Configurer ServiceNow pour l'approvisionnement automatique d'utilisateurs

  • Article

Cet article décrit les étapes que vous devez effectuer dans ServiceNow et dans Microsoft Entra ID pour configurer le provisionnement automatique d’utilisateurs. Une fois configuré, Microsoft Entra ID provisionne et déprovisionne automatiquement les utilisateurs et les groupes vers ServiceNow à l’aide du service de provisionnement Microsoft Entra.

Pour plus d’informations sur le service de provisionnement automatique d’utilisateurs Microsoft Entra, consultez Automatiser le provisionnement et le déprovisionnement automatique d’utilisateurs pour les applications SaaS avec Microsoft Entra ID.

Fonctionnalités prises en charge

  • Créer des utilisateurs dans ServiceNow
  • Supprimer des utilisateurs dans ServiceNow quand ils n’ont plus besoin d’accès
  • Maintenir la synchronisation des attributs utilisateur entre Microsoft Entra ID et ServiceNow
  • Approvisionner des groupes et des appartenances aux groupes dans ServiceNow
  • Autoriser l’authentification unique auprès de ServiceNow (recommandé)

Prérequis

  • Un compte d’utilisateur Microsoft Entra avec un abonnement actif. Si vous n’en avez pas encore, vous pouvez créer un compte gratuitement.
  • Un des rôles suivants : Administrateur général, Administrateur d’application cloud, Administrateur d’application ou propriétaire du principal de service.
  • Une instance ServiceNow de Calgary ou version ultérieure
  • Une instance ServiceNow Express d’Helsinki ou une version ultérieure
  • Un compte d’utilisateur dans ServiceNow avec le rôle d’administrateur

Remarque

Cette intégration est également disponible à partir de l’environnement Microsoft Entra US Government Cloud. Vous pouvez trouver cette application dans la galerie d’applications Microsoft Entra US Government Cloud et la configurer de la même manière que vous le faites à partir du cloud public.

Étape 1 : Planifier votre déploiement de l’approvisionnement

Étape 2 : Configurer ServiceNow pour prendre en charge le provisionnement avec Microsoft Entra ID

  1. Identifiez le nom de votre instance ServiceNow. Vous pouvez trouver le nom de l’instance dans l’URL que vous utilisez pour accéder à ServiceNow. Dans l’exemple suivant, le nom de l’instance est dev35214.

    Screenshot that shows a ServiceNow instance.

  2. Obtenez les informations d’identification d’un administrateur dans ServiceNow. Accédez au profil utilisateur dans ServiceNow, puis vérifiez que l’utilisateur dispose du rôle d’administrateur.

    Screenshot that shows a ServiceNow admin role.

Ajoutez ServiceNow à partir de la galerie d’applications Microsoft Entra pour commencer à gérer le provisionnement sur ServiceNow. Si vous avez déjà configuré ServiceNow pour l’authentification unique (SSO), vous pouvez utiliser la même application. Toutefois, nous vous recommandons de créer une application distincte quand vous testez l’intégration. En savoir plus sur l’ajout d’une application à partir de la galerie.

Étape 4 : Définir qui sera dans l’étendue pour l’approvisionnement

Le service de provisionnement Microsoft Entra vous permet de déterminer qui sera provisionné, en fonction de l’affectation à l’application ou en fonction des attributs de l’utilisateur ou du groupe. Si vous choisissez de définir l’étendue des utilisateurs qui seront provisionnés pour votre application en fonction de l’attribution, vous pouvez utiliser les étapes permettant d’affecter des utilisateurs et des groupes à l’application. Si vous choisissez de définir l’étendue des utilisateurs qui seront provisionnés uniquement en fonction des attributs de l’utilisateur ou du groupe, vous pouvez utiliser un filtre d’étendue.

Gardez à l’esprit les points suivants :

  • Quand vous affectez des utilisateurs et des groupes à ServiceNow, vous devez sélectionner un autre rôle qu’Accès par défaut. Les utilisateurs disposant du rôle Accès par défaut sont exclus de l’approvisionnement et sont marqués comme non autorisés dans les journaux de configuration. Si le seul rôle disponible sur l’application est le rôle Accès par défaut, vous pouvez mettre à jour le manifeste de l’application pour ajouter plus de rôles.

  • Si vous avez besoin de rôles supplémentaires, vous pouvez mettre à jour le manifeste d’application pour ajouter de nouveaux rôles.

Étape 5 : Configurer l’approvisionnement automatique d’utilisateurs sur ServiceNow

Cette section vous guide tout au long des étapes à suivre pour configurer le service de provisionnement Microsoft Entra afin de créer, de mettre à jour et de désactiver des utilisateurs et des groupes dans TestApp. Vous pouvez baser la configuration sur des affectations d’utilisateurs et de groupes dans Microsoft Entra ID.

Pour configurer le provisionnement automatique d’utilisateurs pour ServiceNow dans Microsoft Entra ID :

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

  2. Accédez à Identité>Applications>Applications d’entreprise.

    Screenshot that shows the Enterprise applications pane.

  3. Dans la liste des applications, sélectionnez ServiceNow.

  4. Sélectionnez l’onglet Approvisionnement.

  5. Définissez le Mode d’approvisionnement sur Automatique.

  6. Dans la section Informations d’identification d’administrateur, entrez votre nom d’utilisateur et vos informations d’identification d’administrateur ServiceNow. Sélectionnez Tester la connexion pour vous assurer que Microsoft Entra ID peut se connecter à ServiceNow. Si la connexion échoue, vérifiez que votre compte ServiceNow dispose d’autorisations d’administrateur, puis réessayez.

  7. Dans le champ E-mail de notification, entrez l’adresse e-mail d’une personne ou d’un groupe qui doit recevoir les notifications d’erreur de provisionnement. Cochez ensuite la case Envoyer une notification par e-mail en cas de défaillance.

  8. Cliquez sur Enregistrer.

  9. Dans la section Mappages, sélectionnez Synchroniser les utilisateurs Microsoft Entra avec ServiceNow.

  10. Passez en revue les attributs utilisateur synchronisés de Microsoft Entra ID vers ServiceNow dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les comptes d’utilisateur dans ServiceNow pour les opérations de mise à jour.

    Si vous choisissez de changer l’attribut cible correspondant, vous devez garantir que l’API ServiceNow prend en charge le filtrage des utilisateurs en fonction de cet attribut.

    Cliquez sur le bouton Enregistrer pour valider les modifications.

  11. Dans la section Mappages, sélectionnez Synchroniser les groupes Microsoft Entra avec ServiceNow.

  12. Passez en revue les attributs de groupe synchronisés de Microsoft Entra ID vers ServiceNow dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les groupes dans ServiceNow pour les opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

  13. Pour configurer des filtres d’étendue, consultez les instructions fournies dans le tutoriel sur les filtres d’étendue.

  14. Pour activer le service de provisionnement Microsoft Entra pour ServiceNow, modifiez l’état de provisionnement sur Activé dans la section Paramètres.

  15. Définissez les utilisateurs et les groupes que vous voulez provisionner sur ServiceNow en choisissant les valeurs souhaitées dans Étendue dans la section Paramètres.

    Screenshot that shows choices for provisioning scope.

  16. Quand vous êtes prêt à effectuer l’approvisionnement, sélectionnez Enregistrer.

Cette opération démarre le cycle de synchronisation initiale de tous les utilisateurs et groupes définis dans Étendue dans la section Paramètres. Le cycle initial prend plus de temps que les cycles suivants. Les cycles suivants se produisent toutes les 40 minutes environ, tant que le service de provisionnement Microsoft Entra est en cours d’exécution.

Étape 6 : Surveiller votre déploiement

Après avoir configuré l’approvisionnement, utilisez les ressources suivantes pour superviser votre déploiement :

  • Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs ont été configurés avec succès ou ceux pour laquelle la procédure a échoué.
  • Consultez la barre de progression pour afficher l’état d’avancement du cycle d’approvisionnement et le moment où il se terminera.
  • Si la configuration de l’approvisionnement semble se trouver dans un état non sain, l’application passe en quarantaine. En savoir plus sur les états de quarantaine.

Conseils de dépannage

  • Quand vous provisionnez certains attributs, (comme Service et Emplacement) dans ServiceNow, les valeurs doivent déjà exister dans une table de référence dans ServiceNow. Si ce n’est pas le cas, vous obtenez une erreur InvalidLookupReference.

    Par exemple, vous pouvez avoir deux localisations (Seattle, Los Angeles) et trois services (Ventes, Finances, Marketing) dans une table spécifique dans ServiceNow. Si vous tentez de provisionner un utilisateur dont le service est « Ventes » et qui se trouve à « Seattle », cet utilisateur est provisionné correctement. Si vous tentez de provisionner un utilisateur dont le service est « Ventes » et qui se trouve à « LA », l’utilisateur n’est pas provisionné. La localisation « LA » doit être ajoutée à la table de référence dans ServiceNow, ou l’attribut utilisateur dans Microsoft Entra ID doit être mis à jour afin de correspondre au format dans ServiceNow.

  • Si une erreur EntryJoiningPropertyValueIsMissing s’affiche, passez en revue vos mappages d’attributs pour identifier l’attribut correspondant. Cette valeur doit être présente sur l’utilisateur ou le groupe que vous tentez de provisionner.

  • Pour comprendre les conditions ou les limitations (par exemple, le format à utiliser pour spécifier un indicatif de pays pour un utilisateur), passez en revue l’API SOAP de ServiceNow.

  • Par défaut, les demandes de provisionnement sont envoyées à https://{nom-de-votre-instance}.service-now.com/{nom-table}. Si vous avez besoin d’une URL de locataire personnalisée, vous pouvez indiquer l’URL complète comme nom de l’instance.

  • L’erreur ServiceNowInstanceInvalid indique un problème de communication avec l’instance ServiceNow. Voici le texte de l’erreur :

    Details: Your ServiceNow instance name appears to be invalid. Please provide a current ServiceNow administrative user name and password along with the name of a valid ServiceNow instance.

    Si vous rencontrez des problèmes de test de connexion, essayez de sélectionner Non pour les paramètres suivants dans ServiceNow :

    • System Security (Sécurité système)>High security settings (Paramètres de sécurité élevée)>Require basic authentication for incoming SCHEMA requests (Demander l’authentification de base pour les requêtes SCHEMA entrantes)

    • System Properties (Propriétés système)>Web Services (Services web)>Require basic authorization for incoming SOAP requests (Demander l’authentification de base pour les requêtes SOAP entrantes)

      Screenshot that shows the option for authorizing SOAP requests.

    Si vous ne pouvez toujours pas résoudre votre problème, contactez les membres du support technique de ServiceNow et demandez-leur d’activer le débogage SOAP afin de faciliter le dépannage.

  • Le service de provisionnement Microsoft Entra fonctionne actuellement dans des plages IP spécifiques. Si nécessaire, vous pouvez restreindre d’autres plages d’adresses IP et ajouter ces plages d’adresses IP particulières à la liste verte de votre application. Cette technique autorisera le flux de trafic du service de provisionnement Microsoft Entra vers votre application.

  • Les instances de ServiceNow auto-hébergées ne sont pas prises en charge.

  • Quand une mise à jour de l’attribut active dans ServiceNow est provisionnée, l’attribut locked_out est également mis à jour en conséquence, même si locked_out n’est pas mappé dans le service de provisionnement Azure.

Ressources supplémentaires

Étapes suivantes