Configurer le provisionnement SCIM

SCIM permet à votre fournisseur d’identité de créer, mettre à jour, désactiver et grouper les comptes Sanitized AI pour vous. Sanitized AI fournit un point de terminaison SCIM 2.0 qui accepte un jeton porteur (bearer token) généré pour votre organisation.

Les écrans de provisionnement du tableau de bord sont en anglais pour l’instant; ce guide indique donc les libellés anglais tels qu’ils apparaissent.

Où trouver chaque réglage

Le tableau suivant indique où se trouve chaque réglage.

Ce qu’il vous faut	Où aller
URL SCIM, jeton, état de la synchronisation et groupe d’administrateurs de Sanitized AI	Sanitized AI > Mon organisation > Connexion et provisionnement > SCIM provisioning
Provisionnement dans Okta	Okta Admin Console > Applications > Applications > choisissez l’application > Provisioning
Provisionnement dans Microsoft Entra	Microsoft Entra admin center > Entra ID > Enterprise applications (Applications d’entreprise) > choisissez l’application > Provisioning (Approvisionnement)
Référence de Microsoft sur Tenant URL (URL de locataire) et Secret Token (Jeton secret)	Configurer le provisionnement SCIM dans Microsoft Entra (documentation de Microsoft)
Connexion Okta	Configurer l’authentification unique Okta

La SCIM base URL et le jeton ne sont affichés que dans Sanitized AI. Ne tapez pas l’URL vous-même et ne la modifiez pas.

1. Générer les identifiants SCIM

Dans Sanitized AI, allez à Mon organisation > Connexion et provisionnement.
Trouvez la carte SCIM provisioning.
Copiez la SCIM base URL dans une note de travail sécurisée.
Cliquez sur Generate bearer token. Si un jeton existe déjà, le bouton s’intitule plutôt Rotate bearer token.
Copiez immédiatement le jeton dans votre gestionnaire de secrets approuvé, puis cliquez sur I saved the token.
Notez quelle application du fournisseur d’identité contient le jeton, et qui est responsable de le renouveler.

Le jeton n’est affiché qu’une seule fois. Si vous le perdez, générez-en un nouveau et mettez à jour votre fournisseur d’identité.

2. Configurer votre fournisseur d’identité

Créez ou ouvrez l’application de provisionnement Sanitized AI dans Okta ou Microsoft Entra ID, puis :

Collez l’URL de base SCIM dans le champ Tenant URL, SCIM endpoint ou l’équivalent chez votre fournisseur.
Choisissez l’authentification HTTP Header ou Bearer Token. N’utilisez pas l’authentification de base.
Collez le jeton dans le champ du jeton ou du secret.
Enregistrez l’intégration et lancez l’action Test connection de votre fournisseur.
Activez la synchronisation des utilisateurs et des groupes, si votre fournisseur les offre.
Attribuez l’application à un groupe pilote. Ne l’attribuez pas encore à toute l’entreprise.

Sanitized AI prend en charge les opérations standard SCIM 2.0 sur les utilisateurs et les groupes, y compris la création, la mise à jour, la désactivation, les changements d’appartenance aux groupes, le filtrage et les opérations groupées.

3. Vérifier les correspondances des utilisateurs et des groupes

Avant la première synchronisation, vérifiez les correspondances d’attributs de votre fournisseur :

Vérifiez que le courriel de l’utilisateur correspond au champ du nom d’utilisateur ou du courriel SCIM.
Vérifiez que le statut actif de l’utilisateur est synchronisé, pour que le départ d’un employé désactive son compte Sanitized AI.
Vérifiez que le groupe pilote fait partie des groupes transmis à Sanitized AI.
Enregistrez les changements de correspondance, puis lancez la vérification d’aperçu ou d’importation de votre fournisseur, s’il en offre une.

4. Facultatif : associer un groupe d’administrateurs

Pour permettre à un groupe de votre fournisseur d’identité de gérer Sanitized AI :

Dans SCIM provisioning, entrez le nom d’affichage exact du groupe dans Admin group name.
Cliquez sur Save SCIM settings.
Assurez-vous que votre fournisseur d’identité transmet ce groupe et ses membres par SCIM.

La correspondance du nom de groupe ne tient pas compte des majuscules. Les membres du groupe obtiennent le niveau d’accès Administrateur, et les personnes qui quittent le groupe redeviennent Membres. Vider ce réglage désactive l’association.

5. Valider la première synchronisation

Dans votre fournisseur d’identité, attribuez l’application à un utilisateur ou à un groupe pilote, puis lancez une synchronisation.
Dans Sanitized AI, retournez à Mon organisation > Connexion et provisionnement > SCIM provisioning.
Vérifiez que :
- Le statut passe de Awaiting first sync à Active.
- Last sync affiche une heure récente.
- Provisioned users et Synchronized groups affichent les nombres attendus.
- Le groupe d’administrateurs, si vous en avez défini un, est marqué comme groupe d’administrateurs.
Dans votre fournisseur d’identité, désactivez ou retirez un utilisateur pilote non essentiel.
Relancez la synchronisation et vérifiez que le compte est désactivé dans Sanitized AI.

N’élargissez pas l’attribution avant d’avoir testé la création, la mise à jour, l’appartenance aux groupes et la désactivation.

Comportement des comptes SCIM

Les nouveaux comptes sont créés comme membres actifs dans le département Unassigned, et ne reçoivent pas de courriel de bienvenue. Expliquez aux gens comment installer l’extension et s’y connecter, ou transmettez-leur Installer l’extension et se connecter.
Désactiver une personne dans votre fournisseur d’identité désactive son compte Sanitized AI. Le compte n’est pas supprimé : son historique reste donc dans vos rapports.
Chaque membre et chaque administrateur actif utilise un siège.

Renouveler ou révoquer le jeton

Cliquez sur Rotate bearer token pour créer un jeton de remplacement. L’ancien jeton cesse de fonctionner immédiatement : le provisionnement échoue donc jusqu’à ce que vous ayez terminé l’étape suivante.
Copiez-le dans votre gestionnaire de secrets, mettez à jour le jeton dans votre fournisseur d’identité et lancez un test de connexion.
Cliquez sur Revoke token seulement si le jeton a pu être exposé, ou quand vous retirez l’intégration. Le provisionnement s’arrête immédiatement.