Mappage de rôles par groupes SCIM
Le mappage de rôles par groupes SCIM vous permet de provisionner les autorisations du tableau de bord de Braze par l’intermédiaire de votre fournisseur d’identité (IdP). Votre IdP envoie les groupes et leurs membres à Braze via SCIM, vous mappez chaque groupe à un rôle personnalisé, et chaque membre de ce groupe hérite des autorisations du rôle.
SCIM group role mapping est actuellement en accès anticipé. Contactez votre Braze account gestionnaire si vous souhaitez participer à l’accès anticipé.
Le mappage de rôles par groupes SCIM transfère l’attribution des autorisations à votre IdP. Vous gérez ainsi les appartenances là où vous gérez les accès, et Braze maintient vos autorisations synchronisées. Vous n’avez donc plus besoin d’accorder des autorisations utilisateur par utilisateur ni d’effectuer les mêmes modifications dans votre IdP et dans Braze.
Fonctionnement
Le mappage de rôles par groupes repose sur deux relations :
| Relation | Gérée par | Fonctionnement |
|---|---|---|
| Utilisateurs → groupes | Votre IdP | Lorsque vous ajoutez ou retirez un membre d’un groupe mappé, l’IdP synchronise la modification vers Braze via le protocole SCIM /Groups. Les créations, mises à jour et suppressions de groupes sont synchronisées automatiquement. |
| Groupes → rôles | Administrateur Braze | Dans le tableau de bord, vous mappez chaque groupe SCIM à un ou plusieurs rôles personnalisés. |
Les autorisations effectives d’un utilisateur correspondent à l’union de ses rôles directement attribués et de tous les rôles obtenus via ses appartenances à des groupes. Les rôles dérivés des groupes sont additifs : ils ne retirent jamais une autorisation que l’utilisateur possède déjà. Lorsqu’une appartenance ou un mappage change, Braze réévalue les autorisations des utilisateurs concernés lors de leur prochaine requête.
Les membres d’un groupe doivent déjà être des utilisateurs Braze provisionnés via SCIM. Le mappage d’un groupe accorde un rôle personnalisé, et ce rôle porte les autorisations sous-jacentes. Les rôles personnalisés doivent donc être activés pour votre entreprise.
Prérequis
| Condition | Détails |
|---|---|
| Provisionnement SCIM | Vous devez disposer d’une intégration SCIM active avec Okta ou Microsoft Entra ID. Le mappage de rôles par groupes réutilise le même jeton SCIM, la même liste d’autorisation IP et les mêmes limites de débit que le provisionnement automatisé des utilisateurs. |
| Rôles personnalisés | Les rôles personnalisés doivent être activés pour votre entreprise. Les groupes SCIM sont mappés à des rôles personnalisés, et non à des autorisations Braze individuelles ou à des ensembles d’autorisations. |
| Accès à la fonctionnalité | Le mappage de rôles par groupes SCIM doit être activé pour votre espace de travail par votre gestionnaire de compte Braze. |
Fournisseurs d’identité pris en charge
Braze prend en charge le mappage de rôles par groupes SCIM avec les mêmes IdP que pour le provisionnement des utilisateurs.
| Fournisseur d’identité | Remarques |
|---|---|
| Okta | Provisionne les groupes et leurs membres via l’intégration SCIM Okta. |
| Microsoft Entra ID | Provisionne les groupes et leurs membres via l’intégration SCIM Entra ID. Entra ID fait correspondre les groupes par nom d’affichage : chaque nom de groupe doit donc être unique dans votre espace de travail. |
Étape 1 : Provisionner les groupes depuis votre fournisseur d’identité
Configurez votre IdP pour envoyer les groupes que vous souhaitez utiliser pour le provisionnement. Le provisionnement des groupes utilise l’intégration SCIM que vous avez déjà mise en place pour les utilisateurs : aucun nouveau jeton ni endpoint n’est nécessaire.
| Fournisseur d’identité | Étapes de provisionnement |
|---|---|
| Okta | Attribuez les groupes à synchroniser à votre application SCIM Braze et activez le push de groupes. |
| Microsoft Entra ID | Ajoutez les groupes au périmètre de provisionnement de votre application d’entreprise Braze. |
Une fois un groupe synchronisé, ses membres — qui doivent être des utilisateurs Braze existants provisionnés via SCIM — deviennent disponibles pour le mappage de rôles dans Braze.
Les membres envoyés par votre IdP mais qui n’existent pas encore en tant qu’utilisateurs Braze sont ignorés et non rejetés. Provisionnez d’abord l’utilisateur, puis l’appartenance au groupe prendra effet.
Étape 2 : Mapper un groupe à un rôle personnalisé
- Accédez à Paramètres > Gestion des utilisateurs > Rôles.
- Créez un nouveau rôle personnalisé ou ouvrez un rôle existant.
- Dans le panneau d’informations du rôle, recherchez Mappage de groupes d’utilisateurs SCIM.
- Sélectionnez un ou plusieurs groupes provisionnés depuis votre IdP.
- Enregistrez le rôle.
Chaque membre des groupes sélectionnés hérite des autorisations du rôle. La liste des rôles indique le nombre de groupes SCIM mappés à chaque rôle.
Pour cesser d’accorder un rôle via un groupe, retirez le groupe du mappage du rôle et enregistrez. Pour modifier les destinataires du rôle, mettez à jour l’appartenance au groupe dans votre IdP.
Questions fréquentes
Qu’advient-il des rôles directement attribués à un utilisateur ?
Rien. Les rôles dérivés des groupes s’ajoutent aux attributions directes. Les rôles directement attribués restent modifiables dans Braze ; les rôles accordés via un groupe se gèrent en modifiant le mappage ou l’appartenance au groupe.
Un groupe peut-il être mappé à plusieurs rôles ?
Oui. Un groupe peut être mappé à plusieurs rôles personnalisés, et un rôle peut être mappé depuis plusieurs groupes.
Où gère-t-on les membres d’un groupe ?
Dans votre fournisseur d’identité. Braze reçoit les appartenances depuis l’IdP via SCIM et ne vous permet pas de modifier directement l’appartenance aux groupes dans le tableau de bord.
La suppression d’un utilisateur d’un groupe révoque-t-elle ses autorisations ?
Oui, pour les autorisations accordées via ce groupe. Lorsque l’IdP retire l’utilisateur du groupe, Braze réévalue ses autorisations et supprime tout rôle qu’il détenait uniquement via ce groupe. Les autorisations issues d’attributions directes ou d’autres groupes ne sont pas affectées.
Selon votre IdP et la manière dont vous attribuez votre intégration SCIM Braze, retirer un utilisateur d’un groupe peut également supprimer son compte dans le tableau de bord de Braze :
- Microsoft Entra ID : Si l’utilisateur fait partie d’un groupe assigné à votre application SCIM Braze et qu’il n’est pas assigné à cette application indépendamment de ce groupe, le retirer du groupe (ou supprimer le groupe) supprime l’utilisateur dans Braze.
- Okta : Si le groupe est assigné à votre application SCIM Braze et que l’utilisateur n’est pas assigné à cette application indépendamment, le retirer du groupe peut supprimer l’utilisateur dans Braze.