Gestion des identités NinjaOne avec le Système de gestion des identités interdomaines (SCIM)

Rubrique

Cet article explique comment gérer les identités des utilisateurs via le Système de gestion des identités interdomaines (SCIM) avec NinjaOne.

Environnement

Plateforme NinjaOne
Intégrations NinjaOne
Microsoft Entra ID

Description

Intégrez votre fournisseur d’identité (IdP) via SCIM pour créer et supprimer automatiquement des techniciens et des utilisateurs finaux au sein de NinjaOne.

Cet article sert de point de départ pour la configuration du SCIM dans NinjaOne. La configuration dépend de votre configuration spécifique de Microsoft Entra ; nous vous recommandons donc de consulter la section « Ressources complémentaires » pour trouver les procédures associées.

Comment intégrer Microsoft Entra, partie 2 (NinjaOne, Inc., 04:33) — Reportez-vous à la section «Intégrations NinjaOne : Configurer le langage de balisage des assertions de sécurité (SAML) pour Microsoft Entra ID » pour la partie 1

Chapitres

0 à 0:34 - Introduction - regardez d’abord la partie 1 !
De 0:35 à 1:02 — Création de rôles d'application
1:03 à 1:31 – Attribution de rôles d’application à des groupes d’utilisateurs
1:32 à 1:59 - Configurer le SCIM dans NinjaOne
De 2:00 à 2:47 - Création et mappage de l'attribut userType
De 2:48 à 3:16 - Limitation des utilisateurs finaux à des organisations spécifiques
De 3 min 17 s à 3 min 35 s - Mappage avancé des attributs
De 3:36 à 3:47 - Provisionnement
De 3:48 à 4:00 - Cartographier les groupes aux rôles
De 4 h 01 à 4 h 10 - Désactivation des utilisateurs
De 4:11 à la fin - Intégrations à Intune

Indexer

Sélectionnez une rubrique pour en savoir plus :

Considérations importantes
Configuration SCIM
Cartographie des groupes dans NinjaOne
Désactiver le SSO et le SCIM
Consulter les activités SCIM et SSO
Ressources complémentaires

Considérations importantes

Tenez compte des éléments suivants :

Si vous créez un IdP pour un fournisseur qui ne prend pas en charge l'utilisation des groupes, vous obtiendrez une erreur lorsque vous tenterez de configurer l'affectation de groupes pour le SCIM.
Les utilisateurs gérés via SCIM ne peuvent pas être modifiés ni supprimés dans NinjaOne, sauf si SCIM est temporairement désactivé. Vous pouvez toutefois modifier le numéro de téléphone, la langue et d’autres paramètres mineurs non gérés par SCIM. La suppression et la modification des utilisateurs doivent être effectuées dans l’IdP.
Les utilisateurs provisionnés via SCIM ne recevront pas d’invitation à configurer leur mot de passe ou leur authentification multifactorielle (MFA), car leurs adresses e-mail seront déjà considérées comme actives par le fournisseur d’identité.
Lors de la révocation de jetons SCIM ou de la désactivation du SSO, l’utilisateur sera invité à vérifier l’authentification multifactorielle (MFA) en saisissant le code time-based.
Vous ne pouvez pas désigner d’administrateurs système via SCIM. Vous devez les désigner manuellement dans NinjaOne. Pour savoir comment ajouter un administrateur système, consultez la section « Plateforme NinjaOne : Créer un compte de technicien ».
Lorsque les utilisateurs ne sont plus membres de l’entreprise, le fournisseur d’identité (IdP) les marquera automatiquement comme « Inactifs » dans NinjaOne. Ils apparaîtront toutefois toujours dans la liste des utilisateurs.

Configuration SCIM

Les instructions suivantes utilisent Microsoft Entra ID à titre d’exemple. Si vous souhaitez utiliser Okta comme fournisseur d’identité (IdP), consultez l’article « NinjaOne Identity Access Management (IAM) : Activer SCIM pour votre fournisseur d’identité». Les instructions de cet article partent du principe que votre fournisseur d’identité prend en charge SCIM. Vous devez tester une configuration SSO hybride avant d’activer le SSO via NinjaOne.

Pour activer SCIM et générer le jeton secret, procédez comme suit :

Créez une application Microsoft Entra ID Entreprise dans Microsoft Azure et configurez-la en tant que fournisseur d’identité (IdP) dans NinjaOne. Reportez-vous à l’article « Intégrations NinjaOne : Configurer le langage de balisage des assertions de sécurité (SAML) pour Microsoft Entra ID » pour obtenir des instructions.
Accédez à Administration → Comptes → Fournisseurs d’identité et ouvrez l’entrée du fournisseur Microsoft Entra ID que vous avez créée à l’étape précédente.
Cliquez sur « Activer » pour le protocole SCIM (Système de gestion des identités interdomaines (SCIM)).

IDP_edit SCIM.png — **Figure 1**: Modifier les paramètres SCIM de votre fournisseur d’identité

Activez le bouton « Activer le provisionnement SCIM » dans la boîte de dialogue de configuration, puis cliquez sur « Générer un jeton ». Laissez cette boîte de dialogue ouverte afin de pouvoir copier les données pour les étapes suivantes.

enable scim_generate token.png — **Figure 2**: Activer SCIM et générer un jeton

Copiez et conservez le jeton en lieu sûr. NinjaOne ne l'affichera qu'une seule fois. Le jeton secret SCIM expire six mois après sa génération par NinjaOne. Une fois expiré, vous devrez générer un nouveau jeton, puis le copier-coller dans votre fournisseur d'identité (IdP).

Provisionnement SCIM

Pour gérer le provisionnement SCIM, procédez comme suit :

Depuis le centre d’administration Microsoft Entra, accédez à Applications d’entreprise → Toutes les applications, puis localisez l’application NinjaOne que vous avez créée pour le processus d’authentification unique (SSO) de l’IdP.
Sélectionnez « Premiers pas » pour l’étape 3. Provisionnement des comptes utilisateurs.

entra_scim_provision user accounts.png — **Figure 3**: Provisionnement des comptes utilisateurs pour la configuration SCIM d’Entra ID

Cliquez sur « Connecter votre application ».
Dans NinjaOne, copiez l’URL du terminal API SCIM (URL du tenant) et collez-la dans le champ URL du locataire du centre d’administration Microsoft Entra.
Dans NinjaOne, copiez le Jeton secret SCIM et collez-le dans le champ « Jeton secret » du centre d'administration Microsoft Entra.

entra_scim_secret token.png — **Figure 4**: Copier-coller les jetons de NinjaOne dans Entra ID (cliquez pour agrandir)

Cliquez sur « Test de connexion », puis sur « Créer ».

Configurer les attributs

Si vous provisionnez des techniciens en plus des utilisateurs finaux, vous devez créer un attribut supplémentaire (reportez-vous à l’étape 6 de cette section). Si vous ne réalisez pas cette étape, tous les utilisateurs seront provisionnés en tant qu’utilisateurs finaux.

Pour configurer les attributs de votre fournisseur d’identité, procédez comme suit :

Dans votre application NinjaOne du centre d'administration Microsoft Entra, sélectionnez « Mappage des attributs », puis cliquez sur « Provisionner les utilisateurs Microsoft Entra ID ».

entra_scim_attribute mapping.png — **Figure 5**: Provisionner des utilisateurs Microsoft Entra ID (cliquez pour agrandir)

Faites défiler jusqu’à la section « Mappages d’attributs ». Cliquez sur « Modifier » pour configurer les attributs suivants, comme décrit dans le tableau ci-dessous.

Attribut « customappsso »	Attributs Azure Active Directory
Nom d’utilisateur	userPrincipalName
actif	Switch([IsSoftDeleted], , « Faux », « Vrai », « Vrai », « Faux »)
name.givenName	prénom
nom.nomDeFamille	nom de famille
externalId	objectId

Cliquez sur Supprimer pour supprimer tous les autres attributs du mappage, car ils ne sont pas en cours d’utilisation.
Cochez la case Montrer les options avancées, puis cliquez sur Modifier la liste des attributs pour customappsso.

entra_scim_edit attribute list for customappsso.png — **Figure 6**: Modifier la liste des attributs pour customappsso

Faites défiler jusqu'à la fin de la liste des attributs et ajoutez ce qui suit :
- Nom: urn:ietf:params:scim:schemas:extension:ninjaone:2.0:Utilisateur:organizationId
- Type: Chaîne
- Obligatoire ?: sélectionnez cette option
Laissez toutes les autres options vides et cliquez sur « Enregistrer ».
Si vous créez des techniciens NinjaOne avec SCIM, ajoutez l'attribut suivant pour le nom:

urn:ietf:params:SCIM:schemas:extension:ninjaone:2.0:Utilisateur:userType

entra_scim_attribute mapping_add new attribute2.png — **Figure 7**: Ajouter les nouveaux attributs à la liste de mappage (cliquez pour agrandir)

Mappage des utilisateurs finaux

Vous pouvez mapper des utilisateurs finaux à des organisations spécifiques dans NinjaOne ou les attribuer en tant que globaux, non affectés à un groupe particulier. Dans la plupart des cas, vous devriez utiliser des expressions pour affecter dynamiquement les utilisateurs à leurs organisations respectives.

Dans votre compte Microsoft Entra, accédez à Provisioning → Mappage d’attributs → Provisionnement des utilisateurs Microsoft Entra ID.
Ouvrez NinjaOne dans un onglet ou une fenêtre distincte, puis accédez à Administration → Organisations. Placez votre curseur sur le menu Actions situé à l’extrémité droite de la ligne Organisation et sélectionnez Copier l'identifiant de l'organisation.

copy org ID.png — **Figure 8**: Copier l’ID de l’organisation dans NinjaOne (cliquez pour agrandir)

Revenez à votre compte Microsoft Entra et cliquez sur « Ajouter un nouveau mappage ».

entra_scim_attribute mapping_add new mapping.png — **Figure 9**: Ajouter un nouveau mappage dans Microsoft Entra

Sélectionnez le type de mappage en fonction du nombre d’organisations auxquelles vous mappez les utilisateurs finaux :
- Sélectionnez « Constante » si vous mappez les utilisateurs finaux à une seule organisation. Collez ensuite l’ID de cette organisation dans le champ « Valeur constante ».
- Sélectionnez « Expression » si vous mappez des utilisateurs finaux à plusieurs organisations. Créez ensuite une expression faisant référence aux identifiants des organisations NinjaOne cibles, puis saisissez-la dans le champ « Valeur constante ». Les utilisateurs finaux sont mappés en fonction des résultats de cette expression. Pour en savoir plus sur la création d’expressions pour le mappage d’organisations, consultez la documentation « Référence pour l’écriture d’expressions pour les mappages d’attributs dans Microsoft Entra Application Provisioning - Microsoft Entra ID | Microsoft Learn » (lien externe).
Saisissez ce qui suit dans le champ « Attribut cible » pour associer les utilisateurs finaux à leur identifiant d’organisation NinjaOne respectif : urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:organizationId
Utilisez « All » comme ID d’organisation de l’utilisateur final pour créer un utilisateur final global.

edit attribute_entra.png — **Figure 10**: Utilisation d’un type de mappage constant pour l’attribut cible (cliquez pour agrandir)

Cliquez sur « Ok », et sur « Enregistrer ».

Définir le type d’utilisateur pour un utilisateur final ou un technicien

Par défaut, Entra ID crée des utilisateurs gérés par SCIM en tant que comptes d’utilisateurs finaux. Si vous avez ajouté l’attribut facultatif « Type d’utilisateur » à votre configuration SCIM comme décrit à l’étape 6 de la section « Configurer les attributs », vous pouvez désormais créer des comptes de techniciens via SCIM.

Les valeurs possibles pour cet attribut sont « Utilisateur final » ou « Technicien ». Si la valeur est vide ou manquante, vous créerez un Utilisateur final.

Dans votre compte Microsoft Entra, accédez à Provisioning → Mappage d’attributs → Provisionnement des utilisateurs Microsoft Entra ID.
Cliquez sur « Ajouter un nouveau mappage ».
Sélectionnez le type de mappage en fonction du type d’utilisateur que vous créez (Utilisateur final ou technicien) :
- Sélectionnez « Constante » lorsque vous créez des techniciens. Saisissez ensuite « technician » (sensible à la casse) dans le champ « Valeur constante ».
- Sélectionnez « Expression » si vous créez des comptes d’utilisateurs finaux et de techniciens . Créez ensuite une expression qui attribue la valeur « endUser » aux comptes d’utilisateurs finaux et la valeur « technician » aux techniciens. Les expressions sont sensibles à la casse. Pour en savoir plus sur la création d’expressions pour le mappage d’organisation, consultez la section « Référence pour l’écriture d’expressions pour les mappages d’attributs dans Microsoft Entra Application Provisioning - Microsoft Entra ID | Microsoft Learn » (lien externe).
Saisissez ce qui suit dans le champ « Attribut cible » pour mapper les utilisateurs finaux à leur type d’utilisateur respectif : urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:userType

entra_expression type and attribute.png — **Figure 11**: Utilisation d’un type de mappage d’expression pour l’attribut cible (cliquez pour agrandir)

Cliquez sur Ok, et puis sur Enregistrer.

Enregistrer la configuration

Revenez à la page Provisioning, activez l’option Provisioning Status, puis cliquez sur Enregistrer. NinjaOne procédera automatiquement au provisionnement des utilisateurs.

SCIM_entra_provisioning status.png — **Figure 12**: L'écran « Provisioning » dans Entra ID (cliquez pour agrandir)

Cartographie des groupes dans NinjaOne

Une fois le groupe provisionné dans votre fournisseur d'identité (IdP), il apparaîtra dans la section « Mappage des groupes » de la page « Fournisseur d'identité » dans NinjaOne. Le mappage des groupes vous permet d'attribuer des rôles d'utilisateur final ou de technicien à un groupe d'identité, y compris aux utilisateurs finaux globaux ; toutefois, vous ne pouvez pas attribuer l'autorisation d'administrateur système à un groupe via SCIM.

Groupe d’identité: groupes cartographiés à partir du fournisseur d’identité (IdP)
Rôles utilisateur: Rôles attribués au groupe

Pour modifier la cartographie des groupes de votre fournisseur d’identité, procédez comme suit :

Si vous êtes administrateur système, vous pouvez ajouter des rôles aux utilisateurs de chaque groupe en cliquant sur « Modifier ».

Si vous n’avez pas configuré de cartographie des groupes entre Entra ID et votre division NinjaOne, aucune option de cartographie éligible ne s’affichera.

IDP_edit group mapping.png — **Figure 13**: Modifier la cartographie des groupes

Ajoutez un ou plusieurs rôles à chaque menu déroulant selon vos besoins. Les utilisateurs marqués comme « utilisateurs finaux » se verront attribuer des rôles d’utilisateurs finaux, et ceux marqués comme « techniciens » se verront attribuer des rôles de techniciens.

scim_map groups.png — **Figure 14**: Mappage des groupes de techniciens et d’utilisateurs finaux

NinjaOne affichera chaque utilisateur et son rôle sur la page de configuration du compte NinjaOne, ce qui vous permettra de suivre le mappage ou de le modifier si nécessaire.

La colonne « Source » de la page de configuration du compte, dans la section « Rôles », indique si un rôle a été attribué manuellement ou via SCIM. Les rôles portant la mention « Native » ont été attribués manuellement.
Vous ne pouvez pas modifier dans NinjaOne les rôles attribués via SCIM. Vous devez les mettre à jour via l’IdP utilisé pour attribuer initialement ces rôles. Dans les exemples présentés dans cet article, vous devrez mettre à jour les rôles dans Microsoft Entra.

role assignment source.png — **Figure 15**: Source d’attribution des rôles (cliquez pour agrandir)

Désactiver l’authentification unique (SSO) et SCIM

Sur la page « Single Sign-On », vous pouvez désactiver le SSO, le Provisionnement SCIM et révoquer les jetons.

Désactiver l’authentification unique (SSO)

Pour désactiver le SSO en tant que fournisseur, procédez comme suit :

Accédez à Administration → Comptes → Fournisseurs d’identité.
Passez votre curseur sur l'IdP et cliquez sur le bouton du menu d'actions. Sélectionnez « Désactiver le SSO ».

IDP_disable sso.png — **Figure 16**: Désactiver l'authentification unique (SSO) pour un fournisseur d'identité (cliquez pour agrandir)

Désactiver SCIM

Pour désactiver le provisionnement SCIM, procédez comme suit :

Accédez à Administration → Comptes → Fournisseurs d’identité, puis cliquez sur le nom du fournisseur pour modifier ses paramètres.
Cliquez sur « Modifier » dans la section « Système de gestion des identités interdomaines (SCIM) ».
Cliquez sur « Désactiver le SCIM » dans le menu déroulant.

Révoquer le jeton

Pour révoquer un jeton, procédez comme suit :

Accédez à Administration → Comptes → Fournisseur d'identité, puis cliquez sur le nom du fournisseur pour modifier les paramètres.
Cliquez sur Modifier dans la section Système de gestion des identités interdomaines (SCIM).
Cliquez sur « Révoquer le jeton », puis cliquez à nouveau sur « Révoquer le jeton » dans la fenêtre de confirmation.
Cliquez sur « Fermer ».

Consulter les activités SCIM et SSO

Dans NinjaOne, accédez au tableau de bord du système ou de l'organisation → Activités → Tous.
Sélectionnez « SSO » dans le menu déroulant « Type d'activité ».

**Figure 17**: Afficher toutes les activités liées au SSO et au SCIM (cliquez pour agrandir)

Utilisez le menu déroulant « Statut » pour affiner la sélection des résultats. Des options sont disponibles pour les activités suivantes :

SCIM:
- Utilisateur final créé via SCIM
- Utilisateur final supprimé via SCIM
- Utilisateur final supprimé via SCIM
- Utilisateur final mis à jour via SCIM
- SCIM désactivé
- SCIM activé
- Jeton SCIM créé
- Jeton SCIM supprimé
- SSO créé
- SSO supprimé
- SSO désactivé
- SSO activé

Ressources complémentaires

Les ressources suivantes contiennent des informations supplémentaires sur NinjaOne SCIM :