Tutoriel : Configurer Tableau Cloud pour le provisionnement automatique d’utilisateurs

Ce tutoriel décrit les étapes à suivre dans Tableau Cloud et Microsoft Entra ID pour configurer le provisionnement automatique des utilisateurs. Une fois configuré, Microsoft Entra ID provisionne et déprovisionne automatiquement les utilisateurs et les groupes dans Tableau Cloud en utilisant le service de provisionnement Microsoft Entra. Pour découvrir les informations importantes sur ce que fait ce service, comment il fonctionne et consulter le forum aux questions, reportez-vous à l’article Automatiser l’approvisionnement et le désapprovisionnement d’utilisateurs dans les applications SaaS avec Microsoft Entra ID.

Fonctionnalités prises en charge

• Créez des utilisateurs dans Tableau Cloud.
• Supprimer les utilisateurs dans Tableau Cloud quand ils n’ont plus besoin d’accès.
• Maintenir la synchronisation des attributs utilisateur entre Microsoft Entra ID et Tableau Cloud.
• Provisionner des groupes et des appartenances aux groupes dans Tableau Cloud.
• Authentification unique sur Tableau Cloud (recommandé).

Prérequis

Le scénario décrit dans ce tutoriel part du principe que vous disposez des prérequis suivants :

• Un locataire Microsoft Entra
• L’un des rôles suivants : Administrateur d’application, Administrateur d’application cloud ou Propriétaire d’application.
• Un locataire Tableau Cloud.
• Un compte d’utilisateur dans Tableau Cloud doté d’autorisations d’administrateur

Remarque

L’intégration du provisionnement Microsoft Entra repose sur l’API REST Tableau Cloud. Cette API est disponible pour les développeurs Tableau Cloud.

Étape 1 : Planifier votre déploiement de l’approvisionnement

1. En savoir plus sur le fonctionnement du service d’approvisionnement.
2. Déterminez qui sera dans l’étendue pour l’approvisionnement.
3. Déterminez les données à mapper entre Microsoft Entra ID et Tableau Cloud.

Étape 2 : Configurer Tableau Cloud pour prendre en charge le provisionnement avec Microsoft Entra ID

Utilisez les étapes suivantes pour activer la prise en charge de SCIM avec Microsoft Entra ID :

1. La fonctionnalité SCIM nécessite que vous configuriez votre site pour prendre en charge l’authentification unique SAML. Si vous ne l’avez pas déjà fait, effectuez les sections suivantes de Configurer SAML avec Microsoft Entra ID :

   • Étape 1 : Ouvrez les paramètres SAML de Tableau Cloud.
   • Étape 2 : Ajouter Tableau Cloud à vos applications Microsoft Entra.

   Remarque

   Si vous ne configurez pas l’authentification unique SAML, votre utilisateur ne pourra pas se connecter à Tableau Cloud une fois qu’il a été provisionné, sauf si vous modifiez manuellement la méthode d’authentification de l’utilisateur de SAML en Tableau ou Tableau MFA dans Tableau Cloud.

2. Dans Tableau Cloud, accédez à la page Paramètres > Authentification, puis sous Approvisionnement automatique et synchronisation de groupe (SCIM), cochez la case Activer SCIM. Cela remplit les zones URL de base et Secret avec des valeurs que vous utiliserez dans la configuration SCIM de votre fournisseur d’identité.

   Remarque

   Le jeton secret s’affiche uniquement immédiatement après sa génération. Si vous le perdez avant de pouvoir l’appliquer à Microsoft Entra ID, vous pouvez sélectionner Générer un nouveau secret. En outre, le jeton secret est lié au compte d’utilisateur Tableau Cloud de l’administrateur de site qui active la prise en charge de SCIM. Si le rôle de site de cet utilisateur change ou que l’utilisateur est supprimé du site, le jeton secret n’est plus valide, et un autre administrateur de site doit générer un nouveau jeton secret et l’appliquer à Microsoft Entra ID.

Étape 3 : Ajouter Tableau Cloud à partir de la galerie d'applications Microsoft Entra

Ajoutez Tableau Cloud à partir de la galerie d’applications Microsoft Entra pour commencer à gérer le provisionnement dans Tableau Cloud. Si vous avez déjà configuré Tableau Cloud pour l’authentification unique, vous pouvez utiliser la même application. Toutefois, il est recommandé de créer une application distincte lors du test initial de l’intégration. En savoir plus sur l’ajout d’une application à partir de la galerie ici.

Étape 4 : Définir qui sera dans l’étendue pour l’approvisionnement

Le service de provisionnement Microsoft Entra vous permet de déterminer qui sera provisionné en fonction de l'affectation à l'application et/ou en fonction des attributs de l'utilisateur et du groupe. Si vous choisissez de définir l’étendue de l’approvisionnement pour votre application en fonction de l’attribution, vous pouvez utiliser les étapes de suivantes pour affecter des utilisateurs et des groupes à l’application. Si vous choisissez de définir l’étendue de l’approvisionnement en fonction uniquement des attributs de l’utilisateur ou du groupe, vous pouvez utiliser un filtre d’étendue comme décrit ici.

• Commencez progressivement. Testez avec un petit ensemble d’utilisateurs et de groupes avant d’effectuer un déploiement général. Lorsque l’étendue de l’approvisionnement est définie sur les utilisateurs et les groupes attribués, vous pouvez contrôler cela en affectant un ou deux utilisateurs ou groupes à l’application. Lorsque l’étendue est définie sur tous les utilisateurs et groupes, vous pouvez spécifier un filtre d’étendue basé sur l’attribut.

• Si vous avez besoin d’autres rôles, vous pouvez mettre à jour le manifeste d’application pour ajouter de nouveaux rôles.

Recommandations

Tableau Cloud stocke uniquement le rôle privilégié le plus élevé attribué à un utilisateur. En d’autres termes, si un utilisateur est affecté à deux groupes, le rôle de l’utilisateur reflète le rôle de privilège le plus élevé.

Pour effectuer le suivi des attributions de rôles, vous pouvez créer deux groupes spécifiques pour les attributions de rôles. Par exemple, vous pouvez créer des groupes tels que Tableau – Creator et Tableau – Explorer, etc. L’affectation se présente alors comme suit :

• Tableau – Creator: Creator
• Tableau – Explorer: Explorer
• Et ainsi de suite.

Une fois l’approvisionnement configuré, vous pouvez effectuer les changements de rôle directement dans Microsoft Entra ID. Sinon, vous risquez d’avoir des incohérences de rôle entre Tableau Cloud et Microsoft Entra ID.

Valeurs de rôle de site Tableau valides

Dans la page Sélectionner un rôle de votre portail Azure, les valeurs de rôle de site Tableau valides sont les suivantes : Creator, SiteAdministratorCreator, Explorer, SiteAdministratorExplorer, ExplorerCanPublish, Viewer ou Unlicensed.

Si vous sélectionnez un rôle qui ne figure pas dans la liste ci-dessus, comme un rôle hérité (pré-v2018.1), vous rencontrez une erreur.

Étape 5 : Configurer l’attribution automatique des utilisateurs dans Tableau Cloud

Cette section vous guide à travers les étapes de configuration du service de provisionnement Microsoft Entra pour créer, mettre à jour et désactiver des utilisateurs et des groupes dans Tableau Cloud en fonction des attributions d’utilisateurs et de groupes dans Microsoft Entra ID.

Conseil

Vous devez également activer l’authentification unique SAML pour Tableau Cloud. Suivez les instructions fournies dans le tutoriel sur l’authentification unique pour Tableau Cloud. Si SAML n’est pas activé, l’utilisateur approvisionné ne pourra pas se connecter.

Pour configurer le provisionnement automatique des utilisateurs pour Tableau Cloud dans Microsoft Entra ID :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Identité>Applications>Applications d’entreprise.

   

3. Dans la liste des applications, sélectionnez Tableau Cloud.

   

4. Sélectionnez l’onglet Approvisionnement.

   

5. Définissez le Mode d’approvisionnement sur Automatique.

   

6. Dans la section Informations d’identification de l’administrateur, entrez votre URL de locataire Tableau Cloud et le jeton secret. Cliquez sur Tester la connexion pour vérifier que Microsoft Entra ID peut se connecter à Tableau Cloud. Si la connexion échoue, vérifiez que votre compte Tableau Cloud dispose d’autorisations d’administrateur et réessayez.

   

   Remarque

   Vous disposez de 2 options pour votre méthode d’authentification : Authentification du porteur et Authentification de base. Veillez à sélectionner l’authentification du porteur. L’authentification de base ne fonctionnera pas pour le point de terminaison SCIM 2.0.

7. Dans le champ E-mail de notification, entrez l’adresse e-mail de la personne ou du groupe qui doit recevoir les notifications d’erreur de provisionnement et sélectionnez la case à cocher Envoyer une notification par e-mail en cas de défaillance.

   

8. Sélectionnez Enregistrer.

9. Dans la section Mappages, sélectionnez Synchroniser les utilisateurs Microsoft Entra avec Tableau Cloud.

10. Passez en revue les attributs utilisateur synchronisés entre Microsoft Entra ID et Tableau Cloud dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les comptes utilisateur dans Tableau Cloud pour les opérations de mise à jour. Si vous choisissez de modifier l’attribut cible de correspondance, vous devez vérifier que l’API Tableau Cloud prend en charge le filtrage des utilisateurs en fonction de cet attribut. Cliquez sur le bouton Enregistrer pour valider les modifications.

    Attribut	Type	Pris en charge pour le filtrage	Requis par Tableau Cloud
    userName	String	✓	✓
    active	Boolean
    roles	String

11. Sous la section Mappages, sélectionnez Synchroniser les groupes Microsoft Entra avec Tableau Cloud.

12. Passez en revue les attributs de groupe synchronisés entre Microsoft Entra ID et Tableau Cloud dans la section Mappage d’attributs. Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour faire correspondre les groupes dans Tableau Cloud pour les opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

    Attribut	Type	Pris en charge pour le filtrage	Requis par Tableau Cloud
    displayName	String	✓
    membres	Informations de référence

13. Pour configurer des filtres d’étendue, reportez-vous aux instructions suivantes fournies dans Approvisionnement d’applications basé sur les attributs avec filtres d’étendue.

14. Pour activer le service de provisionnement Microsoft Entra pour Tableau Cloud, remplacez l’État de provisionnement par Activé dans la section Paramètres.

    

15. Définissez les utilisateurs et les groupes que vous voulez approvisionner sur Tableau Cloud en choisissant les valeurs souhaitées dans Étendue de la section Paramètres.

    

16. Lorsque vous êtes prêt à effectuer l’approvisionnement, cliquez sur Enregistrer.

    

Cette opération démarre le cycle de synchronisation initiale de tous les utilisateurs et groupes définis dans Étendue dans la section Paramètres. Le cycle initial prend plus de temps que les cycles suivants, qui se produisent environ toutes les 40 minutes tant que le service de provisionnement Microsoft Entra est en cours d’exécution.

Mettre à jour une application Tableau Cloud pour utiliser le point de terminaison Tableau Cloud SCIM 2.0

En juin 2022, Tableau a publié un connecteur SCIM 2.0. L’exécution des étapes ci-dessous met à jour les applications configurées pour utiliser le point de terminaison Tableau API afin d’utiliser le point de terminaison SCIM 2.0. Ces étapes suppriment toutes les personnalisations apportées précédemment à l’application Tableau Cloud, à savoir :

• Détails de l’authentification (identifiants utilisés pour le provisionnement, PAS celles utilisées pour l’authentification unique)
• Filtres d’étendue
• Mappages d’attributs personnalisés

Notes

Veillez à noter toutes les modifications apportées aux paramètres énumérés ci-dessus avant d’effectuer les étapes ci-dessous. Dans le cas contraire, vous risquez de perdre des paramètres personnalisés.

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Identité>Applications>Applications d’entreprise>Tableau Cloud.

3. Dans la section Propriétés de votre nouvelle application personnalisée, copiez l’ID objet.

   

4. Dans une nouvelle fenêtre de navigateur web, accédez à https://developer.microsoft.com/graph/graph-explorer et connectez-vous en tant qu’administrateur du locataire Microsoft Entra où votre application est ajoutée.

   

5. Vérifiez que le compte utilisé dispose des autorisations appropriées. L’autorisation « Directory.ReadWrite.All » est requise pour apporter cette modification.

   

   

6. À l’aide de l’ObjectID sélectionné à partir de l’application, exécutez la commande suivante :

   GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/

7. En prenant la valeur « ID » du corps de la réponse à la requête GET ci-dessus, exécutez la commande ci-dessous en remplaçant « [job-id] » par la valeur d’ID de la requête GET. La valeur doit être au format « Tableau.xxxxxxxxxxxxxxx.xxxxxxxxxxxxxxx » :

   DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]

8. Dans l’Afficheur Graph, exécutez la commande ci-dessous. Remplacez « [object-id] » par l’ID du principal de service (ID d’objet) copié à partir de la troisième étape.

   POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "TableauOnlineSCIM" }

   

9. Revenez à la première fenêtre du navigateur web et sélectionnez l’onglet Approvisionnement pour votre application. Votre configuration aura été réinitialisée. Vous pouvez vérifier que la mise à niveau a été effectuée en confirmant que l’ID de tâche commence par TableauOnlineSCIM.

10. Dans la section Informations d’identification de l’administrateur, sélectionnez « Authentification du porteur » comme méthode d’authentification et entrez l’URL du locataire et le jeton secret de l’instance Tableau à approvisionner.

11. Restaurez les modifications apportées précédemment à l’application (détails de l’authentification, filtres d’étendue, mappages d’attributs personnalisés) et réactivez l’approvisionnement.

Notes

Si vous ne rétablissez pas les paramètres précédents, les attributs (name.formatted, par exemple) peuvent être mis à jour dans Workplace de manière inattendue. Veillez à vérifier la configuration avant d’activer l’approvisionnement.

Étape 6 : Surveiller votre déploiement

Une fois que vous avez configuré l’approvisionnement, utilisez les ressources suivantes pour surveiller votre déploiement :

• Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs ont été configurés avec succès ou échoué.
• Consultez la barre de progression pour afficher l’état du cycle d’approvisionnement et quand il se termine
• Si la configuration de l’approvisionnement semble être dans un état non sain, l’application passe en quarantaine. Pour en savoir plus sur les états de quarantaine, cliquez ici.

Journal des modifications

• 30/09/2020 - Ajout de la prise en charge de l’attribut « authSetting » pour les utilisateurs.
• 24/06/2022 - Mise à jour de l’application pour être conforme À SCIM 2.0.

Plus de ressources

• Gestion de l’approvisionnement de comptes d’utilisateur pour les applications d’entreprise
• Qu’est-ce que l’accès aux applications et l’authentification unique avec Microsoft Entra ID ?

Étapes suivantes

• Découvrez comment consulter les journaux d’activité et obtenir des rapports sur l’activité d’approvisionnement