptes utilisateur dans Microsoft 365, les applications SaaS et les systèmes métier, en fonction de déclencheurs RH, d’appartenances à des groupes ou de changements de rôle. Avec l’automatisation en place, vous bénéficiez de :

• la création et la suppression de comptes sans intervention manuelle
• l’attribution automatique des rôles, des groupes et des licences
• la désactivation quasi en temps réel lors d’un départ ou d’un offboarding
• la journalisation d’audit centralisée et la visibilité sur la conformité
• la réduction du risque de comptes orphelins sur les plateformes tierces

Ce guide explique comment mettre en place le provisioning et le déprovisioning basés sur SCIM dans Microsoft Entra ID (anciennement Azure AD), ainsi que la voie sans code des Lifecycle Workflows que Microsoft recommande désormais pour l’onboarding et l’offboarding pilotés par les RH, de la configuration initiale jusqu’à la surveillance et aux contrôles de conformité.

🎥 Le guide vidéo présente les six méthodes à l’écran : Comment automatiser le provisioning et le déprovisioning des utilisateurs avec Entra ID (Azure AD) et SCIM.

Les méthodes à connaître pour automatiser le provisioning et le déprovisioning des utilisateurs avec Entra ID et SCIM

Avant d’aborder les méthodes, assurez-vous de remplir les conditions suivantes pour éviter les erreurs :

Prérequis généraux :

• « licence Microsoft Entra ID Premium (P1 ou P2).
• accès au portail Azure (rôle Administrateur général ou Administrateur d’identité)
• applications SaaS compatibles SCIM 2.0 (par exemple Slack, Zoom, GitHub, Adobe, Salesforce)
• points de terminaison API ou jetons SCIM pour les intégrations personnalisées
• module PowerShell : Microsoft.Graph

Facultatif : intégration d’une plateforme RMM (par exemple NinjaOne) pour gérer les changements sur les terminaux

Méthode 1 : configurer une application d’entreprise avec le provisioning SCIM dans Microsoft Entra ID

Cette méthode utilise le moteur de provisioning d’Entra ID pour transmettre automatiquement les informations des utilisateurs aux applications SaaS via SCIM.

Cas d’utilisation : utilisez cette méthode pour intégrer Entra ID à des applications SaaS comme Zoom, Slack, etc.

Étape par étape :

1. Ouvrez Centre d’administration Microsoft Entra > Microsoft Entra ID > Applications d’entreprise.
2. Cliquez sur + Nouvelle application, sélectionnez l’application compatible SCIM souhaitée (par exemple GitHub, Dropbox, ServiceNow), puis cliquez sur Créer.
3. Accédez à l’onglet Provisionnement dans le menu Gérer.
4. Définissez le Mode de provisionnement sur Automatique.
5. Saisissez l’URL du terminal SCIM et le jeton secret (fournis par le fournisseur SaaS).
6. Cliquez sur Autoriser dans la section Informations d’identification de l’administrateur. Vous serez redirigé vers la page de connexion du fournisseur SaaS (par exemple Dropbox), où vous devrez vous connecter avec un compte administrateur pour accorder l’accès à Microsoft Entra.
7. Une fois l’autorisation terminée, utilisez Tester la connexion pour vérifier la configuration.
8. Dans Mappages, définissez les transformations d’attributs (par exemple userName, emails. value, userPrincipalName).
9. Cliquez sur Enregistrer et réglez l’état du provisionnement sur Activé.

Entra ID va désormais provisionner automatiquement les utilisateurs en fonction de l’appartenance aux groupes ou des modifications de l’annuaire.

Méthode 2 : utiliser l’accès basé sur les groupes pour un provisioning dynamique

Cette méthode provisionne automatiquement les utilisateurs dans les applications selon leur appartenance à un groupe. Lorsqu’un utilisateur rejoint ou quitte un groupe, l’accès est automatiquement accordé ou révoqué.

Cas d’utilisation : utilisez cette méthode pour accorder l’accès aux applications en fonction du service ou du rôle (par exemple, toutes les personnes du groupe Marketing accèdent à Canva).

Prérequis :

• groupes de sécurité ou Microsoft 365 dans Entra ID
• application d’entreprise configurée pour le provisioning

Étape par étape :

1. Créez ou identifiez un groupe de sécurité ou un groupe dynamique dans Entra ID.
2. Attribuez le groupe à une application d’entreprise connectée en SCIM via Application d’entreprise > [Nom de l’application] > Utilisateurs et groupes > Ajouter un groupe.
3. Définissez des règles d’appartenance dynamique (par exemple, selon le service, l’intitulé du poste ou la localisation).

(Voir le point n° 1 Points de vigilance.)

Exemple de règle :

Les utilisateurs ajoutés à ce groupe (via une synchronisation RH ou l’onboarding) sont automatiquement provisionnés dans l’application connectée avec les rôles ou permissions mappés.

Méthode 3 : automatiser les tâches de provisioning avec PowerShell et Microsoft Graph

Cette méthode s’appuie sur des scripts PowerShell et l’API Microsoft Graph pour gérer les utilisateurs et les tâches de provisioning par programmation.

Cas d’utilisation : utilisez cette méthode pour gérer un onboarding ou un offboarding en masse, pour l’intégration avec des systèmes RH, ou lorsque vous avez besoin d’une logique de provisioning personnalisée

Prérequis :

• Vous devez exécuter PowerShell en tant qu’administrateur.
• SDK PowerShell Microsoft Graph

Étape par étape :

Exécutez les commandes suivantes :

1. Ouvrez PowerShell en tant qu’administrateur (voir le point n° 2 ⚠️ Points de vigilance.)

2. Connectez-vous à Microsoft Graph avec des portées suffisantes

3. Créez un nouvel utilisateur dans Entra ID

4. Ajoutez l’utilisateur au groupe de provisioning :

5. Désactivez un utilisateur pour le déprovisioning

6. Retirez l’utilisateur de tous les groupes d’applications

Remarques :

• Remplacez les valeurs d’exemple (comme Jane Doe, [email protected], $GroupId, $UserId et TempPass123 !) par les données réelles de votre tenant.
• Vous ne pouvez pas retirer de membres d’un groupe dynamique : l’appartenance y est définie par des règles.
• Utilisez des scripts RMM planifiés ou déclenchés pour les exécuter lors des événements d’onboarding ou d’offboarding.

Méthode 4 : automatiser l’onboarding et l’offboarding avec les Lifecycle Workflows d’Entra ID

Là où les méthodes 1 à 3 exigent de créer et de maintenir vous-même la logique d’automatisation, les Lifecycle Workflows proposent des modèles prêts à l’emploi et sans code pour ces mêmes événements d’arrivée, de mobilité et de départ.

Cas d’utilisation : utilisez cette méthode si vous souhaitez un onboarding et un offboarding pilotés par les RH, sans avoir à maintenir de scripts PowerShell ou de Logic Apps personnalisés.

Prérequis :

• licence Microsoft Entra ID Governance ou Microsoft Entra Suite pour les utilisateurs couverts par les Lifecycle Workflows.
• attribut employeeHireDate renseigné dans Entra ID pour que les workflows d’onboarding se déclenchent correctement
• pour les workflows basés sur des dates, employeeHireDate et/ou employeeLeaveDateTime doivent être renseignés et synchronisés dans Microsoft Entra ID.
• attributs de responsable affectés aux comptes utilisateur, si les workflows incluent des notifications ou des approbations basées sur le responsable

Étape par étape :

1. Connectez-vous au centre d’administration Microsoft Entra sur entra.microsoft.com.
2. Dans le menu de gauche, allez dans Gouvernance des identités > Lifecycle Workflows.
3. Vérifiez que la fonction est activée pour votre entreprise.
4. Cliquez sur Créer un workflow et choisissez un modèle d’onboarding ou d’offboarding (par exemple « Onboard pre-hire employee » ou « Offboard employee »).
5. Définissez la condition de déclenchement (par exemple « 2 jours avant la date de début » ou « le dernier jour de l’employé »).
6. Ajoutez des tâches au workflow, comme générer un pass d’accès temporaire, envoyer un e-mail de bienvenue, ou désactiver le compte et retirer les appartenances aux groupes.
7. Examinez le workflow dans l’historique des workflows et les journaux d’audit avant de l’activer en production.

Méthode 5 : utiliser CMD (invite de commande) et les GPO pour contrôler le comportement des comptes locaux après le déprovisioning cloud

Cette méthode garantit que les comptes Windows locaux sont verrouillés ou supprimés après le déprovisioning d’un utilisateur dans Entra ID, afin d’éviter les risques de sécurité.

Cas d’utilisation : utilisez cette méthode si vous disposez d’appareils joints à Entra ID hybride ou cogérés, et que vous souhaitez bloquer l’accès local après le déprovisioning.

Prérequis :

• accès à la stratégie de groupe
• appareils joints au domaine ou hybrides

Instructions :

1. Désactivez les connexions de domaine mises en cache après le déprovisioning
   1. Appuyez sur Win + S et saisissez cmd.
   2. Faites un clic droit sur l’Invite de commandes, puis sélectionnez Exécuter en tant qu’administrateur.
   3. Exécutez la commande suivante :

2. Utilisez la stratégie de groupe pour forcer la déconnexion ou le verrouillage des sessions après la désactivation dans le cloud (voir le point n° 3 ⚠️ Points de vigilance.)
   1. Appuyez sur Win + R, saisissez gpedit.msc, puis appuyez sur Entrée pour ouvrir l’Éditeur de stratégie de groupe.

Remarque : utilisez gpmc.msc pour la console de gestion des stratégies de groupe sur les contrôleurs de domaine.

1. 2. Accédez à :

1. 3. Recherchez et modifiez le paramètre :

• • • Réglez la valeur sur 0

3. Planifiez un script d’arrêt ou de verrouillage pour les utilisateurs déprovisionnés

1. 1. Appuyez sur Win + S, saisissez cmd ou PowerShell, puis appuyez sur Entrée pour lancer l’outil.
   2. Exécutez :

Intégrez ces scripts au RMM pour aligner le comportement des terminaux sur le statut Azure.

Méthode 6 : contrôles du registre pour appliquer le cycle de vie des comptes

Cette méthode modifie des clés du registre Windows afin d’appliquer des règles plus strictes de session utilisateur ou de suppression de compte.

Cas d’utilisation : utilisez cette méthode si vous souhaitez un contrôle fin sur les machines Windows (sur site ou hybrides).

Prérequis :

• accès administrateur à l’Éditeur du registre

Avertissement : la modification du registre peut provoquer des dysfonctionnements du système. Créez une sauvegarde avant de continuer.

Instructions : (voir le point n° 4 Points de vigilance.)

1. Bloquez les identifiants mis en cache de façon persistante

1. 1. Appuyez sur Win + R, saisissez regedit, puis appuyez sur Entrée pour lancer l’Éditeur du registre.
   2. Accédez à :

1. 3. Recherchez et double-cliquez sur la valeur nommée CachedLogonsCount.

Si la valeur n’existe pas encore, créez-la manuellement via Nouveau > Valeur chaîne (REG_SZ).

1. 4. Réglez sa valeur sur 0.
   5. Fermez l’Éditeur du registre.

2. Suivez la dernière connexion réussie pour détecter les comptes orphelins

1. 1. Appuyez sur Win + R, saisissez regedit, puis appuyez sur Entrée pour lancer l’Éditeur du registre.
   2. Accédez à :

1. 3. Recherchez la valeur :

Utilisez des scripts RMM pour analyser les valeurs du registre et identifier les comptes inactifs ou inutilisés à traiter.

Méthode 7 : surveiller et auditer les événements de provisioning

Cas d’utilisation : utilisez cette méthode pour suivre les actions de provisioning à des fins de dépannage, de sécurité et de conformité.

Prérequis :

• Entra ID Premium avec une licence Exchange Online
• journal d’audit unifié activé dans Microsoft Purview

Instructions :

1. Utilisez les journaux d’audit Azure pour examiner l’activité de provisioning

1. 1. Ouvrez PowerShell.
   2. Installez et importez le module Exchange Online

1. 3. Connectez-vous à Microsoft Purview

1. 4. Lancez la recherche dans le journal d’audit unifié :

💡 Vous pouvez ajouter des filtres de date pour définir la plage :

2. Configurez des alertes pour les anomalies de provisioning dans Azure

Utilisez Microsoft Sentinel ou Microsoft 365 Defender pour déclencher des alertes sur :

• • la création excessive d’utilisateurs
  • les modifications non autorisées d’appartenance aux groupes
  • les échecs d’appels de provisioning SCIM

⚠️ Points de vigilance

Points complémentaires à prendre en compte

Voici les aspects opérationnels et de sécurité essentiels à connaître pour un déploiement basé sur SCIM avec Microsoft Entra ID :

Limitation du débit SCIM

Les API SCIM sont soumises à des limites de débit fixées par les fournisseurs SaaS. Ces limites déterminent le nombre d’opérations de provisioning traitables sur une période donnée.

Des volumes élevés peuvent déclencher une limitation ou un rejet des requêtes, ce qui retarde la synchronisation. Consultez toujours les limites de débit SCIM du fournisseur et son comportement en charge.

Mappage des attributs

Microsoft Entra ID transmet aux applications cibles des attributs utilisateur tels que le nom, l’e-mail et le service. Ceux-ci doivent correspondre au schéma attendu par l’application, faute de quoi le provisioning peut échouer silencieusement ou aboutir à des accès mal configurés.

Utilisez la fonction de mappage d’attributs personnalisé de Microsoft Entra ID pour aligner les champs sur le schéma SCIM. De plus, testez les mappages en environnement de préproduction avant d’activer le provisioning automatique.

Attribution des licences

Certaines applications exigent qu’une licence valide soit attribuée à l’utilisateur avant que le provisioning puisse aboutir. Utilisez la gestion des licences par groupe dans Microsoft Entra ID pour automatiser l’attribution des licences.

Connecteurs SCIM personnalisés

Pour les applications qui ne prennent pas en charge SCIM nativement, vous pouvez créer une passerelle avec Azure SCIM Gateway ou développer des intégrations personnalisées avec Azure Logic Apps, Azure Functions ou Power Automate.

Sécurité et conformité

Les comptes inactifs représentent de sérieux risques de sécurité. Si le déprovisioning tarde, des utilisateurs peuvent conserver l’accès à des systèmes sensibles. Pour une sécurité maximale, utilisez des déclencheurs de déprovisioning automatisés et journalisez tous les événements d’accès.

Dépannage

Voici comment identifier et résoudre les problèmes courants des déploiements de provisioning SCIM avec Microsoft Entra ID :

Délai de provisioning

Le provisioning d’Entra ID via SCIM ne se fait pas en temps réel. Les cycles de synchronisation s’exécutent généralement toutes les 20 à 40 minutes pour la plupart des applications d’entreprise, et des retards peuvent survenir en raison d’une limitation de débit ou d’appels d’API en échec. Voici ce que vous pouvez faire :

1. Accédez à Portail Azure > Azure AD > Applications d’entreprise > [Votre application] > Provisionnement
2. Vérifiez :
   • l’heure de début et de fin de la dernière synchronisation
   • l’état de la connexion SCIM
   • les journaux de provisioning (examinez les causes d’échec, les nouvelles tentatives et l’état de quarantaine).

Utilisateurs non synchronisés

Si les utilisateurs n’apparaissent pas dans l’application cible après le provisioning :

• Vérifiez que les utilisateurs sont bien affectés à l’application :

Azure AD > Applications d’entreprise > [Application] > Utilisateurs et groupes

• Vérifiez le mappage des attributs :

Azure AD > Application d’entreprise > Provisionnement > Mappages

Assurez-vous que le groupe est bien inclus dans le périmètre de provisioning.

Échec du déprovisioning

Si des utilisateurs restent actifs dans l’application après leur suppression, voici ce que vous devez faire :

• Vérifiez que le jeton SCIM est toujours valide et dispose des permissions de suppression.
• Certaines applications désactivent les utilisateurs en définissant active=false plutôt qu’en les supprimant. Consultez le schéma SCIM de l’application.
• Si nécessaire, supprimez l’utilisateur manuellement ou appelez directement l’API de l’application.

Erreurs PowerShell

Les échecs PowerShell proviennent le plus souvent de permissions déléguées Microsoft Graph (portées) manquantes, de jetons expirés, d’identifiants d’objet incorrects ou de rôles Microsoft Entra ID insuffisants. Voici ce que vous pouvez faire :

• Connectez-vous à Microsoft Graph avec les portées adéquates :

Connect-MgGraph -Scopes "User.ReadWrite.All", "Group.ReadWrite.All"

• Vérifiez votre contexte :

Get-MgContext

Validez les identifiants d’objet avant de les transmettre aux opérations Graph.

Les services NinjaOne

Alors que le cycle de vie des utilisateurs est piloté dans Entra ID et les plateformes SaaS, NinjaOne renforce la conformité et son application sur les terminaux pendant le provisioning et le déprovisioning :

Avec NinjaOne, les MSP et les équipes informatiques peuvent s’assurer que la gouvernance des identités dans le cloud s’appuie sur un comportement réactif et conforme aux politiques au niveau des appareils.

Automatiser le provisioning et le déprovisioning des utilisateurs avec Microsoft Entra ID (Azure AD) et SCIM

Automatiser le provisioning et le déprovisioning des utilisateurs avec Microsoft Entra ID et SCIM améliore la gestion du cycle de vie des identités, réduit les risques de sécurité et facilite la conformité. Surtout, cela accélère considérablement l’onboarding et l’offboarding sur l’ensemble des applications cloud et des appareils connectés.

Ce guide a présenté les éléments clés d’un cadre de provisioning sécurisé et évolutif, de la configuration de Microsoft Entra ID et de SCIM à l’extension de l’automatisation avec PowerShell et Microsoft Graph. Il a également expliqué comment appliquer les politiques d’accès au niveau des terminaux à l’aide de scripts CMD, de la stratégie de groupe et de contrôles du registre, ainsi que la manière de surveiller et d’auditer les changements d’identité pour une visibilité complète.

Enfin, nous avons vu comment NinjaOne enrichit cet écosystème en alignant le comportement des appareils sur la politique d’identité.

Sujets connexes :

• Qu’est-ce que la jonction Azure AD hybride et comment la configurer
• Azure AD Connect : ce que c’est et comment le configurer
• Provisioning des appareils
• Intégration de l’authentification unique (SSO) et de SCIM
• Gestion des utilisateurs Active Directory