Nous savons à quel point il est important, pour certaines entreprises, d'automatiser la gestion des utilisateurs et de garantir un contrôle des accès sûr et évolutif.

Vous pouvez désormais, grâce à la prise en charge du SCIM (System for Cross-domain Identity Management), gérer automatiquement vos utilisateurs dans Tomorro depuis votre fournisseur d'identité.

Votre fournisseur d'identité pilote alors les accès, les rôles et les groupes dans Tomorro. Concrètement, vous pouvez :

Provisionner un utilisateur (lui donner accès)
Déprovisionner un utilisateur (lui retirer l'accès)
Attribuer et modifier le rôle d'un utilisateur (Administrateur, Manager, Contributeur)
Créer et supprimer des groupes Tomorro
Affecter des utilisateurs à des groupes Tomorro précis

💡 Avec le provisionnement SCIM, les comptes sont créés déjà actifs : Tomorro n'envoie aucun e-mail d'activation, et les utilisateurs se connectent directement via SAML SSO. Si un compte était en attente d'activation avant la mise en place du SCIM, la synchronisation SCIM l'active et annule l'invitation en attente.

Se connecter côté Tomorro

Pour configurer l'intégration, rendez-vous dans les paramètres de Tomorro et ouvrez la section Provisionnement des utilisateurs pour démarrer la configuration. Seuls les administrateurs y ont accès.

« Paramètres > SSO et provisionnement > Provisionnement des utilisateurs »

Deux options vous y attendent :

Substitut par défaut

Votre organisation peut désigner un utilisateur substitut par défaut directement dans Tomorro. Ce substitut est automatiquement désigné chaque fois qu'un utilisateur est retiré via SCIM.

Cette logique de substitution est propre à Tomorro et ne fait pas partie du standard SCIM : les fournisseurs d'identité ne peuvent pas transmettre l'information nécessaire. Le substitut par défaut est donc notre réponse pour assurer la continuité et la propriété des données quand un utilisateur est déprovisionné via SCIM.

Assignation des groupes Tomorro par votre fournisseur d'identité uniquement

Vous pouvez réserver l'assignation des groupes à votre seul fournisseur d'identité. Une fois ce réglage activé, les groupes et l'appartenance des utilisateurs aux groupes ne se modifient plus à la main dans Tomorro : ils sont entièrement pilotés par SCIM.

Vous y gagnez la cohérence entre votre fournisseur d'identité et Tomorro, moins d'erreurs de saisie et une gestion des accès centralisée. C'est particulièrement utile aux organisations qui veulent une gouvernance stricte et automatisée des rôles et des groupes.

Configuration côté AZURE

ÉTAPE 1 - Créer une application personnalisée sur AZURE

Si vous utilisez déjà une application Tomorro pour la connexion SAML, passez directement à l'étape 2.

Allez dans Enterprise applications, puis cliquez sur le bouton « New application »

Cliquez ensuite sur le bouton « Create your own application ».
- Choisissez le nom de votre application, « Tomorro » par exemple
- Puis sélectionnez l'option « Integrate any other application you don't find in the gallery ».

ÉTAPE 2 - Configurer les paramètres SCIM de l'application

Allez dans « provisioning » dans le menu de gauche
Reportez les informations du module SCIM de Tomorro dans la configuration de l'intégration Azure par copier-coller, puis testez la connexion.
Une fois le test passé, enregistrez
Une section « Mappings » apparaît alors sous le bouton de test : c'est là que la configuration se poursuit.

ÉTAPE 3 - Mapping

Dans cette étape, vous allez ajuster les mappings existants, en créer un nouveau pour attribuer automatiquement les rôles Tomorro depuis Azure, puis supprimer les champs inutiles.

Ouvrez la section de mapping des utilisateurs

Étape 3.1 - Ajuster les mappings d'attributs existants

UserName :

Ouvrez l'attribut dont le champ userName vaut customappsso en cliquant sur la ligne
Vérifiez que les informations sont saisies comme ci-dessous, et surtout que l'attribut source est bien « mail »
Confirmez ensuite avec le bouton « OK » en bas à gauche.

ExternalId (même principe que userName) :

Ouvrez l'attribut dont le champ externalId vaut customappsso en cliquant sur la ligne
Vérifiez que les informations sont saisies comme ci-dessous, et surtout que l'attribut source est bien « objectId »
Confirmez ensuite avec le bouton « OK » en bas à gauche.

Étape 3.2 - Attribuer les rôles Tomorro via l'attribut userType

Pour attribuer un rôle Tomorro (Administrateur, Manager, Contributeur) directement depuis Azure, ajoutez un nouveau mapping.

Cliquez sur « add a new mapping »

Renseignez les informations comme ci-dessous, en veillant à ce que l'attribut cible soit userType.

L'attribut source, lui, peut être n'importe quel attribut que vous utilisez dans Azure. Dans cet exemple nous avons pris jobTitle, mais vous pouvez aussi créer un attribut personnalisé, par exemple tomorroRole.

Il ne reste plus qu'à renseigner la valeur de cet attribut depuis Azure pour définir le rôle attribué dans Tomorro, soit directement sur la fiche de l'utilisateur, soit via une assignation de groupe Azure. Voici un exemple de saisie depuis une fiche utilisateur, pour un rôle Administrateur.

Voici les valeurs à saisir dans l'attribut pour chaque rôle Tomorro :

Attribut Azure	Rôle Tomorro (tarification V4/V5)	Rôle Tomorro (tarification V6+)
admin	Administrateur	Administrateur
manager	Manager	Créateur - Manager
user	Contributeur	Créateur - Contributeur
viewer		Lecteur

Étape 3.3 - Supprimer les mappings d'attributs inutiles

Pour finir, supprimez tous les attributs inutiles avec le bouton « Delete » à l'extrême droite de la ligne, en ne gardant que les 6 attributs dont le champ customAppsso vaut :

userName
active
name.givenName
name.familyName
externalId
userType

Enregistrez ensuite avec le bouton en haut à gauche.

ÉTAPE 4 - Activer le provisionnement automatique

Revenez à la section précédente par le fil d'Ariane. Au besoin, actualisez la page après quelques minutes pour voir apparaître l'application Tomorro.
Ouvrez la section « Provisioning », puis de nouveau la sous-section « Provisioning ».
Activez le provisionnement automatique, puis enregistrez.

ÉTAPE 5 - Choisir les groupes et les utilisateurs à provisionner

Ouvrez la section « Users and Groups », puis choisissez « Add user/group ».
Ouvrez le panneau de droite en cliquant sur « None selected » sous « Users and Groups ». Sélectionnez-y un utilisateur ou un groupe de test, puis enregistrez en bas du panneau.
Confirmez avec « Assign » en bas à gauche.

Tous les utilisateurs et groupes assignés seront provisionnés dans Tomorro. Si le provisionnement passe par un groupe, ce groupe est créé dans Tomorro et les utilisateurs y sont ajoutés.

Le protocole SCIM est maintenant activé pour Tomorro !

Compléments et recommandations

Les groupes créés dans Tomorro ne peuvent pas être resynchronisés vers Azure. Nous vous conseillons de recréer d'abord ces groupes dans Azure, puis de vous appuyer sur les groupes ainsi provisionnés par SCIM pour donner accès aux dossiers et aux types de contrats dans Tomorro. L'investissement initial est réel, mais vous y gagnerez ensuite un contrôle d'accès plus fin, piloté depuis Azure.

Il est souvent plus clair et plus efficace de séparer les groupes « d'accès » des groupes « de permission ». Vous pouvez par exemple avoir des groupes par département ou par région, qui ouvrent l'accès à certains types de contrats ou à certaines parties de votre contrathèque, et à côté un groupe « Admins » et un groupe « Managers » qui pilotent l'attribut userType .
Azure permet des mappings très précis et très complexes. Si c'est un point critique pour vous, reportez-vous directement à la documentation Microsoft.

Mise en place du SCIM - Azure (Microsoft Entra)