Configurer SCIM avec Okta

Cette traduction n'est pas à jour. Pour consulter la dernière version en anglais, cliquez ici
SCIM est disponible avec les plans Infrastructure Pro, Infrastructure Enterprise et Startup.

Consultez les instructions suivantes pour synchroniser vos utilisateurs Datadog avec Okta à l’aide de SCIM.

Pour connaître les capacités et les limitations de cette fonctionnalité, consultez SCIM.

Prérequis

SCIM dans Datadog est une fonctionnalité avancée disponible avec les plans Infrastructure Pro, Infrastructure Enterprise et Startup

Cette documentation suppose que votre organisation gère les identités des utilisateurs à l’aide d’un fournisseur d’identité.

Datadog recommande vivement d’utiliser une clé d’application de compte de service lors de la configuration de SCIM pour éviter toute interruption de l’accès. Pour plus de détails, consultez l’utilisation d’un compte de service avec SCIM.

Lorsque vous utilisez SAML et SCIM ensemble, Datadog recommande vivement de désactiver le provisionnement juste-à-temps (JIT) SAML pour éviter les divergences d’accès. Gérez le provisionnement des utilisateurs uniquement via SCIM.

  1. Dans votre portail Okta, accédez à Applications
  2. Cliquez sur Browse App Catalog
  3. Saisissez « Datadog » dans la zone de recherche
  4. Sélectionnez l’application Datadog
  5. Cliquez sur Add Integration

Remarque : Si Datadog est déjà configuré avec Okta, sélectionnez votre application Datadog existante.

Configurer le provisionnement automatique des utilisateurs

  1. Dans l’écran de gestion des applications, sélectionnez Provisioning dans le panneau de gauche
  2. Cliquez sur Configure API integration.
  3. Sélectionnez Enable API integration.
  4. Remplissez la section Credentials comme suit :
    • Base URL : /api/v2/scim Remarque : Utilisez le host API de votre site, et non le host de l’application. Pour les endpoints SCIM de chaque site, consultez la référence de l’API SCIM.
    • API Token : Utilisez une clé d’application Datadog valide. Vous pouvez créer une clé d’application sur votre page de paramètres d’organisation. Pour maintenir un accès continu à vos données, utilisez une clé d’application de compte de service.
Écran de configuration des identifiants d'administration Okta
  1. Cliquez sur Test API Credentials et attendez le message confirmant que les identifiants sont vérifiés.
  2. Cliquez sur Save. La section des paramètres s’affiche.
  3. À côté de Provisioning to App, sélectionnez Edit pour activer les fonctionnalités :
    • Create Users
    • Update User Attributes
    • Deactivate Users
  4. Sous Datadog Attribute Mappings, trouvez le mappage des attributs Okta vers les attributs Datadog déjà préconfigurés. Vous pouvez les remapper si nécessaire, mais mappez les valeurs Okta vers le même ensemble de valeurs Datadog.

Mappez l’attribut de rôle Datadog

Pour provisionner le rôle Datadog d’un utilisateur (intégré ou personnalisé) via SCIM, ajoutez un mappage explicite pour l’attribut roles. Okta ne mappe pas cet attribut par défaut.

La prise en charge des rôles SCIM par Datadog suit la convention d’attribut à valeurs multiples SCIM définie dans RFC 7643, en utilisant l’UUID du rôle comme value et le nom du rôle comme display :

{
  "roles": [
    { "value": "<DATADOG_ROLE_UUID>", "display": "<DATADOG_ROLE_NAME>" }
  ]
}
  1. Dans Directory > Profile Editor, sélectionnez le profil utilisateur pour l’application configurée pour Datadog SCIM, puis cliquez sur Add Attribute pour créer un attribut roles :
    • Data type : string
    • Display name : Roles
    • Variable name : roles
    • External name : roles.^[primary==true].value
    • External namespace : urn:ietf:params:scim:schemas:core:2.0:User
    • Pour Enum, sélectionnez Define enumerated list of values et ajoutez une entrée par rôle Datadog, en utilisant le nom du rôle comme nom d’affichage et l’UUID du rôle comme valeur. Vous pouvez trouver l’UUID d’un rôle dans l’URL du rôle sur votre page Organization Settings. Ajoutez tous les rôles personnalisés de la même manière.
  2. Dans les paramètres Provisioning > To App de votre application Datadog, mappez l’attribut Okta roles vers l’attribut Datadog roles.
  3. Dans l’onglet Assignments de l’application, assignez à chaque utilisateur le rôle approprié depuis la liste déroulante.

Si une requête SCIM envoie plusieurs rôles, Datadog provisionne uniquement les rôles qui correspondent à un rôle dans votre organisation. Si aucun ne correspond, l’utilisateur revient au rôle par défaut de l’organisation (Standard), et les rôles non correspondants sont consignés dans l’Audit Trail. Pour plus de détails, consultez SCIM.

Configurer le provisionnement automatique des équipes

Avec Managed Teams, vous contrôlez le provisionnement principal d’une équipe Datadog — son nom, son identifiant et sa composition — via le fournisseur d’identité. Le processus de configuration diffère selon que l’équipe existe déjà ou non dans Datadog.

Remarque : Les utilisateurs doivent exister dans Datadog avant que vous puissiez les ajouter à une équipe. Par conséquent, vous devez affecter les utilisateurs à l’application Datadog dans Okta pour vous assurer qu’ils sont créés dans Datadog via SCIM. Affectez l’application Datadog à votre groupe Okta pour vous assurer que tous les membres de l’équipe sont créés automatiquement dans Datadog.

Créer une nouvelle équipe dans Datadog

  1. Dans votre application Datadog dans Okta, accédez à l’onglet Push Groups.
    Interface de configuration des groupes poussés Okta
  2. Cliquez sur le bouton Push Groups. L’interface des groupes poussés s’ouvre.
  3. Sélectionnez le groupe Okta que vous souhaitez pousser vers Datadog.
  4. Dans la colonne Match result & push action, assurez-vous que Create group est sélectionné.
  5. Cliquez sur Save.

Pour vérifier que l’opération a réussi, accédez à la liste Teams dans Datadog. Recherchez une équipe Datadog correspondant au groupe Okta que vous avez configuré. Vérifiez que l’équipe existe dans Datadog et qu’elle est gérée de manière externe. Il peut s’écouler une ou deux minutes avant que l’équipe n’apparaisse dans Datadog.

Liste des équipes Datadog montrant une équipe appelée Identity team qui est gérée de manière externe.

Synchronisez une équipe Datadog existante avec un groupe Okta

Vous pouvez mapper une équipe Datadog existante à un groupe Okta. L’établissement d’un lien entre le groupe Okta et l’équipe Datadog entraîne la gestion de l’équipe Datadog par Okta à l’avenir.

Remarque : Pour synchroniser une équipe Datadog existante avec un groupe Okta, l’identifiant dérivé du nom du groupe Okta doit correspondre exactement à l’identifiant de l’équipe Datadog existante.

  1. Dans votre application Datadog dans Okta, accédez à l’onglet Push Groups.
  2. Cliquez sur le bouton Push Groups. L’interface des groupes poussés s’ouvre.
  3. Sélectionnez le groupe Okta que vous souhaitez synchroniser avec une équipe Datadog.
  4. Dans la colonne Match result & push action, assurez-vous que Create group est sélectionné.
  5. Cliquez sur Save.

Remarque : Lorsque vous sélectionnez Create group, Okta affiche un message No match found. Vous pouvez ignorer ce message et poursuivre la création du groupe pour établir la synchronisation.

Supprimez la connexion entre un groupe Okta et une équipe Datadog

Vous disposez de deux options pour déconnecter un groupe Okta d’une équipe Datadog, avec des impacts différents sur l’appartenance à l’équipe Datadog.

Conservez les membres de l’équipe dans Datadog

Cette procédure vous permet de gérer l’appartenance à l’équipe dans Datadog au lieu d’Okta. Les membres de l’équipe restent inchangés.

  1. Dans votre application Datadog dans Okta, accédez à l’onglet Push Groups.
  2. Cliquez sur le bouton Push Groups. L’interface des groupes poussés s’ouvre.
  3. Sélectionnez le groupe Okta que vous souhaitez dissocier de son équipe Datadog.
  4. Dans la colonne Match result & push action, sélectionnez Unlink Pushed Group. Une boîte de dialogue s’affiche.
  5. Sélectionnez Leave the group in the target app.
  6. Cliquez sur Unlink.
  7. Cliquez sur Save.

Supprimez les membres de l’équipe de Datadog

Cette procédure vous permet de gérer l’appartenance à une équipe dans Datadog au lieu d’Okta et supprime les membres de l’équipe Datadog.

  1. Dans votre application Datadog dans Okta, accédez à l’onglet Push Groups.
  2. Cliquez sur le bouton Push Groups. L’interface des groupes poussés s’ouvre.
  3. Sélectionnez le groupe Okta que vous souhaitez dissocier de son équipe Datadog.
  4. Dans la colonne Match result & push action, sélectionnez Unlink Pushed Group. Une boîte de dialogue s’affiche.
  5. Sélectionnez Delete the group in the target app (recommended).
  6. Cliquez sur Unlink.
  7. Cliquez sur Save.

Remarque : Contrairement au nom de l’option, la sélection de Delete the group in the target app_ ne supprime pas _ l’équipe dans Datadog. À la place, elle supprime tous les membres de l’équipe et supprime le lien entre le groupe Okta et l’équipe Datadog.

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Provisionnement des utilisateurs avec SCIMDOCUMENTATION more more Mappage des attributs de groupeDOCUMENTATION more more