Examiner les exigences SCIM pour Apple Business Manager

Privilèges Azure AD

Dans Azure AD, les rôles suivants peuvent synchroniser des comptes avec Apple Business Manager à l’aide de SCIM :

• Administrateur d’application

• Administrateur d’application Cloud

• Propriétaire d’application

• Administrateur général

Consultez l’article de l’assistance Microsoft Autorisations des rôles d’administrateur dans Azure Active Directory.

Plusieurs organisations

Apple Business Manager ne prend pas en charge plusieurs organisations utilisant le même locataire Azure AD pour SCIM. Si vous souhaitez utiliser SCIM pour votre organisation, contactez votre administrateur Azure AD pour vous assurer qu’aucune autre organisation Apple Business Manager n’utilise votre locataire Azure AD pour SCIM.

Groupes Azure AD

Dans Azure AD, les deux méthodes de synchronisation utilisent le terme Groupes. Apple Business Manager ne propose aucun concept de groupes. Seuls les comptes utilisateur sont synchronisés. Vous pouvez ajouter des groupes Azure AD à l’app Apple Business Manager d’Azure AD. Par exemple, si vous possédez des groupes intitulés Ingénierie, Marketing et Ventes dans Azure AD, vous pouvez ajouter les trois à l’app Apple Business Manager d’Azure AD. Lorsque vous vous connectez avec SCIM, seuls les comptes de ces groupes sont synchronisés avec Apple Business Manager.

Portée de l’approvisionnement

Vous pouvez synchroniser des comptes Azure AD avec Apple Business Manager de deux façons. Lorsque vous synchronisez des utilisateurs (quelle que soit la méthode), les comptes dont le nom principal d’utilisateur (UPN) est identique à celui des comptes avec un rôle d’Administrateur ou de Gestionnaire de site ne se synchroniseront pas. SCIM ne deviendra pas la source de ces comptes.

Synchroniser uniquement les utilisateurs et les groupes attribués : cette option synchronise uniquement les comptes qui apparaissent dans l’app Apple Business Manager d’Azure AD avec Apple Business Manager. Lorsque vous utilisez cette méthode de synchronisation, les comptes Azure AD doivent disposer du rôle Utilisateur pour être synchronisés dans Apple Business Manager.

Synchroniser tous les utilisateurs et tous les groupes : cette option synchronise tous les comptes (la synchronisation de groupes n’est pas prise en charge) figurant dans l’onglet Utilisateurs d’Azure AD avec Apple Business Manager et crée des identifiants Apple gérés pour l’ensemble des comptes Azure AD, même si vous n’avez l’intention de n’en utiliser qu’un nombre précis.

Consultez les articles de l’assistance Microsoft Automatiser le provisionnement et le déprovisionnement des utilisateurs dans les applications avec Azure AD et Approvisionnement d’applications basé sur les attributs avec filtres d’étendue.

Notifications d’approvisionnement

Lorsque vous configurez l’approvisionnement, vous devez utiliser l’adresse e-mail d’un administrateur Apple Business Manager, d’un Gestionnaire de site ou d’un Gestionnaire de personnes afin qu’il puisse recevoir des notifications de la part d’Azure AD.

SCIM et authentification fédérée

Si la fédération est déjà activée quand les comptes Azure AD sont envoyés à Apple Business Manager, vous ne verrez pas d’activité, mais les comptes se synchroniseront quand même depuis le domaine fédéré.

Azure AD est le fournisseur d’identité qui authentifie l’utilisateur pour Apple Business Manager et délivre les jetons d’authentification. Étant donné qu’Apple Business Manager prend en charge Azure AD, d’autres fournisseurs d’identité qui se connectent à Azure AD, tels que les services de fédération Active Directory (ADFS), fonctionnent également avec Apple Business Manager. L’authentification fédérée utilise le standard SAML (Security Assertion Markup Language) pour connecter Apple Business Manager à  Azure AD.

Comptes Azure AD et rôles Apple Business Manager

Lorsqu’un compte est copié d’Azure AD vers Apple Business Manager à l’aide de SCIM, le rôle Étudiant est attribué par défaut. Une fois la synchronisation terminée, les attributs utilisateur suivants peuvent être modifiés :

• Rôles

Ces attributs sont conservés avec le compte dans Apple Business Manager et ne sont pas enregistrés dans Azure AD.

Mappage des attributs utilisateur SCIM

Lorsqu’un compte est copié depuis Azure AD vers Apple Business Manager à l’aide de SCIM, les attributs utilisateur suivants sont enregistrés en lecture seule. Le tableau indique également si l’attribut utilisateur est requis ou non.

Lorsqu’un compte Azure AD est synchronisé avec Apple Business Manager, un identifiant de personne est créé pour le compte Apple Business Manager. L’identifiant de personne et l’identifiant d’objet permettent d’identifier les comptes en conflit. Consultez la section Utilisation des identifiants de personne.

Recommandations

• Vous devez uniquement utiliser l’app Apple Business Manager Azure AD lors de la connexion à SCIM.

• Si vous possédez un domaine vérifié, mais que vous n’avez pas activé l’authentification fédérée, attendez d’avoir vérifié que les comptes Azure AD ont été envoyés à Apple Business Manager pour activer la fédération. Pour ce faire, consultez les journaux d’approvisionnement d’Azure AD. Une fois que vous aurez vérifié que les comptes Azure AD ont été envoyés à Apple Business Manager, une activité vous informera que les comptes Azure AD ont été mis en service dans Apple Business Manager lorsque vous activerez la fédération. Si la fédération est déjà activée quand les comptes Azure AD sont envoyés à Apple Business Manager, vous ne verrez pas d’activité, mais les comptes seront tout de même synchronisés.

• Si vous possédez un groupe configuré dans Azure AD, vous pouvez l’ajouter à l’app Apple Business Manager d’Azure AD plutôt que d’ajouter chaque utilisateur.

Avant de commencer

Avant de commencer, vous devez effectuer les actions suivantes :

• Configurez et validez le domaine que vous souhaitez utiliser. Consultez la rubrique Connexion à de nouveaux domaines.

• Configurez (mais n’activez pas) l’authentification fédérée. Consultez Activer et tester l’authentification fédérée.

  Remarque : Si l’authentification fédérée est déjà activée, cela ne pose pas de problème. Consultez les recommandations de la section précédente.

• Déterminez le type de synchronisation dans Azure AD et, si nécessaire, créez des groupes permettant de synchroniser uniquement les comptes attribués à l’app Apple Business Manager d’Azure AD :

  • Synchroniser uniquement les utilisateurs attribués.

  • Synchroniser tous les utilisateurs.

• Demandez à un administrateur Azure AD disposant des autorisations nécessaires de modifier les applications d’entreprise en attente. Lorsque vous êtes tous deux prêts, consultez la rubrique Importer des utilisateurs avec SCIM.