Synchronisation d'annuaire Microsoft Entra

Cet article décrit comment connecter un compte Cintoo à Microsoft Entra ID (anciennement Azure Active Directory), afin que les utilisateurs et les groupes soient créés, mis à jour et supprimés automatiquement dans Cintoo, conformément à l'annuaire de l'entreprise.

TABLE DES MATIÈRES

• Fonctionnement de la synchronisation d'annuaire
• Configurer Microsoft Entra
  • Obtenir l'URL et le jeton dans Cintoo
  • Connecter Cintoo dans Microsoft Entra
  • Quelle adresse e-mail Cintoo utilise
• Gérer le jeton
  • Renouveler le jeton
  • Révoquer le jeton
  • Jeton expiré
• Ce qui est synchronisé
  • Utilisateurs
  • Changements d'adresse e-mail
  • Utilisateurs désactivés, supprimés ou dont l'affectation est retirée
  • Groupes
• Utilisateurs et groupes synchronisés dans Cintoo

Fonctionnement de la synchronisation d'annuaire

Microsoft Entra transmet les changements à Cintoo via le protocole SCIM 2.0 : Cintoo ne lit jamais l'annuaire lui-même. Une fois la connexion établie :

• les utilisateurs affectés à l'application Cintoo dans Microsoft Entra sont ajoutés au compte Cintoo, et retirés lorsqu'ils sont désactivés, supprimés ou lorsque leur affectation est retirée
• les groupes affectés à l'application Cintoo sont créés dans Cintoo avec leurs membres, et suivent chaque modification effectuée dans Microsoft Entra
• les rôles et l'accès aux projets ne sont jamais synchronisés : ils restent gérés dans Cintoo, comme décrit dans Ajouter des membres à un projet

Les utilisateurs et les groupes synchronisés sont marqués Microsoft Entra dans Utilisateurs et autorisations. Les utilisateurs synchronisés ne peuvent pas être retirés et les groupes synchronisés ne peuvent pas être modifiés ni supprimés dans Cintoo.

Configurer Microsoft Entra

Microsoft Entra a besoin de deux valeurs de Cintoo : une URL SCIM et un jeton secret. Obtenez-les d'abord dans Cintoo, puis saisissez-les dans Microsoft Entra.

Obtenir l'URL et le jeton dans Cintoo

1. Ouvrez Administration depuis le menu burger en haut à droite et sélectionnez l'onglet Synchronisation d'annuaire.

    

2. Dans Étape 1 : copiez l'URL dans Microsoft Entra, copiez l'URL.
3. Dans Étape 2 : créez un jeton secret pour Microsoft Entra, cliquez sur Créer un jeton.
4. Dans la fenêtre Créer un jeton, définissez la Date d'expiration (un an à compter d'aujourd'hui par défaut, à partir de 30 jours) et cliquez sur Confirmer.

    

5. La fenêtre Copiez votre jeton affiche le jeton, masqué par défaut. Cliquez sur l'icône œil pour l'afficher ou sur Copier pour le copier, puis cliquez sur Terminé.
   Avertissement : le jeton n'est affiché qu'une seule fois : après avoir cliqué sur Terminé, il ne peut plus être affiché. Collez-le immédiatement dans Microsoft Entra. S'il est perdu, renouvelez-le pour en obtenir un nouveau.

Connecter Cintoo dans Microsoft Entra

La configuration dans Microsoft Entra nécessite au moins le rôle Cloud Application Administrator dans Microsoft Entra.

1. Dans le centre d'administration Microsoft Entra, accédez à Entra ID > Enterprise apps et sélectionnez New application > Create your own application.
2. Saisissez un nom pour l'application Cintoo, choisissez Integrate any other application you don't find in the gallery et créez l'application.
3. Dans l'application Cintoo, sélectionnez Provisioning > New configuration.
4. Définissez Authentication method sur Bearer authentication.
   Avertissement : Cintoo prend en charge uniquement Bearer authentication : OAuth2 client credentials grant n'est pas pris en charge.
5. Collez l'URL copiée depuis Cintoo dans Tenant URL et le jeton dans Secret token.
6. Cliquez sur Test connection, puis sur Create.
7. Si vos UPN ne sont pas de véritables adresses e-mail, mappez userName sur mail comme décrit dans Quelle adresse e-mail Cintoo utilise.
8. Dans Users and groups, affectez les utilisateurs et les groupes à synchroniser vers Cintoo.
9. Dans Provisioning, cliquez sur Start provisioning.

   Microsoft Entra synchronise ensuite les utilisateurs et les groupes affectés environ toutes les 40 minutes. Pour synchroniser immédiatement un seul utilisateur, utilisez Provision on demand. Les résultats et les erreurs apparaissent dans les Provisioning logs de l'application Cintoo.

   Remarque : seuls les membres directs d'un groupe affecté sont synchronisés : les membres des groupes imbriqués ne le sont pas.

Quelle adresse e-mail Cintoo utilise

Cintoo identifie chaque utilisateur synchronisé par son adresse e-mail, lue dans l'attribut SCIM userName envoyé par Microsoft Entra.

Par défaut, Microsoft Entra renseigne userName avec le User Principal Name (UPN) de l'utilisateur, et non avec son attribut mail. Cela fonctionne tant que les UPN sont les véritables adresses e-mail des utilisateurs (par exemple, jane.doe@company.com).

Si les UPN ne sont pas de véritables boîtes aux lettres (par exemple, jdoe@company.onmicrosoft.com ou un identifiant d'employé) :

• les invitations Cintoo sont envoyées à une adresse qui ne reçoit pas d'e-mails
• les membres déjà invités dans Cintoo avec leur véritable adresse e-mail ne sont pas reconnus, et un utilisateur en double est créé

Dans ce cas, mappez userName sur mail avant de démarrer le provisionnement :

1. Dans le centre d'administration Microsoft Entra, accédez à Entra ID > Enterprise apps et sélectionnez votre application Cintoo.
2. Accédez à Provisioning > Attribute mapping et sélectionnez Provision Microsoft Entra ID Users.
3. Cliquez sur la ligne userName.
4. Définissez Source attribute sur mail, puis cliquez sur OK et Save.
5. Assurez-vous que chaque utilisateur affecté à l'application a l'attribut mail renseigné.

   Modifier l'adresse e-mail que Microsoft Entra envoie pour un utilisateur (UPN par défaut, ou mail si remappé) est traité comme un changement d'adresse e-mail dans Cintoo.

   Avertissement : définissez ce mappage avant la première synchronisation. Le modifier après la synchronisation des utilisateurs conduit Microsoft Entra à envoyer une nouvelle adresse e-mail pour chaque utilisateur au cycle suivant.

Gérer le jeton

Une fois qu'un jeton existe, l'Étape 2 affiche son statut (Actif ou Expiré) avec les dates de création et d'expiration, ainsi que les actions Renouveler et Révoquer.

Renouveler le jeton

Renouveler remplace le jeton par un nouveau, valable pour la même durée que le précédent.

1. Cliquez sur Renouveler.
2. Dans la fenêtre Renouveler le jeton Microsoft Entra, cliquez sur Renouveler le jeton.
3. Copiez le nouveau jeton et collez-le immédiatement dans Microsoft Entra, puis cliquez sur Terminé.
   Avertissement : le jeton précédent ne continue de fonctionner que quelques minutes. Passé ce délai, les utilisateurs et les groupes cessent d'être synchronisés tant que le nouveau jeton n'est pas défini dans Microsoft Entra.

Révoquer le jeton

Révoquer déconnecte Microsoft Entra du compte Cintoo.

1. Cliquez sur Révoquer.
2. Dans la fenêtre Révoquer le jeton Microsoft Entra, cliquez sur Révoquer le jeton.

   Microsoft Entra ne peut plus synchroniser d'utilisateurs avec ce jeton. Tous les utilisateurs et groupes cessent d'être marqués comme synchronisés : ils restent dans le compte et deviennent des utilisateurs et des groupes ordinaires, qui peuvent de nouveau être retirés et modifiés dans Cintoo. Les groupes conservent leurs membres.
   Comme plus rien n'est synchronisé, la colonne Source n'apparaît plus dans les onglets Utilisateurs et Groupes.

   Avertissement : la révocation d'un jeton ne peut pas être annulée. Pour reconnecter Microsoft Entra, créez un nouveau jeton et définissez-le dans Microsoft Entra. À la synchronisation suivante, les utilisateurs existants sont de nouveau mis en correspondance par adresse e-mail et conservent leurs rôles. Les groupes précédemment synchronisés sont reconnus par leur identifiant Microsoft Entra, même s'ils ont été renommés ou modifiés dans Cintoo après la révocation : leur nom et leurs membres sont remplacés par ceux de Microsoft Entra. La règle du même nom décrite dans Groupes ne s'applique qu'aux groupes qui n'ont jamais été synchronisés.

Jeton expiré

Lorsque le jeton expire, son statut passe à Expiré et Microsoft Entra ne peut plus synchroniser. Renouveler n'est plus disponible, Révoquer reste disponible.

Cliquez sur Créer un jeton pour créer un nouveau jeton, puis définissez-le dans Microsoft Entra. Les utilisateurs et les groupes synchronisés restent synchronisés pendant que le jeton est expiré et après la définition du nouveau jeton.

Ce qui est synchronisé

Utilisateurs

• Un utilisateur affecté à l'application Cintoo dans Microsoft Entra apparaît dans l'onglet Utilisateurs avec la source Microsoft Entra. Il reçoit l'e-mail d'invitation habituel, sauf si son domaine de messagerie utilise le SSO, et n'a aucun rôle tant qu'un administrateur n'en attribue pas un.
• Un membre déjà invité manuellement avec la même adresse e-mail est mis en correspondance à la première synchronisation au lieu d'être dupliqué : il conserve ses rôles et ne reçoit aucun nouvel e-mail.
• Les rôles et l'accès aux projets ne sont jamais synchronisés : attribuez-les dans Cintoo, comme pour tout autre utilisateur.

Changements d'adresse e-mail

Lorsque l'adresse e-mail de l'utilisateur (userName) change dans Microsoft Entra :

• un utilisateur qui appartient uniquement à ce compte Cintoo, et dont la nouvelle adresse e-mail n'est pas utilisée par un autre utilisateur Cintoo, reste le même utilisateur Cintoo avec la nouvelle adresse e-mail : ses questions, annotations, rôles, accès aux projets et groupes sont conservés
• dans les autres cas (l'utilisateur appartient aussi à d'autres comptes Cintoo, ou la nouvelle adresse e-mail est déjà utilisée par un autre utilisateur Cintoo), l'utilisateur avec la nouvelle adresse e-mail est invité dans ce compte sans aucun rôle, et l'ancien est retiré de ce compte uniquement et reste inchangé dans les autres comptes

Utilisateurs désactivés, supprimés ou dont l'affectation est retirée

Lorsqu'un utilisateur est désactivé, supprimé ou que son affectation à l'application Cintoo est retirée dans Microsoft Entra :

• il est retiré du compte exactement comme lors d'un retrait manuel : il perd l'accès, les rôles du compte, l'accès aux projets et les appartenances aux groupes, et disparaît de l'onglet Utilisateurs
• les projets dont il est propriétaire sont transférés au Propriétaire du compte, qui devient leur Propriétaire du projet et obtient le rôle Chef de projet s'il ne l'avait pas

Cintoo n'affiche aucun statut suspendu : les utilisateurs désactivés et supprimés disparaissent tous deux de l'onglet Utilisateurs. Consultez Microsoft Entra pour savoir lequel s'applique.

Lorsqu'un utilisateur désactivé est réactivé, il revient en tant que même personne, sans doublon, reçoit un e-mail d'invitation et n'a aucun rôle tant qu'un administrateur n'en attribue pas un. Il retrouve ses appartenances aux groupes synchronisés dès que Microsoft Entra envoie de nouveau le groupe.

Groupes

• Les groupes affectés à l'application Cintoo sont créés dans l'onglet Groupes avec leurs membres et la source Microsoft Entra.
• Renommer un groupe ou ajouter et retirer ses membres dans Microsoft Entra applique la même modification dans Cintoo.
• Lorsqu'un groupe est supprimé dans Microsoft Entra ou que son affectation à l'application Cintoo est retirée, le groupe est supprimé dans Cintoo et ses membres perdent l'accès aux projets qu'ils avaient via ce groupe. Les membres affectés à l'application Cintoo uniquement via ce groupe sont également retirés du compte, comme lors d'un retrait manuel. Les autres membres restent dans le compte.
• Si un groupe manuel du même nom existe déjà dans Cintoo, le groupe Microsoft Entra n'est pas synchronisé : le groupe manuel reste inchangé et le conflit n'est signalé que dans les journaux de provisionnement de Microsoft Entra.

Utilisateurs et groupes synchronisés dans Cintoo

Dès qu'au moins un utilisateur ou un groupe est synchronisé, les onglets Utilisateurs et Groupes de Utilisateurs et autorisations affichent une colonne Source : Microsoft Entra avec son logo pour les éléments synchronisés, Manuel pour les autres.

Microsoft Entra gère les éléments synchronisés ; certaines actions ne sont donc pas disponibles dans Cintoo :

• un utilisateur synchronisé ne peut pas être retiré : désactivez-le, supprimez-le ou retirez son affectation dans Microsoft Entra à la place
• un groupe synchronisé ne peut être ni modifié ni supprimé : son nom, sa description et ses membres sont en lecture seule
• un groupe synchronisé peut être dupliqué : la copie est un groupe manuel qui peut être entièrement modifié, l'original reste synchronisé
• les utilisateurs synchronisés peuvent être ajoutés à des groupes manuels et en être retirés

Les rôles et l'accès aux projets des utilisateurs synchronisés sont gérés dans Cintoo, comme pour tout autre utilisateur.