Concepts d’approvisionnement entrant pilotés par les API

Ce document fournit une présentation conceptuelle du provisionnement des utilisateurs entrants piloté par l'API Microsoft Entra.

Introduction

Aujourd’hui, les entreprises disposent de divers systèmes d’enregistrement faisant autorité. Pour établir un cycle de vie des identités de bout en bout, renforcer la sécurité et rester conforme aux réglementations, les données d'identité dans Microsoft Entra ID doivent être synchronisées avec les données de main-d'œuvre gérées dans ces systèmes d'enregistrement. Le système d'enregistrement peut être une application RH, une application de paie, une feuille de calcul ou des tables SQL dans une base de données hébergée sur site ou dans le cloud.

With API-driven inbound provisioning, the Microsoft Entra provisioning service now supports integration with any system of record. Customers and partners can use any automation tool of their choice to retrieve workforce data from the system of record and ingest it into Microsoft Entra ID. L’administrateur informatique a un contrôle total sur la façon dont les données sont traitées et transformées avec des mappages d’attributs. Once the workforce data is available in Microsoft Entra ID, the IT admin can configure appropriate joiner-mover-leaver business processes using Lifecycle Workflows.

Supported scenarios

Plusieurs scénarios d’approvisionnement d’utilisateurs entrants sont activés à l’aide de l’approvisionnement entrant piloté par les API. Ce diagramme illustre les scénarios les plus courants.

Scénario 1 : Permettre aux équipes informatiques d’importer des extraits de données RH à l’aide de n’importe quel outil d’automatisation

Les fichiers plats, les fichiers CSV et les tables intermédiaires SQL sont couramment utilisés dans les scénarios d’intégration d’entreprise. Les informations sur les employés, les sous-traitants et les fournisseurs sont périodiquement exportées dans l'un de ces formats et un outil d'automatisation est utilisé pour synchroniser ces données avec les répertoires d'identités de l'entreprise. Avec l’approvisionnement entrant piloté par les API, les équipes informatiques peuvent utiliser n’importe quel outil d’automatisation de leur choix (par exemple : scripts PowerShell ou Azure Logic Apps) pour moderniser et simplifier cette intégration.

Scénario 2 : permettre aux éditeurs de logiciels indépendants de créer une intégration directe avec Microsoft Entra ID

Grâce au provisionnement entrant piloté par API, les éditeurs de logiciels RH peuvent proposer des expériences de synchronisation natives afin que les modifications apportées au système RH soient automatiquement transmises à Microsoft Entra ID et aux domaines Active Directory sur site connectés. Par exemple, une application RH ou une application de système d'information sur les étudiants peut envoyer des données à Microsoft Entra ID dès qu'une transaction est terminée ou sous forme de mise à jour groupée de fin de journée.

Scénario 3 : Permettre aux intégrateurs de systèmes de créer plus de connecteurs aux systèmes d’enregistrement

Les partenaires peuvent créer des connecteurs RH personnalisés pour répondre à différentes exigences d'intégration autour du flux de données depuis les systèmes d'enregistrement vers Microsoft Entra ID.

Dans tous les scénarios ci-dessus, l'intégration est simplifiée car le service de provisionnement Microsoft Entra assume la responsabilité d'effectuer la comparaison des profils d'identité, de limiter la synchronisation des données à la logique de portée configurée par l'administrateur informatique et d'exécuter le flux d'attributs et la transformation basés sur des règles gérés dans le centre d'administration Microsoft Entra.

End-to-end flow

Étapes du flux de travail

1. L'administrateur informatique configure une application de provisionnement d'utilisateurs entrants pilotée par API à partir de la galerie Microsoft Entra Enterprise App.
2. L'administrateur informatique accorde des autorisations d'accès et fournit les détails d'accès au point de terminaison au développeur/partenaire/intégrateur système de l'API.
3. Le développeur/partenaire/intégrateur système d’API crée un client API pour envoyer des données d’identité faisant autorité à Microsoft Entra ID.
4. Le client API lit les données d’identité à partir de la source faisant autorité.
5. The API client sends a POST request to provisioning /bulkUpload API endpoint associated with the provisioning app.

   Note

   Le client API n’a pas besoin d’effectuer des comparaisons entre les attributs source et les valeurs d’attribut cible pour déterminer l’opération (créer/mettre à jour/activer/désactiver) à appeler. Cela est géré automatiquement par le service configuré. Le client API charge simplement les données d’identité lues à partir du système source en les empaquetant en tant que requête en bloc à l’aide de constructions de schéma SCIM.

6. En cas de réussite, un Accepted 202 Status est retourné.
7. Le service de provisionnement Microsoft Entra traite les données reçues, applique les règles de mappage d'attributs et termine le provisionnement des utilisateurs.
8. En fonction de l'application de provisionnement configurée, l'utilisateur est provisionné soit dans Active Directory sur site (pour les utilisateurs hybrides), soit dans Microsoft Entra ID (pour les utilisateurs cloud uniquement).
9. Le client API interroge ensuite le point de terminaison d’API des journaux d’approvisionnement pour déterminer l’état de chaque enregistrement envoyé.
10. Si le traitement d’un enregistrement échoue, le client API peut vérifier les détails de l’erreur et inclure les enregistrements correspondant aux opérations ayant échoué dans la requête en bloc suivante (étape 5).
11. À tout moment, l’administrateur informatique peut vérifier le statut du travail d’approvisionnement et afficher les événements dans les journaux d’approvisionnement.

Principales fonctionnalités du provisionnement d’utilisateurs entrants piloté par les API

• Available as a provisioning app that exposes an asynchronous Microsoft Graph provisioning /bulkUpload API endpoint accessed using valid OAuth token.
• Les administrateurs de locataires doivent accorder aux clients d’API qui interagissent avec cette application d’approvisionnement les autorisations SynchronizationData-User.UploadGraph ( SynchronizationData-User.Upload.OwnedBy pour les éditeurs de logiciels indépendants) et ProvisioningLog.Read.All.
• Le point de terminaison API Graph accepte les charges utiles de requête en bloc valides à l’aide de constructions de schéma SCIM.
• Avec les extensions de schéma SCIM, vous pouvez envoyer n’importe quel attribut dans la charge utile de requête en bloc.
• Le /bulkUpload point de terminaison d’API applique les limites de limitation suivantes :
  • Il existe une limite de 40 appels d’API dans une fenêtre de 5 secondes. Si ce seuil est dépassé, le service retourne une réponse HTTP 429 (Trop de requêtes). Pour éviter la limitation, implémentez la logique de pacing dans le client pour espacer les demandes, telles que l’ajout de retards ou la gestion de la limite de débit entre les soumissions.
  • Il existe une limite de 2 000 appels d’API au niveau du locataire par période de 24 heures sous la licence Entra ID P1/P2 et 6 000 appels d’API sous la licence Entra ID Governance. Le dépassement de ces limites entraîne une réponse HTTP 429 (Trop de requêtes). Pour rester dans le quota, assurez-vous que vos charges utiles en bloc SCIM sont optimisées pour inclure jusqu’à 50 opérations par appel d’API.
• Chaque point de terminaison d'API est associé à une application de provisionnement spécifique dans Microsoft Entra ID. Vous pouvez intégrer plusieurs sources de données en créant une application d’approvisionnement pour chaque source de données.
• Les charges utiles des requêtes en bloc entrantes sont traitées en quasi temps réel.
• Admins can check provisioning progress by viewing the provisioning logs.
• Les clients d’API peuvent suivre la progression en interrogeant l’API journaux d’approvisionnement.

License requirements

Cette fonctionnalité est disponible avec les licences Microsoft Entra ID P1, P2 et Gouvernance Microsoft Entra ID. Pour trouver la licence adaptée à vos besoins, consultez Notions de base sur les licences Gouvernances des ID Microsoft Entra.

Conseils d'utilisation de l'API

Le point de terminaison de l'API /bulkUpload augmente le nombre de façons dont vous pouvez gérer les utilisateurs dans Microsoft Entra ID. Pour vous aider à déterminer si le point de terminaison de l'API /bulkUpload convient à votre scénario d'intégration, reportez-vous à ce tableau qui le compare à d'autres options d'intégration basées sur l'API.

Parcours d’apprentissage recommandé

Ressources d'apprentissage externes

Le contenu suivant, créé par nos partenaires et Microsoft MVP, offre des conseils supplémentaires sur la façon de déployer et de configurer le provisionnement piloté par API pour divers scénarios d'intégration.

• Video tutorials

  • John Savill explique le fonctionnement du provisionnement piloté par API
  • Nick Ross, MVP Microsoft, explique comment configurer le provisionnement basé sur l'API
  • Nick Ross, MVP Microsoft, explique comment extraire des données RH à partir d'un fichier Excel dans SharePoint à l'aide de Power Automate et du provisionnement piloté par API
  • Partenaire Microsoft IdentityXP, série en 4 parties sur le provisionnement basé sur les API

• Articles de blog, présentations et autres liens utiles

  • Article de Microsoft MVP Pim Jacob expliquant comment effectuer un provisionnement basé sur l'API Bamboo HR vers Active Directory sur site
  • Présentation de Microsoft MVP Pim Jacob sur la façon de configurer le processus d'arrivée et de départ à l'aide de workflows de provisionnement et de cycle de vie pilotés par API
  • Article du MVP Microsoft Marius Solbakken expliquant comment générer des données Excel à l'aide d'un script PowerShell et d'un provisionnement piloté par API
  • Article de Suryendu Bhattacharyya sur la façon d'invoquer le provisionnement de pilotage d'API à l'aide d'une action GitHub personnalisée
  • Modèle Bicep de Microsoft MVP Jan Vidar Elven pour le provisionnement piloté par API

Next steps

• Configurer l’application d’approvisionnement entrant pilotée par l’API
• Forum aux questions sur l’approvisionnement entrant piloté par les API