Inbound SCIM pour les connexions SAML Microsoft Entra ID

Procédure pas à pas pour configurer une connexion Microsoft Entra ID (anciennement Azure Active Directory) au moyen de SAML SCIM.

Avant de commencer

Pour utiliser cette fonctionnalité, votre forfait Auth0 ou votre entente personnalisée doit inclure Enterprise Connections. Pour en savoir plus, consultez la page des tarifs d’Auth0.

Pour tester une connexion SCIM entrante, vous devez installer Postman sur votre ordinateur.

Pour provisionner des utilisateurs vers votre point de terminaison SCIM Auth0, vous devez configurer une application d’entreprise hors galerie dans Microsoft Entra ID (anciennement Azure Active Directory).

​

Configurer les paramètres SCIM dans Auth0

1. Dans le Auth0 Dashboard, accédez à Authentication > Enterprise > SAML > [YOUR_AUTH0_CONNECTION] > Provisioning.
2. Activez Sync user profiles using SCIM. Une nouvelle section s’ouvre alors sur la même page avec des options de configuration supplémentaires.
3. Vérifiez la configuration suivante : A. Dans l’onglet Mapping, assurez-vous que le champ SCIM attribute containing the User ID est défini sur userName. B. Dans la section Additional Mappings, vérifiez les valeurs suivantes :
   {
       "scim": "emails[type eq \"work\"].value",
       "auth0": "email"
   },
   
   Vous pouvez aussi consulter le mappage d’attributs et vous assurer que les attributs SCIM étendus sont mappés à vos attributs Auth0 privilégiés.
4. Au besoin, sélectionnez Save Changes.

​

Récupérer l’URL du point de terminaison SCIM et le jeton

Pour configurer SCIM dans un tenant Microsoft Entra ID, vous avez besoin d’une URL de point de terminaison SCIM et d’un jeton provenant d’Auth0. Vous pouvez obtenir ces valeurs dans l’Auth0 Dashboard :

1. Dans l’Auth0 Dashboard, accédez à Authentication > Enterprise > SAML > [your-connection] > Provisioning.
2. Dans la section Sync user profiles using SCIM > Setup, copiez l’SCIM Endpoint URL.
3. Dans la même section, sous Bearer Token, sélectionnez Generate New Token. Choisissez la date d’expiration et les scopes du jeton, puis sélectionnez Generate Token. Par défaut, les scopes requis utilisés par Azure AD sont get:users, post:users, patch:users et delete:users. Vous pouvez aussi sélectionner get:groups, post:groups, patch:groups et delete:groups pour provisionner des groupes.
4. Copiez le bearer token. Pour des raisons de sécurité, c’est la seule fois où le jeton est visible.

Vous pouvez aussi obtenir ces valeurs par programmation à l’aide des endpoints SCIM de la Management API, comme /v2/connections/{id}/scim-configuration/tokens.

Pour connaître les bonnes pratiques, consultez les directives de déploiement de Configure Inbound SCIM.

​

Configurer SCIM dans Entra ID pour les applications SAML

Si votre application SAML n’est pas déjà enregistrée, suivez Configurer la connexion SAML IdP-Initiated avec Azure comme IdP pour enregistrer une application d’entreprise personnalisée hors galerie dans un tenant Entra ID.

Ensuite, pour configurer SCIM :

1. À partir du centre d’administration Microsoft Entra, accédez à Entra ID > Applications d’entreprise > [YOUR_APPLICATION].
2. Poursuivez vers Gérer > Propriétés et réglez Affectation requise sur Oui.
3. Accédez à Gérer > Utilisateurs et groupes et attribuez les utilisateurs Azure AD que vous souhaitez provisionner. Lorsque vous attribuez un groupe, les utilisateurs de ce groupe sont provisionnés.
4. Accédez à Gérer > Provisioning et sélectionnez Commencer.
5. Réglez le Mode de provisioning sur Automatique.
6. Développez la section Informations d’identification de l’administrateur et configurez les paramètres suivants :
   • Réglez le champ URL du tenant sur l’URL du point de terminaison SCIM que vous avez enregistrée à l’étape précédente, puis ajoutez le paramètre de requête ?aadOptscim062020 à la fin de l’URL. Il s’agit de la solution de contournement recommandée par Microsoft pour un problème connu de compatibilité avec SCIM 2.0.
   • Réglez le jeton secret sur la valeur du jeton que vous avez enregistrée à l’étape précédente, puis sélectionnez Enregistrer.
7. Développez la section Mappages.
8. Pour provisionner des groupes au besoin, vérifiez que Provisionner les groupes Entra ID est réglé sur Activé. Sinon, réglez-le sur Désactivé.
9. Sélectionnez ensuite Provisionner les utilisateurs Azure Active Directory pour ouvrir l’écran Mappage des attributs.
   
10. Dans la ligne du tableau de mappage des attributs contenant emails[type eq "work"].value et mail, sélectionnez Modifier pour accéder à l’écran Modifier l’attribut et configurer les paramètres suivants :
    • Réglez Faire correspondre les objets à l’aide de cet attribut sur Oui.
    • Réglez Priorité de correspondance sur 2.
11. Sélectionnez OK pour enregistrer la configuration. Cela ferme l’écran Modifier l’attribut. Ensuite, dans l’écran Mappage des attributs, sélectionnez Enregistrer.

​

Test

1. Dans l’écran Overview de l’application d’entreprise, accédez à Manage > Provisioning > Provision on Demand pour tester la connexion SCIM.
2. Accédez à Select a user or group et entrez le nom d’un utilisateur ou d’un groupe que vous avez attribué à l’application, puis sélectionnez l’élément et choisissez Provision. Cette opération crée l’utilisateur ou le groupe dans le tenant Auth0.
3. Réglez Provisioning Status sur On afin de provisionner tous les utilisateurs et groupes attribués.