Nous savons à quel point il est important, pour certaines entreprises, d'automatiser la gestion des utilisateurs et de garantir un contrôle des accès sûr et évolutif.

Vous pouvez désormais, grâce à la prise en charge du SCIM (System for Cross-domain Identity Management), gérer automatiquement vos utilisateurs dans Tomorro depuis votre fournisseur d'identité.

Votre fournisseur d'identité pilote alors les accès, les rôles et les groupes dans Tomorro. Concrètement, vous pouvez :

Provisionner un utilisateur (lui donner accès)
Déprovisionner un utilisateur (lui retirer l'accès)
Attribuer et modifier le rôle d'un utilisateur (Administrateur, Manager, Contributeur)
Créer et supprimer des groupes Tomorro
Affecter des utilisateurs à des groupes Tomorro précis

💡 Avec le provisionnement SCIM, les comptes sont créés déjà actifs : Tomorro n'envoie aucun e-mail d'activation, et les utilisateurs se connectent directement via SAML SSO. Si un compte était en attente d'activation avant la mise en place du SCIM, la synchronisation SCIM l'active et annule l'invitation en attente.

Se connecter côté Tomorro

Pour configurer l'intégration, rendez-vous dans les paramètres de Tomorro et ouvrez la section Provisionnement des utilisateurs pour démarrer la configuration. Seuls les administrateurs y ont accès.

« Paramètres > SSO et provisionnement > Provisionnement des utilisateurs »

Deux options vous y attendent :

Substitut par défaut

Votre organisation peut désigner un utilisateur substitut par défaut directement dans Tomorro. Ce substitut est automatiquement désigné chaque fois qu'un utilisateur est retiré via SCIM.

Cette logique de substitution est propre à Tomorro et ne fait pas partie du standard SCIM : les fournisseurs d'identité ne peuvent pas transmettre l'information nécessaire. Le substitut par défaut est donc notre réponse pour assurer la continuité et la propriété des données quand un utilisateur est déprovisionné via SCIM.

Assignation des groupes Tomorro par votre fournisseur d'identité uniquement

Vous pouvez réserver l'assignation des groupes à votre seul fournisseur d'identité. Une fois ce réglage activé, les groupes et l'appartenance des utilisateurs aux groupes ne se modifient plus à la main dans Tomorro : ils sont entièrement pilotés par SCIM.

Vous y gagnez la cohérence entre votre fournisseur d'identité et Tomorro, moins d'erreurs de saisie et une gestion des accès centralisée. C'est particulièrement utile aux organisations qui veulent une gouvernance stricte et automatisée des rôles et des groupes.

Configuration côté OKTA

ÉTAPE 1 - Créer une application personnalisée sur OKTA

Si vous utilisez déjà une application Tomorro pour la connexion SAML, passez directement à l'étape 2.

Connectez-vous à votre « OKTA account > Settings > Application »
Cliquez sur « create App Integration »
Sélectionnez « SAML 2.0», puis cliquez sur « Next »
Saisissez le nom de l'application, « Tomorro » par exemple, puis ajoutez un logo
Il faut maintenant configurer le SAML, comme expliqué dans cet article. Reportez les réglages exactement comme sur les captures ci-dessous, puis cliquez sur « Next » en bas à droite
Choisissez la première option, puis cliquez sur « finish » en bas à droite

ÉTAPE 2 - Configurer les paramètres SCIM de l'application

Sur la page de l'application, ouvrez la section de paramètres « General », puis activez l'édition
Activez SCIM provisioning, puis enregistrez
Allez dans les paramètres « Provisioning », puis activez l'édition
Renseignez les premiers paramètres comme sur la capture ci-dessous, puis ouvrez le module d'intégration SCIM de Tomorro dans un autre onglet
Reportez les informations du module SCIM de Tomorro dans les champs SCIM connector base URL et Authorization, comme ci-dessous, puis testez la connexion
Voici ce que vous devez voir apparaître. Fermez ensuite cette fenêtre et enregistrez

ÉTAPE 3 - Configurer le provisionnement SCIM de votre application

Vous devez maintenant être sur la page « Provisioning » de votre application Tomorro
Activez l'édition, cochez les trois premières options : « Create users », « Update user attributes » et « Deactivate users », puis enregistrez
En bas de cette page se trouvent les mappings d'attributs. Supprimez tous les attributs inutiles et ne gardez que « Username », « Given name », « Family name » et « User Type », en cliquant sur la croix à l'extrême droite de chaque ligne

ÉTAPE 4 - Choisir les groupes Okta à créer dans Tomorro

Vous pouvez recréer automatiquement dans Tomorro des groupes venus d'Okta. Pour cela, ouvrez la section « Push Groups » de l'application
Choisissez « Push groups », puis « Find groups by name », cherchez le groupe que vous voulez envoyer d'Okta vers Tomorro, et enregistrez.
Le groupe apparaît alors dans Tomorro sous le même nom

ÉTAPE 5 - Provisionner les utilisateurs

Par les groupes

Pour ouvrir l'accès à l'application directement depuis des groupes Okta, il faut assigner l'application à ces groupes. Ouvrez pour cela la section « Groups » sous « Directory » dans le menu de gauche.
Cliquez sur l'un de vos groupes Okta, puis ouvrez l'onglet « Applications »
Assignez l'application Tomorro au groupe

C'est tout. Chaque membre ajouté à ce groupe sera provisionné directement dans Tomorro. Si le groupe lui-même est envoyé vers Tomorro, ses membres sont aussi ajoutés au groupe correspondant : vous ouvrez ainsi l'accès aux bons dossiers, types de contrats et contrats sans travail supplémentaire.

Un par un

Vous pouvez aussi assigner l'application Tomorro utilisateur par utilisateur. Ouvrez pour cela la section « People » sous « Directory » dans le menu de gauche
Dans l'onglet « Applications », choisissez « Assign Application », puis suivez les mêmes étapes que pour les groupes. L'utilisateur est alors provisionné automatiquement dans Tomorro

ÉTAPE 6 - Choisir le rôle Tomorro de vos utilisateurs depuis Okta

Vous pouvez également définir le rôle Tomorro (Administrateur, Manager, Contributeur) de vos utilisateurs directement depuis Okta, au niveau du groupe ou un par un. Par défaut, les membres sont créés avec le rôle Contributeur.

Voici les valeurs à saisir dans le champ User Type et les rôles Tomorro correspondants :

Attribut Okta	Rôle Tomorro (tarification V4/V5)	Rôle Tomorro (tarification V6+)
admin	Administrateur	Administrateur
manager	Manager	Créateur - Manager
user	Contributeur	Créateur - Contributeur
viewer		Lecteur

Le rôle Signataire ne peut pas être provisionné via SCIM.

Seuls les rôles suivants peuvent l'être : Administrateur, Manager, Contributeur et Lecteur.

Par les groupes
- Quand vous assignez une application à un groupe, une fenêtre d'attributs s'ouvre et permet d'affecter des valeurs automatiquement. Renseignez-y la valeur User Type pour que tous les utilisateurs du groupe reçoivent automatiquement le bon rôle dans Tomorro
Un par un
- Sur la fiche d'un utilisateur, ouvrez la section Profile et activez l'édition
- Repérez le champ User Type et attribuez-lui la bonne valeur. Validez avec la touche Entrée ou avec le bouton Save en bas de la page

Le protocole SCIM est maintenant activé pour Tomorro !

Compléments et recommandations

Les groupes créés dans Tomorro ne peuvent pas être resynchronisés vers Okta. Nous vous conseillons de recréer ces groupes directement dans Okta, puis de les provisionner vers Tomorro via SCIM pour donner accès aux dossiers et aux types de contrats. L'investissement initial est réel, mais vous y gagnerez ensuite un contrôle d'accès plus fin, piloté depuis Okta.

Il est souvent plus clair et plus efficace de séparer les groupes « d'accès » et groupes « de permission ». Vous pouvez par exemple avoir des groupes par département ou par région, qui ouvrent l'accès à certains types de contrats ou à certaines parties de votre contrathèque, et à côté un groupe « Admins » et un groupe « Managers » qui pilotent l'attribut userType .

Mise en place du SCIM - Okta