Comment synchroniser les utilisateurs et les groupes de Google Workspace dans Auth0 avec Directory Sync

L’activation de Directory Sync pour votre connexion d’entreprise Google Workspace vous permet de synchroniser les profils utilisateur, les structures de groupes et l’appartenance aux groupes de Google Workspace dans Auth0.

Vous pouvez effectuer la synchronisation automatiquement ou manuellement :

• La synchronisation automatique s’exécute toutes les 30 minutes après la fin de la dernière synchronisation.

• La synchronisation manuelle s’exécute lorsque vous la déclenchez.

​

Activer Directory Sync

Vous pouvez activer Directory Sync à l’aide de l’Auth0 Dashboard ou de la Management API.

Auth0 Dashboard

1. Prérequis

   Avant de commencer, vous devez avoir :

   • Une connexion d’entreprise Google Workspace dans Auth0

   • Les privilèges d’administrateur de l’organisation Google Workspace.

2. Activer l’API Admin Directory pour votre connexion d’entreprise

   Pour activer Directory Sync, le jeton d’accès Google de votre connexion d’entreprise Google Workspace doit disposer des scopes appropriés pour accéder aux API de Google.

   Dans l’onglet Settings d’une connexion d’entreprise Google Workspace existante (ou lors de la création d’une nouvelle connexion), dans la section Identity Provider API, sélectionnez Use Admin Directory API et choisissez :

   • Users scopes pour ajouter des scopes donnant accès uniquement aux utilisateurs.

   • Users and Groups scopes pour ajouter des scopes donnant accès aux utilisateurs et aux groupes.

   Lorsque vous utilisez Directory Sync, nous vous recommandons également de désactiver Sync User Profile Attributes at Login dans cette section afin d’éviter des conflits entre plusieurs méthodes de synchronisation.

   Cliquez sur Save Changes.

3. Vérifier le consentement de l’administrateur Google

   Dans Auth0 Dashboard > Authentication > Enterprise, ouvrez votre connexion Google Workspace. Dans l’onglet Setup, faites l’une des choses suivantes :

   • Suivez le lien Continue si vous avez les permissions d’administrateur nécessaires pour configurer vos paramètres Google Workspace afin d’utiliser les API d’administration de Google, ou

   • fournissez l’URL indiquée à votre administrateur afin qu’il puisse ajuster les paramètres requis

4. Activer Directory Sync

   Dans l’onglet Provisioning de votre connexion, activez la bascule Provision Users Using Directory Sync, puis choisissez vos options de configuration :

   • Dans Resources, sous Sync, choisissez si vous souhaitez synchroniser Users ou Users and Groups.

     Si vous synchronisez à la fois les utilisateurs et les groupes, la section se développe pour indiquer quels groupes sont synchronisés (Syncing all groups par défaut). Pour personnaliser les groupes synchronisés, consultez l’étape suivante.

   • Dans Schedule, cochez au besoin Enable Automatic Synchronization pour lancer automatiquement une synchronisation toutes les 30 minutes.

     Vous pouvez déclencher une synchronisation manuelle en sélectionnant Synchronize now.

   • Dans Attribute Mapping, vous pouvez personnaliser le mappage des attributs Google vers les attributs du profil utilisateur Auth0.

5. Personnaliser les groupes synchronisés (facultatif)

   Lorsque vous activez Directory Sync pour synchroniser à la fois les utilisateurs et les groupes à partir de Google Workspace, tous les groupes sont synchronisés par défaut. Vous pouvez personnaliser les groupes à synchroniser en téléversant un fichier JSON contenant les ID des groupes que vous souhaitez synchroniser.

   Commencez par créer le fichier JSON. Vous pouvez obtenir la liste de tous les ID de groupe à l’aide de l’API Directory de Google Workspace. Créez le fichier au format suivant en remplaçant les valeurs d’exemple par les ID de groupe réels :

   {
       "groups": [
           {
               "id": "example-id-1"
           },
           {
               "id": "example-id-2"
           },
           {
               "id": "example-id-3"
           }
       ]
   }
   

   Ensuite, téléversez le fichier dans Auth0 :

   1. Dans l’onglet Provisioning de votre connexion, sous l’option activée Provision Users Using Directory Sync, repérez la section Resources et sélectionnez le bouton Select Groups….

   2. Dans la fenêtre Select Groups qui s’ouvre, sélectionnez Pick specific groups pour afficher la section Groups JSON file.

   3. Sélectionnez + Choose file et téléversez le fichier JSON.

   4. Une fois le fichier téléversé, sélectionnez Select Groups au bas de la fenêtre.

   La section Resources affiche Syncing specific groups. Pour mettre à jour les groupes que vous synchronisez, revenez à la même fenêtre Select Groups et téléversez un nouveau fichier JSON ou choisissez Sync all.

   Si nous détectons qu’un ID de groupe synchronisé a été supprimé dans Google Workspace Directory, nous retirons automatiquement cet ID de groupe de la configuration lors des synchronisations de job suivantes.

Management API

1. Prérequis

   Avant de commencer, vous devez disposer de ce qui suit :

   • Une Google Workspace enterprise connection dans Auth0

   • Des privilèges d’administrateur dans l’organisation Google Workspace.

   • Un jeton d’accès à la Management API avec les scopes suivants :

     • create:directory_provisionings
     • read:directory_provisionings
     • update:directory_provisionings
     • delete:directory_provisionings

   • L’ID de votre connexion Google Workspace (CONNECTION_ID).

2. Activer l’API du répertoire d’administration pour votre connexion d’entreprise

   Lorsque vous créez une nouvelle Google Workspace enterprise connection à l’aide du point de terminaison Create a connection (POST /v2/connections), ou lorsque vous modifiez une connexion d’entreprise existante à l’aide du point de terminaison Update a Connection (PATCH /v2/connections/{id}), définissez les paramètres de corps suivants :

   • option.api_enable_users à true pour ajouter les scopes nécessaires à l’accès aux utilisateurs.
   • option.api_enable_groups à true pour ajouter également les scopes nécessaires à l’accès aux groupes. L’accès aux groupes nécessite l’accès aux utilisateurs.

   Lorsque vous utilisez Directory Sync, nous vous recommandons de désactiver la synchronisation des profils utilisateur à la connexion (en définissant options.set_user_root_attributes sur never_on_login) afin d’éviter des mises à jour conflictuelles provenant de plusieurs méthodes de synchronisation.

3. Vérifier le consentement de l’administrateur Google

   Dans Auth0 Dashboard > Authentication > Enterprise, ouvrez votre connexion Google Workspace. Dans l’onglet Setup, faites l’une des actions suivantes :

   • Suivez le lien Continue si vous avez les droits d’administrateur nécessaires pour configurer vos paramètres Google Workspace afin d’utiliser les API d’administration de Google, ou

   • Fournissez l’URL indiquée à votre administrateur afin qu’il puisse ajuster les paramètres requis

4. Activer Directory Sync

   Activez Directory Sync avec le point de terminaison Create a directory provisioning configuration (POST /v2/connections/{id}/directory-provisioning), ou mettez à jour une configuration Directory Sync existante avec le point de terminaison Patch a directory provisioning configuration (PATCH /v2/connections/{id}/directory-provisioning), en utilisant les paramètres de corps de requête suivants :

   • mapping pour définir le mappage des attributs Google vers les attributs du profil utilisateur Auth0.

   • synchronize_automatically défini à true pour effectuer une synchronisation automatique toutes les 30 minutes, ou à false pour désactiver la synchronisation automatique.

   • synchronize_groups défini à l’une des valeurs suivantes :

     • all pour synchroniser tous les groupes en plus des utilisateurs
     • selected pour synchroniser uniquement les groupes que vous précisez
     • off pour synchroniser uniquement les utilisateurs

   Si vous choisissez de synchroniser uniquement certains groupes, vous devez aussi préciser les groupes à synchroniser.

   Commencez par obtenir une liste des ID de groupe à l’aide de l’API Google Workspace Directory. Ensuite, utilisez le point de terminaison Configure groups to synchronize de la Management API (PUT /v2/connections/{id}/directory-provisioning/synchronized-groups) avec le paramètre de corps de requête contenant les ID des groupes que vous souhaitez synchroniser, au format suivant :

   "groups" [
       {
           "id": "example-id-string",
       },
       {
           "id": "example-id-string-2",
       },
       {
           "id": "example-id-string-3",
       }
   ]
   

   Pour déclencher une synchronisation manuelle, utilisez le point de terminaison Create a directory provisioning configuration.

​

Surveiller l’activité de Directory Sync

Vous pouvez surveiller l’activité de synchronisation dans les journaux du tenant Auth0, sous les types de journal Directory Sync Started et Directory Sync Completed (codes d’événement directory_sync_started et directory_sync_completed).

​

Limites

• Si vous effectuez une synchronisation manuelle dans les 30 minutes suivant la dernière synchronisation terminée, une erreur 400 est renvoyée. Attendez au moins 30 minutes avant de synchroniser de nouveau.

• Lorsque vous utilisez la liaison de comptes d’utilisateur, le compte d’utilisateur provisionné par la synchronisation doit être défini comme compte d’utilisateur principal. Nous ne recommandons pas de lier des comptes d’utilisateur Enterprise à des comptes d’utilisateur sociaux ou personnels.

• Les noms de groupe dans Google Workspace Directory doivent être uniques. Même si Google autorise les noms en double sans tenir compte de la casse, Auth0 exige des noms d’affichage uniques. Si vous avez plusieurs groupes portant le même nom dans Google Workspace Directory, les groupes en double ne sont pas synchronisés et la synchronisation est marquée comme ayant échoué.

• Comme Google ne signale les utilisateurs comme supprimés que pendant les 20 jours suivant leur suppression, si vous supprimez un utilisateur dans Google Workspace Directory et que vous ne synchronisez pas avec Auth0 dans ce délai, nous ne détecterons pas que l’utilisateur a été supprimé. Nous recommandons la synchronisation automatique pour éviter ce problème.