User Attribute Profile

Découvrez comment le User Attribute Profile vous permet de configurer les utilisateurs pour le provisionnement SCIM grâce à l’expérience libre-service.

Le User Attribute Profile (UAP) fournit une façon uniforme de définir, de gérer et de mapper les attributs utilisateur dans l’ensemble de protocoles comme SCIM, SAML et OIDC. Le UAP avec Self-Service Enterprise Configuration donne aux administrateurs un meilleur contrôle sur les données d’identité utilisateur en définissant les attributs utilisateur et en appliquant le profil à l’ensemble des protocoles d’authentication.

​

Fonctionnement

• Définition du profil Un administrateur crée un User Attribute Profile pour définir les attributs, notamment :

  • la façon d’afficher les attributs
  • la façon de rendre les attributs obligatoires
  • la façon dont les attributs sont mappés à Auth0 et aux systèmes d’identité externes

• Portée flexible Les profils sont liés aux flows de Self-Service Enterprise Configuration, mais sont conçus pour la Provisioning, l’onboarding et la gestion des droits.

• Couche de mappage unifiée Chaque attribut prend en charge des mappages entre les protocoles d’authentication, avec la possibilité de remplacer des valeurs pour certains providers ou certaines stratégies de connection, comme Okta et Entra ID.

​

Mappage d’attributs et dérogation

UAP prend en charge les définitions d’attributs multiprotocoles et les dérogations de stratégie pour répondre aux besoins propres aux fournisseurs.

Mappage d’attributs

Protocol	Description
Auth0 Mappage	Attribut canonique stocké dans Auth0 (email, name, app_metadata.department).
OIDC Mappage	Claims OIDC standard (sub, preferred_username, zoneinfo). Pour en savoir plus sur les claims standard d’OIDC, consultez Standard Claims.
SAML Mappage	Prend en charge un ou plusieurs URI d’assertion (http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress).
SCIM Mappage	Attributs de provisionnement (name.familyName, addresses[type eq "work"].country).

Dérogations de stratégie

Certains fournisseurs utilisent des mappages non standard. UAP permet des dérogations :

Protocol	Description
SAML	Mapper userName au lieu de externalId.
WAAD (Entra ID)	Utiliser oid comme identificateur OIDC.
Okta	Mapper des attributs comme middleName ou federated_groups à l’aide de claims propres à Okta.

​

ID utilisateur

La propriété user_id définit comment mapper des claims OIDC, des attributs SAML ou des attributs SCIM à l’ID utilisateur d’Auth0. Chaque utilisateur Auth0 doit avoir un ID; ce mappage est donc obligatoire.

• Pour OIDC, les choix sont fixes (généralement sub, ou oid pour Azure AD, ou email pour Google).
  • Pour SAML et SCIM, le mappage est plus souple et peut pointer vers plusieurs attributs possibles.

​

Attributs utilisateur

La propriété user_attributes contient des informations de mappage qui permettent au système d’interpréter les claims entrants de l’IdP et de les enregistrer comme attributs du profil utilisateur Auth0.

Chaque attribut doit être fourni sous forme de paire clé/valeur :

• La clé correspond au nom de l’attribut.
  • La valeur est un objet avec :
    • label
    • description
    • profile_required
    • auth0_mapping
    • saml_mapping
    • scim_mapping
    • oidc_mapping un objet avec des propriétés
      • mapping représente le claim entrant de l’IdP (valeur littérale, objet de contexte dynamique, ou les deux à l’aide de la syntaxe ${variable}, qui prend en charge le context object)
      • display_name le libellé affiché aux utilisateurs finaux dans les flows en libre-service

​

Dérogations de stratégie

La propriété strategy_overrides vous permet de définir des exceptions pour chaque fournisseur d’identité (IdP), puisque tous les IdP n’exposent pas les mêmes identifiants ni les mêmes claims.

Chaque dérogation définit des mappages propres au protocole qui remplacent les valeurs par défaut définies dans user_id ou user_attributes.

​

Exemples

​

Identifiant utilisateur

"user_id": {
  "oidc_mapping": "sub",
  "saml_mapping": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  ],
  "scim_mapping": "externalId",
  "strategy_overrides": {
    "waad": {
      "oidc_mapping": "oid"
    },
    "samlp": {
      "scim_mapping": "userName"
    },
    "google-apps": {
      "oidc_mapping": "email"
    }
  }
},

• Identifiant par défaut : externalId au moyen de SCIM.
• SAML : Prend en charge plusieurs URI d’identifiant.
• OIDC : Utilise sub.
• Dérogations : SAML et WAAD personnalisent les mappages.

​

Attribut de l’adresse courriel

"email": {
  "description": "Email",
  "label": "Email",
  "profile_required": true,
  "auth0_mapping": "email",
  "scim_mapping": "emails[primary eq true].value",
  "oidc_mapping": {
    "mapping": "${context.tokenset.email}",
    "display_name": "email"
  },
  "saml_mapping": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"
  ],
  "strategy_overrides": {
    "waad": {
      "scim_mapping": "emails[type eq \"work\"].value"
    }
  }
}

• Recommandé pour la plupart des profils.
• Harmonisé entre Auth0, OIDC, SAML et SCIM.
• La dérogation WAAD assure le mappage correct vers les adresses courriel professionnelles.

​

Créer un User Attribute Profile

Vous pouvez définir un UAP dans Self-Service Enterprise Configuration à l’aide de l’Auth0 Dashboard ou de la Management API. Pour le moment, il peut être configuré dans l’expérience Self-Service Enterprise Configuration.

​

Configurer avec Auth0 Dashboard

1. Accédez à Authentication > Enterprise > Self-Service Enterprise Configuration.
2. Sélectionnez +Create Profile.
3. Saisissez un Name et, au besoin, une Description pour le nouveau profil.
4. Ajoutez une entrée User Attribute Profile en sélectionnant un profil existant ou en choisissant +Create New.
   • Pour un nouveau profil, saisissez un User Profile Attribute Name.
   • Vérifiez les mappages pour vous assurer que les attributs du profil correspondent aux attributs Auth0 de votre choix.
5. Choisissez Create.

Votre nouveau UAP est maintenant prêt à être configuré pour le SSO.

​

Configurer avec la Management API

Pour gérer les User Attribute Profiles, les points de terminaison suivants de la Management API sont offerts :

• POST /api/v2/user-attribute-profiles
• GET /api/v2/user-attribute-profiles
• PATCH /api/v2/user-attribute-profiles/{id}
• GET /api/v2/user-attribute-profiles/{id}
• GET /api/v2/user-attribute-profiles/templates
• GET /api/v2/user-attribute-profiles/templates/{id}

​

En savoir plus

• Self-Service Enterprise Configuration
• Configurer PKCE et le mappage des claims pour les connexions OIDC
• Mapper les attributs SAML avec Auth0 comme IdP/module complémentaire SAML
• Mapper les attributs de profil AD/LDAP au profil utilisateur Auth0