Comptes automatiques (SCIM) Beta

Avec les comptes automatiques (SCIM), aussi appelés SCIM provisioning, XFA aligne les comptes d'une application sur votre page Personnes. Vous les configurez dans la carte Comptes automatiques (SCIM) d'une connexion de fournisseur d'identité, comme Proton. Quand vous ajoutez, désactivez ou supprimez une personne dans XFA, XFA fait de même dans l'application.

Remarque : ce guide suppose que vous êtes administrateur de votre organisation dans XFA et administrateur de l'application, avec une offre qui propose SCIM.

Avant de commencer

Vérifiez d'abord ces points. Si le premier n'est pas fait, arrêtez-vous ici.

L'authentification unique via XFA fonctionne déjà pour l'application. Pour Proton, cela veut dire que l'authentification unique de Proton est configurée avec XFA comme fournisseur d'identité. Suivez d'abord le guide Proton.
Les domaines e-mail de vos personnes sont définis. Définissez-les sous Domaines d'e-mail autorisés sur la connexion, ou comme domaines e-mail de votre organisation. XFA n'envoie que les personnes dont le domaine e-mail figure dans l'un d'eux.
XFA a activé la bêta pour votre organisation. Contactez support@xfa.tech pour le demander.

XFA crée un compte pour chacune de ces personnes. Si l'application facture par utilisateur, chaque compte coûte une licence.

Ce qui arrive aux comptes

Dans XFA	Dans l'application
Vous ajoutez une personne	XFA crée un compte, ou associe un compte avec la même adresse e-mail.
Vous cliquez sur Désactiver	Le compte est désactivé. Ses données sont conservées. Activer le réactive.
Vous cliquez sur Supprimer l'utilisateur	Le compte est supprimé. Dans beaucoup d'applications, c'est irréversible.
Le domaine e-mail de la personne n'est plus autorisé	Le compte est désactivé, pas supprimé.
Vous désactivez Comptes automatiques (SCIM)	Rien ne change. XFA n'envoie plus rien jusqu'à ce que vous le réactiviez.
L'adresse e-mail de la personne change	Voir Changer l'adresse e-mail d'une personne.

XFA ne touche qu'aux comptes qu'il a créés ou associés. Les autres comptes de l'application restent tels quels. Supprimer la connexion dans XFA laisse aussi les comptes tels quels.

Supprimer une personne supprime son compte dans l'application. Ce qui arrive ensuite à ses données dépend de l'application. Pour Proton, consultez le guide de Proton avant de supprimer une personne dont les données vous sont nécessaires. Pour garder le compte et ses données, désactivez plutôt la personne.

Désactiver ou supprimer une personne

Sur Personnes, ouvrez le menu (⋮) au bout de la ligne de la personne. Choisissez Désactiver ou Supprimer l'utilisateur.

Si la personne est active, Supprimer l'utilisateur ouvre une boîte de dialogue qui propose aussi Désactiver. Cliquez sur Désactiver pour garder le compte, ou sur Supprimer quand même pour le supprimer.

La boîte de dialogue de suppression. Elle indique que le compte Proton est aussi supprimé, et propose Annuler, Supprimer quand même et Désactiver.

Changer l'adresse e-mail d'une personne

XFA ne peut pas changer l'adresse e-mail d'une personne. Pour donner une nouvelle adresse à quelqu'un, supprimez la personne dans XFA et ajoutez-la de nouveau avec la nouvelle adresse. XFA supprime alors l'ancien compte dans l'application et en crée un nouveau. Si l'application a déjà un compte avec la nouvelle adresse, XFA associe plutôt celui-ci. Demandez d'abord à la personne de sauvegarder ailleurs tout ce qu'elle souhaite conserver de l'ancien compte.

Obtenir l'URL de base SCIM et le jeton SCIM

XFA a besoin de deux choses de l'application : une URL de base SCIM et un Jeton SCIM. Copiez-les d'abord depuis l'application.

Proton

Dans Proton, allez dans Settings (⚙), Organization, Single sign-on, SCIM automatic provisioning, Configure SCIM. Copiez la SCIM base URL et le SCIM token. L'authentification unique doit d'abord être configurée dans Proton.

Autres applications

Cherchez dans les paramètres de provisionnement des utilisateurs ou SCIM de l'application. La plupart des applications le proposent dans leurs offres business ou enterprise. Par exemple Slack, GitHub Enterprise Managed Users, Atlassian, AWS IAM Identity Center, Zoom et Notion.

Configurer dans XFA

Dans le tableau de bord XFA, ouvrez Fournisseur d'identité dans la barre latérale. Ouvrez la connexion.
Dans la carte Comptes automatiques (SCIM), choisissez l'Application : Proton, ou Autre application pour toute autre application.
Collez l'URL de base SCIM. Elle commence par https://.
Collez le Jeton SCIM.
Activez le commutateur en haut à droite de la carte.
Cliquez sur Enregistrer. XFA teste d'abord le jeton. Si l'application le refuse, vous voyez pourquoi et rien n'est enregistré.
Cliquez sur Tester la connexion. Cela vérifie seulement l'URL et le jeton. Personne n'est envoyé. Le résultat s'affiche sous les boutons : "La connexion fonctionne", ou "La connexion a échoué" avec la raison.
Cliquez sur Synchroniser maintenant. Cela envoie toutes les personnes des domaines e-mail autorisés. Si l'application a déjà un compte avec la même adresse e-mail, XFA l'associe. Il n'en crée pas un deuxième. Ensuite, XFA envoie les changements tout seul.

La carte à l'état Prêt. Elle indique que la connexion fonctionne et vous invite à cliquer sur Synchroniser maintenant.

XFA n'affiche plus jamais un jeton enregistré. Le champ n'en montre que les 4 derniers caractères. Pour remplacer le jeton, collez-en un nouveau et cliquez sur Enregistrer. Si vous changez l'URL de base SCIM alors que le commutateur est désactivé et enregistrez sans nouveau jeton, XFA vous demande de confirmer avec Enregistrer et effacer le jeton. XFA supprime alors l'ancien jeton, car il appartient à l'ancienne adresse. Si le commutateur est activé, une nouvelle adresse demande un nouveau jeton.

Vérifier que cela fonctionne

La carte indique Synchronisation pendant une synchronisation et À jour quand elle est terminée. La carte se met à jour toute seule. Vous n'avez pas besoin de recharger la page. Une première synchronisation prend en général de quelques secondes à quelques minutes. Avec des centaines de personnes, elle prend plus de temps. Ensuite, un changement dans XFA atteint l'application en quelques secondes.

La ligne sous le titre indique combien de personnes sont dans l'application, par exemple "6 personnes sur 6 dans Proton".
Sur Personnes, cliquez sur Paramètres de colonne : la roue dentée à l'extrémité droite de la ligne d'en-tête du tableau. Cochez Comptes d'application. La colonne montre l'état de chaque personne, comme Dans Proton, Pas encore envoyé ou Désactivé dans Proton.

La carte à l'état À jour. Elle indique que toutes les personnes sont dans Proton.

Ce que signifient les états

L'étiquette à côté du titre de la carte indique l'état.

Désactivé : SCIM n'est pas configuré, ou le commutateur est désactivé. Rien n'est envoyé. Suivez Configurer dans XFA.
Prêt : la connexion fonctionne, mais tout le monde n'a pas encore été envoyé. Cliquez sur Synchroniser maintenant. Voir Prêt.
Synchronisation : une synchronisation est en cours. Attendez. La carte se met à jour toute seule.
À jour : toutes les personnes des domaines e-mail autorisés sont dans l'application. Vous n'avez rien à faire.
Action requise : l'application a refusé certaines personnes. Voir Action requise.
Non connecté : l'application a refusé le jeton, ou XFA ne parvient pas à la joindre. Rien n'est envoyé. Voir Non connecté.

Dépannage

L'étiquette à côté du titre de la carte montre ce qui ne va pas. Le bloc en dessous indique quoi faire. Sur Fournisseur d'identité, la vignette de la connexion indique aussi combien de personnes n'ont pas été envoyées.

Une vignette de connexion sur Fournisseur d'identité. Elle indique que 4 personnes n'ont pas été envoyées à Proton, avec un lien pour les voir.

Action requise

L'application a refusé certaines personnes. Cliquez sur Voir N personnes pour voir qui, avec la raison pour chaque personne. Pour Proton, Ouvrir l'administration de Proton ouvre l'administration de Proton dans un nouvel onglet. La carte nomme l'application, ici Proton. Les raisons les plus fréquentes :

Proton n'a plus de licences libres. Achetez plus de licences, ou supprimez un compte dont vous n'avez pas besoin, dans l'administration de Proton. Cliquez ensuite sur Synchroniser maintenant. Pour une autre application, faites de même dans cette application.
Un compte avec cette adresse e-mail existe déjà dans Proton. XFA n'a pas pu l'associer à cette personne. Supprimez ou renommez ce compte dans l'application, puis cliquez sur Synchroniser maintenant.
Non envoyé : domaine e-mail non défini sur cette connexion. Ajoutez le domaine à Domaines d'e-mail autorisés sur la connexion, ou aux domaines e-mail de votre organisation. Cliquez ensuite sur Synchroniser maintenant.
Proton n'autorise pas cette action. Vérifiez que le jeton SCIM a des droits d'administrateur, et que l'offre de l'application inclut SCIM.

La carte à l'état Action requise. Elle indique que 7 personnes n'ont pas été envoyées, avec les raisons et des liens pour voir les personnes et ouvrir l'administration de Proton.

Pour d'autres raisons, XFA réessaie tout seul. Cliquez sur Synchroniser maintenant pour réessayer tout de suite.

Non connecté

L'application a refusé le jeton SCIM, par exemple parce qu'il a expiré. L'envoi est en pause. Cliquez sur Coller un nouveau jeton SCIM, collez un nouveau jeton et cliquez sur Enregistrer. XFA envoie alors les changements en attente.

Si la carte indique une autre raison, vérifiez l'URL de base SCIM et le Jeton SCIM, puis cliquez sur Tester la connexion.

Prêt

La connexion fonctionne, mais tout le monde n'a pas encore été envoyé. Cliquez sur Synchroniser maintenant.

La dernière synchronisation ne s'est pas terminée

Une synchronisation qui dure plus de 15 minutes affiche "La dernière synchronisation ne s'est pas terminée". Cliquez sur Synchroniser maintenant.

Un avertissement indiquant que XFA n'a pas pu vérifier SCIM

Quand vous désactivez ou supprimez une personne, la boîte de dialogue peut indiquer "XFA n'a pas pu lire les paramètres des comptes automatiques pour [connexion] pour le moment". XFA ne peut alors pas vous dire si le compte dans l'application change aussi. Si SCIM est activé pour cette connexion, il change. Rechargez la page. Si le problème persiste, contactez support@xfa.tech.

Le problème persiste

Contactez support@xfa.tech. Indiquez le nom de la connexion et l'heure à laquelle le problème est survenu.

Notes par application

Notes pour Proton

Proton Pass et Proton VPN partagent l'authentification unique de Proton, donc une seule connexion couvre les deux. Proton facture par utilisateur, donc chaque compte que XFA crée occupe une licence.

Proton documente la création et la suppression de comptes via SCIM. Pour désactiver un compte, XFA utilise un PATCH SCIM. Si Proton n'accepte pas PATCH, XFA se rabat sur PUT. Si Proton refuse les deux, la carte indique Action requise.

Notes pour les autres applications

Le provisionnement SCIM ne fonctionne que sur une connexion de fournisseur d'identité par laquelle XFA connecte les personnes. Il ne fonctionne pas sur les applications proxy SAML ni sur les connexions Google Workspace.

L'application doit accepter SCIM depuis un fournisseur d'identité personnalisé, avec l'adresse e-mail comme nom d'utilisateur. Certaines applications demandent des champs en plus. Si l'application refuse une personne, Personnes montre la raison donnée par l'application. Envoyez-la à support@xfa.tech.

Détails techniques

XFA parle SCIM 2.0 (RFC 7643, RFC 7644). XFA est le client, l'application est le serveur.
userName est l'adresse e-mail de la personne, la même que XFA utilise à la connexion.
externalId est un identifiant stable que XFA crée pour chaque personne sur chaque connexion. Ce n'est pas l'identifiant utilisateur XFA.
XFA désactive un compte avec PATCH (active false), ou avec PUT quand l'application n'a pas de PATCH. XFA supprime un compte avec DELETE.
L'URL de base SCIM doit être une adresse HTTPS publique avec un nom d'hôte. Une adresse IP, un hôte interne ou du HTTP simple est refusé.
Un envoi qui échoue est réessayé après 5, 15 et 60 minutes, puis toutes les 6 heures, pendant 7 jours au maximum.
Chaque nuit, XFA lance une synchronisation complète de chaque connexion. Synchroniser maintenant lance la même synchronisation tout de suite. Elle répare aussi les changements que quelqu'un a faits dans l'application.
Garde-fou contre la suppression de masse : une synchronisation qui supprimerait plus de 20 comptes et plus de 20 pour cent des comptes de la connexion ne supprime rien. La carte indique Non connecté avec la raison. Vérifiez Personnes et l'application, puis cliquez sur Synchroniser maintenant. Si vous supprimez vraiment autant de personnes, contactez support@xfa.tech.

Ce que XFA envoie

XFA envoie pour chaque personne l'adresse e-mail, le prénom, le nom, et si le compte est actif ou désactivé. Un nom vide dans XFA n'efface jamais un nom dans l'application.

XFA n'envoie pas l'adresse e-mail secondaire, les mots de passe, les appareils ni les politiques.