Configurer ServiceNow pour le provisionnement automatique d’utilisateurs avec Microsoft Entra ID

Cet article décrit les étapes à suivre dans ServiceNow et Microsoft Entra ID pour configurer l’approvisionnement automatique d’utilisateurs. Une fois configuré, Microsoft Entra ID provisionne et déprovisionne automatiquement les utilisateurs et les groupes vers ServiceNow à l’aide du service de provisionnement Microsoft Entra.

Pour plus d’informations sur le service de provisionnement automatique d’utilisateurs Microsoft Entra, consultez Automatiser le provisionnement et le déprovisionnement automatique d’utilisateurs pour les applications SaaS avec Microsoft Entra ID.

Fonctionnalités prises en charge

• Créer des utilisateurs dans ServiceNow
• Supprimer des utilisateurs dans ServiceNow quand ils n’ont plus besoin d’accès
• Maintenir la synchronisation des attributs utilisateur entre Microsoft Entra ID et ServiceNow
• Approvisionner des groupes et des appartenances aux groupes dans ServiceNow
• Autoriser l’authentification unique auprès de ServiceNow (recommandé)

Conditions préalables

• Un compte d’utilisateur Microsoft Entra avec un abonnement actif. Si vous n’en avez pas encore, vous pouvez créer un compte gratuitement.
• L’un des rôles suivants : Administrateur d’application, Administrateur d’application cloud ou Propriétaire de l’application.
• Une instance ServiceNow de Calgary ou version ultérieure
• Une instance ServiceNow Express d’Helsinki ou une version ultérieure
• Un compte d’utilisateur dans ServiceNow avec le rôle d’administrateur

Remarque

Cette intégration est également disponible à partir de l’environnement Microsoft Entra US Government Cloud. Vous pouvez trouver cette application dans la galerie d’applications cloud Microsoft Entra US Government et la configurer de la même façon que vous le faites à partir du cloud public.

Étape 1 : Planifier votre déploiement d’approvisionnement

• Découvrez comment fonctionne le service d’approvisionnement.
• Déterminez qui est concerné par la mise en service.
• Déterminez les données à mapper entre Microsoft Entra ID et ServiceNow.

Étape 2 : Configurer ServiceNow pour prendre en charge le provisionnement avec Microsoft Entra ID

1. Identifiez le nom de votre instance ServiceNow. Vous pouvez trouver le nom de l’instance dans l’URL que vous utilisez pour accéder à ServiceNow. Dans l’exemple suivant, le nom de l’instance est dev35214.

   

2. Obtenez les informations d’identification d’un administrateur dans ServiceNow. Accédez au profil utilisateur dans ServiceNow, puis vérifiez que l’utilisateur dispose du rôle d’administrateur.

   

Étape 3 : Ajouter ServiceNow à partir de la galerie d’applications Microsoft Entra

Ajoutez ServiceNow à partir de la galerie d’applications Microsoft Entra pour commencer à gérer le provisionnement sur ServiceNow. Si vous avez déjà configuré ServiceNow pour l’authentification unique (SSO), vous pouvez utiliser la même application. Toutefois, nous vous recommandons de créer une application distincte quand vous testez l’intégration. En savoir plus sur l’ajout d’une application à partir de la galerie.

Étape 4 : Définir qui est concerné par le provisionnement

Le service d’approvisionnement Microsoft Entra vous permet d’étendre l’étendue qui est approvisionnée en fonction de l’affectation à l’application, ou en fonction des attributs de l’utilisateur ou du groupe. Si vous choisissez de définir qui peut accéder à votre application selon l'affectation, vous pouvez utiliser les étapes permettant d’affecter des utilisateurs et des groupes à l’application. Si vous choisissez de définir le périmètre des utilisateurs ou groupes qui sont approvisionnés uniquement en fonction de leurs attributs, vous pouvez utiliser un filtre de périmètre.

• Commencez petit. Testez avec un petit ensemble d’utilisateurs et de groupes avant de les déployer pour tout le monde. Lorsque l’étendue de l’approvisionnement est définie sur les utilisateurs et les groupes affectés, vous pouvez le contrôler en affectant un ou deux utilisateurs ou groupes à l’application. Lorsque l’étendue est définie sur tous les utilisateurs et groupes, vous pouvez spécifier un filtre d’étendue basé sur des attributs .

• Si vous avez besoin de rôles supplémentaires, vous pouvez mettre à jour le manifeste de l’application pour ajouter de nouveaux rôles.

Étape 5 : Configurer l’approvisionnement automatique d’utilisateurs sur ServiceNow

Cette section vous guide tout au long des étapes à suivre pour configurer le service de provisionnement Microsoft Entra afin de créer, de mettre à jour et de désactiver des utilisateurs et des groupes dans TestApp. Vous pouvez baser la configuration sur des affectations d’utilisateurs et de groupes dans Microsoft Entra ID.

Pour configurer le provisionnement automatique d’utilisateurs pour ServiceNow dans Microsoft Entra ID :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez aux Entra ID>applications d'entreprise.

   

3. Dans la liste des applications, sélectionnez ServiceNow.

4. Sélectionnez l’onglet Approvisionnement.

5. Définissez le mode d’approvisionnementsur Automatique.

6. Dans la section Informations d’identification d’administrateur, entrez votre nom d’utilisateur et vos informations d’identification d’administrateur ServiceNow. Sélectionnez Tester la connexion pour vous assurer que Microsoft Entra ID peut se connecter à ServiceNow. Si la connexion échoue, vérifiez que votre compte ServiceNow dispose d’autorisations d’administrateur, puis réessayez.

7. Dans la zone e-mail de notification , entrez l’adresse e-mail d’une personne ou d’un groupe qui doit recevoir les notifications d’erreur d’approvisionnement. Cochez ensuite la case Envoyer une notification par e-mail en cas de défaillance.

8. Cliquez sur Enregistrer.

9. Dans la section Mappages, sélectionnez Synchroniser les utilisateurs Microsoft Entra avec ServiceNow.

10. Passez en revue les attributs utilisateur synchronisés de Microsoft Entra ID vers ServiceNow dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les comptes d’utilisateur dans ServiceNow pour les opérations de mise à jour.

    Si vous choisissez de modifier l’attribut cible correspondant, vous devez vous assurer que l’API ServiceNow prend en charge le filtrage des utilisateurs en fonction de cet attribut.

    Sélectionnez le bouton Enregistrer pour valider les modifications.

11. Dans la section Mappages, sélectionnez Synchroniser les groupes Microsoft Entra avec ServiceNow.

12. Passez en revue les attributs de groupe synchronisés de Microsoft Entra ID vers ServiceNow dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les groupes dans ServiceNow pour les opérations de mise à jour. Sélectionnez le bouton Enregistrer pour valider les modifications.

13. Pour configurer des filtres d’étendue, consultez les instructions de l’article sur le filtre d’étendue.

14. Pour activer le service de provisionnement Microsoft Entra pour ServiceNow, modifiez l’état de provisionnement sur Activé dans la section Paramètres.

15. Définissez les utilisateurs et les groupes que vous voulez provisionner sur ServiceNow en choisissant les valeurs souhaitées dans Étendue dans la section Paramètres.

    

16. Lorsque vous êtes prêt à provisionner, sélectionnez Enregistrer.

Cette opération démarre le cycle de synchronisation initial de tous les utilisateurs et groupes définis dans l’étendue dans la section Paramètres . Le cycle initial prend plus de temps que les cycles suivants. Les cycles suivants se produisent toutes les 40 minutes environ, tant que le service de provisionnement Microsoft Entra est en cours d’exécution.

Étape 6 : Surveiller votre déploiement

Une fois le provisionnement configuré, utilisez les ressources suivantes pour superviser votre déploiement :

1. Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs sont provisionnés correctement ou sans succès
2. Vérifiez la barre de progression pour voir l’état du cycle d’approvisionnement et à quel point il est proche de l’achèvement.
3. Si la configuration d’approvisionnement semble être dans un état non sain, l’application passe en quarantaine. Pour en savoir plus sur les états de quarantaine, consultez l'article sur le statut de mise en quarantaine des applications.

Conseils de dépannage

• Quand vous provisionnez certains attributs, (comme Service et Emplacement) dans ServiceNow, les valeurs doivent déjà exister dans une table de référence dans ServiceNow. Si ce n’est pas le cas, vous obtenez une erreur InvalidLookupReference .

  Par exemple, vous pouvez avoir deux localisations (Seattle, Los Angeles) et trois services (Ventes, Finances, Marketing) dans une table spécifique dans ServiceNow. Si vous essayez de provisionner un utilisateur dont le service est « Ventes » et dont l’emplacement est « Seattle », cet utilisateur est configuré avec succès. Si vous tentez de provisionner un utilisateur dont le service est « Ventes » et qui se trouve à « LA », l’utilisateur n’est pas provisionné. La localisation « LA » doit être ajoutée à la table de référence dans ServiceNow, ou l’attribut utilisateur dans Microsoft Entra ID doit être mis à jour afin de correspondre au format dans ServiceNow.

• Si une erreur EntryJoiningPropertyValueIsMissing s’affiche, passez en revue vos mappages d’attributs pour identifier l’attribut correspondant. Cette valeur doit être présente sur l’utilisateur ou le groupe que vous tentez de provisionner.

• Pour comprendre les conditions ou les limitations (par exemple, le format à utiliser pour spécifier un indicatif de pays pour un utilisateur), passez en revue l’API SOAP de ServiceNow.

• Par défaut, les demandes de provisionnement sont envoyées à https://{nom-de-votre-instance}.service-now.com/{nom-table}. Si vous avez besoin d’une URL de locataire personnalisée, vous pouvez indiquer l’URL complète comme nom de l’instance.

• L’erreur ServiceNowInstanceInvalid indique un problème de communication avec l’instance ServiceNow. Voici le texte de l’erreur :

  Details: Your ServiceNow instance name appears to be invalid. Please provide a current ServiceNow administrative user name and password along with the name of a valid ServiceNow instance.

  Si vous rencontrez des problèmes de test de connexion, essayez de sélectionner Non pour les paramètres suivants dans ServiceNow :

  • System Security (Sécurité système)>High security settings (Paramètres de sécurité élevée)>Require basic authentication for incoming SCHEMA requests (Demander l’authentification de base pour les requêtes SCHEMA entrantes)

  • System Properties (Propriétés système)>Web Services (Services web)>Require basic authorization for incoming SOAP requests (Demander l’authentification de base pour les requêtes SOAP entrantes)

    

  Si vous ne pouvez toujours pas résoudre votre problème, contactez les membres du support technique de ServiceNow et demandez-leur d’activer le débogage SOAP afin de faciliter le dépannage.

• Le service de provisionnement Microsoft Entra fonctionne actuellement dans des plages IP spécifiques. Si nécessaire, vous pouvez restreindre d’autres plages d’adresses IP et ajouter ces plages d’adresses IP particulières à la liste verte de votre application. Cette technique autorisera le flux de trafic du service de provisionnement Microsoft Entra vers votre application.

• Les instances de ServiceNow auto-hébergées ne sont pas prises en charge.

• Lorsqu’une mise à jour de l’attribut actif dans ServiceNow est provisionnée, l’attribut locked_out est également mis à jour en conséquence, même si locked_out n’est pas mappé dans le service d’approvisionnement Azure.

Ressources supplémentaires

• Gestion de l’approvisionnement de comptes d’utilisateur pour les applications d’entreprise
• Qu’est-ce que l’authentification unique avec l’ID Microsoft Entra ?

Contenu connexe

• Découvrez comment passer en revue les journaux et obtenir des rapports sur l’activité d’approvisionnement