Configurer SCIM avec Okta
Vous pouvez configurer la gestion des utilisateurs via Okta, approvisionner des groupes et attribuer des rôles sur le site Tableau Cloud. Si vous n’êtes pas encore familier avec les rôles sur le site Tableau et les fonctionnalités que chacun d’eux autorise, consultez Définir les rôles sur le site des utilisateurs.
Étape 1 : Effectuer les opérations de prérequis
La fonctionnalité SCIM exige que vous configuriez votre site de manière à prendre en charge l’authentification unique SAML (SSO).
Effectuez les étapes suivantes dans Configurer SAML avec Okta :
Une fois les étapes de ces deux sections terminées, restez connecté à la fois à la console de l’administrateur Okta et à Tableau Cloud en affichant les pages suivantes :
Dans Tableau Cloud, page Paramètres > Authentification.
Dans la console de l’administrateur Okta, Applications > Applications > Tableau Cloud > Provisioning.
Étape 2 : Activer la prise en charge SCIM
Suivez les étapes ci-après pour activer la prise en charge SCIM avec Okta. Voir également Remarques et limitations pour la prise en charge SCIM avec Azure Active Directory.
- Connectez-vous à votre site Tableau Cloud en tant qu’administrateur de site, et sélectionnez Paramètres > Authentification.
Procédez comme suit :
Dans la page Authentification, sous Provisionnement automatique et synchronisation de groupe (SCIM), cochez la case Activer SCIM.
Les zones URL de base et Secret sont alors renseignées avec les valeurs que vous allez utiliser dans la configuration SCIM de l’IdP.
Important : le jeton secret s’affiche uniquement immédiatement après avoir été généré. Si vous le perdez avant de pouvoir l’appliquer à votre IdP, vous pouvez sélectionner Générer un nouveau secret. En outre, le jeton secret est lié au compte utilisateur Tableau Cloud de l’administrateur de site prenant en charge SCIM. Si le rôle sur le site de cet utilisateur change ou que l’utilisateur est supprimé du site, le secret cesse d’être valide, et un autre administrateur de site doit générer un nouveau secret et l’appliquer à votre IdP.
Copiez la valeur du jeton secret.
Dans la console de l’administrateur Okta, procédez comme suit :
Dans le volet de gauche, sélectionnez Application > Application, cliquez sur l’application Tableau Cloud, puis sur l’onglet Provisioning.
Cliquez sur le bouton Enable API integration (Activer l’intégration de l’API).
Cochez la case Enable API integration (Activer l’intégration de l’API) puis cliquez sur Save (Enregistrer).
Procédez comme suit :
Pour API Token (Jeton d’API), collez le jeton secret Tableau Cloud SCIM que vous avez copié à l’étape précédente.
Pour Base URL (URL de base), copiez et collez le paramètre Base URL affiché dans les paramètres SCIM Tableau Cloud.
Cliquez sur Test API Credentials (Tester les informations d’identification de l’API) pour vous assurer que la configuration a été effectuée correctement. Si la configuration a été effectuée correctement, le message « Tableau Cloud a été vérifié avec succès » s’affiche.
Une fois que vous avez terminé, cliquez sur Enregistrer.
Étape 3 : Affecter des utilisateurs et des groupes à Tableau
Dans Okta, vous devez affecter des utilisateurs et des groupes à l’application Tableau afin que les utilisateurs puissent être provisionnés sur Tableau.
Remarque : Okta vous recommande de disposer d’un groupe distinct pour l’affectation et le « push » de groupes. Pour plus d’informations, voir À propos de la fonction Group Push(Le lien s’ouvre dans une nouvelle fenêtre) dans la documentation Okta (en anglais).
Dans le volet de gauche, sélectionnez Application > Application, cliquez sur l’application Tableau Cloud, puis sur l’onglet Provisioning (Provisionnement).
Cliquez sur la liste déroulante Assign (Affecter) et sélectionnez Assign to People (Affecter à des personnes) ou Assign to Groups (Affecter à des groupes).
Procédez comme suit :
Sélectionnez l’utilisateur ou le groupe concerné.
Sélectionnez le rôle sur le site que vous souhaitez attribuer aux utilisateurs pour Tableau. Les options disponibles sont les suivantes :
Sans licence
Viewer (Observateur)
Explorer
Explorer (peut publier)
Creator
Administrateur de site - Explorer
Administrateur de site - Creator
Une fois terminé, cliquez sur le bouton Enregistrer et revenir en arrière.
Répétez les étapes 3-4 si nécessaire, puis cliquez sur le bouton Terminé.
Étape 4 : Activer le provisionnement de groupes
Okta vous permet d’envoyer les groupes existants et leurs membres à Tableau Cloud. Une fois qu’un groupe est envoyé, vous pouvez gérer l’appartenance au groupe dans Okta de manière à mettre automatiquement à jour le groupe correspondant dans Tableau Cloud. Avant de suivre ces étapes, nous vous recommandons de passer en revue les rubriques Group Push prerequisites(Le lien s’ouvre dans une nouvelle fenêtre) et About Group Push(Le lien s’ouvre dans une nouvelle fenêtre) (en anglais) dans la documentation Okta.
Important : une fois que SCIM est activé, les utilisateurs et leurs attributs doivent être gérés via l’IdP. Les modifications apportées au sein de Tableau Cloud directement peuvent entraîner un comportement inattendu et le remplacement de valeurs.
Les étapes suivantes continuent là où vous en étiez resté dans la précédente section et partent de l’hypothèse que vous êtes connecté à la Console administrateur Okta.
Dans le volet de gauche, sélectionnez Application > onglet Application, cliquez sur l’application Tableau Cloud, puis sur l’onglet Push Groups (Transmettre des groupes par Push).
Cliquez sur Push Groups (Transmettre des groupes par Push) puis choisissez l’une des options suivantes dans le menu déroulant :
Find groups by name: (Rechercher des groupes par nom) Sélectionnez cette option pour rechercher des groupes par nom.
Find groups by rule: (Rechercher des groupes par règle) Sélectionnez cette option pour créer une règle de recherche qui envoie tous les groupes correspondant à la règle.
(Facultatif) Si vous transmettez plusieurs groupes, cliquez sur le bouton Save & Add Another (Enregistrer et ajouter un autre) et répétez l’étape précédente.
- Une fois que vous avez terminé, cliquez sur Enregistrer.
Vous pouvez désactiver le push de groupes, dissocier les groupes envoyés ou envoyer l’appartenance à un groupe immédiatement en cliquant sur Active (Actif) ou Inactive (Inactif) dans la colonne Push Status (État du push). Pour supprimer, désactiver ou activer plusieurs groupes, cliquez sur Bulk Edit (Modification en bloc). Pour plus d’informations, voir Activer le push de groupes(Le lien s’ouvre dans une nouvelle fenêtre) dans la documentation Okta (en anglais).
Remarques sur la prise en charge SCIM avec Okta
Dans les paramètres d’attribution des utilisateurs Okta, les valeurs de Nom d’utilisateur et E-mail principal doivent être identiques.
Vous devez ajouter une application Tableau Cloud Okta séparée pour chaque site que vous souhaitez gérer à l’aide de SCIM.
Si vous souhaitez migrer un site, vous devez reconfigurer le provisionnement SCIM pour le nouveau site.
Lors du provisionnement de nouveaux utilisateurs, les attributs de prénom et de nom dans Okta ne sont pas synchronisés sur Tableau Cloud. Les nouveaux utilisateurs doivent définir ces champs lorsqu’ils se connectent à Tableau Cloud pour la première fois.
Lorsqu’un utilisateur n’est plus attribué à l’application Tableau Cloud dans Okta ou qu’il est entièrement désactivé ou supprimé d’Okta, il est converti à un rôle sur le site Sans licence dans Tableau Cloud. Si l’utilisateur possède un contenu, vous devez d’abord réaffecter la propriété de ces ressources de contenu avant de pouvoir supprimer l’utilisateur manuellement dans Tableau Cloud.
Vous pouvez définir le rôle sur le site d’un utilisateur (tel que Creator, Explorer ou Viewer) dans Okta au niveau de l’utilisateur ou du groupe. Nous vous recommandons d’affecter le rôle sur le site au niveau du groupe. Si l’utilisateur se voit attribuer un rôle sur le site directement, ce rôle remplacera tous les paramètres de groupe.
Un utilisateur peut appartenir à plusieurs groupes. Les groupes peuvent avoir différents rôles sur le site. Si un utilisateur est affecté à des groupes avec des rôles sur le site différents, il recevra le rôle sur le site le plus permissif dans Tableau Cloud. Par exemple, si vous choisissez Viewer et Creator, Tableau attribuera le rôle sur le site Creator.
Les rôles sur le site sont énumérés ci-dessous dans l’ordre, du plus permissif au moins permissif :
Administrateur de site - Creator
Administrateur de site - Explorer
Creator
Explorer (peut publier)
Explorer
Viewer (Observateur)
Vous pouvez mettre à jour l’attribut de rôle sur le site pour un utilisateur dans Okta et ce changement se propagera à Tableau Cloud. D’autres attributs, tels que Nom d’utilisateur et E-mail principal, ne peuvent pas être mis à jour. Pour modifier ces attributs, supprimez l’utilisateur, modifiez l’attribut, puis ajoutez l’utilisateur à nouveau.
Depuis février 2024 (Tableau 2023.3), l’utilisation de SCIM avec Attribuer une licence lors de la connexion (GLSI) est prise en charge. GLSI nécessite d’activer manuellement l’option pour un groupe et de sélectionner le rôle sur le site minimum pour les utilisateurs membres du groupe dans Tableau Cloud. Il n’est pas possible de définir un groupe avec l’attribut GLSI dans Okta, mais vous pouvez définir l’attribut pour le groupe que vous avez provisionné depuis Okta dans Tableau Cloud.