Groupes Microsoft Entra
Faire tenir à jour automatiquement les membres des groupes par Microsoft Entra ID via le provisioning SCIM
Dernière mise à jour le
Avec le provisioning, Microsoft Entra ID envoie vos utilisateurs et groupes à Tillor. Si vous associez un groupe Entra à un groupe Tillor, les membres de ce groupe suivent Entra : la personne que vous ajoutez dans Entra reçoit les tâches et les vues du groupe, et celle que vous retirez ou désactivez les perd. Personne n'a besoin de se reconnecter pour cela.
Entra utilise pour cela le protocole SCIM. Tillor ne lit rien lui-même dans votre tenant Microsoft : c'est Entra qui décide quels utilisateurs et groupes il envoie. Seulement pendant la configuration rapide, votre navigateur parle à Microsoft pour créer l'application à votre place.
Ce qui se passe et ne se passe pas
- Uniquement les membres existants. Entra ne crée pas de comptes Tillor. Une personne qui n'est pas encore membre de votre organisation ne compte pas tant que vous ne l'avez pas invitée. Dès qu'elle devient membre, elle entre aussitôt dans ses groupes associés
- Aucune donnée des non-membres. Pour les personnes sans compte Tillor, Tillor ne conserve ni nom ni adresse e-mail, seulement un code illisible grâce auquel Tillor les reconnaît si elles deviennent membres plus tard
- Rien sans association. Un groupe Entra ne change quelque chose dans Tillor que lorsque vous l'associez à un groupe Tillor sous Groupes Entra non liés
- Un pour un. Un groupe Tillor appartient à un seul groupe Entra au maximum
- Le nom reste celui de Tillor. Si vous renommez le groupe dans Entra, vous voyez le nouveau nom après Entra ·, mais le groupe Tillor garde son propre nom
- Les groupes imbriqués ne sont pas dépliés. Un groupe qui est membre d'un autre groupe ne compte pas comme membre. Si vous voulez aussi ces personnes, attribuez le groupe imbriqué séparément dans Entra et associez-le au même groupe Tillor ou à un autre
- La connexion ne change pas. Les personnes se connectent simplement avec Microsoft, voir Connexion
Avant de commencer
Il vous faut :
- Dans Tillor, l'autorisation Modifier les paramètres
- Dans Microsoft Entra, le rôle Cloud Application Administrator ou Application Administrator (ou supérieur)
- Une licence Entra qui autorise le provisioning automatique vers des applications propres (Microsoft Entra ID P1 ou supérieur)
Veillez à ce que vos collègues aient dans Tillor le même compte Microsoft ou la même adresse e-mail que dans Entra. Ainsi Tillor reconnaît qui est qui, voir Comment Tillor reconnaît les personnes.
Configuration rapide
Si vous êtes vous-même administrateur Entra, Tillor prépare l'association en une seule fois pour vous.
- Allez à Support > Paramètres et choisissez Groupes
- Sous Microsoft Entra, cliquez sur Configurer avec Microsoft puis sur Se connecter et configurer
- Dans la fenêtre de Microsoft, connectez-vous avec votre compte administrateur et donnez votre accord. Microsoft demande l'autorisation de gérer les applications et le provisioning et de lire vos groupes
Tillor crée alors l'application dans Entra, renseigne l'URL du locataire et le jeton, fait reconnaître les utilisateurs par leur compte Microsoft et fait envoyer par Entra le type de chaque groupe. Ensuite la synchronisation démarre et Tillor vous envoie, vous et tous vos groupes, immédiatement, pour que vous n'ayez pas à attendre la première synchronisation. Enfin, Tillor lit pour chaque groupe le type et s'il y a une équipe associée. Vous voyez chaque étape se cocher. Tillor le fait en arrière-plan : vous pouvez fermer la fenêtre ou même la page. Si vous cliquez plus tard à nouveau sur Configurer avec Microsoft, vous voyez où en est l'opération, ou, jusqu'à une heure après la fin, si elle a réussi ou échoué. Vous pouvez ensuite recommencer avec Configurer à nouveau.
Entra envoie alors tous vos utilisateurs et groupes. Vous n'avez rien à choisir au préalable : les groupes apparaissent sous Groupes Entra non liés et ne changent rien tant que vous ne les associez pas. Pour cela, poursuivez avec Associer des groupes dans Tillor. Les membres des groupes suivent avec la première synchronisation. Elle dure quelques minutes, quelques heures pour les grandes organisations.
Tillor n'utilise l'accès que pour cette configuration. Il part chiffré vers la tâche d'arrière-plan et n'est ensuite conservé nulle part ; Microsoft le laisse expirer de lui-même au bout d'environ une heure. Si vous relancez Configurer avec Microsoft, Tillor retrouve la même application et n'en crée pas une seconde.
La configuration rapide crée un nouveau jeton. Un jeton que vous aviez collé à la main dans Entra ne fonctionne plus ensuite. Si la configuration s'arrête en cours de route, cliquez sur Réessayer.
Si la connexion échoue, par exemple parce que votre organisation bloque l'autorisation des applications, ou si vous voulez qu'Entra n'envoie que certains groupes, configurez l'association à la main comme ci-dessous.
Configuration manuelle
Créer un jeton dans Tillor
- Allez à Support > Paramètres et choisissez Groupes
- En haut figure Microsoft Entra. Si l'association est déjà configurée, cliquez sur Connexion
- Copiez l'URL du locataire. Elle ressemble à
https://…/api/orgs/<organisatie>/scim/v2 - Cliquez sur Générer un jeton et copiez le jeton qui apparaît
Le jeton n'est affiché qu'une seule fois. Collez-le tout de suite dans Entra. Si vous l'avez perdu, cliquez sur Remplacer le jeton et utilisez le nouveau jeton.
Créer une application dans Entra
- Ouvrez le centre d'administration Microsoft Entra
- Allez à Identity > Applications > Enterprise applications et cliquez sur New application
- Cliquez sur Create your own application
- Donnez un nom à l'application, par exemple Tillor, choisissez Integrate any other application you don't find in the gallery (Non-gallery) et cliquez sur Create
Si vous avez déjà une enterprise application pour Tillor, vous pouvez aussi l'utiliser.
Associer le provisioning
- Dans l'application, ouvrez Provisioning et cliquez sur Get started (ou New configuration)
- Mettez Provisioning Mode sur Automatic
- Sous Admin Credentials, renseignez :
- Tenant URL : l'URL du locataire de Tillor
- Secret Token : le jeton de Tillor
- Cliquez sur Test Connection. Entra doit indiquer que la connexion a réussi
- Cliquez sur Save
Vérifier les attributs
Sous Mappings, ouvrez la règle Provision Microsoft Entra ID Users :
- Mettez externalId sur objectId (par défaut, c'est mailNickname). Tillor reconnaît alors une personne par son compte Microsoft, même si l'adresse e-mail diffère
- Laissez userName (← userPrincipalName), active et emails[type eq "work"].value (← mail) en place
Laissez Provision Microsoft Entra ID Groups activé. Les réglages par défaut (displayName, externalId ← objectId, members) conviennent.
Si vous voulez voir dans Tillor de quel type de groupe il s'agit, ajoutez ces attributs aux groupes. Sous Show advanced options, choisissez d'abord Edit attribute list for customappsso et ajoutez les attributs cibles, puis pour chaque règle Add New Mapping :
| Source dans Entra | Attribut cible | Type |
|---|---|---|
Expression Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Si une source manque dans la liste d'Entra, sautez cette règle. Entra ne peut pas transmettre ainsi si une équipe est associée à un groupe ; Tillor ne le voit que via Configurer avec Microsoft.
Vous pouvez laisser les autres attributs. Tillor ne les enregistre pas.
Attribuer des groupes
- Dans l'application, ouvrez Users and groups et cliquez sur Add user/group
- Choisissez les groupes que Tillor doit recevoir, par exemple Réception, et cliquez sur Assign
- Sous Provisioning > Settings, vérifiez que Scope est sur Sync only assigned users and groups
Entra envoie un groupe avec ses membres. Vous n'avez pas à attribuer les membres séparément.
Démarrer le provisioning
Sous Provisioning, mettez Provisioning Status sur On et cliquez sur Save.
Le premier cycle peut prendre un moment, selon le nombre d'utilisateurs. Ensuite, Entra envoie les modifications environ toutes les 40 minutes. Si vous voulez mettre à jour une seule personne tout de suite, utilisez Provision on demand dans Entra.
Associer des groupes dans Tillor
Actualisez Paramètres > Groupes. En haut figure la ligne Microsoft Entra avec la dernière synchronisation et le nombre de groupes liés. Sous vos groupes Tillor figure Groupes Entra non liés avec les groupes envoyés qui ne font encore rien. Cliquez sur Afficher si la liste est fermée et utilisez le champ de recherche pour trouver un groupe. Pour chaque groupe, choisissez sous Lier à… ce qui doit se passer, puis cliquez sur Enregistrer. Avec Annuler les modifications, vous écartez vos choix. Un groupe Tillor ne peut être rattaché qu'à un seul groupe Entra ; les groupes déjà liés ne peuvent pas être choisis une nouvelle fois.
| Choix | Ce qui se passe |
|---|---|
| Créer | Tillor crée un groupe avec le nom issu d'Entra et le remplit avec les membres reconnus |
| Un groupe existant | Les membres de ce groupe sont remplacés par les membres reconnus issus d'Entra. Si Entra n'a pas encore envoyé les membres de ce groupe, les membres actuels restent en place jusqu'à ce que la synchronisation les livre |
Désormais, Entra met à jour les membres à chaque synchronisation. Le groupe lié disparaît de la liste et, dans vos groupes Tillor, Entra · [nom] figure sous le groupe avec le type de groupe.
L'association ne se fait que depuis Groupes Entra non liés. Un groupe Tillor que vous gérez à la main, comme IT, ne s'associe pas depuis le groupe lui-même.
Après chaque nom de groupe figure le type de groupe dans Entra. Avec les boutons au-dessus de la liste, vous n'affichez qu'un seul type.
| Libellé | Ce que c'est |
|---|---|
| Sécurité | Un groupe de sécurité ordinaire, souvent le groupe que vous voulez associer |
| Sécurité à extension messagerie | Un groupe de sécurité avec sa propre adresse e-mail |
| Liste de distribution | Uniquement une liste de diffusion e-mail |
| Microsoft 365 | Un groupe avec une boîte aux lettres partagée et un site SharePoint, parfois avec une équipe |
| Windows Server AD | Provient de votre Active Directory local (hybride) et y est géré |
| Dynamique | Entra détermine lui-même les membres avec une règle |
| Teams | Une équipe est associée |
| Type inconnu | Tillor ne connaît pas encore le type. Relancez Configurer avec Microsoft |
Les groupes de site SharePoint, comme Propriétaires, Membres et Visiteurs d'un site, ne sont pas des groupes Entra. Ils n'arrivent jamais dans Tillor. Ce que vous voyez, c'est le groupe Microsoft 365 derrière le site.
Comment Tillor reconnaît les personnes
Pour chaque utilisateur qu'Entra envoie, Tillor cherche un membre existant de votre organisation :
- D'abord par le compte Microsoft avec lequel cette personne se connecte à Tillor (l'ID d'objet Entra, si vous mettez externalId sur objectId)
- Sinon par adresse e-mail : l'adresse professionnelle d'Entra, ou le userPrincipalName si c'est une adresse e-mail
Si Tillor ne trouve personne, ou si l'utilisateur est désactivé dans Entra, il ne compte pas dans le groupe. Dès que la personne devient membre de l'organisation, elle compte aussitôt. Si vous la réactivez dans Entra, elle compte à la prochaine synchronisation.
Ce qui se passe lors de modifications dans Entra
| Dans Entra | Dans Tillor |
|---|---|
| Membre ajouté à un groupe lié | Entre dans le groupe Tillor (s'il est membre de l'organisation) |
| Membre retiré du groupe | Sort du groupe Tillor |
| Utilisateur désactivé (Account enabled désactivé) | Sort de tous les groupes Tillor liés. Son compte Tillor reste en place |
| Utilisateur ou groupe n'est plus attribué à l'application | Entra envoie une désactivation ou une suppression, avec le même effet |
| Groupe supprimé | Sous le groupe Tillor figure Supprimé dans Entra. Les membres ont été conservés. Le groupe Tillor reste en place avec ses derniers membres et n'est plus mis à jour |
Retirer quelqu'un complètement de votre organisation se fait dans Tillor, sous Organisation. Entra ne gère que les membres des groupes.
Ce que vous retrouvez dans le journal d'activité
Dans le journal d'activité, vous voyez :
- Chaque modification des membres d'un groupe Tillor qu'Entra applique, avec qui est entré ou sorti. Elle est au nom du système, pas d'un utilisateur
- Chaque cycle de synchronisation d'Entra, une ligne par cycle. Un cycle dans lequel Entra n'envoie rien ne s'affiche pas
- Qui a associé ou dissocié un groupe Entra d'un groupe Tillor, et qui a remplacé le jeton
Modifier ou arrêter l'association
- Dissocier : cliquez sur Délier sur le groupe Tillor. Le groupe Tillor reste tel quel et vous le gérez à nouveau à la main. Le groupe Entra revient sous Groupes Entra non liés
- Autre groupe Tillor : déliez, puis associez le groupe Entra à un autre groupe sous Groupes Entra non liés. Le groupe précédent garde ses membres, mais n'est plus mis à jour
- Arrêter complètement : dans Entra, mettez Provisioning Status sur Off, ou supprimez l'enterprise application
Remplacer le jeton
Dans la ligne Microsoft Entra, cliquez sur Connexion puis sur Remplacer le jeton si le jeton a fuité ou si vous en avez de nouveau besoin. L'ancien jeton ne fonctionne plus immédiatement. Collez le nouveau jeton dans Entra sous Provisioning > Admin Credentials > Secret Token et cliquez sur Save. Tant que vous ne le faites pas, la synchronisation échoue dans Entra.
Résoudre les problèmes
Configurer avec Microsoft s'arrête à une étape
À l'étape figure le message de Microsoft. Le plus souvent, il manque à votre compte le rôle d'administrateur ou l'autorisation. Vérifiez les rôles sous Avant de commencer et cliquez sur Réessayer. Tillor réutilise l'application et le provisioning déjà créés.
Test Connection échoue
Vérifiez que l'URL du locataire est reprise en entier, /scim/v2 compris, et que le jeton est le dernier généré. Après Remplacer le jeton, un ancien jeton ne fonctionne plus.
Un groupe ne figure pas dans la liste
Attendez la fin de la première synchronisation et actualisez la page. Si vous avez configuré l'association à la main, Entra n'envoie que les groupes attribués à l'application : vérifiez Users and groups dans l'application et attendez le cycle suivant, ou utilisez Provision on demand.
Quelqu'un manque dans le groupe Tillor
- Cette personne est-elle membre de votre organisation Tillor ? Entra ne crée pas de comptes
- L'adresse e-mail dans Entra correspond-elle à celle de Tillor ? Sinon, mettez externalId sur objectId, pour que Tillor la reconnaisse par son compte Microsoft. Cela ne fonctionne que si elle s'est déjà connectée une fois à Tillor avec Microsoft
- L'utilisateur est-il activé dans Entra ?
- Est-il directement membre du groupe, et non via un groupe imbriqué ?
Ma modification manuelle disparaît
Pour un groupe lié, Entra est la source. Modifiez les membres dans Entra, ou déliez le groupe.
Plus de détails sur un cycle échoué
Dans Entra, ouvrez Provisioning > Provisioning logs. Vous y voyez pour chaque utilisateur et groupe ce qu'Entra a essayé et quelle réponse Tillor a donnée.