Bonjour!
Besoin d'aide? Nous sommes ici !
Besoin d'aide? Nous sommes ici !
Résultats de la recherche:
×Le provisionnement à la volée (JIT) crée un compte utilisateur miniOrange local lors de la première connexion d'un utilisateur via votre fournisseur d'identité externe (IdP), et maintient ce profil à jour lors de chaque connexion ultérieure. Le mappage des attributs USER définit les valeurs de votre source d'identité externe qui correspondent aux champs miniOrange (nom d'utilisateur, adresse e-mail, nom, etc.), permettant ainsi un provisionnement automatique des utilisateurs sans configuration manuelle de compte.
Lors de la configuration des mappages d'attributs, vous choisissez l'un des types d'attributs suivants :
Cette page traite du type d'attribut USER. Pour le type EXTERNAL, voir Transformation des attributs.
Remarque : Si vous laissez la section UTILISATEUR vide, la synchronisation JIT est ignorée ; un utilisateur existant peut toujours se connecter et aucun nouvel utilisateur n’est créé ni modifié. Ajoutez des correspondances ici uniquement si vous souhaitez que miniOrange provisionne des utilisateurs à partir de ce fournisseur d’identité.
Suivez ces étapes pour associer les attributs utilisateur au provisionnement JIT dans la console d'administration miniOrange :
La liste déroulante Nom de l'attribut répertorie vos champs utilisateur standard et s'agrandit à mesure que vous ajoutez des champs à votre compte :
| Nom d'attribut | Valeur d'attribut |
|---|---|
| Nom d'utilisateur ( Ou : Nom d'épouse ) | Nom d'utilisateur |
| Courriel principal | |
| Prénom | fnom |
| Nom de famille | lnom |
| Téléphone | téléphone principal |
| E-mail secondaire | e-mail secondaire |
| le Groupe | groupes |
| Attributs personnalisés | Apparaissent au fur et à mesure que vous les ajoutez |
| Étiquettes d'alias | Lorsque les alias de nom d'utilisateur sont activés |
Remarque : Les attributs de profil personnalisés que vous créez dans Utilisateurs > Champs de profil utilisateur apparaissent automatiquement dans cette liste déroulante. Vous pouvez ainsi associer les attributs IdP à vos propres champs. Les libellés d’alias ajoutés dans Utilisateurs > Libellés d’alias apparaissent également ici (avec le préfixe « alias_ »), mais uniquement si l’option « Activer les alias de nom d’utilisateur » est activée pour votre compte.
Le nom d'utilisateur et l'adresse e-mail sont indispensables pour chaque utilisateur et sont donc toujours requis pour le provisionnement JIT. Le prénom, le nom et le numéro de téléphone ne sont requis que si votre configuration l'exige.
| Nom d'attribut | Quand c'est nécessaire | Si le fournisseur d'identité ne l'envoie pas |
|---|---|---|
| Nom d'utilisateur (Toujours) | À chaque connexion JIT. La valeur ne doit pas être vide. | La connexion est interrompue et aucun utilisateur n'est créé tant qu'un nom d'utilisateur n'a pas été reçu. |
| Courriel (toujours) | À chaque connexion JIT. Une adresse e-mail valide est requise. | La connexion est interrompue et aucun utilisateur n'est créé tant qu'une adresse électronique valide n'est pas reçue. |
| Prénom / Nom (conditionnel) | Uniquement lorsque le champ est cartographié et Marqué comme obligatoire dans les champs du profil utilisateur — et uniquement pour les nouveaux utilisateurs. | Nouvel utilisateur : la création est interrompue. Utilisateur existant : la valeur vide est ignorée et la valeur actuelle est conservée. |
| Téléphone (sous conditions) | Uniquement pour les nouveaux utilisateurs, lorsque la connexion par numéro de téléphone est activée. | Nouvel utilisateur : la création est interrompue. Utilisateur existant : la valeur vide est ignorée et le numéro de téléphone actuel est conservé. |
Conseil : Le nom d’utilisateur et l’adresse e-mail sont stockés en minuscules. Ainsi, « John.Doe » et « john.doe » de votre fournisseur d’identité correspondent au même compte. Les différences de casse dans l’assertion ne créent jamais d’utilisateur en double.
Le contrôle de la création d'utilisateurs lorsqu'un nom est vide se fait à un seul endroit. Accédez à Utilisateurs › Champs du profil utilisateur , ouvrez Prénom / Nom et définissez Obligatoire.
Important : Le paramètre obligatoire affecte à la fois les champs Prénom et Nom ; vous ne pouvez pas exiger l’un sans l’autre.
Étant donné qu'un nom vide bloque la création uniquement lorsque le champ est à la fois mappé et obligatoire, une confirmation apparaît lorsque vous enregistrez un mappage qui inclut le prénom ou le nom :
Le prénom et/ou le nom peuvent être requis. Vous avez associé le prénom et/ou le nom à l'attribut de type « UTILISATEUR ». Si le prénom ou le nom est également marqué comme obligatoire dans la configuration des champs du profil utilisateur, il devient indispensable pour la création d'utilisateurs à la volée (JIT) : si le fournisseur d'identité (IdP) ne fournit aucune valeur, aucun nouvel utilisateur ne sera créé et la connexion échouera. Si ces champs ne sont pas marqués comme obligatoires dans les champs du profil utilisateur, une valeur vide est ignorée et la création se poursuit. Les utilisateurs existants ne sont pas concernés (les valeurs vides sont ignorées lors de la mise à jour).
L'authentification par téléphone devient obligatoire pour les nouveaux utilisateurs lorsque l'option « Se connecter avec un numéro de téléphone » est activée. Pour modifier ce paramètre, accédez à Paramètres > Sécurité > Connexion et déconnexion , puis recherchez « Activer la connexion avec un numéro de téléphone ».
Important : N’activez cette option que si vous disposez d’un numéro de téléphone unique pour chacun de vos utilisateurs. Si elle est activée, aucun nouvel utilisateur JIT ne pourra être créé sans numéro de téléphone valide.
Les groupes peuvent également être attribués et mis à jour via JIT. Associez le champ Groupes sous Type d'attribut — UTILISATEUR à l'attribut IdP contenant les noms des groupes de l'utilisateur ; miniOrange maintiendra ainsi l'appartenance aux groupes de l'utilisateur synchronisée avec votre IdP à chaque connexion.
À chaque connexion, l'appartenance de l'utilisateur est synchronisée avec les groupes de la réponse : l'utilisateur est ajouté à tous les groupes mentionnés et retiré de ceux qui ne sont plus envoyés. Ceci s'applique aux nouveaux utilisateurs comme aux utilisateurs existants, garantissant ainsi que l'appartenance aux groupes reflète toujours la source de référence de votre fournisseur d'identité, sans intervention manuelle.
Important : Les groupes mentionnés dans la réponse doivent déjà exister dans miniOrange. JIT ne crée pas de nouveaux groupes. Créez d’abord vos groupes dans la section « Gérer les groupes » et assurez-vous que leurs noms correspondent exactement aux valeurs envoyées par votre fournisseur d’identité. Les noms ne correspondant à aucun groupe existant sont ignorés.
Remarque : Envoyez chaque groupe comme une valeur distincte dans un attribut à valeurs multiples (plusieurs éléments AttributeValue pour SAML ; une revendication de type tableau JSON pour OIDC). Une chaîne de caractères unique, séparée par des virgules, telle que « admins,users », est considérée comme un seul nom de groupe. La correspondance des noms de groupe n'est pas sensible à la casse. Le groupe par défaut de votre compte n'est jamais modifié par JIT. Si le fournisseur d'identité n'envoie pas l'attribut Groups, les groupes existants de l'utilisateur restent inchangés.
Le même mappage se comporte différemment pour un nouvel utilisateur et pour un utilisateur existant. En règle générale, les nouveaux utilisateurs sont soumis à une validation stricte, tandis que les utilisateurs existants ne sont jamais pénalisés par une valeur manquante.
| Attribut | Nouvel utilisateur (créer) | Utilisateur existant (mise à jour) |
|---|---|---|
| Nom d'utilisateur ( Ou : Nom d'épouse ) | Obligatoire — les espaces vides empêchent la création. | Synchronisation assurée ; une valeur déjà utilisée par un autre utilisateur n’est pas appliquée. |
| Obligatoire et doit être valide — un champ vide ou invalide empêche la création. | Synchronisation assurée ; une valeur déjà utilisée par un autre utilisateur n’est pas appliquée. | |
| Prénom | Création d'arrêts vides uniquement s'ils sont mappés et marqués comme obligatoires. | Les champs vides sont ignorés ; le nom existant est conservé. |
| Nom | Création d'arrêts vides uniquement s'ils sont mappés et marqués comme obligatoires. | Les champs vides sont ignorés ; le nom existant est conservé. |
| Téléphone | Obligatoire lorsque la connexion par numéro de téléphone est activée — un champ vide empêche la création. | L'espace vide est ignoré ; le numéro de téléphone existant est conservé. |
Remarque : lors d’une mise à jour, si le mappage attribue un nom d’utilisateur, une adresse e-mail ou un numéro de téléphone déjà utilisés par un autre utilisateur, cette modification n’est pas appliquée. L’utilisateur se connecte toujours à son propre compte et le conflit est consigné dans vos rapports d’audit afin que vous puissiez corriger le mappage.
En cas d'échec de la compilation JIT, la connexion affiche un message indiquant l'attribut non transmis par votre système externe. Le tableau ci-dessous explique chaque message et sa solution.
| Message | Que vérifier |
|---|---|
| La synchronisation des utilisateurs JIT a échoué : le nom d’utilisateur n’a pas été envoyé par le système externe. | Confirmer Nom d'utilisateur ( Ou : Nom d'épouse ) est cartographié, et que son Valeur d'attribut correspond à un attribut que le fournisseur d'identité envoie effectivement (et qui n'est pas vide pour cet utilisateur). |
| La synchronisation des utilisateurs JIT a échoué : aucune adresse e-mail valide n'a été envoyée par le système externe. | Confirmer Email est associé à un attribut qui renvoie une adresse correctement formatée — ni vide, ni une valeur telle que pas-un-email. |
| Échec de la synchronisation utilisateur JIT : le prénom n’a pas été envoyé par le système externe. | Le prénom est enregistré et marqué comme obligatoire, mais il est arrivé vide. Veuillez soit l'envoyer depuis le fournisseur d'identité, soit supprimer le champ « Obligatoire » dans le profil utilisateur. |
| La synchronisation des utilisateurs JIT a échoué : le nom de famille n’a pas été envoyé par le système externe. | Le nom de famille est renseigné et marqué comme obligatoire, mais il est arrivé vide. Même correction que pour le prénom. |
| Échec de la synchronisation utilisateur JIT : aucun numéro de téléphone valide n’a été envoyé par le système externe. | La connexion par numéro de téléphone est activée, mais le numéro saisi est vide ou invalide. Veuillez envoyer un numéro de téléphone valide ou désactiver la connexion par numéro de téléphone si vous n'en avez pas besoin. |
Conseil : Après avoir corrigé le mappage (ou l’attribut IdP), demandez à l’utilisateur de se reconnecter ; la configuration mise à jour prendra effet lors de la prochaine tentative d’authentification unique.
Chaque résultat d'approvisionnement est enregistré, ce qui vous permet de confirmer un succès ou de diagnostiquer un échec :
Remarque : Une entrée « Succès » indique que l’utilisateur a été créé ou mis à jour. Une entrée « Échec » précise la raison du contrôle qui n’a pas abouti ; reportez-vous au tableau des messages de validation pour savoir ce qu’il faut modifier.
