Configurer Zscaler Private Access (ZPA) pour l’approvisionnement automatique d’utilisateurs avec Microsoft Entra ID

L’objectif de cet article est de montrer les étapes à effectuer dans Zscaler Private Access (ZPA) et l’ID Microsoft Entra pour configurer l’ID Microsoft Entra pour approvisionner et déprovisionner automatiquement des utilisateurs et/ou des groupes sur Zscaler Private Access (ZPA).

Prerequisites

Le scénario décrit dans cet article suppose que vous disposez déjà des conditions préalables suivantes :

• Un compte d’utilisateur Microsoft Entra avec un abonnement actif. Si vous n’en avez pas encore, vous pouvez créer un compte gratuitement.
• L’un des rôles suivants :
  • Administrateur d’application
  • Administrateur d’application cloud
  • Propriétaire de l’application.

• un locataire Zscaler Private Access (ZPA) ;
• un compte d’utilisateur Zscaler Private Access (ZPA) ayant des autorisations d’administrateur.

Étape 1 : Affecter des utilisateurs à Zscaler Private Access (ZPA)

Microsoft Entra ID utilise un concept appelé attributions pour déterminer les utilisateurs devant être autorisés à accéder aux applications sélectionnées. Dans le cadre de l’attribution automatique d’utilisateurs, seuls les utilisateurs et/ou groupes qui ont été attribués à une application dans Microsoft Entra ID sont synchronisés.

Avant de configurer et d’activer l’attribution automatique d’utilisateurs, vous devez décider quels utilisateurs et/ou groupes dans Microsoft Entra ID ont besoin d’accéder à Zscaler Private Access (ZPA). Une fois que vous avez choisi, vous pouvez attribuer ces utilisateurs et/ou groupes à votre application Zscaler Private Access (ZPA) en suivant les instructions fournies ici :

• Attribuer un utilisateur ou un groupe à une application d’entreprise

Conseils importants pour affecter des utilisateurs à Zscaler Private Access (ZPA)

• Il est recommandé qu’un seul utilisateur Microsoft Entra soit affecté à Zscaler Private Access (ZPA) pour tester la configuration de l’approvisionnement automatique d’utilisateurs. Les autres utilisateurs et/ou groupes peuvent être affectés ultérieurement.

• Quand vous attribuez un utilisateur à Zscaler Private Access (ZPA), vous devez sélectionner un rôle valide propre à l’application (si disponible) dans la boîte de dialogue d’assignation. Les utilisateurs dont le rôle est Accès par défaut sont exclus de l’approvisionnement.

Étape 2 : Configurer Zscaler Private Access (ZPA) pour l’approvisionnement

1. Connectez-vous à votre console d’administration Zscaler Private Access (ZPA). Accédez à Administration > IdP Configuration.

   

2. Vérifiez qu’un IdP pour l’authentification unique est configuré. Si aucun IdP n’est configuré, ajoutez-en un en sélectionnant l’icône plus dans le coin supérieur droit de l’écran.

   

3. Suivez les instructions de l’Assistant Ajouter une configuration IdP pour ajouter un fournisseur d’identité. Laissez le champ Authentification unique défini sur Utilisateur. Indiquez un Nom et sélectionnez les Domaines dans la liste déroulante. Sélectionnez Suivant pour accéder à la fenêtre suivante.

   

4. Téléchargez le Certificat du fournisseur de services. Sélectionnez Suivant pour accéder à la fenêtre suivante.

   

5. Dans la fenêtre suivante, téléchargez le Certificat du fournisseur de services téléchargé précédemment.

   

6. Faites défiler vers le bas pour indiquer l’URL d’authentification unique et l’ID d’entité IdP.

   

7. Faites défiler jusqu’à Activer la Synchronisation SCIM. Sélectionnez le bouton Générer un Nouveau Jeton. Copiez le jeton du porteur. Cette valeur est entrée dans le champ Jeton secret sous l’onglet Approvisionnement de votre application Zscaler Private Access (ZPA).

   

8. Pour localiser Tenant URL (URL de locataire), accédez à Administration > IdP Configuration. Sélectionnez le nom de la configuration IdP nouvellement ajoutée répertoriée sur la page.

   

9. Faites défiler jusqu’au bas de la page pour afficher le Point de terminaison du fournisseur de services SCIM. Copiez le Point de terminaison du fournisseur de services SCIM. Cette valeur est entrée dans le champ URL du locataire sous l’onglet Approvisionnement de votre application Zscaler Private Access (ZPA).

   

Étape 3 : Ajouter Zscaler Private Access (ZPA) à partir de la galerie

Avant de configurer Zscaler Private Access (ZPA) pour l’attribution automatique d’utilisateurs avec Microsoft Entra ID, vous devez ajouter Zscaler Private Access (ZPA) à partir de la galerie d’applications Microsoft Entra ID à votre liste d’applications SaaS managées.

Pour ajouter Zscaler Private Access (ZPA) à partir de la galerie d’applications Microsoft Entra ID, procédez comme suit :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Naviguez vers Entra ID>Applications d'entreprise>Nouvelle application.

3. Dans la section Ajouter à partir de la galerie, tapez Zscaler Private Access (ZPA), sélectionnez Zscaler Private Access (ZPA) dans la zone de recherche.

4. Sélectionnez Zscaler Private Access (ZPA) dans le panneau de résultats, puis ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.

   

Étape 4 : Configurer l’approvisionnement automatique d’utilisateurs sur Zscaler Private Access (ZPA)

Cette section vous guide tout au long des étapes de configuration du service d’attribution Microsoft Entra pour créer, mettre à jour et désactiver des utilisateurs et/ou des groupes dans Zscaler Private Access (ZPA), selon les affectations d’utilisateurs et/ou de groupes dans Microsoft Entra ID.

Configurer l’approvisionnement automatique d’utilisateurs pour Zscaler Private Access (ZPA) dans Microsoft Entra ID

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Entra ID>Enterprise apps>Zscaler Private Access (ZPA).

   

3. Sélectionnez l’onglet Approvisionnement.

   

4. Sélectionnez + Nouvelle configuration.

   

5. Dans la section Informations d’identification de l’administrateur , entrez la valeur du point de terminaison du fournisseur de services SCIM récupérée précédemment dans l’URL du locataire. Entrez la valeur Jeton du porteur récupérée précédemment dans Jeton secret. Sélectionnez Tester la connexion pour vérifier que l’ID Microsoft Entra peut se connecter à Zscaler Private Access (ZPA). Si la connexion échoue, vérifiez que votre compte Zscaler Private Access (ZPA) dispose des autorisations d’administrateur et réessayez.

   

6. Sélectionnez Créer pour créer votre configuration.

7. Sélectionnez Propriétés dans la page Vue d’ensemble .

8. Sélectionnez l’icône Modifier pour modifier les propriétés. Activez les e-mails de notification et fournissez un e-mail pour recevoir des notifications de quarantaine. Activer la prévention des suppressions accidentelles. Cliquez sur Appliquer pour enregistrer les modifications.

   

9. Sélectionnez Mappage d’attributs dans le volet gauche et sélectionnez utilisateurs.

10. Dans la section Mappages d’attributs, passez en revue les attributs utilisateur qui sont synchronisés entre Microsoft Entra ID et Zscaler Private Access (ZPA). Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour la mise en correspondre des comptes d’utilisateur dans Zscaler Private Access (ZPA) dans le cadre des opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

    Attribut	Type	Pris en charge pour le filtrage	Requis par Zscaler Private Access
    nom d’utilisateur	Chaîne	✓	✓
    externalId	Chaîne
    active	Booléen
    emails[type eq "work"].value	Chaîne
    name.givenName	Chaîne
    name.familyName	Chaîne
    displayName	Chaîne
    type d'utilisateur	Chaîne
    nickName	Chaîne
    titre	Chaîne
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	Chaîne
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:costCenter	ficelle
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:division	Chaîne

11. Sélectionnez Groupes.

12. Dans la section Mappages d’attributs, passez en revue les attributs de groupe qui sont synchronisés entre Microsoft Entra ID et Zscaler Private Access (ZPA). Les attributs sélectionnés comme propriétés de Correspondance sont utilisés pour la mise en correspondre des groupes dans Zscaler Private Access (ZPA) dans le cadre des opérations de mise à jour. Cliquez sur le bouton Enregistrer pour valider les modifications.

    Attribut	Type	Pris en charge pour le filtrage	Requis par Zscaler Private Access
    displayName	Chaîne	✓	✓
    membres	Référence
    externalId	Chaîne

13. Pour configurer des filtres d’étendue, reportez-vous aux instructions fournies dans l’article de filtre d’étendue.

14. Utilisez l’approvisionnement à la demande pour valider la synchronisation avec un petit nombre d’utilisateurs avant de déployer plus largement dans votre organisation.

15. Lorsque vous êtes prêt à provisionner, sélectionnez Démarrer l’approvisionnement dans la page Vue d’ensemble .

Étape 5 : Surveillez votre déploiement

Une fois le provisionnement configuré, utilisez les ressources suivantes pour superviser votre déploiement :

1. Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs sont provisionnés correctement ou sans succès
2. Vérifiez la barre de progression pour voir l’état du cycle d’approvisionnement et à quel point il est proche de l’achèvement.
3. Si la configuration d’approvisionnement semble être dans un état non sain, l’application passe en quarantaine. Pour en savoir plus sur les états de quarantaine, consultez l'article sur le statut de mise en quarantaine des applications.

Ressources supplémentaires

• Gestion de l’attribution de comptes d’utilisateur pour les applications d’entreprise
• Qu’est-ce que l’accès aux applications et l’authentification unique avec Microsoft Entra ID ?

Contenu connexe

• Découvrez comment consulter les journaux d’activité et obtenir des rapports sur l’activité d’attribution