Lorsque vous supprimez un utilisateur de votre application PowerDMARC dans Microsoft Entra ID, le provisionnement SCIM devrait également désactiver cet utilisateur dans PowerDMARC. Cet article explique comment configurer le mappage des attributs actifs afin que les utilisateurs qui ne sont plus affectés à l'application ou qui ont été supprimés dans Entra ID soient désactivés (suppression temporaire) dans PowerDMARC.
Pourquoi est-ce important ? Sans cette mise en correspondance, les utilisateurs que vous désenregistrez dans Entra ID peuvent rester actifs dans PowerDMARC et conserver l'accès à votre compte.
Avant de commencer
- La configuration du provisionnement SCIM doit déjà être mise en place entre Microsoft Entra ID et PowerDMARC. Si ce n'est pas le cas, suivez le Guide de configuration SCIM pour Microsoft Entra ID .
- Vous devez disposer d'un rôle dans Entra ID permettant de modifier les paramètres de provisionnement des applications d'entreprise, tel que « Administrateur d'applications » ou « Administrateur d'applications cloud ».
Fonctionnement de la désactivation des droits d'accès
| Action dans Microsoft Entra ID | Résultat dans PowerDMARC |
|---|---|
| L'utilisateur n'est plus associé à l'application PowerDMARC | L'utilisateur est désactivé (suppression temporaire) |
| L'utilisateur est supprimé dans Entra ID | L'utilisateur est désactivé (suppression temporaire) |
| L'utilisateur est réaffecté à l'application | L'utilisateur a été réactivé |
Les modifications sont appliquées lors du prochain cycle de provisionnement, qui s'exécute généralement toutes les 40 minutes. Pour appliquer une modification immédiatement, utilisez la fonction « Provisionnement à la demande » (voir Vérifier la configuration).
Configurer le mappage actif
- Ouvrez l'application
. Dans le centre d'administration Microsoft Entra, accédez à Applications > Applications d'entreprise > Toutes les applications, puis sélectionnez votre application PowerDMARC. - Ouvrez la page de mappage des attributs utilisateur
. Accédez à « Provisioning » > « Attribute mapping », puis sélectionnez « Provision Microsoft Entra ID Users ». - Modifier ou ajouter le mappage actif
- Si « active » figure déjà dans la liste de l'attribut « customappsso », cliquez sur « Modifier » à côté de cette entrée.
- Sinon, cliquez sur « Ajouter un nouveau mappage ».
- Saisissez les paramètres suivants
Champ d'application Valeur Type de cartographie Expression Expression Non([IsSoftDeleted]) Valeur par défaut si la valeur est nulle Laisser vide Attribut cible actif Rechercher des objets à l'aide de cet attribut Non Appliquer cette correspondance Toujours - Enregistrez vos modifications
Cliquez sur OK, puis sur Enregistrer en haut de la page « Mappage des attributs ».
| AVERTISSEMENT | Chaque attribut cible ne peut avoir qu'un seul mappage. Si « active » est actuellement mappé à « accountEnabled », modifiez ce mappage et remplacez-le. N'en ajoutez pas un deuxième. |
|---|
Vos mappages d'attributs d'utilisateur finaux devraient se présenter comme suit :
| Attribut customappsso | Attribut d'identification Microsoft Entra | Priorité de correspondance |
|---|---|---|
| nom d'utilisateur | courrier | 1 |
| actif | Non([IsSoftDeleted]) | |
| nom d'affichage | nom d'affichage | |
| type d'utilisateur | SingleAppRoleAssignment([appRoleAssignments]) |
Vérifier la configuration
Testez le système avec un seul utilisateur avant de l'utiliser à l'échelle de toute votre organisation.
- Attribuez un utilisateur de test à l'application PowerDMARC dans Entra ID.
- Accédez à « Provisioning » > « Provision on demand », recherchez l'utilisateur test, puis cliquez sur « Provision ».
- Vérifiez que l'utilisateur apparaît comme actif dans PowerDMARC, dans la section Paramètres > Utilisateurs.
- Dans Entra ID, supprimez l'utilisateur test de l'application dans la section « Utilisateurs et groupes ».
- Exécutez à nouveau la fonction « Provision on demand » pour l'utilisateur test.
- Vérifiez que l'utilisateur est bien désactivé dans PowerDMARC.
Points à retenir
| REMARQUE | Le fait de désactiver la connexion d'un utilisateur dans Entra ID alors qu'il reste affecté à l'application ne le désactive pas dans PowerDMARC. Pour désactiver un utilisateur, retirez-le de l'application ou supprimez-le dans Entra ID. |
|---|
| REMARQUE | Les utilisateurs désactivés font l'objet d'une suppression temporaire et ne sont pas supprimés définitivement. Si vous réaffectez l'utilisateur à l'application, il sera réactivé lors du prochain cycle de provisionnement. |
|---|
Articles connexes
- Guide de configuration SCIM pour Microsoft Entra ID
- Mappage des groupes de domaines SCIM : Azure Entra ID
Pour obtenir de l'aide, rendez-vous sur support.powerdmarc.com ou contactez votre chargé de compte PowerDMARC.
Les deux instructions NOTE de l'article doivent encore être vérifiées avant la publication :
- Le fait de désactiver la connexion d'un utilisateur ne le désactive pas pour autant. Je pense que c'est ainsi que fonctionne la fonction Not([IsSoftDeleted]), mais personne ne l'a encore testée. Si un test rapide montre que la désactivation entraîne effectivement la désactivation de l'utilisateur, supprimez cette note.
- La réaffectation d'un utilisateur le réactive. C'est le comportement standard de SCIM, mais Jérémy n'a testé que la désactivation. Effectuez un test rapide de réaffectation de notre côté pour en avoir le cœur net.
Désactivation des utilisateurs supprimés d'Entra ID
La mise en correspondance active décrite dans ce guide (accountEnabled) désactive les utilisateurs dans PowerDMARC lorsque leur compte est désactivé dans Microsoft Entra ID. Elle ne désactive pas les utilisateurs qui ne sont plus affectés à l'application ou qui ont été supprimés dans Entra ID.
Si vous désenregistrez des utilisateurs en les supprimant de l'application ou en les effaçant, consultez la section « Désactivation SCIM avec Microsoft Entra ID : désactiver automatiquement les utilisateurs supprimés ».
| REMARQUE | Chaque attribut cible ne peut avoir qu'un seul mappage. Choisissez le mappage actif qui correspond à la manière dont votre organisation gère le départ des utilisateurs. |
|---|
Modifications apportées au nouvel article afin que les deux se lisent comme un tout
- Paragraphe d'introduction. Ajoutez ceci comme deuxième phrase : « Cela remplace le mappage accountEnabled décrit dans le Guide de configuration SCIM pour Microsoft Entra ID, qui ne désactive que les utilisateurs dont le compte est désactivé. »
- Conservez l'AVERTISSEMENT concernant le remplacement du mappage « accountEnabled ». C'est désormais le point essentiel, car toute personne arrivant depuis le guide d'origine disposera déjà de ce mappage.
- Remplacez la première REMARQUE par : « Avec ce mappage, le fait de désactiver la connexion d’un utilisateur dans Entra ID alors qu’il reste affecté à l’application ne le désactive pas dans PowerDMARC. Si vous avez besoin de ce comportement, utilisez le mappage accountEnabled du Guide de configuration SCIM . »
Publiez d'abord le nouvel article afin d'obtenir son lien, puis ajoutez le bloc à l'article d'origine. Les corrections de fautes de frappe apportées au guide d'origine et les type d'utilisateur La modification apportée par rapport à la version précédente du document Google Doc, à savoir « Uniquement lors de la création d'un objet », reste d'actualité. Seule la actif La section « cartographie » reste inchangée.