{"id":886661,"date":"2026-09-29T16:55:40","date_gmt":"2026-09-29T16:55:40","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-automatiser-le-provisioning-et-le-deprovisioning-des-utilisateurs-avec-entra-id-azure-ad\/"},"modified":"2026-09-29T16:55:41","modified_gmt":"2026-09-29T16:55:41","slug":"comment-automatiser-le-provisioning-et-le-deprovisioning-des-utilisateurs-avec-entra-id-azure-ad","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-automatiser-le-provisioning-et-le-deprovisioning-des-utilisateurs-avec-entra-id-azure-ad\/","title":{"rendered":"Comment automatiser le provisioning et le d\u00e9provisioning des utilisateurs avec Entra ID (Azure AD) et SCIM"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Points cl\u00e9s<\/h2>\n<ul>\n<li>Application d&rsquo;entreprise avec provisioning SCIM\u00a0: configurez une application d&rsquo;entreprise Entra ID avec le provisioning SCIM pour cr\u00e9er, mettre \u00e0 jour et d\u00e9provisionner automatiquement les utilisateurs dans les applications SaaS en fonction des modifications de l&rsquo;annuaire.<\/li>\n<li>Provisioning dynamique bas\u00e9 sur les groupes\u00a0: affectez les utilisateurs \u00e0 des groupes de s\u00e9curit\u00e9 ou dynamiques dans Entra ID et reliez ces groupes aux applications d&rsquo;entreprise, afin que les acc\u00e8s soient automatiquement accord\u00e9s ou r\u00e9voqu\u00e9s selon les changements de r\u00f4le ou d&rsquo;attribut.<\/li>\n<li>Automatisation avec PowerShell et Microsoft Graph\u00a0: utilisez PowerShell et les API Microsoft Graph pour automatiser le provisioning, l&rsquo;affectation et le d\u00e9provisioning des utilisateurs et des groupes, en int\u00e9grant une logique d&rsquo;onboarding et d&rsquo;offboarding personnalis\u00e9e.<\/li>\n<li>Lifecycle Workflows d\u00e9clench\u00e9s par les RH\u00a0: utilisez les Lifecycle Workflows sans code d&rsquo;Entra ID Governance pour provisionner, mettre \u00e0 jour ou d\u00e9provisionner automatiquement les utilisateurs selon des \u00e9v\u00e9nements RH comme la date d&#8217;embauche, un changement de poste ou un d\u00e9part, sans script personnalis\u00e9.<\/li>\n<li>CMD (invite de commande) et strat\u00e9gie de groupe pour le contr\u00f4le des comptes locaux\u00a0: appliquez des commandes CMD et des param\u00e8tres de strat\u00e9gie de groupe pour verrouiller, d\u00e9connecter ou restreindre les comptes Windows locaux apr\u00e8s le d\u00e9provisioning d&rsquo;un utilisateur dans Entra ID.<\/li>\n<li>Application du cycle de vie des comptes via le registre\u00a0: modifiez les param\u00e8tres du registre Windows pour d\u00e9sactiver les identifiants mis en cache et suivre la derni\u00e8re activit\u00e9 de connexion, afin d&rsquo;identifier et de traiter les comptes utilisateur inactifs ou orphelins.<\/li>\n<li>Surveillance et audit du provisioning\u00a0: surveillez l&rsquo;activit\u00e9 de provisioning et configurez des alertes \u00e0 l&rsquo;aide des journaux d&rsquo;audit Azure, du journal d&rsquo;audit unifi\u00e9 et d&rsquo;outils de s\u00e9curit\u00e9 pour d\u00e9tecter les \u00e9checs, les anomalies ou les modifications non autoris\u00e9es.<\/li>\n<\/ul>\n<\/div>\n<p>Le provisioning et le d\u00e9provisioning des utilisateurs forment un cycle de vie continu\u00a0: arriv\u00e9e \u2192 \u00e9volution \u2192 d\u00e9part. R\u00e9alis\u00e9 manuellement, ce processus est non seulement chronophage, mais il peut aussi entra\u00eener des retards, des incoh\u00e9rences et des risques de s\u00e9curit\u00e9. L&rsquo;automatisation du processus gr\u00e2ce au <strong>provisioning des utilisateurs Microsoft Entra ID (Azure AD)<\/strong> via SCIM et aux Lifecycle Workflows d&rsquo;Entra ID Governance permet d&rsquo;\u00e9liminer ces risques.<\/p>\n<p>Les entreprises peuvent cr\u00e9er, mettre \u00e0 jour ou d\u00e9sactiver automatiquement des <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-personnaliser-le-profil-utilisateur-par-defaut-des-nouveaux-comptes-dans-windows-10\/\">comptes utilisateur<\/a> dans Microsoft 365, les applications SaaS et les syst\u00e8mes m\u00e9tier, en fonction de d\u00e9clencheurs RH, d&rsquo;appartenances \u00e0 des groupes ou de changements de r\u00f4le. Avec l&rsquo;automatisation en place, vous b\u00e9n\u00e9ficiez de\u00a0:<\/p>\n<ul>\n<li>la cr\u00e9ation et la suppression de comptes sans intervention manuelle<\/li>\n<li>l&rsquo;attribution automatique des r\u00f4les, des groupes et des licences<\/li>\n<li>la d\u00e9sactivation quasi en temps r\u00e9el lors d&rsquo;un d\u00e9part ou d&rsquo;un offboarding<\/li>\n<li>la journalisation d&rsquo;audit centralis\u00e9e et la visibilit\u00e9 sur la conformit\u00e9<\/li>\n<li>la r\u00e9duction du risque de comptes orphelins sur les plateformes tierces<\/li>\n<\/ul>\n<p>Ce guide explique comment mettre en place le provisioning et le d\u00e9provisioning bas\u00e9s sur SCIM dans Microsoft Entra ID (anciennement Azure AD), ainsi que la voie sans code des Lifecycle Workflows que Microsoft recommande d\u00e9sormais pour l&rsquo;onboarding et l&rsquo;offboarding pilot\u00e9s par les RH, de la configuration initiale jusqu&rsquo;\u00e0 la surveillance et aux contr\u00f4les de conformit\u00e9.<\/p>\n<table style=\"width: 100%;height: 452px\">\n<tbody>\n<tr style=\"height: 116px\">\n<td style=\"text-align: center;vertical-align: middle;height: 116px;width: 58.7522%\"><strong>Cliquez pour choisir une m\u00e9thode<\/strong><\/td>\n<td style=\"text-align: center;vertical-align: middle;height: 116px;width: 20.9705%\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les utilisateurs individuels<\/strong><\/td>\n<td style=\"text-align: center;vertical-align: middle;height: 116px;width: 19.2374%\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les grandes entreprises<\/strong><\/td>\n<\/tr>\n<tr style=\"height: 72px\">\n<td style=\"height: 72px;width: 58.7522%\"><a href=\"#method-1\"><strong>M\u00e9thode 1\u00a0: configurer une application d&rsquo;entreprise avec le provisioning SCIM dans Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 72px;width: 20.9705%\"><\/td>\n<td style=\"text-align: center;height: 72px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px\">\n<td style=\"height: 48px;width: 58.7522%\"><a href=\"#method-2\"><strong>M\u00e9thode 2\u00a0: utiliser l&rsquo;acc\u00e8s bas\u00e9 sur les groupes pour un provisioning dynamique<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 48px;width: 20.9705%\"><\/td>\n<td style=\"text-align: center;height: 48px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px\">\n<td style=\"height: 48px;width: 58.7522%\"><a href=\"#method-3\"><strong>M\u00e9thode 3\u00a0: automatiser les t\u00e2ches de provisioning avec PowerShell et Microsoft Graph<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 48px;width: 20.9705%\">\u2713<\/td>\n<td style=\"text-align: center;height: 48px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 72px\">\n<td style=\"height: 72px;width: 58.7522%\"><a href=\"#method-4\"><strong>M\u00e9thode 4\u00a0: automatiser l&rsquo;onboarding et l&rsquo;offboarding avec les Lifecycle Workflows d&rsquo;Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 72px;width: 20.9705%\"><\/td>\n<td style=\"text-align: center;height: 72px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 58.7522%\"><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-automatiser-le-provisioning-et-le-deprovisioning-des-utilisateurs-avec-entra-id-azure-ad\/#method-4\"><strong>M\u00e9thode 5\u00a0: utiliser CMD (invite de commande) et les GPO pour contr\u00f4ler le comportement des comptes locaux apr\u00e8s le d\u00e9provisioning cloud<\/strong><\/a><\/td>\n<td style=\"text-align: center;width: 20.9705%\"><\/td>\n<td style=\"text-align: center;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px\">\n<td style=\"height: 48px;width: 58.7522%\"><a href=\"#method-5\"><strong>M\u00e9thode 6\u00a0: contr\u00f4les du registre pour appliquer le cycle de vie des comptes<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 48px;width: 20.9705%\">\u2713<\/td>\n<td style=\"text-align: center;height: 48px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px\">\n<td style=\"height: 48px;width: 58.7522%\"><a href=\"#method-6\"><strong>M\u00e9thode 7\u00a0: surveiller et auditer les \u00e9v\u00e9nements de provisioning<\/strong><\/a><\/td>\n<td style=\"text-align: center;height: 48px;width: 20.9705%\"><\/td>\n<td style=\"text-align: center;height: 48px;width: 19.2374%\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83c\udfa5 Le guide vid\u00e9o pr\u00e9sente les six m\u00e9thodes \u00e0 l&rsquo;\u00e9cran\u00a0: <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-automate-user-provisioning-and-deprovisioning-with-entra-id-azure-ad-and-scim\/\">Comment automatiser le provisioning et le d\u00e9provisioning des utilisateurs avec Entra ID (Azure AD) et SCIM<\/a>.<\/p>\n<h2>Les m\u00e9thodes \u00e0 conna\u00eetre pour automatiser le provisioning et le d\u00e9provisioning des utilisateurs avec Entra ID et SCIM<\/h2>\n<p>Avant d&rsquo;aborder les m\u00e9thodes, assurez-vous de remplir les conditions suivantes pour \u00e9viter les erreurs\u00a0:<\/p>\n<p><strong>Pr\u00e9requis g\u00e9n\u00e9raux\u00a0:<\/strong><\/p>\n<ul>\n<li>\u00ab\u00a0licence Microsoft Entra ID Premium (P1 ou P2).<\/li>\n<li>acc\u00e8s au portail Azure (r\u00f4le Administrateur g\u00e9n\u00e9ral ou Administrateur d&rsquo;identit\u00e9)<\/li>\n<li>applications SaaS compatibles SCIM 2.0 (par exemple Slack, Zoom, GitHub, Adobe, Salesforce)<\/li>\n<li>points de terminaison API ou jetons SCIM pour les int\u00e9grations personnalis\u00e9es<\/li>\n<li>module PowerShell\u00a0: Microsoft.Graph<\/li>\n<\/ul>\n<p>Facultatif\u00a0: int\u00e9gration d&rsquo;une plateforme RMM (par exemple NinjaOne) pour g\u00e9rer les changements sur les terminaux<\/p>\n<h3 id=\"method-1\">M\u00e9thode 1\u00a0: configurer une application d&rsquo;entreprise avec le provisioning SCIM dans Microsoft Entra ID<\/h3>\n<p>Cette m\u00e9thode utilise le moteur de provisioning d&rsquo;Entra ID pour transmettre automatiquement les informations des utilisateurs aux applications <a href=\"https:\/\/azure.microsoft.com\/en-in\/resources\/cloud-computing-dictionary\/what-is-saas\/?msockid=208385443ab862671df990d93b256348\" target=\"_blank\" rel=\"noopener\">SaaS<\/a> via SCIM.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode pour int\u00e9grer Entra ID \u00e0 des applications SaaS comme Zoom, Slack, etc.<\/p>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Ouvrez <strong>Centre d&rsquo;administration Microsoft Entra &gt; Microsoft Entra ID &gt; Applications d&rsquo;entreprise<\/strong>.<\/li>\n<li>Cliquez sur <strong>+ Nouvelle application<\/strong>, s\u00e9lectionnez l&rsquo;application compatible SCIM souhait\u00e9e (par exemple GitHub, Dropbox, ServiceNow), puis cliquez sur <strong>Cr\u00e9er<\/strong>.<\/li>\n<li>Acc\u00e9dez \u00e0 l&rsquo;onglet <strong>Provisionnement <\/strong>dans le menu <strong>G\u00e9rer<\/strong>.<\/li>\n<li>D\u00e9finissez le <strong>Mode de provisionnement <\/strong>sur<strong> Automatique<\/strong>.<\/li>\n<li>Saisissez l&rsquo;<strong>URL du terminal SCIM <\/strong>et le <strong>jeton secret <\/strong>(fournis par le fournisseur SaaS).<\/li>\n<li>Cliquez sur <strong>Autoriser <\/strong>dans la section <strong>Informations d&rsquo;identification de l&rsquo;administrateur<\/strong>. Vous serez redirig\u00e9 vers la page de connexion du fournisseur SaaS (par exemple Dropbox), o\u00f9 vous devrez vous connecter avec un compte administrateur pour accorder l&rsquo;acc\u00e8s \u00e0 Microsoft Entra.<\/li>\n<li>Une fois l&rsquo;autorisation termin\u00e9e, utilisez <strong>Tester la connexion <\/strong>pour v\u00e9rifier la configuration.<\/li>\n<li>Dans <strong>Mappages<\/strong>, d\u00e9finissez les transformations d&rsquo;attributs (par exemple userName, emails. value, userPrincipalName).<\/li>\n<li>Cliquez sur <strong>Enregistrer <\/strong>et r\u00e9glez l&rsquo;\u00e9tat du provisionnement sur <strong>Activ\u00e9<\/strong>.<\/li>\n<\/ol>\n<p>Entra ID va d\u00e9sormais <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/app-provisioning\/user-provisioning\" target=\"_blank\" rel=\"noopener\">provisionner automatiquement<\/a> les utilisateurs en fonction de l&rsquo;appartenance aux groupes ou des modifications de l&rsquo;annuaire.<\/p>\n<h3 id=\"method-2\">M\u00e9thode 2\u00a0: utiliser l&rsquo;acc\u00e8s bas\u00e9 sur les groupes pour un provisioning dynamique<\/h3>\n<p>Cette m\u00e9thode provisionne automatiquement les utilisateurs dans les applications selon leur appartenance \u00e0 un groupe. Lorsqu&rsquo;un utilisateur rejoint ou quitte un groupe, l&rsquo;acc\u00e8s est automatiquement accord\u00e9 ou r\u00e9voqu\u00e9.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode pour accorder l&rsquo;acc\u00e8s aux applications en fonction du service ou du r\u00f4le (par exemple, toutes les personnes du groupe Marketing acc\u00e8dent \u00e0 Canva).<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>groupes de s\u00e9curit\u00e9 ou Microsoft 365 dans Entra ID<\/li>\n<li>application d&rsquo;entreprise configur\u00e9e pour le provisioning<\/li>\n<\/ul>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Cr\u00e9ez ou identifiez un <strong>groupe de s\u00e9curit\u00e9 <\/strong>ou un <strong>groupe dynamique <\/strong>dans Entra ID.<\/li>\n<li>Attribuez le groupe \u00e0 une application d&rsquo;entreprise connect\u00e9e en SCIM via <strong>Application d&rsquo;entreprise &gt; [Nom de l&rsquo;application] &gt; Utilisateurs et groupes &gt; Ajouter un groupe<\/strong>.<\/li>\n<li>D\u00e9finissez des r\u00e8gles d&rsquo;appartenance dynamique (par exemple, selon le service, l&rsquo;intitul\u00e9 du poste ou la localisation).<\/li>\n<\/ol>\n<p>(Voir le point n\u00b0 1 <em><a href=\"#things-to-look-out-for\">Points de vigilance<\/a>.<\/em>)<\/p>\n<p>Exemple de r\u00e8gle\u00a0:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>(user.department -eq \"Sales\") and (user.accountEnabled -eq true)<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Les utilisateurs ajout\u00e9s \u00e0 ce groupe (via une synchronisation RH ou l&rsquo;onboarding) sont automatiquement provisionn\u00e9s dans l&rsquo;application connect\u00e9e avec les r\u00f4les ou permissions mapp\u00e9s.<\/p>\n<h3 id=\"method-3\">M\u00e9thode 3\u00a0: automatiser les t\u00e2ches de provisioning avec PowerShell et Microsoft Graph<\/h3>\n<p>Cette m\u00e9thode s&rsquo;appuie sur des scripts PowerShell et l&rsquo;<a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/use-the-api\" target=\"_blank\" rel=\"noopener\">API Microsoft Graph<\/a> pour g\u00e9rer les utilisateurs et les t\u00e2ches de provisioning par programmation.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode pour g\u00e9rer un onboarding ou un offboarding en masse, pour l&rsquo;int\u00e9gration avec des syst\u00e8mes RH, ou lorsque vous avez besoin d&rsquo;une logique de provisioning personnalis\u00e9e<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>Vous devez ex\u00e9cuter PowerShell en tant qu&rsquo;administrateur.<\/li>\n<li>SDK PowerShell Microsoft Graph<\/li>\n<\/ul>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<p>Ex\u00e9cutez les commandes suivantes\u00a0:<\/p>\n<ol style=\"list-style-type: upper-alpha\">\n<li>Ouvrez PowerShell en tant qu&rsquo;administrateur (voir le point n\u00b0 2 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Points de vigilance<\/a>.<\/em>)<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module Microsoft.Graph -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module Microsoft.Graph.Groups<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha\">\n<li>Connectez-vous \u00e0 Microsoft Graph avec des port\u00e9es suffisantes<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\",\"Group.ReadWrite.All\",\"GroupMember.ReadWrite.All\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"3\" style=\"list-style-type: upper-alpha\">\n<li>Cr\u00e9ez un nouvel utilisateur dans Entra ID<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><code><strong>New-MgUser `<\/strong><br \/>\n<strong>-DisplayName \"Jane Doe\" `<\/strong><br \/>\n<strong>-UserPrincipalName \"jane.doe@domain.com\" `<\/strong><br \/>\n<strong>-MailNickname \"janedoe\" `<\/strong><br \/>\n<strong>$PasswordProfile = @{<\/strong><br \/>\n<strong>Password = \"&lt;Generate-a-strong-temporary-password&gt;\"<\/strong><br \/>\n<strong>ForceChangePasswordNextSignIn = $true<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong> ForceChangePasswordNextSignIn=$true } `<\/strong><br \/>\n<strong>-AccountEnabled:$true<\/strong><\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"4\" style=\"list-style-type: upper-alpha\">\n<li>Ajoutez l&rsquo;utilisateur au groupe de provisioning\u00a0:<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><strong><code># $GroupId = target group's object ID<\/code><\/strong><br \/>\n<strong><code># $UserId = user's object ID<\/code><\/strong><br \/>\n<strong><code>$params = @{<\/code><\/strong><br \/>\n<strong><code> \"@odata.id\" = \"https:\/\/graph.microsoft.com\/v1.0\/directoryObjects\/$UserId\"<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><br \/>\n<strong><code>New-MgGroupMemberByRef -GroupId $GroupId -BodyParameter $params<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"5\" style=\"list-style-type: upper-alpha\">\n<li>D\u00e9sactivez un utilisateur pour le d\u00e9provisioning<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><strong><code>Update-MgUser -UserId $UserId -BodyParameter @{ accountEnabled = $false }<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"6\" style=\"list-style-type: upper-alpha\">\n<li>Retirez l&rsquo;utilisateur de tous les groupes d&rsquo;applications<\/li>\n<\/ol>\n<table style=\"margin-left: 40px\">\n<tbody>\n<tr>\n<td><strong><code>Get-MgUserMemberOfAsGroup -UserId $UserId -All | ForEach-Object {<\/code><\/strong><br \/>\n<strong><code> Remove-MgGroupMemberByRef -GroupId $_.Id -DirectoryObjectId $UserId<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Remarques\u00a0: <\/strong><\/p>\n<ul>\n<li>Remplacez les valeurs d&rsquo;exemple (comme Jane Doe, jane.doe@domain.com, $GroupId, $UserId et TempPass123\u00a0!) par les donn\u00e9es r\u00e9elles de votre tenant.<\/li>\n<li>Vous ne pouvez pas retirer de membres d&rsquo;un groupe dynamique\u00a0: l&rsquo;appartenance y est d\u00e9finie par des r\u00e8gles.<\/li>\n<li>Utilisez des scripts RMM planifi\u00e9s ou d\u00e9clench\u00e9s pour les ex\u00e9cuter lors des \u00e9v\u00e9nements d&rsquo;onboarding ou d&rsquo;offboarding.<\/li>\n<\/ul>\n<h3>M\u00e9thode 4\u00a0: automatiser l&rsquo;onboarding et l&rsquo;offboarding avec les Lifecycle Workflows d&rsquo;Entra ID<\/h3>\n<p>L\u00e0 o\u00f9 les m\u00e9thodes 1 \u00e0 3 exigent de cr\u00e9er et de maintenir vous-m\u00eame la logique d&rsquo;automatisation, les Lifecycle Workflows proposent des mod\u00e8les pr\u00eats \u00e0 l&#8217;emploi et sans code pour ces m\u00eames \u00e9v\u00e9nements d&rsquo;arriv\u00e9e, de mobilit\u00e9 et de d\u00e9part.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0:<\/strong> utilisez cette m\u00e9thode si vous souhaitez un onboarding et un offboarding pilot\u00e9s par les RH, sans avoir \u00e0 maintenir de scripts PowerShell ou de Logic Apps personnalis\u00e9s.<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>licence Microsoft Entra ID Governance ou Microsoft Entra Suite pour les utilisateurs couverts par les Lifecycle Workflows.<\/li>\n<li>attribut employeeHireDate renseign\u00e9 dans Entra ID pour que les workflows d&rsquo;onboarding se d\u00e9clenchent correctement<\/li>\n<li>pour les workflows bas\u00e9s sur des dates, employeeHireDate et\/ou employeeLeaveDateTime doivent \u00eatre renseign\u00e9s et synchronis\u00e9s dans Microsoft Entra ID.<\/li>\n<li>attributs de responsable affect\u00e9s aux comptes utilisateur, si les workflows incluent des notifications ou des approbations bas\u00e9es sur le responsable<\/li>\n<\/ul>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Connectez-vous au <strong>centre d&rsquo;administration Microsoft Entra<\/strong> sur entra.microsoft.com.<\/li>\n<li>Dans le menu de gauche, allez dans <strong>Gouvernance des identit\u00e9s &gt; Lifecycle Workflows<\/strong>.<\/li>\n<li>V\u00e9rifiez que la fonction est activ\u00e9e pour votre entreprise.<\/li>\n<li>Cliquez sur <strong>Cr\u00e9er un workflow<\/strong> et choisissez un mod\u00e8le d&rsquo;onboarding ou d&rsquo;offboarding (par exemple \u00ab\u00a0Onboard pre-hire employee\u00a0\u00bb ou \u00ab\u00a0Offboard employee\u00a0\u00bb).<\/li>\n<li>D\u00e9finissez la condition de d\u00e9clenchement (par exemple \u00ab\u00a02 jours avant la date de d\u00e9but\u00a0\u00bb ou \u00ab\u00a0le dernier jour de l&#8217;employ\u00e9\u00a0\u00bb).<\/li>\n<li>Ajoutez des t\u00e2ches au workflow, comme g\u00e9n\u00e9rer un pass d&rsquo;acc\u00e8s temporaire, envoyer un e-mail de bienvenue, ou d\u00e9sactiver le compte et retirer les appartenances aux groupes.<\/li>\n<li>Examinez le workflow dans l&rsquo;<strong>historique des workflows<\/strong> et les <strong>journaux d&rsquo;audit<\/strong> avant de l&rsquo;activer en production.<\/li>\n<\/ol>\n<h3 id=\"method-4\">M\u00e9thode 5\u00a0: utiliser CMD (invite de commande) et les GPO pour contr\u00f4ler le comportement des comptes locaux apr\u00e8s le d\u00e9provisioning cloud<\/h3>\n<p>Cette m\u00e9thode garantit que les comptes Windows locaux sont verrouill\u00e9s ou supprim\u00e9s apr\u00e8s le d\u00e9provisioning d&rsquo;un utilisateur dans Entra ID, afin d&rsquo;\u00e9viter les risques de s\u00e9curit\u00e9.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode si vous disposez d&rsquo;appareils joints \u00e0 Entra ID hybride ou cog\u00e9r\u00e9s, et que vous souhaitez bloquer l&rsquo;acc\u00e8s local apr\u00e8s le d\u00e9provisioning.<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>acc\u00e8s \u00e0 la strat\u00e9gie de groupe<\/li>\n<li>appareils joints au domaine ou hybrides<\/li>\n<\/ul>\n<p>Instructions\u00a0:<\/p>\n<ol style=\"list-style-type: upper-alpha\">\n<li>D\u00e9sactivez les connexions de domaine mises en cache apr\u00e8s le d\u00e9provisioning\n<ol>\n<li>Appuyez sur <strong>Win + S<\/strong> et saisissez <strong>cmd<\/strong>.<\/li>\n<li>Faites un clic droit sur l&rsquo;<strong>Invite de commandes<\/strong>, puis s\u00e9lectionnez <strong>Ex\u00e9cuter en tant qu&rsquo;administrateur<\/strong>.<\/li>\n<li>Ex\u00e9cutez la commande suivante\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>rundll32 netplwiz.dll,ClearAutoLogon<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha\">\n<li>Utilisez la strat\u00e9gie de groupe pour forcer la d\u00e9connexion ou le verrouillage des sessions apr\u00e8s la d\u00e9sactivation dans le cloud (voir le point n\u00b0 3 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Points de vigilance<\/a>.<\/em>)\n<ol start=\"1\">\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>gpedit<\/strong>.msc, puis appuyez sur <strong>Entr\u00e9e <\/strong>pour ouvrir l&rsquo;<strong>\u00c9diteur de strat\u00e9gie de groupe<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px\"><strong>Remarque<\/strong>\u00a0: utilisez <strong>gpmc<\/strong>.msc pour la console de gestion des strat\u00e9gies de groupe sur les contr\u00f4leurs de domaine.<\/p>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"2\">\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong>Configuration ordinateur \u2192 Param\u00e8tres<\/strong><strong> Windows <\/strong><strong>\u2192 Param\u00e8tres<\/strong><strong> de s\u00e9curit\u00e9 <\/strong><strong>\u2192 Strat\u00e9gies locales \u2192 Options de s\u00e9curit\u00e9<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"3\">\n<li>Recherchez et modifiez le param\u00e8tre\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong>Ouverture de session interactive\u00a0: nombre d&rsquo;ouvertures de session pr\u00e9c\u00e9dentes \u00e0 mettre en cache<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none\">\n<ul>\n<li style=\"list-style-type: none\">\n<ul>\n<li>R\u00e9glez la valeur sur 0<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\" style=\"list-style-type: upper-alpha\">\n<li>Planifiez un script d&rsquo;arr\u00eat ou de verrouillage pour les utilisateurs d\u00e9provisionn\u00e9s<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none\">\n<ol>\n<li>Appuyez sur <strong>Win + S<\/strong>, saisissez <strong>cmd<\/strong> ou <strong>PowerShell<\/strong>, puis appuyez sur <strong>Entr\u00e9e <\/strong>pour lancer l&rsquo;outil.<\/li>\n<li>Ex\u00e9cutez\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>shutdown -l<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Int\u00e9grez ces scripts au RMM pour aligner le comportement des terminaux sur le statut Azure.<\/p>\n<h3 id=\"method-5\">M\u00e9thode 6\u00a0: contr\u00f4les du registre pour appliquer le cycle de vie des comptes<\/h3>\n<p>Cette m\u00e9thode modifie des cl\u00e9s du registre Windows afin d&rsquo;appliquer des r\u00e8gles plus strictes de session utilisateur ou de suppression de compte.<\/p>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode si vous souhaitez un contr\u00f4le fin sur les machines Windows (sur site ou hybrides).<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>acc\u00e8s administrateur \u00e0 l&rsquo;\u00c9diteur du registre<\/li>\n<\/ul>\n<p><strong>Avertissement\u00a0: <\/strong>la modification du registre peut provoquer des dysfonctionnements du syst\u00e8me. <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/sauvegarde-restauration-registre-windows\/\">Cr\u00e9ez une sauvegarde<\/a> avant de continuer.<\/p>\n<p>Instructions\u00a0: (voir le point n\u00b0 4 <em><a href=\"#things-to-look-out-for\">Points de vigilance<\/a>.<\/em>)<\/p>\n<ol style=\"list-style-type: upper-alpha\">\n<li>Bloquez les identifiants mis en cache de fa\u00e7on persistante<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none\">\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>regedit<\/strong>, puis appuyez sur <strong>Entr\u00e9e <\/strong>pour lancer l&rsquo;\u00c9diteur du registre.<\/li>\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows NT<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\W<\/strong><strong>inlogon<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"3\">\n<li>Recherchez et double-cliquez sur la valeur nomm\u00e9e <strong>CachedLogonsCount<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px\">Si la valeur n&rsquo;existe pas encore, cr\u00e9ez-la manuellement via <strong>Nouveau &gt; Valeur cha\u00eene (REG_SZ)<\/strong>.<\/p>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"4\">\n<li>R\u00e9glez sa valeur sur 0.<\/li>\n<li>Fermez l&rsquo;\u00c9diteur du registre.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<ol start=\"2\" style=\"list-style-type: upper-alpha\">\n<li>Suivez la derni\u00e8re connexion r\u00e9ussie pour d\u00e9tecter les comptes orphelins<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none\">\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>regedit<\/strong>, puis appuyez sur <strong>Entr\u00e9e <\/strong>pour lancer l&rsquo;\u00c9diteur du registre.<\/li>\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\A<\/strong><strong>uthentication<\/strong><strong>\\L<\/strong><strong>ogonUI<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"3\">\n<li>Recherchez la valeur\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong>LastLoggedOnUser<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 40px\">Utilisez des scripts RMM pour analyser les valeurs du registre et identifier les comptes inactifs ou inutilis\u00e9s \u00e0 traiter.<\/p>\n<h3 id=\"method-6\">M\u00e9thode 7\u00a0: surveiller et auditer les \u00e9v\u00e9nements de provisioning<\/h3>\n<p><strong>Cas d&rsquo;utilisation\u00a0: <\/strong>utilisez cette m\u00e9thode pour suivre les actions de provisioning \u00e0 des fins de d\u00e9pannage, de s\u00e9curit\u00e9 et de conformit\u00e9.<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>Entra ID Premium avec une licence Exchange Online<\/li>\n<li>journal d&rsquo;audit unifi\u00e9 activ\u00e9 dans Microsoft Purview<\/li>\n<\/ul>\n<p>Instructions\u00a0:<\/p>\n<ol style=\"list-style-type: upper-alpha\">\n<li>Utilisez les journaux d&rsquo;audit Azure pour examiner l&rsquo;activit\u00e9 de provisioning<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none\">\n<ol>\n<li>Ouvrez <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-management\/what-is-powershell\/\"><strong>PowerShell<\/strong><\/a>.<\/li>\n<li>Installez et importez le module Exchange Online<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module ExchangeOnlineManagement -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module ExchangeOnlineManagement<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"3\">\n<li>Connectez-vous \u00e0 Microsoft Purview<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>Connect-ExchangeOnline<\/code><\/strong><br \/>\n<strong><code>Connect-IPPSSession<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"4\">\n<li>Lancez la recherche dans le journal d&rsquo;audit unifi\u00e9\u00a0:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -Operations \"Add user\", \"Delete user\", \"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 80px\"><strong>\ud83d\udca1 <\/strong>Vous pouvez ajouter des filtres de date pour d\u00e9finir la plage\u00a0:<\/p>\n<table style=\"margin-left: 80px\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations \"Add user\",\"Delete user\",\"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha\">\n<li>Configurez des alertes pour les anomalies de provisioning dans Azure<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\">Utilisez Microsoft Sentinel ou Microsoft 365 Defender pour d\u00e9clencher des alertes sur\u00a0:<\/p>\n<ul>\n<li style=\"list-style-type: none\">\n<ul>\n<li>la cr\u00e9ation excessive d&rsquo;utilisateurs<\/li>\n<li>les modifications non autoris\u00e9es d&rsquo;appartenance aux groupes<\/li>\n<li>les \u00e9checs d&rsquo;appels de provisioning SCIM<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Points de vigilance<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Risques<\/strong><\/td>\n<td><strong>Cons\u00e9quences possibles<\/strong><\/td>\n<td><strong>Solutions<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Mauvaise attribution des groupes<\/td>\n<td>Les utilisateurs ne sont pas provisionn\u00e9s ou d\u00e9provisionn\u00e9s comme pr\u00e9vu.<\/td>\n<td>Ajustez les r\u00e8gles des groupes dynamiques ou mettez \u00e0 jour manuellement l&rsquo;appartenance dans <strong>Groupes &gt; [Nom du groupe] &gt; Membres<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>2. Ex\u00e9cution de PowerShell sans droits \u00e9lev\u00e9s<\/td>\n<td>Les commandes PowerShell \u00e9chouent avec des erreurs d&rsquo;acc\u00e8s.<\/td>\n<td>Rouvrez PowerShell en tant qu&rsquo;administrateur.<\/td>\n<\/tr>\n<tr>\n<td>3. Mauvaises configurations de GPO<\/td>\n<td>Les utilisateurs locaux peuvent encore se connecter apr\u00e8s avoir \u00e9t\u00e9 d\u00e9provisionn\u00e9s.<\/td>\n<td>V\u00e9rifiez les param\u00e8tres dans <strong>gpedit<\/strong>.msc ou la <strong>console de gestion des strat\u00e9gies de groupe<\/strong>, et testez sur une machine t\u00e9moin.<\/td>\n<\/tr>\n<tr>\n<td>4. Modifications incorrectes du registre<\/td>\n<td>Peuvent provoquer des probl\u00e8mes de connexion ou une instabilit\u00e9 du syst\u00e8me<\/td>\n<td>Sauvegardez toujours le registre avant toute modification\u00a0; annulez via un fichier <strong>.reg<\/strong> ou un point de restauration.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Points compl\u00e9mentaires \u00e0 prendre en compte<\/h2>\n<p>Voici les aspects op\u00e9rationnels et de s\u00e9curit\u00e9 essentiels \u00e0 conna\u00eetre pour un d\u00e9ploiement bas\u00e9 sur SCIM avec Microsoft Entra ID\u00a0:<\/p>\n<h3>Limitation du d\u00e9bit SCIM<\/h3>\n<p>Les API SCIM sont soumises \u00e0 des limites de d\u00e9bit fix\u00e9es par les fournisseurs SaaS. Ces limites d\u00e9terminent le nombre d&rsquo;op\u00e9rations de provisioning traitables sur une p\u00e9riode donn\u00e9e.<\/p>\n<p>Des volumes \u00e9lev\u00e9s peuvent d\u00e9clencher une limitation ou un rejet des requ\u00eates, ce qui retarde la synchronisation. Consultez toujours les limites de d\u00e9bit SCIM du fournisseur et son comportement en charge.<\/p>\n<h3>Mappage des attributs<\/h3>\n<p>Microsoft Entra ID transmet aux applications cibles des attributs utilisateur tels que le nom, l&rsquo;e-mail et le service. Ceux-ci doivent correspondre au sch\u00e9ma attendu par l&rsquo;application, faute de quoi le provisioning peut \u00e9chouer silencieusement ou aboutir \u00e0 des acc\u00e8s mal configur\u00e9s.<\/p>\n<p>Utilisez la fonction de mappage d&rsquo;attributs personnalis\u00e9 de Microsoft Entra ID pour aligner les champs sur le sch\u00e9ma SCIM. De plus, testez les mappages en environnement de pr\u00e9production avant d&rsquo;activer le provisioning automatique.<\/p>\n<h3>Attribution des licences<\/h3>\n<p>Certaines applications exigent qu&rsquo;une licence valide soit attribu\u00e9e \u00e0 l&rsquo;utilisateur avant que le provisioning puisse aboutir. Utilisez la gestion des licences par groupe dans Microsoft Entra ID pour automatiser l&rsquo;attribution des licences.<\/p>\n<h3>Connecteurs SCIM personnalis\u00e9s<\/h3>\n<p>Pour les applications qui ne prennent pas en charge SCIM nativement, vous pouvez cr\u00e9er une passerelle avec Azure SCIM Gateway ou d\u00e9velopper des int\u00e9grations personnalis\u00e9es avec Azure Logic Apps, Azure Functions ou Power Automate.<\/p>\n<h3>S\u00e9curit\u00e9 et conformit\u00e9<\/h3>\n<p>Les comptes inactifs repr\u00e9sentent de s\u00e9rieux risques de s\u00e9curit\u00e9. Si le d\u00e9provisioning tarde, des utilisateurs peuvent conserver l&rsquo;acc\u00e8s \u00e0 des syst\u00e8mes sensibles. Pour une s\u00e9curit\u00e9 maximale, utilisez des d\u00e9clencheurs de d\u00e9provisioning automatis\u00e9s et journalisez tous les \u00e9v\u00e9nements d&rsquo;acc\u00e8s.<\/p>\n<h2>D\u00e9pannage<\/h2>\n<p>Voici comment identifier et r\u00e9soudre les probl\u00e8mes courants des d\u00e9ploiements de provisioning SCIM avec Microsoft Entra ID\u00a0:<\/p>\n<h3>D\u00e9lai de provisioning<\/h3>\n<p>Le provisioning d&rsquo;Entra ID via SCIM ne se fait pas en temps r\u00e9el. Les cycles de synchronisation s&rsquo;ex\u00e9cutent g\u00e9n\u00e9ralement toutes les 20 \u00e0 40 minutes pour la plupart des applications d&rsquo;entreprise, et des retards peuvent survenir en raison d&rsquo;une limitation de d\u00e9bit ou d&rsquo;appels d&rsquo;API en \u00e9chec. Voici ce que vous pouvez faire\u00a0:<\/p>\n<ol>\n<li>Acc\u00e9dez \u00e0 <strong>Portail Azure &gt; Azure AD &gt; Applications d&rsquo;entreprise &gt; [Votre application] &gt; Provisionnement<\/strong><\/li>\n<li>V\u00e9rifiez\u00a0:\n<ul>\n<li>l&rsquo;heure de d\u00e9but et de fin de la derni\u00e8re synchronisation<\/li>\n<li>l&rsquo;\u00e9tat de la connexion SCIM<\/li>\n<li>les journaux de provisioning (examinez les causes d&rsquo;\u00e9chec, les nouvelles tentatives et l&rsquo;\u00e9tat de quarantaine).<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Utilisateurs non synchronis\u00e9s<\/h3>\n<p>Si les utilisateurs n&rsquo;apparaissent pas dans l&rsquo;application cible apr\u00e8s le provisioning\u00a0:<\/p>\n<ul>\n<li>V\u00e9rifiez que les utilisateurs sont bien affect\u00e9s \u00e0 l&rsquo;application\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><strong>Azure AD &gt; Applications d&rsquo;entreprise &gt; [Application] &gt; Utilisateurs et groupes<\/strong><\/p>\n<ul>\n<li>V\u00e9rifiez le mappage des attributs\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><strong>Azure AD &gt; Application d&rsquo;entreprise &gt; Provisionnement &gt; Mappages<\/strong><\/p>\n<p>Assurez-vous que le groupe est bien inclus dans le p\u00e9rim\u00e8tre de provisioning.<\/p>\n<h3>\u00c9chec du d\u00e9provisioning<\/h3>\n<p>Si des utilisateurs restent actifs dans l&rsquo;application apr\u00e8s leur suppression, voici ce que vous devez faire\u00a0:<\/p>\n<ul>\n<li>V\u00e9rifiez que le jeton SCIM est toujours valide et dispose des permissions de suppression.<\/li>\n<li>Certaines applications d\u00e9sactivent les utilisateurs en d\u00e9finissant active=false plut\u00f4t qu&rsquo;en les supprimant. Consultez le sch\u00e9ma SCIM de l&rsquo;application.<\/li>\n<li>Si n\u00e9cessaire, supprimez l&rsquo;utilisateur manuellement ou appelez directement l&rsquo;API de l&rsquo;application.<\/li>\n<\/ul>\n<h3>Erreurs PowerShell<\/h3>\n<p>Les \u00e9checs PowerShell proviennent le plus souvent de permissions d\u00e9l\u00e9gu\u00e9es Microsoft Graph (port\u00e9es) manquantes, de jetons expir\u00e9s, d&rsquo;identifiants d&rsquo;objet incorrects ou de r\u00f4les Microsoft Entra ID insuffisants. Voici ce que vous pouvez faire\u00a0:<\/p>\n<ul>\n<li>Connectez-vous \u00e0 Microsoft Graph avec les port\u00e9es ad\u00e9quates\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\", \"Group.ReadWrite.All\"<\/code><\/strong><\/p>\n<ul>\n<li>V\u00e9rifiez votre contexte\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><strong><code>Get-MgContext<\/code><\/strong><\/p>\n<p>Validez les identifiants d&rsquo;objet avant de les transmettre aux op\u00e9rations Graph.<\/p>\n<h2>Les services NinjaOne<\/h2>\n<p>Alors que le cycle de vie des utilisateurs est pilot\u00e9 dans Entra ID et les plateformes SaaS, NinjaOne renforce la conformit\u00e9 et son application sur les terminaux pendant le provisioning et le d\u00e9provisioning\u00a0:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Services NinjaOne<\/strong><\/td>\n<td><strong>Comment NinjaOne compl\u00e8te l&rsquo;automatisation du provisioning par l&rsquo;application de la conformit\u00e9 sur les terminaux<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Automatisation par scripts<\/td>\n<td>D\u00e9clencher la d\u00e9sactivation, le verrouillage ou le nettoyage d&rsquo;un compte local lorsqu&rsquo;un compte Microsoft Entra ID est d\u00e9provisionn\u00e9.<\/td>\n<\/tr>\n<tr>\n<td>Visibilit\u00e9 sur les terminaux<\/td>\n<td>D\u00e9tecter les comptes orphelins ou les machines encore connect\u00e9es avec des utilisateurs inactifs.<\/td>\n<\/tr>\n<tr>\n<td>Application des politiques<\/td>\n<td>D\u00e9ployer des GPO ou des cl\u00e9s de registre align\u00e9es sur les politiques d&rsquo;acc\u00e8s bas\u00e9es sur SCIM.<\/td>\n<\/tr>\n<tr>\n<td>Surveillance des \u00e9v\u00e9nements<\/td>\n<td>Alerter en cas de tentative de connexion locale par des utilisateurs d\u00e9sactiv\u00e9s ou inconnus.<\/td>\n<\/tr>\n<tr>\n<td>Journalisation et reporting<\/td>\n<td>Fournir des journaux exportables et pr\u00eats pour l&rsquo;audit des actions li\u00e9es au provisioning sur les terminaux.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Avec NinjaOne, les MSP et les \u00e9quipes informatiques peuvent s&rsquo;assurer que la gouvernance des identit\u00e9s dans le cloud s&rsquo;appuie sur un comportement r\u00e9actif et conforme aux politiques au niveau des appareils.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p><strong>Fonctions cl\u00e9s\u00a0:<\/strong><br \/>, Cr\u00e9ation automatique des utilisateurs\u00a0: les nouveaux utilisateurs d&rsquo;Azure AD sont automatiquement provisionn\u00e9s dans NinjaOne.<br \/>, Suppression automatique des utilisateurs\u00a0: lorsqu&rsquo;un utilisateur est retir\u00e9 d&rsquo;Azure AD, son compte est d\u00e9sactiv\u00e9 dans NinjaOne.<br \/>, Mappage groupe\/r\u00f4le\u00a0: attribuez des r\u00f4les NinjaOne en fonction des appartenances aux groupes Azure AD.<br \/>, Gestion des jetons SCIM\u00a0: les jetons expirent au bout de six mois et doivent \u00eatre r\u00e9g\u00e9n\u00e9r\u00e9s.<\/p>\n<p><strong>Pr\u00e9requis\u00a0:<\/strong><br \/>\n1. Activez l&rsquo;<a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comparaison-entre-saml-et-sso-quelle-est-la-difference\/\">authentification unique (SSO)<\/a> dans <a href=\"https:\/\/www.ninjaone.com\/fr\/\">NinjaOne<\/a> avec Azure AD.<br \/>\n2. Activez le provisioning SCIM en faisant une demande aupr\u00e8s du service commercial NinjaOne.<br \/>\n3. Utilisez Azure AD ou Okta comme IdP (fournisseur d&rsquo;identit\u00e9) (les autres fournisseurs ne sont pas enti\u00e8rement pris en charge).<\/p>\n<p><strong>\u00c9tapes de configuration\u00a0:<\/strong><br \/>\n1. Activez <a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">SCIM<\/a> dans NinjaOne\u00a0:<br \/>, Acc\u00e9dez \u00e0 Administration &gt; Comptes &gt; Fournisseur d&rsquo;identit\u00e9.<br \/>, Activez le commutateur Enable SCIM provisioning et g\u00e9n\u00e9rez un jeton SCIM.<\/p>\n<p>2. Configurez SCIM dans Azure AD\u00a0:<br \/>, Dans l&rsquo;application d&rsquo;entreprise Azure d\u00e9di\u00e9e \u00e0 NinjaOne, allez dans l&rsquo;onglet Provisionnement.<br \/>, Collez le jeton SCIM et l&rsquo;URL du tenant fournis par NinjaOne.<br \/>, Mappez les attributs Azure AD aux attributs NinjaOne (par exemple userPrincipalName vers userName).<\/p>\n<p>3. Mappage des groupes\u00a0:<br \/>, Dans NinjaOne, associez les groupes Azure AD aux r\u00f4les sous Administration &gt; Comptes &gt; Fournisseur d&rsquo;identit\u00e9 &gt; Mappage des groupes.<\/p>\n<p>4. Testez la connexion\u00a0:<br \/>, Utilisez l&rsquo;option Tester la connexion dans Azure AD pour v\u00e9rifier que le provisioning fonctionne correctement.<\/p>\n<p><strong>Remarques importantes\u00a0:<\/strong><br \/>, IdP pris en charge\u00a0: Azure AD et Okta sont enti\u00e8rement pris en charge. D&rsquo;autres IdP compatibles SCIM peuvent fonctionner, mais sans prise en charge compl\u00e8te.<br \/>, Types d&rsquo;utilisateurs\u00a0: les administrateurs syst\u00e8me ne peuvent pas \u00eatre attribu\u00e9s via SCIM et doivent \u00eatre cr\u00e9\u00e9s manuellement dans NinjaOne.<br \/>, D\u00e9sactivation et suppression\u00a0: SCIM d\u00e9sactive les utilisateurs dans NinjaOne mais ne les supprime pas. Les utilisateurs supprim\u00e9s doivent \u00eatre retir\u00e9s manuellement si n\u00e9cessaire.<\/p>\n<p>Pour des instructions d\u00e9taill\u00e9es, consultez les articles du NinjaOne Dojo sur la <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/23029590977677-System-for-Cross-domain-Identity-Management-SCIM\" target=\"_blank\" rel=\"noopener\">configuration SCIM<\/a> et le <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/24967296262285-SCIM-Internal-Troubleshooting\" target=\"_blank\" rel=\"noopener\">d\u00e9pannage interne SCIM<\/a>.<\/p>\n<\/div>\n<h2>Automatiser le provisioning et le d\u00e9provisioning des utilisateurs avec Microsoft Entra ID (Azure AD) et SCIM<\/h2>\n<p>Automatiser le provisioning et le d\u00e9provisioning des utilisateurs avec Microsoft Entra ID et SCIM am\u00e9liore la gestion du cycle de vie des identit\u00e9s, r\u00e9duit les risques de s\u00e9curit\u00e9 et facilite la conformit\u00e9. Surtout, cela acc\u00e9l\u00e8re consid\u00e9rablement l&rsquo;onboarding et l&rsquo;offboarding sur l&rsquo;ensemble des applications cloud et des appareils connect\u00e9s.<\/p>\n<p>Ce guide a pr\u00e9sent\u00e9 les \u00e9l\u00e9ments cl\u00e9s d&rsquo;un cadre de provisioning s\u00e9curis\u00e9 et \u00e9volutif, de la configuration de Microsoft Entra ID et de SCIM \u00e0 l&rsquo;extension de l&rsquo;automatisation avec PowerShell et Microsoft Graph. Il a \u00e9galement expliqu\u00e9 comment appliquer les politiques d&rsquo;acc\u00e8s au niveau des terminaux \u00e0 l&rsquo;aide de scripts CMD, de la strat\u00e9gie de groupe et de contr\u00f4les du registre, ainsi que la mani\u00e8re de surveiller et d&rsquo;auditer les changements d&rsquo;identit\u00e9 pour une visibilit\u00e9 compl\u00e8te.<\/p>\n<p>Enfin, nous avons vu comment NinjaOne enrichit cet \u00e9cosyst\u00e8me en alignant le comportement des appareils sur la politique d&rsquo;identit\u00e9.<\/p>\n<p><strong>Sujets connexes\u00a0:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/hybrid-azure-ad-join\/\">Qu&rsquo;est-ce que la jonction Azure AD hybride et comment la configurer<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/azure-ad-connect-de-quoi-sagit-il-et-comment-le-configurer\/\">Azure AD Connect\u00a0: ce que c&rsquo;est et comment le configurer<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/docs\/enrolement-des-appareils-et-outils-de-gestion\/strategies\/provisionnement-des-appareils\/\">Provisioning des appareils<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">Int\u00e9gration de l&rsquo;authentification unique (SSO) et de SCIM<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/remote-control\/active-directory-user-management\/\">Gestion des utilisateurs Active Directory<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Le provisioning et le d\u00e9provisioning des utilisateurs forment un cycle de vie continu\u00a0: arriv\u00e9e \u2192 \u00e9volution \u2192 d\u00e9part. R\u00e9alis\u00e9 manuellement, ce processus est non seulement chronophage, mais il peut aussi entra\u00eener des retards, des incoh\u00e9rences et des risques de s\u00e9curit\u00e9. L&rsquo;automatisation du processus gr\u00e2ce au provisioning des utilisateurs Microsoft Entra ID (Azure AD) via SCIM [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":602569,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355],"tags":[],"class_list":["post-886661","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886661","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=886661"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886661\/revisions"}],"predecessor-version":[{"id":886662,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886661\/revisions\/886662"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/602569"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=886661"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=886661"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=886661"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}