Configurer Zscaler Private Access (ZPA) pour l’approvisionnement automatique d’utilisateurs avec Microsoft Entra ID

L’objectif de cet article est de montrer les étapes à effectuer dans Zscaler Private Access (ZPA) et l’ID Microsoft Entra pour configurer l’ID Microsoft Entra pour approvisionner et déprovisionner automatiquement des utilisateurs et/ou des groupes sur Zscaler Private Access (ZPA).

Prerequisites

Le scénario décrit dans cet article suppose que vous disposez déjà des conditions préalables suivantes :

• Un compte d’utilisateur Microsoft Entra avec un abonnement actif. Si vous n’en avez pas encore, vous pouvez créer un compte gratuitement.
• L’un des rôles suivants :
  • Administrateur d’application
  • Administrateur d’application cloud
  • Propriétaire de l’application.

• un locataire Zscaler Private Access (ZPA) ;
• un compte d’utilisateur Zscaler Private Access (ZPA) ayant des autorisations d’administrateur.

Attribution d’utilisateurs à Zscaler Private Access (ZPA).

Microsoft Entra ID utilise un concept appelé attributions pour déterminer les utilisateurs devant être autorisés à accéder aux applications sélectionnées. Dans le cadre de l’attribution automatique d’utilisateurs, seuls les utilisateurs et/ou groupes qui ont été attribués à une application dans Microsoft Entra ID sont synchronisés.

Avant de configurer et d’activer l’attribution automatique d’utilisateurs, vous devez décider quels utilisateurs et/ou groupes dans Microsoft Entra ID ont besoin d’accéder à Zscaler Private Access (ZPA). Une fois que vous avez choisi, vous pouvez attribuer ces utilisateurs et/ou groupes à votre application Zscaler Private Access (ZPA) en suivant les instructions fournies ici :

• Attribuer un utilisateur ou un groupe à une application d’entreprise

Conseils importants pour l’attribution d’utilisateurs à Zscaler Private Access (ZPA)

• Il est recommandé qu’un seul utilisateur Microsoft Entra soit affecté à Zscaler Private Access (ZPA) pour tester la configuration de l’approvisionnement automatique d’utilisateurs. Les autres utilisateurs et/ou groupes peuvent être affectés ultérieurement.

• Quand vous attribuez un utilisateur à Zscaler Private Access (ZPA), vous devez sélectionner un rôle valide propre à l’application (si disponible) dans la boîte de dialogue d’assignation. Les utilisateurs dont le rôle est Accès par défaut sont exclus de l’approvisionnement.

Configurer Zscaler Private Access (ZPA) pour l’approvisionnement

1. Connectez-vous à votre console d’administration Zscaler Private Access (ZPA). Accédez à Administration > IdP Configuration.

   

2. Vérifiez qu’un IdP pour l’authentification unique est configuré. Si aucun IdP n’est configuré, ajoutez-en un en sélectionnant l’icône plus dans le coin supérieur droit de l’écran.

   

3. Suivez les instructions de l’Assistant Ajouter une configuration IdP pour ajouter un fournisseur d’identité. Laissez le champ Authentification unique défini sur Utilisateur. Indiquez un Nom et sélectionnez les Domaines dans la liste déroulante. Sélectionnez Suivant pour accéder à la fenêtre suivante.

   

4. Téléchargez le Certificat du fournisseur de services. Sélectionnez Suivant pour accéder à la fenêtre suivante.

   

5. Dans la fenêtre suivante, téléchargez le Certificat du fournisseur de services téléchargé précédemment.

   

6. Faites défiler vers le bas pour indiquer l’URL d’authentification unique et l’ID d’entité IdP.

   

7. Faites défiler jusqu’à Activer la Synchronisation SCIM. Sélectionnez le bouton Générer un Nouveau Jeton. Copiez le jeton du porteur. Cette valeur est entrée dans le champ Jeton secret sous l’onglet Approvisionnement de votre application Zscaler Private Access (ZPA).

   

8. Pour localiser Tenant URL (URL de locataire), accédez à Administration > IdP Configuration. Sélectionnez le nom de la configuration IdP nouvellement ajoutée répertoriée sur la page.

   

9. Faites défiler jusqu’au bas de la page pour afficher le Point de terminaison du fournisseur de services SCIM. Copiez le Point de terminaison du fournisseur de services SCIM. Cette valeur est entrée dans le champ URL du locataire sous l’onglet Approvisionnement de votre application Zscaler Private Access (ZPA).

   

Ajouter Zscaler Private Access (ZPA) à partir de la galerie

Avant de configurer Zscaler Private Access (ZPA) pour l’attribution automatique d’utilisateurs avec Microsoft Entra ID, vous devez ajouter Zscaler Private Access (ZPA) à partir de la galerie d’applications Microsoft Entra ID à votre liste d’applications SaaS managées.

Pour ajouter Zscaler Private Access (ZPA) à partir de la galerie d’applications Microsoft Entra ID, procédez comme suit :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
2. Naviguez vers Entra ID>Applications d'entreprise>Nouvelle application.
3. Dans la section Ajouter à partir de la galerie, tapez Zscaler Private Access (ZPA), sélectionnez Zscaler Private Access (ZPA) dans la zone de recherche.
4. Sélectionnez Zscaler Private Access (ZPA) dans le panneau de résultats, puis ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.

Configuration de l’approvisionnement automatique d’utilisateurs sur Zscaler Private Access (ZPA)

Cette section vous guide tout au long des étapes de configuration du service d’attribution Microsoft Entra pour créer, mettre à jour et désactiver des utilisateurs et/ou des groupes dans Zscaler Private Access (ZPA), selon les affectations d’utilisateurs et/ou de groupes dans Microsoft Entra ID.

Pour configurer l’attribution automatique d’utilisateurs pour Zscaler Private Access (ZPA) dans Microsoft Entra ID :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Entra ID>Enterprise apps>Zscaler Private Access (ZPA).

   

3. Sélectionnez l’onglet Approvisionnement.

   

4. Définissez le Mode d’approvisionnement sur Automatique.

   

5. Dans la section Informations d’identification Administrateur, entrez la valeur Point de terminaison du fournisseur de services SCIM récupérée précédemment dans URL de locataire. Entrez la valeur Jeton du porteur récupérée précédemment dans Jeton secret. Sélectionnez Tester la connexion pour vérifier que l’ID Microsoft Entra peut se connecter à Zscaler Private Access (ZPA). Si la connexion échoue, vérifiez que votre compte Zscaler Private Access (ZPA) dispose des autorisations d’administrateur et réessayez.

   

6. Dans le champ E-mail de notification, entrez l’adresse e-mail d’une personne ou d’un groupe qui doit recevoir les notifications d’erreur d’approvisionnement, puis cochez la case Envoyer une notification par e-mail en cas de défaillance.

   

7. Cliquez sur Enregistrer.

8. Dans la section Mappages, sélectionnez Synchroniser les utilisateurs Microsoft Entra avec Zscaler Private Access (ZPA).

9. Dans la section Mappages d’attributs, passez en revue les attributs utilisateur qui sont synchronisés entre Microsoft Entra ID et Zscaler Private Access (ZPA). Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour la mise en correspondre des comptes d’utilisateur dans Zscaler Private Access (ZPA) dans le cadre des opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

   Attribut	Type	Pris en charge pour le filtrage	Requis par Zscaler Private Access
   nom d’utilisateur	Chaîne	✓	✓
   externalId	Chaîne
   active	Booléen
   e-mails[type eq « travail »].value	Chaîne
   name.givenName	Chaîne
   name.familyName	Chaîne
   displayName	Chaîne
   type d'utilisateur	Chaîne
   nickName	Chaîne
   titre	Chaîne
   urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	Chaîne
   urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:costCenter	ficelle
   urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:division	Chaîne

10. Dans la section Mappages, sélectionnez Synchroniser les groupes Microsoft Entra avec Zscaler Private Access (ZPA).

11. Dans la section Mappages d’attributs, passez en revue les attributs de groupe qui sont synchronisés entre Microsoft Entra ID et Zscaler Private Access (ZPA). Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour la mise en correspondre des groupes dans Zscaler Private Access (ZPA) dans le cadre des opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

    Attribut	Type	Pris en charge pour le filtrage	Requis par Zscaler Private Access
    displayName	Chaîne	✓	✓
    membres	Référence
    externalId	Chaîne

12. Pour configurer des filtres d’étendue, reportez-vous aux instructions suivantes fournies dans l’article intitulé "Filtre d’étendue".

13. Pour activer le service d’approvisionnement Microsoft Entra pour Zscaler Private Access (ZPA), définissez le paramètre État de l’approvisionnement sur Activé dans la section Paramètres.

    

14. Définissez les utilisateurs et/ou groupes que vous souhaitez approvisionner sur Zscaler Private Access (ZPA) en choisissant les valeurs souhaitées dans Étendue dans la section Paramètres.

    

15. Lorsque vous êtes prêt à provisionner, sélectionnez Enregistrer.

    

Cette opération démarre la synchronisation initiale de tous les utilisateurs et/ou groupes définis dans Étendue dans la section Paramètres. La synchronisation initiale prend plus de temps que les synchronisations suivantes, qui se produisent toutes les 40 minutes environ tant que le service d’attribution Microsoft Entra est en cours d’exécution. Vous pouvez utiliser la section Détails de synchronisation pour surveiller la progression et les liens vers les rapports d’activité d’approvisionnement, qui décrivent toutes les actions effectuées par le service d’approvisionnement Microsoft Entra sur Zscaler Private Access (ZPA).

Pour plus d’informations sur la lecture des journaux d’activité de provisionnement Microsoft Entra, consultez Création de rapports sur le provisionnement automatique de comptes d’utilisateur.

Ressources supplémentaires

• Gestion de l’attribution de comptes d’utilisateur pour les applications d’entreprise
• Qu’est-ce que l’accès aux applications et l’authentification unique avec Microsoft Entra ID ?

Contenu connexe

• Découvrez comment consulter les journaux d’activité et obtenir des rapports sur l’activité d’attribution