Attributs SCIM personnalisés

La mise en œuvre du système SCIM (System for Cross-domain Identity Management) de Netskope permet aux entreprises d'automatiser le provisionnement des utilisateurs et de synchroniser des données d'identité complexes dans leur écosystème en nuage. En s'appuyant sur l'application officielle d'authentification des utilisateurs de Netskope, les administrateurs peuvent mettre en correspondance de manière transparente les attributs SCIM 2.0 standard, les extensions d'utilisateur d'entreprise et les schémas de locataire personnalisés afin de répondre aux exigences des politiques granulaires.

Ce guide présente les exigences techniques et le déroulement des opérations étape par étape :

• Extending the Netskope SCIM Schema: Utilisation des jetons RBAC v3 pour définir des attributs personnalisés via l'API.

• Official App Configuration: Configuration du provisionnement automatisé dans les catalogues d'applications Microsoft Entra ID et Okta

• Attribute Mapping: Synchronisation des métadonnées de l'entreprise (par exemple, gestionnaire, département) et des attributs personnalisés des locataires.

• UI Visualization: Vérification des données d'identité synchronisées directement dans le locataire Netskope.

Comprendre les schémas SCIM de Netskope

La mise en œuvre du SCIM de Netskope suit une approche stratifiée de la gestion des identités. Avant de créer des schémas personnalisés, passez en revue les extensions standard prises en charge pour vous assurer que les attributs dont vous avez besoin ne sont pas déjà disponibles :

• SCIM 2.0 Core Schema: Prend en charge les attributs d'identité essentiels tels que le nom d'utilisateur et le nom.

  • Core URN :urn:ietf:params:scim:schemas:core:2.0:User

• Enterprise User Extension: Inclut des métadonnées d'entreprise normalisées telles que le département, la division, l'organisation et le responsable.

  • Enterprise URN : urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.

• Netskope Platform Schema: Contient des attributs définis et gérés de manière unique par la plateforme Netskope pour prendre en charge des fonctions de sécurité spécifiques au nuage.

  • Netskope URN : urn:ietf:params:scim:schemas:extension :Netskope:2.0:User.

• Custom Tenant Schema: Cette extension permet aux organisations de définir et de synchroniser des attributs d'utilisateur sur mesure, adaptés aux besoins uniques de l'entreprise.

  • URN personnalisé : urn:ietf:params:scim:schemas:extension:tenant:2.0:User

Notes and Limitations

• Adresses électroniques : Alors que le RFC SCIM prend en charge plusieurs valeurs pour les adresses électroniques, l'implémentation SCIM de Netskope ne prend en charge qu'une seule valeur pour l'attribut email.

• Les attributs personnalisés doivent être des chaînes à valeur unique.

• Longueur maximale d'un nom d'attribut personnalisé - 32 caractères

• Longueur maximale d'une valeur d'attribut personnalisé - 64 caractères

• Okta et Azure n'envoient pas de demandes de suppression pour les attributs personnalisés supprimés.

• Des autorisations d'administrateur sont nécessaires pour accéder à la configuration du SCIM.

• Évitez de corriger les schémas de base/entreprise à moins que votre organisation ne les utilise.

Define the Custom Tenant Schema via API

Pour utiliser des attributs personnalisés, vous devez d'abord créer et étendre le schéma du locataire via un appel API. Utilisez la demande d'API suivante pour créer le schéma personnalisé. Remplacez les espaces réservés par des valeurs réelles :

curl --location --request PUT 'https://<tenant-url>/api/v2/scim/Schemas/urn:ietf:params:scim:schemas:extension:tenant:2.0:User' \
--header 'accept: application/scim+json;charset=utf-8' \
--header 'Content-Type: application/scim+json;charset=utf-8' \
--header 'Authorization: Bearer <api-token>' \
--data '{
  "name": "My Department Schema",
  "attributes": [
    {
      "name": "Director",
      "type": "string",
      "description": "For exec staff",
      "mutability": "readWrite",
      "returned": "default",
      "required": false,
      "multiValued": false,
      "caseExact": false,
      "uniqueness": "none"
    },
    {
      "name": "SubDepartment",
      "type": "string",
      "description": "My SubDepartment",
      "mutability": "readWrite",
      "returned": "default",
      "required": false,
      "multiValued": false,
      "caseExact": false,
      "uniqueness": "none"
    }
  ],
  "description": "Department schema",
  "id": "urn:ietf:params:scim:schemas:extension:tenant:2.0:User",
  "meta": {
    "location": "https://<tenant-url>/Schemas/urn:ietf:params:scim:schemas:extension:tenant:2.0:User",
    "resourceType": "Schema"
  }
}'

Activer les attributs Core/Enterprise Schema

Cette étape est facultative. Cette procédure n'est requise que si votre organisation prévoit d'utiliser des attributs de base ou d'entreprise.

curl --location --request PATCH 'https://<tenant-url>/api/v2/scim/Schemas/urn:ietf:params:scim:schemas:core:2.0:User' \
--header 'accept: application/scim+json;charset=utf-8' \
--header 'Content-Type: application/scim+json;charset=utf-8' \
--header 'Authorization: Bearer <api-token>' \
--data '{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [{
    "op": "add",
    "path": "attributes",
    "value": {
      "name": "displayName",
      "type": "string"
    }
  }]
}'

Intégration avec les fournisseurs d'identité

Cette approche utilise l'application officielle d'authentification des utilisateurs Netskope disponible dans les catalogues d'applications Okta et Microsoft Entra ID.

Intégration avec OKTA

1. Dans la console d’administration Okta, allez dans Applications et cliquez sur Browse App Catalog.

   

2. Cherchez Netskope User Enrollment, sélectionnez l’application, puis cliquez sur Add Integration.

   

   

3. Fournissez une étiquette d'application et complétez l'assistant de configuration.

   

4. Une fois l'application créée, allez dans l'onglet Provisioning.

5. Dans la section Intégration, entrez le Base URL et API Token. Cliquez Test API Credentials.

   

6. In the To App section, click Edit and enable Create, Update, and Deactivate options, then Save.

   

7. Va sur Directory > Profile Editor > Netskope User Enrollment application > Add Attribute.

   Exemple d'ajout d'attributs de base : pour synchroniser le département d'un utilisateur, cliquez sur Add Attribute et définissez la chaîne "Département" en tant qu'attribut personnalisé.

   

   Exemple d'attributs d'entreprise

   

   Exemple pour Custom Attributes. Vous pouvez indiquer n'importe quel nom lorsque vous ajoutez des attributs personnalisés.

   

8. Cliquez sur Mappings, associez les attributs de l'utilisateur Okta aux attributs de l'application personnalisée, puis Save and apply updates.

   Cartographie des attributs de base et d'entreprise

   

   

   Custom Attribute Mapping

   

Intégration avec Microsoft Entra ID (anciennement connu sous le nom d’Azure)

1. Naviguez vers l'application Entreprise et cliquez sur New Application

   

2. Recherchez Netskope et sélectionnez Netskope User authentication

   

3. Indiquez le nom de l'application et cliquez sur le bouton Create.

   

4. Après la création de l’application, cliquez sur New configuration.

   

5. Ajoutez l'URL du locataire et le jeton, puis cliquez sur Test Connection et sur Create.

6. Cliquez sur Provisioning dans le panneau latéral gauche.

   

7. Cliquez sur Provision Microsoft Entra ID Users sous Mappings.

   

8. Faites défiler vers le bas et sélectionnez Show Advanced options.

   

9. Cliquez sur l'option Edit attribute list for Netskope.

   Si la liste des attributs n'est pas visible, copiez/collez cette URL dans votre navigateur :
   https://entra.microsoft.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true
   
   Une fois la page chargée, vous devez vous rendre dans la section User Attribute Provisioning dans le même onglet du navigateur pour que l'éditeur apparaisse. Soyez conscient de la limitation suivante :
   
   Cette solution de contournement n'active l'éditeur que pour la session de navigation en cours. Si vous vous déconnectez ou si votre session expire, l'option sera à nouveau masquée et vous devrez utiliser l'URL pour la réactiver.

   

10. Ajoutez les attributs d'entreprise et les attributs personnalisés. Par exemple :

    Ajoutez les attributs d'entreprise comme dans l'exemple ci-dessous
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:costCenter

    Ajoutez les attributs personnalisés comme dans l'exemple ci-dessous
    urn:ietf:params:scim:schemas:extension:tenant:2.0:User:customKey1

    

11. Attributs de la carte cliquez sur Add new mapping.

    

12. Associez ici l'attribut source et l'attribut cible et cliquez sur Save.