Connecter Microsoft Entra ID (SSO et SCIM)

Ce qu’il vous faut

• Le rôle Application Administrator ou supérieur dans le Microsoft Entra admin center (https://entra.microsoft.com).
• Le SSO (OpenID Connect) est disponible avec l’offre gratuite d’Entra ID.
• Le SCIM (provisionnement automatique) d’une application absente de la galerie nécessite Entra ID P1 ou supérieur (inclus notamment dans Microsoft 365 E3 et E5 et dans Business Premium).
• L’administrateur de l’organisation Aiyori doit pouvoir ouvrir « Réglages » → « Connecter le fournisseur d’identité de l’entreprise » sur l’écran du formateur.

Le SSO et le SCIM se configurent sur une même application. Créer une application d’entreprise crée aussi un enregistrement d’application (App registrations) du même nom. Le SSO se configure dans l’enregistrement d’application, et le SCIM dans l’application d’entreprise.

1. Créer l’application

1. Entra admin center → Entra ID → Enterprise applications → + New application → + Create your own application.
2. Saisissez Aiyori comme nom, choisissez Integrate any other application you don’t find in the gallery (Non-gallery), puis Create.
3. Dans Properties de l’application, réglez Assignment required? sur Yes (la connexion est réservée aux personnes attribuées). Pour placer une vignette dans My Apps, saisissez https://app.aiyori.app/api/web/sso/start?code=(code de l’organisation) comme Home page URL. Puis Save.

2. SSO (OpenID Connect)

1. Entra ID → App registrations → All applications → ouvrez l’application Aiyori créée dans la partie 1.
2. Dans Overview, notez le Directory (tenant) ID et l’Application (client) ID.
3. Authentication → + Add a platform → Web → saisissez https://app.aiyori.app/api/web/sso/callback comme URI de redirection → Configure. Ne cochez pas les deux cases d’octroi implicite (Aiyori utilise le flux du code d’autorisation avec PKCE).
4. Certificates & secrets → Client secrets → + New client secret → description Aiyori, expiration de 12 mois recommandée (24 mois au maximum) → Add → notez la Value (elle n’est visible que sur cet écran).
5. Token configuration → + Add optional claim → ID → cochez email → Add. Si l’on vous demande d’activer l’autorisation email de Microsoft Graph, cochez-la et ajoutez-la.
6. API permissions peut rester sur la valeur par défaut User.Read (Aiyori ne demande que openid email profile : aucun consentement administrateur n’est nécessaire).
7. Sur l’écran du formateur d’Aiyori, allez dans « Réglages » → « Connecter le fournisseur d’identité de l’entreprise » → « SSO », saisissez les valeurs du tableau ci-dessous et appuyez sur « Enregistrer ».
8. Enterprise applications → Aiyori → Users and groups → + Add user/group, et attribuez une personne pour le test.
9. Si cette personne peut aller de l’écran de connexion d’Aiyori → « Se connecter avec un compte professionnel » → code de l’organisation → connexion Microsoft → retour sur Aiyori, la connexion fonctionne. Si le SCIM n’est pas encore connecté, inscrivez-la d’abord comme apprenant (avec son adresse e-mail professionnelle), ou activez « Inscrire comme apprenant toute personne non encore inscrite qui se connecte ».
10. Une fois que vous avez vérifié que tout le monde peut entrer, activez « Désactiver la connexion par code PIN et n’autoriser que les comptes professionnels » si besoin.

URL de l’émetteur (Issuer)

https://login.microsoftonline.com/(ID du locataire)/v2.0

ID client

Application (client) ID

Secret client

La Value notée à l’étape 4 (pas le Secret ID)

Domaines d’adresse e-mail acceptés

Les domaines e-mail de votre entreprise (par ex. example.com). Si des personnes ayant une adresse onmicrosoft.com doivent aussi entrer, ajoutez ce domaine sur une ligne à part. Les personnes dont le jeton ne contient pas d’email sont vérifiées par le domaine de leur UPN : si le domaine de vos UPN diffère de votre domaine e-mail, ajoutez-le aussi.

Quand le secret expire, plus personne ne peut entrer avec un compte professionnel. Créez un nouveau secret avant l’expiration et remplacez-le sur l’écran d’Aiyori. Pensez à noter la date dans le calendrier de votre équipe informatique.

Les émetteurs common, organizations et consumers, ainsi que ceux sans le /v2.0 final, sont refusés à l’enregistrement, avec la raison (ils laisseraient entrer des personnes de n’importe quel locataire). Si vous saisissez un nom de locataire comme contoso.onmicrosoft.com au lieu de l’ID du locataire, il est converti au format de l’ID du locataire à l’enregistrement.

Même si vos UPN diffèrent de vos adresses e-mail, les personnes ajoutées par SCIM sont aussi retrouvées par leur UPN : l’ajout d’email à l’étape 5 n’est donc pas obligatoire. Si vous ajoutez les personnes par inscription groupée ou par inscription automatique plutôt que par SCIM, ajoutez email à l’étape 5 (sinon, elles sont inscrites comme une autre personne, sous leur adresse UPN).

3. SCIM (provisionnement automatique)

1. Dans Aiyori, allez dans « Connecter le fournisseur d’identité de l’entreprise » → « SCIM », saisissez Entra ID dans « Nom de la clé » et appuyez sur « Créer une clé » → notez la clé qui s’affiche (elle n’est visible que sur cet écran).
2. Enterprise applications → Aiyori → Provisioning → + New configuration (sur l’ancien écran, Get started → réglez Provisioning Mode sur Automatic).
3. Sous Admin Credentials, choisissez Bearer authentication, saisissez https://app.aiyori.app/api/scim/v2 comme Tenant URL, et la clé de l’étape 1 comme Secret Token.
4. Test Connection → en cas de succès, Create (ou Save). Entra ID recherche une personne qui n’existe pas et vérifie qu’une liste vide est renvoyée.
5. Les Mappings peuvent rester par défaut (les points à vérifier sont dans le tableau ci-dessous).
6. Sous Settings, laissez Scope sur Sync only assigned users and groups (par défaut). Saisissez l’adresse de votre équipe informatique comme Notification Email en cas d’arrêt de la synchronisation, et activez Prevent accidental deletion.
7. Sous Users and groups, attribuez les groupes qui doivent utiliser Aiyori (services, années d’embauche, etc.).
8. Envoyez une personne avec Provision on demand, et vérifiez qu’elle apparaît dans la liste des apprenants d’Aiyori.
9. Start provisioning. Le cycle initial prend un temps qui dépend du nombre de personnes ; ensuite, la synchronisation a lieu environ toutes les 40 minutes. Les résultats sont dans les Provisioning logs.

4. À vérifier le jour de la connexion

• Une personne attribuée peut entrer avec un compte professionnel. Les personnes non attribuées sont arrêtées sur l’écran de Microsoft (car l’attribution est obligatoire).
• La personne envoyée à la demande apparaît comme apprenant Aiyori et fait partie de ses groupes.
• Quand vous retirez l’attribution de cette personne et l’envoyez de nouveau à la demande, elle apparaît comme « Désactivé par l’entreprise » dans Aiyori et ne peut plus se connecter. Quand vous la rétablissez, elle peut de nouveau entrer.
• La date d’expiration du secret est notée dans le calendrier de votre équipe informatique.

Fonctionnement d’Entra ID avec Aiyori

• L’émetteur est propre à chaque locataire. Les valeurs iss et tid (l’ID du locataire) du jeton d’ID doivent toutes deux correspondre au locataire enregistré : les personnes des locataires d’autres entreprises ne peuvent pas entrer.
• Entra ID n’envoie pas email_verified. Aiyori filtre par émetteur, locataire et domaines acceptés, puis utilise l’email reçu (ou l’UPN s’il n’y en a pas).
• Les requêtes PATCH SCIM avec "op": "Replace" (avec une majuscule, comme Add et Remove), la chaîne "False" et les PATCH sans path sont toutes acceptées. Le corps est en application/scim+json.
• Les personnes peuvent être recherchées avec filter=userName eq (l’UPN, sans distinction de casse) ou par externalId. L’ajout et le retrait de membres d’un groupe (Add et Remove sur members) sont acceptés.
• La synchronisation a lieu environ toutes les 40 minutes. Si c’est urgent, envoyez les personnes à la demande.
• Les clés SCIM n’expirent pas. Une fois par an environ, créez une nouvelle clé, saisissez-la dans Entra ID, puis révoquez l’ancienne clé avec « Révoquer » dans Aiyori.
• Tous les contrôles de Microsoft Entra SCIM Validator sont respectés sauf un : un GET sur un utilisateur supprimé qui renvoie 404. En effet, lors d’une suppression, Aiyori n’efface pas l’historique mais suspend l’apprenant. La synchronisation habituelle envoie active: false quand l’attribution est retirée : elle n’est donc pas concernée.