Langue: Français
Ce guide est destiné aux administrateurs informatiques qui souhaitent automatiser le processus de retrait des utilisateurs d'ActivityInfo.org lorsqu'ils ne sont plus actifs dans leur organisation.
Introduction : Qu'est-ce que le déprovisionnement automatique ?
De nombreuses organisations, en particulier celles qui travaillent avec de multiples équipes et personnes, préfèrent conserver un enregistrement central unique des personnes qui travaillent pour elles et de ce à quoi elles sont autorisées à accéder. Les fournisseurs d'identité (IdP) permettent de gérer les utilisateurs de manière centralisée.
ActivityInfo prend en charge l'Authentification unique (SSO) via des fournisseurs d'identité externes tels que Microsoft Entra, Google Workspace et Okta. Cela garantit que les utilisateurs n'ont pas à se souvenir d'un mot de passe supplémentaire, et que les règles de connexion de leur organisation -- telles que l'authentification à deux facteurs et l'accès conditionnel -- protègent leurs comptes ActivityInfo. Lorsqu'un membre du personnel quitte l'organisation, il perd également l'accès à ActivityInfo car il ne peut plus se connecter.
Cependant, avec uniquement le SSO, un utilisateur qui a quitté l'organisation reste autorisé à accéder aux bases de données ActivityInfo, même s'il ne peut pas se connecter. L'utilisateur continue de nécessiter une licence, ce qui rend difficile de garder une vue d'ensemble des personnes réellement actives dans la base de données, et nécessite une révision manuelle régulière pour retirer les utilisateurs inactifs.
Le System for Cross-domain Identity Management (SCIM 2.0) est un protocole standard ouvert qui aide à combler cette lacune. Il établit une connexion directe entre le fournisseur d'identité d'une organisation et ActivityInfo. Combiné au SSO, cela signifie que non seulement les utilisateurs perdront l'accès à ActivityInfo lorsqu'ils quitteront leur organisation, mais que leur accès et leur licence seront également révoqués automatiquement.
Que se passe-t-il lorsqu'un utilisateur est déprovisionné
Une fois que vous avez configuré la synchronisation SCIM, l'annuaire de votre organisation informera ActivityInfo.org chaque fois qu'un utilisateur est désactivé dans votre annuaire.
ActivityInfo examinera automatiquement la liste des utilisateurs désactivés chaque jour. Tout utilisateur qui a été désactivé pendant plus de 72 heures sera déprovisionné.
Lorsqu'un utilisateur est déprovisionné, son rôle dans toutes les bases de données auxquelles il a accès sera révoqué, tout comme si l'administrateur de la base de données avait révoqué son accès.
La révocation sera enregistrée dans le journal d'audit, et les contacts de sécurité de la base de données seront notifiés par e-mail.
Si l'utilisateur déprovisionné a été invité à des bases de données appartenant à d'autres organisations sur la plateforme ActivityInfo.org, son rôle dans ces bases de données sera également révoqué. Par exemple, si vous êtes une ONG travaillant dans l'aide humanitaire, il est probable que les membres de votre personnel aient été invités à une base de données de l'ONU. Les membres de votre personnel utilisent le même compte ActivityInfo.org pour accéder aux deux, et leur rôle sera également révoqué de ces bases de données.
Configuration étape par étape
Étape 1 : Lier vos domaines d'e-mail à votre compte de facturation ActivityInfo.org
Avant de pouvoir effectuer la synchronisation entre votre fournisseur d'identité et ActivityInfo, vous devez connecter vos domaines d'e-mail à ActivityInfo.org. Cela vous donne la permission d'activer et de désactiver les utilisateurs au sein de ces domaines d'e-mail.
Allez à votre Compte de facturation depuis le menu de votre profil. Ensuite, allez à la section "Domaines d'e-mail". Assurez-vous que TOUS les domaines de votre organisation sont listés ici. S'il manque des domaines, ouvrez un ticket de support avec la liste des domaines auprès de notre équipe. Nous vérifierons que vous possédez les domaines et les lierons à votre compte.
Étape 2 : Activer la synchronisation SCIM 2.0
Ensuite, générez un jeton SCIM et suivez les instructions de votre fournisseur d'identité pour activer la synchronisation :
Vous devez synchroniser tous les utilisateurs de l'annuaire de votre organisation avec ActivityInfo. Si vous limitez la synchronisation à un groupe plus restreint, les utilisateurs en dehors de ce groupe apparaîtront comme inactifs pour ActivityInfo, et seront automatiquement déprovisionnés.
Étape 3 : Vérifier la synchronisation
Une fois que vous avez activé la synchronisation SCIM 2.0, la synchronisation complète avec votre annuaire peut prendre un jour ou plus, en fonction de la taille de votre organisation.
Sélectionnez un domaine pour voir le statut de la synchronisation. Le panneau latéral affiche :
- Total des comptes d'utilisateurs : le nombre total d'utilisateurs avec ce domaine d'e-mail ayant un compte sur ActivityInfo.org. Cela contient les utilisateurs qui ont été invités, ceux qui se sont inscrits pour des essais gratuits, et tous les utilisateurs synchronisés depuis votre annuaire vers ActivityInfo via SCIM.
- Provisionné (Actif) : le nombre de ces utilisateurs qui sont actifs dans l'annuaire de votre organisation, selon SCIM.
- Déprovisionné (Inactif) : Le nombre d'utilisateurs qui sont inactifs dans l'annuaire de votre organisation, selon SCIM.
- Jamais provisionné : Le nombre d'utilisateurs ayant un compte dans ActivityInfo qui n'ont jamais été synchronisés depuis votre annuaire, qu'ils soient actifs ou inactifs. Il s'agit principalement d'utilisateurs qui avaient un compte sur ActivityInfo.org avant que la synchronisation SCIM ne soit activée.
- Déprovisionnement automatique : Indique si les utilisateurs signalés comme inactifs dans l'annuaire de votre organisation, selon SCIM, seront automatiquement déprovisionnés d'ActivityInfo.
Vous pouvez également cliquer sur le bouton "Aperçu du déprovisionnement" pour générer un rapport qui montre quels utilisateurs seraient déprovisionnés :
| Compte de facturation | Base de données | ID de la base de données | Nom | E-mail | Statut d'approvisionnement ||-----------------------|--------------------------------------|--------------------------|-------|-------------------|----------------------------|| Mon organisation | Global M&E | c32434234 | Bob | bob@example.org | INACTIF | | Mon organisation | Global M&E | c32434234 | Alice | alice@example.org | AUCUN | | Mon organisation | Projet Ananas-Togo | c2ad3kmgfg | Alice | alice@example.org | AUCUN | | UNOCHA | Module Pays HPC.tools : Niger 2026 | cbjjj4333 | Bob | bob@example.org | AUCUN |
Dans l'exportation ci-dessus, l'accès de Bob et Alice sera révoqué de la base de données Global M&E de votre organisation, et le rôle d'Alice sera révoqué de la base de données au niveau national au Togo.
Bob a été explicitement signalé comme "Inactif" par votre annuaire - ce qui signifie qu'il a quitté l'organisation à un moment donné après que vous ayez activé la synchronisation SCIM.
Cependant, ActivityInfo n'a jamais reçu d'informations de votre annuaire concernant Alice. Cela pourrait signifier qu'elle a quitté l'organisation avant que l'intégration SCIM ne soit activée, ou que, d'une manière ou d'une autre, elle a été exclue de la synchronisation en raison d'une mauvaise configuration de votre fournisseur d'identité. Vérifiez bien ces entrées avant de continuer.
Il y a aussi une entrée pour l'accès de Bob à une base de données de reporting de l'UNOCHA au Niger. Une fois que vous aurez activé le déprovisionnement automatique, le rôle de Bob sera également révoqué de cette base de données, même si elle n'appartient pas à votre organisation. Cela améliore la sécurité des comptes pour votre organisation et vos partenaires.
Étape 4 : Activer le déprovisionnement automatique
Une fois que vous avez vérifié que la synchronisation est correcte, cliquez sur Activer le déprovisionnement automatique puis confirmez.
Cela lancera une tâche par lots pour révoquer l'accès de tous les utilisateurs signalés comme inactifs, ou pour lesquels nous n'avons pas reçu de mise à jour de votre annuaire ("AUCUN" dans l'exportation ci-dessus). Une fois cette opération terminée, le déprovisionnement automatique sera activé et l'accès des utilisateurs signalés comme désactivés par votre annuaire sera révoqué en continu.
Vous devez répéter ce processus pour chaque domaine d'e-mail lié à votre Compte de facturation.