Tutoriel : Configurer Tableau Cloud pour le provisionnement automatique d’utilisateurs
Ce tutoriel décrit les étapes à suivre dans Tableau Cloud et Microsoft Entra ID pour configurer l’attribution automatique des utilisateurs. Une fois configuré, Microsoft Entra ID attribue et désattribue automatiquement les utilisateurs et les groupes dans Tableau Cloud en utilisant le service d’approvisionnement Microsoft Entra. Pour découvrir les informations importantes sur ce que fait ce service, comment il fonctionne et consulter la foire aux questions, reportez-vous à l’article Automatiser l’approvisionnement et le désapprovisionnement d’utilisateurs dans les applications SaaS avec Microsoft Entra ID.
Fonctionnalités prises en charge
- Créez des utilisateurs dans Tableau Cloud.
- Supprimer les utilisateurs dans Tableau Cloud quand ils n’ont plus besoin d’accès.
- Maintenir la synchronisation des attributs utilisateur entre Microsoft Entra ID et Tableau Cloud.
- Provisionner des groupes et des appartenances aux groupes dans Tableau Cloud.
- Authentification unique sur Tableau Cloud (recommandé).
Prérequis
Le scénario décrit dans ce tutoriel part du principe que vous disposez des prérequis suivants :
- Un locataire Microsoft Entra
- L’un des rôles suivants : Administrateur d’application, Administrateur d’application cloud ou Propriétaire d’application.
- Un client Tableau Cloud.
- Un compte d’utilisateur dans Tableau Cloud doté d’autorisations d’administrateur
Remarque
L’intégration du provisionnement Microsoft Entra repose sur l’API REST Tableau Cloud. Cette API est disponible pour les développeurs Tableau Cloud.
Étape 1 : Planifier votre déploiement de l’approvisionnement
- En savoir plus sur le fonctionnement du service d’approvisionnement.
- Déterminez qui sera dans l’étendue pour l’approvisionnement.
- Déterminez les données à mapper entre Microsoft Entra ID et Tableau Cloud.
Étape 2 : Configurer Tableau Cloud pour prendre en charge le provisionnement avec Microsoft Entra ID
Utilisez les étapes suivantes pour activer la prise en charge de SCIM avec Microsoft Entra ID :
La fonctionnalité SCIM nécessite que vous configuriez votre site pour prendre en charge l’authentification unique SAML. Si vous ne l’avez pas déjà fait, effectuez les sections suivantes de Configurer SAML avec Microsoft Entra ID :
- Étape 1 : Ouvrez les paramètres SAML de Tableau Cloud.
- Étape 2 : Ajouter Tableau Cloud à vos applications Microsoft Entra.
Remarque
Si vous ne configurez pas l’authentification unique SAML, votre utilisateur ne pourra pas se connecter à Tableau Cloud une fois qu’il a été attribué, sauf si vous modifiez manuellement la méthode d’authentification de l’utilisateur de SAML en Tableau ou Tableau MFA dans Tableau Cloud.
Dans Tableau Cloud, accédez à la page Paramètres > Authentification, puis sous Approvisionnement automatique et synchronisation de groupe (SCIM), cochez la case Activer SCIM. Cela remplit les zones URL de base et Secret avec des valeurs que vous utiliserez dans la configuration SCIM de votre fournisseur d’identité.
Remarque
Le jeton secret s’affiche uniquement immédiatement après sa génération. Si vous le perdez avant de pouvoir l’appliquer à Microsoft Entra ID, vous pouvez sélectionner Générer un nouveau secret. En outre, le jeton secret est lié au compte d’utilisateur Tableau Cloud de l’administrateur de site qui active la prise en charge de SCIM. Si le rôle de site de cet utilisateur change ou que l’utilisateur est supprimé du site, le jeton secret est non valable, et un autre administrateur de site doit générer un nouveau jeton secret et l’appliquer à Microsoft Entra ID.
Étape 3 : Ajouter Tableau Cloud à partir de la galerie d'applications Microsoft Entra
Ajoutez Tableau Cloud à partir de la galerie d’applications Microsoft Entra pour commencer à gérer le provisionnement dans Tableau Cloud. Si vous avez déjà configuré Tableau Cloud pour le SSO, vous pouvez utiliser la même application. Toutefois, il est recommandé de créer une application distincte lors du test initial de l’intégration. En savoir plus sur l’ajout d’une application à partir de la galerie ici.
Étape 4 : Définir qui sera dans l’étendue pour l’approvisionnement
Le service d’approvisionnement Microsoft Entra vous permet de déterminer qui sera provisionné en fonction de l'affectation à l'application et/ou en fonction des attributs de l'utilisateur et du groupe. Si vous choisissez de définir l’étendue de l’approvisionnement pour votre application en fonction de l’attribution, vous pouvez utiliser les étapes suivantes pour affecter des utilisateurs et des groupes à l’application. Si vous choisissez de définir l’étendue de l’approvisionnement en fonction uniquement des attributs de l’utilisateur ou du groupe, vous pouvez utiliser un filtre d’étendue comme décrit ici.
Commencez progressivement. Testez avec un petit ensemble d’utilisateurs et de groupes avant d’effectuer un déploiement général. Lorsque l’étendue de l’approvisionnement est définie sur les utilisateurs et les groupes attribués, vous pouvez contrôler cela en affectant un ou deux utilisateurs ou groupes à l’application. Lorsque l’étendue est définie sur tous les utilisateurs et groupes, vous pouvez spécifier un filtre d’étendue basé sur l’attribut.
Si vous avez besoin d’autres rôles, vous pouvez mettre à jour le manifeste d’application pour ajouter de nouveaux rôles.
Recommandations
Tableau Cloud stocke uniquement le rôle privilégié le plus élevé attribué à un utilisateur. En d’autres termes, si un utilisateur est affecté à deux groupes, le rôle de l’utilisateur reflète le rôle de privilège le plus élevé.
Pour effectuer le suivi des attributions de rôles, vous pouvez créer deux groupes spécifiques pour les attributions de rôles. Par exemple, vous pouvez créer des groupes tels que Tableau – Creator et Tableau – Explorer, etc. L’affectation se présente alors comme suit :
- Tableau – Creator : Creator
- Tableau – Explorer : Explorer
- Et ainsi de suite.
Une fois l’approvisionnement configuré, vous pouvez effectuer les changements de rôle directement dans Microsoft Entra ID. Sinon, vous risquez d’avoir des incohérences de rôle entre Tableau Cloud et Microsoft Entra ID.
Valeurs de rôle de site Tableau valides
Dans la page Sélectionner un rôle de votre portail Azure, les valeurs de rôle de site Tableau valides sont les suivantes : Creator, SiteAdministratorCreator, Explorer, SiteAdministratorExplorer, ExplorerCanPublish, Viewer ou Unlicensed.
Si vous sélectionnez un rôle qui ne figure pas dans la liste ci-dessus, comme un rôle hérité (pré-v2018.1), vous rencontrez une erreur.
Étape 5 : Configurer l’attribution automatique des utilisateurs dans Tableau Cloud
Cette section vous guide à travers les étapes de configuration du service d’approvisionnement Microsoft Entra pour créer, mettre à jour et désactiver des utilisateurs et des groupes dans Tableau Cloud en fonction des attributions d’utilisateurs et de groupes dans Microsoft Entra ID.
Conseil
Vous devez également activer l’authentification unique SAML pour Tableau Cloud. Suivez les instructions fournies dans le tutoriel sur l’authentification unique pour Tableau Cloud. Si SAML n’est pas activé, l’utilisateur approvisionné ne pourra pas se connecter.
Pour configurer l’attribution automatique des utilisateurs pour Tableau Cloud dans Microsoft Entra ID :
Connectez-vous au Centre d’administration Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
Accédez à Identité>Applications>Applications d’entreprise.
Dans la liste des applications, sélectionnez Tableau Cloud.
Sélectionnez l’onglet Approvisionnement.
Définissez le Mode d’approvisionnement sur Automatique.
Dans la section identifiants de l’administrateur, entrez votre URL de client Tableau Cloud et le jeton secret. Cliquez sur Tester la connexion pour vérifier que Microsoft Entra ID peut se connecter à Tableau Cloud. Si la connexion échoue, vérifiez que votre compte Tableau Cloud dispose d’autorisations d’administrateur et réessayez.
Remarque
Vous disposez de 2 options pour votre méthode d’authentification : Authentification du porteur et Authentification de base. Veillez à sélectionner l’authentification du porteur. L’authentification de base ne fonctionnera pas pour le point de terminaison SCIM 2.0.
Dans le champ E-mail de notification, entrez l’adresse e-mail de la personne ou du groupe qui doit recevoir les notifications d’erreur d’approvisionnement et sélectionnez la case à cocher Envoyer une notification par e-mail en cas de défaillance.
Sélectionnez Enregistrer.
Dans la section Mappages, sélectionnez Synchroniser les utilisateurs Microsoft Entra avec Tableau Cloud.
Passez en revue les attributs utilisateur synchronisés entre Microsoft Entra ID et Tableau Cloud dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les comptes utilisateur dans Tableau Cloud pour les opérations de mise à jour. Si vous choisissez de modifier l’attribut cible de correspondance, vous devez vérifier que l’API Tableau Cloud prend en charge le filtrage des utilisateurs en fonction de cet attribut. Cliquez sur le bouton Enregistrer pour valider les modifications.
Attribut Type Pris en charge pour le filtrage Requis par Tableau Cloud userName Chaîne ✓ ✓ active Booléen rôles Chaîne Sous la section Mappages, sélectionnez Synchroniser les groupes Microsoft Entra avec Tableau Cloud.
Passez en revue les attributs de groupe synchronisés entre Microsoft Entra ID et Tableau Cloud dans la section Mappage d’attributs. Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour faire correspondre les groupes dans Tableau Cloud pour les opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.
Attribut Type Pris en charge pour le filtrage Requis par Tableau Cloud displayName Chaîne ✓ membres Référence Pour configurer des filtres d’étendue, reportez-vous aux instructions suivantes fournies dans le tutoriel sur les filtres d’étendue.
Pour activer le service d’approvisionnement Microsoft Entra pour Tableau Cloud, remplacez le Statut d’approvisionnement par Activé dans la section Paramètres.
Définissez les utilisateurs et les groupes que vous voulez attribuer sur Tableau Cloud en choisissant les valeurs souhaitées dans Étendue de la section Paramètres.
Lorsque vous êtes prêt à effectuer l’approvisionnement, cliquez sur Enregistrer.
Cette opération démarre le cycle de synchronisation initiale de tous les utilisateurs et groupes définis dans Étendue dans la section Paramètres. Le cycle initial prend plus de temps que les cycles suivants, qui se produisent environ toutes les 40 minutes tant que le service d’approvisionnement Microsoft Entra est en cours d’exécution.
Mettre à jour une application Tableau Cloud pour utiliser le point de terminaison Tableau Cloud SCIM 2.0
En juin 2022, Tableau a publié un connecteur SCIM 2.0. L’exécution des étapes ci-dessous met à jour les applications configurées pour utiliser le point de terminaison Tableau API afin d’utiliser le point de terminaison SCIM 2.0. Ces étapes suppriment toutes les personnalisations apportées précédemment à l’application Tableau Cloud, à savoir :
- Détails de l’authentification (identifiants utilisés pour le provisionnement, PAS celles utilisées pour l’authentification unique)
- Filtres d’étendue
- Mappages d’attributs personnalisés
Remarque
Veillez à noter toutes les modifications apportées aux paramètres énumérés ci-dessus avant d’effectuer les étapes ci-dessous. Dans le cas contraire, vous risquez de perdre des paramètres personnalisés.
Connectez-vous au Centre d’administration Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
Accédez à Applications d'>identité>Applications d'entreprise>Tableau Cloud.
Dans la section Propriétés de votre nouvelle application personnalisée, copiez l’ID objet.
Dans une nouvelle fenêtre de navigateur web, accédez à
https://developer.microsoft.com/graph/graph-exploreret connectez-vous en tant qu’administrateur du client Microsoft Entra où votre application est ajoutée.
Vérifiez que le compte utilisé dispose des autorisations appropriées. L’autorisation « Directory.ReadWrite.All » est requise pour apporter cette modification.
À l’aide de l’ObjectID sélectionné à partir de l’application, exécutez la commande suivante :
GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/En prenant la valeur « ID » du corps de la réponse à la requête GET ci-dessus, exécutez la commande ci-dessous en remplaçant « [job-id] » par la valeur d’ID de la requête GET. La valeur doit être au format « Tableau.xxxxxxxxxxxxxxx.xxxxxxxxxxxxxxx » :
DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]Dans l’Afficheur Graph, exécutez la commande ci-dessous. Remplacez « [object-id] » par l’ID du principal de service (ID d’objet) copié à partir de la troisième étape.
POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "TableauOnlineSCIM" }
Revenez à la première fenêtre du navigateur web et sélectionnez l’onglet Approvisionnement pour votre application. Votre configuration aura été réinitialisée. Vous pouvez vérifier que la mise à niveau a été effectuée en confirmant que l’ID de tâche commence par TableauOnlineSCIM.
Dans la section Informations d’identification de l’administrateur, sélectionnez « Authentification du porteur » comme méthode d’authentification et entrez l’URL du client et le jeton secret de l’instance Tableau à approvisionner.
Restaurez les modifications apportées précédemment à l’application (détails de l’authentification, filtres d’étendue, mappages d’attributs personnalisés) et réactivez l’approvisionnement.
Remarque
Si vous ne rétablissez pas les paramètres précédents, les attributs (name.formatted, par exemple) peuvent être mis à jour dans Workplace de manière inattendue. Veillez à vérifier la configuration avant d’activer l’approvisionnement.
Étape 6 : surveiller votre déploiement
Une fois que vous avez configuré l’approvisionnement, utilisez les ressources suivantes pour surveiller votre déploiement :
- Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs ont été configurés avec succès ou échoué
- Consultez la barre de progression pour afficher l’état du cycle d’approvisionnement et quand il se termine
- Si la configuration de l’approvisionnement semble être dans un état non sain, l’application passe en quarantaine. Pour en savoir plus sur les états de quarantaine, cliquez ici.
Journal des modifications
- 30/09/2020 - Ajout de la prise en charge de l’attribut « authSetting » pour les utilisateurs.
- 24/06/2022 - Mise à jour de l’application pour être conforme À SCIM 2.0.
Plus de ressources
- Gestion de l’approvisionnement de comptes d’utilisateur pour les applications d’entreprise
- Qu’est-ce que l’accès aux applications et l’authentification unique avec Microsoft Entra ID ?