FAQ sur le provisionnement SCIM

Automatisez le provisionnement des utilisateurs dans votre équipe Cliqer avec SCIM 2.0.

SCIM crée, met à jour et désactive automatiquement les membres de votre équipe depuis votre fournisseur d'identité. Il fait partie de l'offre Enterprise, ou du module complémentaire Enterprise sur Presenter, Studio HD, Studio 4K et Studio 8K, et se configure par votre équipe dans Tableau de bord → Équipe → Sécurité (/dash/team/security). Vous devez disposer de l'autorisation d'équipe Gérer la sécurité.

Comment cela fonctionne-t-il en bref ?

Votre IdP appelle les points de terminaison SCIM 2.0 de Cliqer avec un jeton Bearer.
Le jeton identifie votre équipe : l'URL ne contient aucun identifiant d'équipe, vous utilisez donc la même URL de base que tout le monde et le jeton limite tout à votre équipe.
Les utilisateurs provisionnés deviennent membres de votre équipe. Désactiver un utilisateur le retire de l'équipe.

Comment le configurer ?

Générer un jeton

Accédez à Équipe → Sécurité → Provisionnement SCIM et cliquez sur Générer un jeton.

Le copier tout de suite

Copiez le jeton immédiatement : il n'est affiché qu'une seule fois. Seuls les 4 derniers caractères restent visibles par la suite.

Le saisir dans votre IdP

Dans les paramètres de provisionnement de votre IdP, saisissez :

URL de base / URL du tenant : https://<your-cliqer-host>/api/scim/v2
Jeton Bearer : le jeton que vous venez de générer.

Activer le provisionnement

Activez le provisionnement et (si besoin) mappez les attributs.

Renouveler ou révoquer

Renouveler = générer un nouveau jeton, mettre à jour votre IdP, puis révoquer l'ancien.
Révoquer désactive un jeton immédiatement. Un jeton révoqué ne peut plus jamais être utilisé.

Quelles opérations sont prises en charge ?

Opération	Point de terminaison
Créer	`POST /api/scim/v2/Users`
Lister / filtrer	`GET /api/scim/v2/Users?filter=userName eq "user@co"`
Lire	`GET /api/scim/v2/Users/{id}`
Remplacer	`PUT /api/scim/v2/Users/{id}`
Mise à jour partielle	`PATCH /api/scim/v2/Users/{id}`
Désactiver / supprimer	`DELETE /api/scim/v2/Users/{id}`
Capacités	`GET /api/scim/v2/ServiceProviderConfig`

Le filtrage prend en charge userName eq "..." (utilisé par Okta et Entra ID pour le dédoublonnage). Les opérations en masse et le provisionnement de groupes ne sont pas pris en charge.

Quels attributs utilisateur sont utilisés ?

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@company.com",
  "name": { "givenName": "John", "familyName": "Doe" },
  "emails": [{ "primary": true, "value": "user@company.com" }],
  "active": true,
  "externalId": "employee-123"
}

userName (e-mail), name.givenName, name.familyName, active et externalId sont mappés. Les autres attributs sont acceptés et ignorés.

Que se passe-t-il lors de la désactivation ?

L'envoi de active: false (via PATCH) ou d'un DELETE effectue un déprovisionnement réversible :

L'utilisateur est retiré de votre équipe.
Si le compte n'appartient à aucune autre équipe active, il est suspendu afin que la personne ne puisse plus se connecter.
Les données du compte sont conservées. Renvoyer active: true (ou recréer l'utilisateur) rétablit son appartenance à l'équipe.

Ainsi, déprovisionner un utilisateur dans une équipe ne le bloque jamais dans une autre équipe dont il fait partie.

Comment surveiller le provisionnement ?

Le panneau Activité de provisionnement de la page Sécurité est un flux en direct : chaque création, mise à jour, désactivation et suppression apparaît en temps réel (création, désactivation/suppression et erreurs ont chacune leur code couleur). C'est le tableau de bord de surveillance SCIM ; il n'y a rien de plus à activer.

Sécurité

Les jetons sont stockés uniquement sous forme de hachage SHA-256 : Cliqer ne peut pas vous réafficher un jeton.
Tous les points de terminaison SCIM exigent HTTPS et le jeton Bearer.
Chaque opération est limitée à l'équipe du jeton ; un jeton ne peut jamais lire ni modifier les utilisateurs d'une autre équipe.

Dépannage

401 Unauthorized : le jeton est absent, incorrect ou révoqué. Générez-en un nouveau.
404 sur un utilisateur : cet utilisateur n'est pas membre de l'équipe du jeton. SCIM ne voit que les utilisateurs de votre propre équipe.
Utilisateur non créé : vérifiez que userName est une adresse e-mail valide.

Voir aussi

Rôles d'équipe (RBAC)

Contrôlez ce que les membres de votre équipe peuvent gérer grâce à des rôles intégrés et personnalisés.

Plan d'architecture de la solution

Vue d'ensemble de l'architecture Cliqer pour les équipes informatiques et achats : composants, modèle de déploiement, identité, multilocation et exigences réseau.