SCIM (documentation héritée)

Le système de gestion inter-domaines des identités (SCIM) vous permet d’automatiser le provisionnement et la gestion des utilisateurs entre Miro et votre fournisseur d’identité (IdP).

Disponible pour : le Enterprise forfait
Configuré par : les admins d’entreprise

Important :

• Le SSO basé sur SAML doit être correctement configuré et fonctionnel dans votre forfait Enterprise avant de commencer à configurer le provisionnement automatisé.
  Consultez le guide de configuration du SSO basé sur SAML.
• La synchronisation des groupes du fournisseur d’identité (IdP) avec les équipes Miro est facultative.
  Vous pouvez, si vous le souhaitez, lier et synchroniser vos groupes du fournisseur d’identité (IdP) avec des équipes dans Miro. Vous ne pouvez pas créer ni supprimer d’équipes à l’aide de l’IdP. Vous pouvez créer et gérer des équipes en utilisant la Teams API. Pour en savoir plus sur la manière dont l’API SCIM vous permet de gérer les groupes du fournisseur d’identité (IdP), consultez la documentation développeur Miro.
• Les modifications d’adresse e-mail dans SCIM comprennent les règles de validation suivantes :
  • Vérification de l’utilisateur géré : Si le domaine actuel de l’utilisateur n’est pas revendiqué par l’organisation qui initie la requête SCIM, la mise à jour de l’e-mail est bloquée et renvoie une erreur 400.
  • Vérification du domaine e-mail cible : Si le domaine e-mail cible est revendiqué par une organisation autre que celle qui initie la requête SCIM, la mise à jour de l’e-mail est bloquée et renvoie une erreur 400. Si le domaine e-mail cible est revendiqué par l’organisation qui initie la requête SCIM, la mise à jour de l’e-mail est autorisée sans nécessiter de confirmation par e-mail. Les journaux d’audit enregistrent la mise à jour dans chaque organisation dont l’utilisateur est membre.
  • Contrôle de domaine et authentification unique : Les mises à jour d’adresse e-mail sont autorisées en fonction de la vérification du domaine via le contrôle de domaine (IDC) ou l’authentification unique (SSO). Si le domaine de l’adresse e-mail cible est vérifié via CD ou SSO par l’organisation à l’origine de la requête SCIM, la mise à jour peut être effectuée.
    
    Un diagramme du workflow de validation du changement d’adresse e-mail SCIM

Les règles sur lesquelles se fonde le SCIM de Miro

• Les modifications synchronisées par le SCIM sont principalement appliquées aux utilisateurs nouvellement affectés. Le statut de ceux qui sont déjà sous votre abonnement sera complété mais ne sera peut-être pas écrasé dans la mesure où les changements sont appliqués au niveau de l’équipe. Par exemple : 
  a) si un utilisateur est membre de l’équipe 1 du côté de Miro et que votre fournisseur d’identité envoie une mise à jour pour l’ajouter à l’équipe 2, son état dans l’équipe 1 reste inchangé. 
  b) si votre fournisseur d’identité envoie une mise à jour contenant des modifications pour l’utilisateur User1, les autres membres de l’équipe ne sont pas affectés. Tel qu’indiqué dans Fonctionnalités prises en charge > Synchronisation et push de groupes, pour écraser l’état de l’équipe et resynchroniser tous les utilisateurs en une seule fois, essayez d’initier un nouveau push.
  
• Tous les utilisateurs provisionnés sous SCIM se voient attribuer la licence par défaut de votre abonnement :
  a) Pour les abonnements Enterprise sans programme de licences flexibles : une licence complète. Si votre abonnement n’a plus de licences, les utilisateurs commencent à être provisionnés sous licence gratuite restreinte.
  b) Pour les abonnements Enterprise avec le programme de licences flexibles activé : licence Free ou licence gratuite restreinte en fonction de la licence d’abonnement par défaut.
  - Si vous avez besoin que certains utilisateurs soient provisionnés sous une licence différente de celle par défaut :
  Comme indiqué ci‑dessus, tous les utilisateurs sont provisionnés avec la licence par défaut. Cependant, vous pouvez immédiatement mettre à jour tout ou partie d’entre eux en utilisant l’attribut UserType avec la valeur Full. Les utilisateurs mis à jour via cet attribut verront leur compte mis à niveau vers la licence complète sans interruption de service côté utilisateur.
• Tous les utilisateurs provisionnés via SCIM sont également affectés par la fonctionnalité contrôle de domaine. Cela signifie que si un utilisateur n’est membre que d’un seul groupe de sécurité dans votre fournisseur d’identité, mais que vos paramètres de contrôle de domaine définissent trois équipes comme désignées, cet utilisateur sera également ajouté à ces trois équipes.

• Pour protéger le service, Miro limite le nombre d’appels API disponibles toutes les 30 secondes :
  
  

  Type de demande	Niveau limite
  GET scim/users   GET scim/users/{userId}	Premier niveau de limitation 1
  POST scim/users/{userId}   PUT scim/users/{userId}   PATCH scim/users/{userId}   DELETE scim/users/{userId}	Troisième niveau de limitation 3
  GET scim/Groups   PATCH scim/Groups/{groupId}	Quatrième niveau de limitation 4
  GET scim/Groups/{groupId}	Troisième niveau de limitation 4

  
  Pour plus de détails sur les niveaux de limitation, consultez ici.Si le nombre de demandes dépasse la limite, Miro renvoie le message standard 429 Too many requests.

Fonctionnalités prises en charge

Le schéma détaillé du SCIM de Miro se trouve ici.

Miro prend en charge les fonctionnalités d’approvisionnement suivantes :

• Créer de nouveaux utilisateurs
  Les nouveaux utilisateurs attribués à l’application Miro dans le fournisseur d’identité seront créés dans votre abonnement Miro Enterprise en tant que membres Enterprise. Les utilisateurs ajoutés à un groupe du fournisseur d’identité synchronisé avec une équipe Miro portant le même nom seront ajoutés à l’équipe en tant que membres de l’équipe.
• Push des mises à jour des profils d’utilisateurs
  Pour connaître les attributs et les modifications pris en charge, voir ci-dessous.
  
• Synchronisation et push des groupes du fournisseur d’identité
  Synchronisez vos groupes du fournisseur d’identité et leurs membres avec les équipes de votre abonnement Miro Enterprise pour gérer automatiquement l’appartenance des utilisateurs. Une synchronisation continue enverra des mises à jour spécifiques concernant les utilisateurs de votre groupe à l’équipe Miro synchronisée, tandis qu’un push écrasera l’état de l’équipe en traitant le groupe du fournisseur d’identité comme source de vérité (s’il y a eu des modifications manuelles par vos admins d’entreprise du côté de Miro).
  
• Découpler les noms des groupes du fournisseur d’identité et des équipes Miro
  Miro synchronise les groupes du fournisseur d’identité et les équipes Miro par leur nom, ils doivent donc porter exactement le même nom. Cependant, après la synchronisation initiale, vous pourrez renommer l’un, l’autre ou les deux selon ce qui vous convient. Vous trouverez un exemple de découplage ici
• Retirer des utilisateurs d’un groupe du fournisseur d’identité ou d’une équipe Miro (pas de l’abonnement Enterprise, voir ci-dessous)
  Le retrait d’un utilisateur d’un groupe du fournisseur d’identité le retirera de l’équipe Miro synchronisée (lors du prochain push de groupe)
• Désactiver les utilisateurs
  Désactiver/supprimer un utilisateur ou désactiver l’accès d’un utilisateur à l’application chez le fournisseur d’identité désactivera cet utilisateur dans votre forfait Miro Enterprise. Selon les circonstances, la désactivation d’un utilisateur peut réaffecter son contenu aux admins d’équipe les plus anciens:
  
  • - si vous désactivez l’utilisateur côté fournisseur d’identité mais que vous le laissez affecté à l’application Miro, son appartenance à l’équipe côté Miro n’est pas modifiée et son contenu n’est pas réaffecté - il est simplement déplacé de l’état Actif à l’état Désactivé (et dans la section Utilisateurs, respectivement) et cesse d’occuper une licence.
    
  • - si vous déclenchez la désactivation en supprimant l’utilisateur chez le fournisseur d’identité ou en le désaffectant de l’application Miro, alors que l’utilisateur est membre de certaines équipes synchronisées, l’utilisateur sera également supprimé de ces équipes Miro et son contenu dans ces équipes sera réaffecté aux admins d’équipe les plus anciens. 
    
  • si vous déclenchez la désactivation en supprimant l’utilisateur chez le fournisseur d’identité ou en le désassignant de l’application Miro, lorsque l’utilisateur n’est membre d’aucune équipe synchronisée, son appartenance à l’équipe ne sera pas modifiée et son contenu ne sera pas réaffecté.
    La suppression d’un utilisateur de l’abonnement Enterprise n’est pas prise en charge par défaut. Vous pouvez néanmoins ajouter manuellement la fonctionnalité à l’aide de l’API pour que l’utilisateur soit complètement supprimé de l’abonnement au lieu de lui attribuer le statut Désactivé. Dans ce scénario, le contenu est réaffecté aux membres des équipes concernées. Il est impossible de déterminer quels admins récupéreront la propriété du contenu réaffecté automatiquement. Mais cela peut être défini lorsque vous désactivez manuellement désactiver un utilisateur dans les paramètres de Miro.
• Réactiver les utilisateurs
  Réassigner un utilisateur à l’application ou réactiver le profil de l’utilisateur dans l’IdP le réactivera dans votre abonnement Miro Enterprise si cet utilisateur était précédemment provisionné et désactivé.
• Automatisation de l’attribution aux groupes de facturation
  Affecter automatiquement les nouveaux utilisateurs aux groupes de facturation à l’aide du SCIM. Une fois votre fournisseur d’identité (IdP) configuré, associez vos centres de coûts à vos groupes de facturation. Ainsi, chaque utilisateur actuel et futur de ces centres de coûts est automatiquement classé dans la bonne catégorie de facturation.

Vous pouvez également supprimer des utilisateurs de votre forfait Enterprise en envoyant un appel API direct de suppression - veuillez consulter la documentation ici. Notez que seuls les appels directs supprimeront les utilisateurs. Les événements de suppression initiés par votre solution d’identité seront traités comme une demande de désactivation.

Attributs pris en charge

⚠️ Notez que :
- E-mail / Le paramètre principal / Identifiant unique / nom d’utilisateur) est la seule valeur requise par Miro et doit se présenter sous la forme d’un e-mail.
- la mise à jour de l’e-mail n’est possible que pour les utilisateurs déjà synchronisés. En d’autres termes, la première synchronisation doit avoir lieu lorsque l’adresse e-mail dans le fournisseur d’identité (IdP) et dans Miro est la même, sinon Miro ne reconnaîtra pas l’utilisateur et un profil Miro dupliqué sera créé sous la nouvelle adresse e-mail.
- la mise à jour de l’e-mail doit se faire dans le profil de l’utilisateur chez le fournisseur d’identité (IdP), et non dans la liste des affectations.
- Contrairement aux autres attributs, la mise à jour de l’e-mail de l’utilisateur lui enverra une notification : l’ancienne et la nouvelle adresse e-mail recevront toutes deux un message informant l’utilisateur qu’il devra désormais utiliser sa nouvelle adresse e-mail pour se connecter à Miro.

⚠️ Les comptes Miro n’ont pas de mot de passe — la connexion se fait via un lien magique, SSO ou un compte social — il n’existe donc pas d’attribut de mot de passe à synchroniser via SCIM.
⚠️ Username, UserType et roles.value ne peuvent pas être mis à jour pour les utilisateurs désactivés. 

Tous les attributs seront affichés dans le fichier CSV exporté contenant la liste des utilisateurs téléchargeable depuis la section Utilisateurs actifs.

L’option permettant de télécharger une liste d’utilisateurs

Configuration du SCIM

Étape 1 : Activer l’option SCIM dans Miro

Pour activer le SCIM pour votre forfait Miro Enterprise, rendez-vous dans les paramètres de l’entreprise > Intégrations Enterprise, puis activez la fonctionnalité SCIM Provisioning. Vous y trouverez la Base URL et le jeton API pour configurer votre fournisseur d’identité.

Étape 2 : Configurer votre fournisseur d’identité

La configuration dépendra du fournisseur d’identité que vous utilisez. Miro prend en charge Okta et Entra ID préconfigurés ; vous pouvez toutefois utiliser n’importe quel fournisseur d’identité qui permet de configurer le SCIM.

OKTA - consultez les instructions de configuration ici.

Entra ID - consultez les instructions d’installation ici.

Générer un nouveau jeton

1. Allez dans les paramètres de l’entreprise > Intégrations Enterprise.
2. Dans la section SCIM Provisioning, cliquez sur Générer un nouveau jeton.
3. Dans la fenêtre Générer un nouveau jeton SCIM, cliquez sur Générer.
4. Après avoir généré un nouveau jeton, vous devez le configurer dans votre fournisseur d’identité.

Problèmes éventuels et comment les résoudre

Pour en savoir plus sur les erreurs SCIM, consultez notre documentation. Si le problème persiste, vous pouvez contacter le service d’assistance Miro.