Le provisionnement permet au fournisseur d’identité de votre organisation, comme Okta ou Microsoft Entra ID, de gérer qui fait partie de vos équipes 50heads. Il ajoute les personnes quand elles arrivent dans votre entreprise, définit leur rôle d’après leurs groupes, et les retire quand elles partent. Il utilise SCIM 2.0, la norme que la plupart des fournisseurs d’identité utilisent pour cela.

Les règles de sécurité sont des règles de connexion pour tous les membres des équipes de votre organisation : connexion en deux étapes, durée pendant laquelle on reste connecté, et fréquence à laquelle on confirme que c’est bien soi.

Nous ouvrons ces deux fonctions aux organisations progressivement. Si vous ne voyez pas Provisionnement (SCIM) ou Règles de sécurité dans Réglages, puis Organisation, elles ne sont pas encore activées pour votre organisation. Contactez-nous si vous les voulez.

Avant de commencer

  • Votre organisation doit avoir au moins un domaine vérifié. Nous n’ajoutons que les personnes dont l’adresse e-mail est sur un domaine vérifié. Voir Votre organisation et ses domaines.
  • Vous devez être propriétaire ou admin d’une des équipes de l’organisation, connecté sur le site.
  • Chaque changement demande de confirmer à nouveau que c’est vous. Choisissez Confirmer que c’est vous quand on vous le demande. La confirmation dure 10 minutes.

Créer un jeton

Dans Provisionnement (SCIM), choisissez Créer un jeton et donnez-lui un libellé, comme Okta. Vous voyez deux informations à donner à votre fournisseur d’identité :

Quoi Valeur
URL de base SCIM https://api.50heads.com/scim/v2
Jeton Commence par scim_. Affiché une seule fois.

Copiez le jeton tout de suite. Nous n’en gardons qu’une empreinte, donc personne ne peut vous le montrer à nouveau. Si vous le perdez, créez-en un autre.

  • Jusqu’à 5 jetons peuvent fonctionner en même temps. La liste montre les premiers caractères de chaque jeton et sa dernière utilisation.
  • Remplacer vous donne un nouveau jeton. L’ancien continue de fonctionner pendant la durée choisie, 1 jour par défaut et jusqu’à 7 jours, pour que vous mettiez à jour votre fournisseur d’identité sans interruption.
  • Révoquer arrête un jeton tout de suite.

Un jeton ne peut lire et modifier que les personnes et les groupes de votre propre organisation.

Configurer Okta

  1. Dans l’Admin Console, allez dans Applications, puis Browse App Catalog, et ajoutez SCIM 2.0 Test App (OAuth Bearer Token). Ou activez le provisionnement SCIM dans votre propre intégration.
  2. Dans Provisioning, puis Integration, saisissez l’URL de base SCIM, choisissez userName comme identifiant unique, et choisissez l’authentification HTTP Header avec le jeton.
  3. Activez Push New Users, Push Profile Updates et Push Groups, puis choisissez Test Connector Configuration.
  4. Dans To App, activez Create Users, Update User Attributes et Deactivate Users.
  5. Affectez les personnes et les groupes qui doivent utiliser 50heads.

Les correspondances d’attributs par défaut sont les bonnes :

50heads Okta
userName user.email
name.givenName user.firstName
name.familyName user.lastName
emails (travail) user.email
active Défini par Okta quand vous affectez ou retirez une personne

Configurer Microsoft Entra ID

  1. Dans le centre d’administration Entra, allez dans Enterprise applications, puis New application, puis Create your own application (hors galerie).
  2. Dans Provisioning, choisissez Automatic. Saisissez l’URL de base SCIM comme Tenant URL et le jeton comme Secret token, puis choisissez Test connection.
  3. Vérifiez les correspondances ci-dessous. Activez le provisionnement des groupes avec displayName et members.
  4. Dans Settings, choisissez Sync only assigned users and groups, puis affectez les personnes et les groupes.
  5. Mettez Provisioning Status sur On. Entra s’exécute environ toutes les 40 minutes. Provision on demand traite une personne tout de suite.
50heads Entra ID
userName userPrincipalName, ou mail si vos noms de connexion ne sont pas des adresses sur un domaine vérifié
name.givenName givenName
name.familyName surname
emails (travail) mail
active La valeur par défaut Switch([IsSoftDeleted], …)
externalId objectId ou mailNickname

Les autres attributs, comme l’intitulé de poste ou le téléphone, peuvent rester. Nous les acceptons sans les conserver.

Attribuer des rôles par groupe

Envoyez les groupes dont les membres doivent avoir un rôle. Puis, dans Rôles par groupe, choisissez un groupe, une équipe et un rôle : admin, membre, facturation ou lecteur. Votre fournisseur d’identité ne fait jamais de quelqu’un un propriétaire.

  • Une personne dans plusieurs groupes reçoit le rôle le plus élevé dans chaque équipe : admin, puis membre, puis facturation, puis lecteur.
  • Une personne sans groupe associé reçoit le rôle des personnes sans groupe associé dans votre équipe par défaut. C’est membre, sauf si vous le changez.
  • Retirer une personne d’un groupe lui retire le rôle tout de suite. Renommer un groupe garde ses rôles.
  • Le provisionnement ne modifie que les adhésions qu’il a créées. Une personne ajoutée à la main par un admin garde le rôle qu’il lui a donné.

Quand une personne est ajoutée

  • Si elle a déjà un compte 50heads avec cette adresse e-mail, nous l’associons. Nous ne fusionnons jamais de comptes. Elle garde ses crédits, ses questions et ses clés, et rejoint vos équipes.
  • Sinon, nous lui créons un compte. Elle se connecte avec un code par e-mail, ou avec la connexion de votre entreprise si vous utilisez l’authentification unique.

Quand une personne est désactivée ou retirée

Quand votre fournisseur d’identité désactive ou supprime une personne, tous ses accès à votre organisation prennent fin à sa prochaine requête :

  • chaque session se termine, sur le web et dans l’app, et elle est déconnectée ;
  • les clés API et les apps connectées qu’elle a créées dans vos équipes cessent de fonctionner ;
  • les webhooks qu’elle a configurés pour vos équipes s’arrêtent ;
  • elle quitte vos équipes.

Ses questions et ses résultats restent dans l’équipe. Les crédits de l’équipe restent où ils sont, et les questions en cours se terminent normalement. Les clés créées dans son compte personnel lui appartiennent et continuent de fonctionner. Chaque étape figure dans le journal d’activité, et dans le journal d’audit quand il est activé pour votre organisation.

Si votre fournisseur d’identité la réactive, elle rejoint à nouveau vos équipes. Les clés, apps connectées et sessions terminées le restent.

Propriétaires et propriétaires de secours

  • Une personne propriétaire d’une de vos équipes ne peut pas être désactivée tant qu’un autre membre n’en est pas propriétaire. Votre fournisseur d’identité reçoit une erreur qui nomme l’équipe. Ouvrez Réglages, puis Organisation, choisissez Confier l’équipe sous l’équipe et choisissez le nouveau propriétaire. Seul le propriétaire de l’équipe, ou celui de votre équipe principale, peut le faire.
  • Si vous utilisez l’authentification unique, un propriétaire de secours ne peut pas être désactivé tant qu’il a cet accès de secours. Un propriétaire le lui retire d’abord, puis votre fournisseur d’identité peut le désactiver.

Combien de requêtes votre fournisseur d’identité peut envoyer

Chaque jeton peut envoyer jusqu’à 1 200 requêtes par minute. Votre organisation peut en envoyer jusqu’à 2 400 par minute avec tous ses jetons, donc remplacer un jeton ne réduit jamais la limite de moitié. Elle est prévue pour couvrir une première synchronisation d’un grand annuaire.

Si votre fournisseur d’identité dépasse la limite, nous répondons avec le statut HTTP 429 et un en-tête Retry-After qui indique combien de secondes attendre. Rien n’est modifié par cette requête. Votre fournisseur d’identité doit attendre puis la renvoyer. Si une requête échoue encore, elle apparaît comme une erreur de provisionnement dans votre fournisseur d’identité, et vous pouvez la relancer depuis celui-ci. Le journal du provisionnement montre aussi ces requêtes.

Le journal du provisionnement

Journal du provisionnement montre les dernières requêtes de votre fournisseur d’identité, des plus récentes aux plus anciennes : la requête, son statut, ce qui s’est passé et quand. Nous le gardons 90 jours, sans jetons ni contenu des requêtes. Il vous aide à comprendre pourquoi une personne n’a pas été ajoutée.

Règles de sécurité

Toutes les règles sont désactivées jusqu’à ce qu’un admin les active. Elles s’appliquent à tous les membres des équipes de votre organisation, où qu’ils se connectent. Une personne dans deux organisations suit la règle la plus stricte.

Règle Ce qu’elle fait
Exiger la connexion en deux étapes ou une clé d’accès Sans l’une ou l’autre, on peut se connecter, mais rien de ce qui demande de confirmer que c’est soi, comme créer une clé, ne fonctionne avant d’en ajouter une.
Durée maximale d’une session De 15 minutes à 90 jours. On se reconnecte après cette durée, même si on est actif.
Délai d’inactivité De 5 minutes à 30 jours. On est déconnecté après cette durée sans utiliser 50heads.
Délai de confirmation d’identité De 1 à 10 minutes. La durée de validité d’une confirmation avant un changement sensible. 10 minutes est la valeur standard.

Les règles s’appliquent aux sessions déjà ouvertes. Si vous raccourcissez la durée maximale ou le délai d’inactivité, nous montrons qui est concerné et demandons confirmation avant d’enregistrer. Les sessions plus anciennes que la nouvelle limite se terminent à leur prochaine requête. Les apps connectées se reconnectent une fois plus anciennes que la durée maximale.

Ce que voient les membres de vos équipes

  • Si la connexion en deux étapes est exigée, les personnes qui ne l’ont pas voient sur chaque page un message leur demandant de configurer la connexion en deux étapes ou une clé d’accès. L’app le leur demande aussi après la connexion. En ajouter une n’est jamais bloqué.
  • Quand une session se termine à cause d’une règle, ou parce qu’un admin l’a terminée, le site et l’app déconnectent la personne et le lui disent, pour qu’elle se reconnecte.
  • Tout le monde peut voir les règles de votre organisation dans Réglages, puis Organisation.

Voir toutes les personnes de votre organisation

Personnes réunit toutes les personnes des équipes de votre organisation au même endroit. Ouvrez Réglages, puis Organisation et choisissez Ouvrir Personnes. Seuls les propriétaires et les admins des équipes de l’organisation peuvent la voir.

Pour chaque personne, Personnes indique :

  • ses équipes, son rôle dans chacune, et si ce rôle vient de votre fournisseur d’identité ;
  • si votre fournisseur d’identité l’a ajoutée, ou l’a désactivée ;
  • si elle utilise l’authentification unique ;
  • quand elle s’est connectée pour la dernière fois, et sur combien d’appareils elle est connectée maintenant.

Une personne désactivée par votre fournisseur d’identité reste dans la liste, sans équipe. Trouvez quelqu’un avec une partie de son nom ou de son adresse e-mail. La liste montre 50 personnes à la fois.

Terminer les sessions d’une personne

Dans Personnes, choisissez Sessions à côté d’une personne pour voir où elle est connectée, sur le web et dans l’app, et comment elle s’est connectée. Terminer toutes les sessions la déconnecte partout : chaque session se termine à sa prochaine requête. Ses clés continuent de fonctionner. C’est utile quand un ordinateur ou un téléphone est perdu. Ce bouton apparaît à côté de toute personne connectée quelque part, et demande une nouvelle vérification que c’est bien vous.

À lire aussi