Provisionnement SCIM et offboarding avec Entra ID et Okta

Prenons Kasia, qui forme à elle seule l'équipe informatique d'une entreprise de 180 personnes. Vendredi après-midi, un commercial quitte l'entreprise. Kasia désactive son compte dans le fournisseur d'identité, retire l'ordinateur portable de la gestion des appareils et clôt le ticket.

Ce à quoi elle ne pense pas, c'est l'outil de réservation de bureaux. Le compte du partant y reste actif. Pire : il disposait d'une place de parking attribuée en permanence, la P-14. Le lundi, elle est toujours marquée à son nom ; personne ne la réserve, et elle reste vide trois semaines, jusqu'à ce que quelqu'un à l'accueil demande pourquoi.

Le même lundi, une nouvelle recrue arrive et ne peut pas réserver de bureau, parce que personne n'a créé son compte. Deux petites failles, une à chaque bout du cycle de vie du collaborateur, et toutes deux viennent d'une liste d'utilisateurs tenue à la main.

SCIM comble les deux. Voici comment cela fonctionne dans Desk & Park, étape par étape.

Étape 1 : générer le jeton dans Desk & Park

Dans les paramètres de l'organisation, un administrateur ouvre la carte Provisionnement des utilisateurs (SCIM). Elle affiche deux éléments à copier :

le point de terminaison SCIM (l'URL du locataire, ou Tenant URL, qu'appelle votre fournisseur d'identité) ;
un jeton, créé avec Générer un jeton.

Le jeton n'est affiché qu'une seule fois. Desk & Park n'en conserve qu'une empreinte (hash) : si vous le perdez, vous le renouvelez au lieu de le retrouver. Renouveler le jeton invalide immédiatement l'ancien, et Révoquer arrête le provisionnement sur-le-champ. La carte indique ensuite si le jeton attend encore sa première synchronisation, ou à quel moment le fournisseur d'identité a synchronisé pour la dernière fois.

Étape 2 : connecter Microsoft Entra ID ou Okta

Microsoft Entra ID. Dans le centre d'administration Entra, allez dans Applications d'entreprise → Nouvelle application → Créer votre propre application (une application hors galerie). Sous Approvisionnement (Provisioning), choisissez le mode Automatique, collez le point de terminaison comme URL du locataire (Tenant URL) et le jeton comme Jeton secret (Secret Token), puis lancez Tester la connexion. Dans les mappages d'attributs, userName doit être l'adresse e-mail (userPrincipalName ou mail) ; le prénom et le nom de famille correspondent au prénom et au nom ; active pilote l'activation et la désactivation ; department est facultatif. Affectez les personnes qui doivent avoir accès et activez l'approvisionnement.

Okta. Utilisez l'application SCIM 2.0 Test App (OAuth Bearer Token) du catalogue, ou votre propre application avec SCIM activé. Renseignez l'URL de base du connecteur SCIM avec le point de terminaison, le champ d'identifiant unique avec userName et l'authentification avec un jeton Bearer dans l'en-tête HTTP. Activez Create Users, Update User Attributes et Deactivate Users, puis affectez les personnes.

SCIM est disponible dans tous les forfaits.

Étape 3 : ce qui se passe à l'arrivée d'une personne

Lorsque Entra ou Okta transmet une nouvelle personne, Desk & Park crée le compte avec :

l'e-mail comme identifiant de connexion, le prénom et le nom, l'identifiant externe et, si vous le mappez, le service ;
le rôle Employé ;
aucun mot de passe. Les personnes se connectent par authentification unique (SSO) ou avec un code à usage unique envoyé par e-mail.

Le lundi matin, la nouvelle recrue ouvre donc Desk & Park, se connecte via le fournisseur d'identité de l'entreprise et réserve un bureau. Personne à l'informatique n'a touché à l'outil de réservation.

Aucun forfait ne limite le nombre d'utilisateurs : le provisionnement ne se heurte donc jamais à un quota d'utilisateurs, et chaque personne que vous affectez dans le fournisseur d'identité obtient son compte, y compris avec le forfait gratuit Start.

Étape 4 : ce qui se passe quand quelqu'un change d'équipe ou de nom

Une modification dans le fournisseur d'identité, comme un nouveau nom de famille ou un passage dans un autre service, est reprise à la synchronisation suivante. Dans Desk & Park, ces champs sont alors verrouillés pour cet utilisateur : un administrateur qui tente de modifier le nom ou le service voit qu'ils sont gérés par le fournisseur d'identité et doivent y être modifiés. Une seule source de vérité, et aucune dérive silencieuse entre deux systèmes.

Étape 5 : ce qui se passe au départ d'une personne

C'est la partie qui intéresse Kasia. Lorsque le fournisseur d'identité envoie active: false, ou supprime l'utilisateur, Desk & Park désactive le compte. La désactivation fait trois choses à la fois :

Toutes les sessions prennent fin immédiatement. Y compris les jetons d'accès déjà délivrés au navigateur ou au téléphone de la personne, et pas seulement la possibilité de se reconnecter.
Les attributions permanentes sont libérées. Un bureau ou une place de parking attribués en permanence retournent dans le pool partagé, et le journal d'audit liste les emplacements libérés. La place P-14 peut être réservée dès le lundi.
L'historique est conservé. Les réservations passées sont conservées et comptent toujours dans les rapports pour les périodes concernées. Rien n'est supprimé définitivement.

Si la personne revient et est réactivée dans le fournisseur d'identité, le compte redevient actif avec son historique. Les attributions permanentes ne sont pas restaurées automatiquement ; un administrateur les attribue de nouveau si nécessaire.

Le même nettoyage s'exécute lorsqu'un administrateur désactive manuellement quelqu'un dans Desk & Park : le résultat ne dépend donc pas du chemin emprunté.

Des garde-fous intégrés

Un jeton de provisionnement est un identifiant puissant ; SCIM est donc volontairement limité :

Il ne désactive jamais le dernier administrateur actif de l'organisation. La requête est refusée : une affectation mal configurée dans le fournisseur d'identité ne peut pas bloquer tout le monde.
Il ne modifie jamais l'e-mail de connexion d'un compte doté d'un rôle à privilèges plus élevés. Changer l'adresse de connexion d'un administrateur est précisément le moyen par lequel un jeton volé pourrait s'emparer de ce compte : ces adresses ne sont donc modifiées que par un administrateur dans Desk & Park.
Chaque modification SCIM est consignée dans le journal d'audit sous l'acteur scim-provisioning, aux côtés de tout ce que font les administrateurs.

Conseils pratiques

Associez SCIM au SSO. SCIM crée le compte ; l'authentification unique connecte la personne. Desk & Park ne crée pas de compte lors d'une première connexion SSO : c'est SCIM qui maintient la liste des utilisateurs complète.
Mappez le service. Il alimente les rapports par service : les chiffres de dimensionnement d'un service restent ainsi exacts sans modifications manuelles.
Testez d'abord avec une seule personne. Affectez un unique utilisateur de test, vérifiez que le compte apparaît avec le bon nom et le bon service, désactivez-le, puis confirmez que les sessions prennent fin et que tout emplacement attribué est libéré.
Ne conservez le jeton que dans votre fournisseur d'identité. S'il a transité ailleurs, renouvelez-le.
Gardez deux administrateurs. La règle du dernier administrateur vous protège, mais deux administrateurs actifs facilitent chaque changement.

Périmètre : ce que SCIM ne fait pas

Desk & Park provisionne uniquement les utilisateurs. Les groupes ne sont pas synchronisés, et les rôles ne sont pas définis via SCIM : tout le monde arrive avec le rôle Employé, et les administrateurs attribuent les autres rôles dans Desk & Park. Les équipes ne sont pas non plus mappées ; le service, si. Il n'existe pas d'intégration directe avec les SIRH ; SCIM fonctionne entre votre fournisseur d'identité et Desk & Park. Entra ID et Okta sont pris en charge via leurs connexions SCIM standard (une application personnalisée dans Entra, l'application de test SCIM ou votre propre application dans Okta), et non via une fiche certifiée dans leur galerie.

FAQ

SCIM est-il facturé en supplément dans Desk & Park ?

Non. Le provisionnement SCIM est disponible dans tous les forfaits, y compris le forfait gratuit Start. Les forfaits ne limitent pas le nombre d'utilisateurs, il n'y a donc aucun plafond pour les comptes créés via SCIM.

Que deviennent le bureau ou la place de parking attribués d'une personne qui part ?

Lorsque le fournisseur d'identité désactive ou supprime l'utilisateur, Desk & Park remet ses bureaux et places de parking attribués dans le pool partagé et consigne dans le journal d'audit les emplacements libérés. Les collègues peuvent les réserver immédiatement.

Un utilisateur désactivé est-il déconnecté immédiatement ?

Oui. La désactivation révoque toutes les sessions de la personne, y compris les jetons d'accès déjà délivrés : elle ne peut pas continuer à utiliser un onglet de navigateur ouvert ou son téléphone.

Peut-on attribuer des rôles ou synchroniser des groupes via SCIM ?

Non. Dans Desk & Park, SCIM ne gère que les utilisateurs. Les nouveaux comptes reçoivent le rôle Employé, et les administrateurs modifient les rôles dans Desk & Park. Les groupes ne sont pas provisionnés.

Les personnes ont-elles besoin d'un mot de passe après le provisionnement ?

Non. Les comptes créés via SCIM n'ont pas de mot de passe. Les personnes se connectent via l'authentification unique de votre organisation ou avec un code à usage unique envoyé par e-mail.