Configurer SCIM avec Okta
Vous pouvez configurer la gestion des utilisateurs via Okta, provisionner des groupes et attribuer des rôles de site Tableau Cloud. Si vous n’êtes pas encore familier avec les rôles sur le site Tableau et les fonctionnalités que chacun d’eux autorise, consultez Définir les rôles sur le site des utilisateurs.
Étape 1 : Conditions préalables
La fonctionnalité du SCIM exige que vous configuriez votre site de manière à prendre en charge l’authentification unique SAML (SSO).
Lisez les sections suivantes dans Configurer SAML avec Okta :
Après avoir terminé les étapes de ces deux sections, restez connecté à la fois à la console administrateur Okta et à Tableau Cloud, en affichant les pages suivantes :
Dans Tableau Cloud, page Paramètres > Authentification.
Dans la console administrateur Okta, Applications > Applications > Tableau Cloud > Provisionnement.
Étape 2 : Activer la prise en charge SCIM
Pour activer la prise en charge de SCIM avec Okta, procédez comme suit. Consultez également Remarques et limitations pour la prise en charge SCIM avec Azure Active Directory dans la section ci-dessous.
- Connectez-vous à votre site Tableau Cloud en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.
Procédez comme suit :
Dans la page Authentification, sous Provisionnement et synchronisation de groupe automatiques (SCIM), cochez la case Activer SCIM.
Les zones URL de base et Secret sont alors renseignées avec les valeurs que vous allez utiliser dans la configuration SCIM de l’IdP.
Important : le jeton secret s’affiche uniquement immédiatement après avoir été généré. Si vous le perdez avant de pouvoir l’appliquer à votre IdP, vous pouvez sélectionner Générer un nouveau secret. En outre, le secret est lié au compte utilisateur Tableau Cloud de l’administrateur de site prenant en charge SCIM. Si le rôle sur le site de cet utilisateur change ou que l’utilisateur est supprimé du site, le secret cesse d’être valide, et un autre administrateur de site doit générer un nouveau secret et l’appliquer à votre IdP.
Copiez la valeur du jeton secret.
Dans la console administrateur Okta, procédez comme suit :
Dans le volet gauche, sélectionnez Application > Application, cliquez sur l’application Tableau Cloud, puis sur l’onglet Provisionnement.
Cliquez sur le bouton Activer l’intégration de l’API.
Cochez la case Activer l’intégration de l’API et cliquez sur Enregistrer.
Procédez comme suit :
Pour API Token (Jeton d’API), collez le jeton secret Tableau Cloud SCIM que vous avez copié à l’étape précédente.
Pour Base URL (URL de base), copiez et collez le paramètre Base URL affiché dans les paramètres SCIM Tableau Cloud.
Cliquez sur le bouton Tester les identifiants de l’API pour s’assurer que la configuration a été bien effectuée. Si la configuration a été effectuée correctement, le message « Tableau Cloud a été vérifié avec succès! » s’affiche.
Lorsque vous avez terminé, cliquez sur Enregistrer.
Étape 3 : Assigner des utilisateurs et des groupes à Tableau
Dans Okta, vous devez assigner des utilisateurs et des groupes à l’application Tableau afin que les utilisateurs puissent être provisionnés dans Tableau.
Remarque : Okta recommande d’avoir un groupe à assigner et un groupe à déployer. Pour plus d’information, consultez À propos du déploiement des groupes(Le lien s’ouvre dans une nouvelle fenêtre) dans la documentation Okta (en anglais).
Dans le volet gauche, sélectionnez Application > Application, cliquez sur l’application Tableau Cloud, puis sur l’onglet Affectations.
Cliquez sur la liste déroulante Assigner et sélectionnez Assigner des personnes ou Assigner des groupes.
Procédez comme suit :
Sélectionnez l’utilisateur ou le groupe concerné.
Sélectionnez le rôle sur le site avec lequel vous souhaitez provisionner les utilisateurs dans Tableau. Les options disponibles sont les suivantes :
Sans licence
Viewer (Observateur)
Explorer
Explorer (peut publier)
Creator
Administrateur de site - Explorer
Administrateur de site - Creator
Une fois terminé, cliquez sur le bouton Enregistrer et Retour.
Répétez les étapes 3 à 4 si nécessaire, puis cliquez sur le bouton Terminé.
Étape 4 : Activer le provisionnement des groupes
Okta vous permet de déployer des groupes existants et leurs adhésions vers Tableau Cloud. Une fois qu’un groupe est déployé, vous pouvez gérer l’adhésion au groupe dans Okta de manière à mettre automatiquement à jour le groupe correspondant dans Tableau Cloud. Avant de suivre ces étapes, nous vous conseillons de consulter les Conditions préalables au déploiement de groupe(Le lien s’ouvre dans une nouvelle fenêtre) et la section À propos du déploiement de groupe(Le lien s’ouvre dans une nouvelle fenêtre) dans la documentation Okta.
Important : Après avoir activé le SCIM, les utilisateurs et leurs attributs doivent être gérés à travers le fournisseur d’identité. Les modifications apportées directement dans Tableau Cloud peuvent entraîner un comportement inattendu et des valeurs écrasées.
Les étapes suivantes continuent là où vous en étiez resté dans la précédente section et partent de l’hypothèse que vous êtes connecté à la Console administrateur Okta.
Dans le volet gauche, sélectionnez Application > Application, cliquez sur l’application Tableau Cloud, puis cliquez sur l’onglet Déployer des groupes.
Cliquez sur le bouton Déployer des groupes, puis sélectionnez l’une des options suivantes dans le menu déroulant :
Find groups by name : (Rechercher des groupes par nom) Sélectionnez cette option pour rechercher des groupes par nom.
Find groups by rule : (Rechercher des groupes par règle) Sélectionnez cette option pour créer une règle de recherche qui envoie tous les groupes correspondant à la règle.
(Facultatif) Si vous déployez plusieurs groupes, cliquez sur le bouton Enregistrer et ajouter un autre et répétez l’étape précédente.
- Lorsque vous avez terminé, cliquez sur Enregistrer.
Vous pouvez désactiver le push de groupes, dissocier les groupes envoyés ou envoyer l’appartenance à un groupe immédiatement en cliquant sur Active (Actif) ou Inactive (Inactif) dans la colonne Push Status (État du push). Pour supprimer, désactiver ou activer plusieurs groupes, cliquez sur Bulk Edit (Modification en bloc). Pour plus d’information, consultez Activer le push de groupes(Le lien s’ouvre dans une nouvelle fenêtre) dans la documentation Okta (en anglais).
Remarques pour la prise en charge SCIM avec Okta
Dans les paramètres d’attribution des utilisateurs Okta, les valeurs de Nom d’utilisateur et Courriel principal doivent être identiques.
Vous devez ajouter une application Tableau Cloud Okta séparée pour chaque site que vous souhaitez gérer à l’aide de SCIM.
Si vous souhaitez migrer un site, vous devez reconfigurer le provisionnement SCIM pour le nouveau site.
Lors du provisionnement de nouveaux utilisateurs, les attributs de prénom et de nom dans Okta ne sont pas synchronisés sur Tableau Cloud. Les nouveaux utilisateurs peuvent définir ces champs lorsqu’ils se connectent à Tableau Cloud pour la première fois.
Lorsqu’un utilisateur n’est plus attribué à l’application Tableau Cloud dans Okta ou lorsqu’il est entièrement désactivé ou supprimé d’Okta, l’utilisateur est converti en utilisateur ayant un rôle Sans licence sur le site Tableau Cloud. Si l’utilisateur possède du contenu, vous devez d’abord réaffecter la propriété de ces ressources de contenu avant de pouvoir manuellement supprimer l’utilisateur dans Tableau Cloud.
Vous pouvez définir le rôle sur le site d’un utilisateur (tel que Creator, Explorer ou Viewer) dans Okta au niveau de l’utilisateur ou du groupe. Nous vous recommandons d’affecter le rôle sur le site au niveau du groupe. Si l’utilisateur se voit attribuer un rôle sur le site directement, ce rôle remplacera tous les paramètres de groupe.
Un utilisateur peut appartenir à plusieurs groupes. Les groupes peuvent avoir différents rôles sur le site. Si un utilisateur est affecté à des groupes avec des rôles sur le site différents, il recevra le rôle sur le site le plus permissif dans Tableau Cloud. Par exemple, si vous choisissez Viewer et Creator, Tableau attribuera le rôle sur le site Creator.
Les rôles sur le site sont énumérés ci-dessous dans l’ordre, du plus permissif au moins permissif :
Administrateur de site - Creator
Administrateur de site - Explorer
Creator
Explorer (peut publier)
Explorer
Viewer (Observateur)
Vous pouvez mettre à jour l’attribut de rôle sur le site pour un utilisateur dans Okta et ce changement se propagera à Tableau Cloud. D’autres attributs, tels que Nom d’utilisateur et Courriel principal, ne peuvent pas être mis à jour. Pour modifier ces attributs, supprimez l’utilisateur, modifiez l’attribut, puis ajoutez l’utilisateur à nouveau.
À partir de février 2024 (Tableau 2023.3), l’utilisation de SCIM avec Attribuer une licence lors de la connexion (GLSI) est prise en charge. GLSI nécessite l’activation manuelle de l’option pour un groupe et la sélection d’un rôle minimum sur le site pour les utilisateurs qui sont membres du groupe dans Tableau Cloud. Il est impossible de définir un groupe avec l’attribut GLSI dans Okta, mais vous pouvez définir l’attribut pour le groupe que vous avez provisionné depuis Okta dans Tableau Cloud.