Le provisionnement automatique permet à Microsoft Entra ID de créer, mettre à jour, désactiver et supprimer les comptes du back-office Kitchen de votre groupe. Une personne retirée dans Entra perd l’accès au back-office. Cet article s’adresse au service informatique qui administre votre annuaire Microsoft Entra ID, et à l’administrateur Kitchen de votre groupe.
Protocole : SCIM 2.0 (RFC 7643 et RFC 7644), appelé par le service de provisionnement de Microsoft Entra.
Authentification : OAuth 2.0 client credentials. Kitchen fournit un identifiant client et un secret propres à votre groupe, et délivre des jetons d’accès valables une heure.
Ressources : utilisateurs (Users) uniquement. Les groupes (Groups) ne sont pas pris en charge.
Opérations : création, lecture, recherche par userName, externalId ou id, mise à jour (PUT et PATCH), désactivation, réactivation et suppression.
Effet dans Kitchen : une personne créée obtient un compte actif avec le rôle Contributeur. Ses rôles se gèrent ensuite dans Kitchen. Une personne désactivée ou supprimée perd l’accès au back-office du groupe, et toutes ses sessions Kitchen sont fermées.
Non pris en charge : le provisionnement des groupes, et l’attribution des rôles Kitchen à partir des groupes Entra.
Rôles autorisés à configurer le provisionnement :
Administrateur
Les contributeurs ne voient pas l’onglet Connexion Microsoft.
Votre annuaire doit déjà être connecté à Kitchen : suivez d’abord l’article « Configurer la connexion Microsoft (SSO) ». Côté Microsoft, la configuration demande au minimum le rôle Application Administrator dans Microsoft Entra ID.
Licences. Le provisionnement demande l’option payante Connexion Microsoft de l’abonnement Kitchen. Côté Microsoft, le provisionnement automatique s’utilise selon les conditions de licence Microsoft.
Étape 1 : Dans le back-office, allez dans Paramètres → Connexion Microsoft. Faites défiler jusqu’à la carte Provisionnement automatique (SCIM), au badge À configurer.
Étape 2 : Cliquez sur Générer les identifiants. La carte affiche quatre valeurs : Tenant URL, Token Endpoint, Client Identifier et Client Secret. Copiez-les avec Copier.
Étape 1 : Dans le centre d’administration Microsoft Entra, ouvrez Enterprise applications → New application → Create your own application. Donnez-lui un nom, par exemple « Kitchen Provisioning », choisissez Integrate any other application you don't find in the gallery (Non-gallery), puis cliquez sur Create.
Étape 2 : Dans cette nouvelle application, ouvrez Provisioning et réglez Provisioning Mode sur Automatic. Dans Admin Credentials, choisissez la méthode OAuth2 client credentials grant, puis collez les quatre valeurs copiées dans Kitchen : Tenant URL, Token Endpoint, Client Identifier et Client Secret.
Étape 3 : Cliquez sur Test Connection, puis sur Save. Dans Kitchen, le badge passe de En attente d’Entra à Actif au premier appel d’Entra.
Étape 4 : Dans Mappings, ouvrez Provision Microsoft Entra ID Users. Pour l’attribut cible externalId, remplacez l’attribut source mailNickname par objectId, puis enregistrez. Revenez dans Mappings et désactivez Provision Microsoft Entra ID Groups : Kitchen ne prend pas en charge les groupes.
Étape 5 : Dans Users and groups, affectez les utilisateurs ou groupes à provisionner. Affectez-les aussi à l’application « Kitchen » qui sert à la connexion, sans quoi ils ne pourront pas se connecter.
Étape 6 : Revenez dans Provisioning, réglez Provisioning Status sur On, puis cliquez sur Save. Entra synchronise ensuite vos utilisateurs environ toutes les 40 minutes.
Étape 1 : Dans l’application de provisionnement, utilisez Provision on demand sur un utilisateur pilote affecté.
Étape 2 : Dans Kitchen, vérifiez dans Paramètres → Utilisateurs que la personne apparaît avec le rôle Contributeur, et que la carte affiche une date dans Dernier appel de provisionnement.
Étape 3 : Demandez au pilote de se connecter avec Se connecter avec Microsoft : sa connexion se rattache au compte provisionné.
Étape 4 : Retirez l’affectation du pilote dans l’application de provisionnement, relancez Provision on demand et vérifiez que son accès est révoqué dans Paramètres → Utilisateurs.
Tenant URL et Token Endpoint sont affichés dans la carte. Il s’agit respectivement de https://api.kitchen-app.io/functions/v1/scim et de https://api.kitchen-app.io/functions/v1/scim-token.
Jeton d’accès. Le point de terminaison de jeton accepte grant_type=client_credentials, avec l’identifiant et le secret en en-tête Authorization: Basic (client_secret_basic) ou dans le corps de la requête (client_secret_post). Il renvoie un jeton de type Bearer valable une heure.
Attributs utilisateur pris en charge :
userName (obligatoire, unique) : par défaut, le userPrincipalName.
externalId (obligatoire, non modifiable) : l’identifiant d’objet Entra (objectId), un GUID. La valeur par défaut mailNickname est refusée.
active : false désactive le compte dans le groupe, true le réactive.
displayName, name.givenName, name.familyName : nom affiché, prénom et nom du profil.
emails : l’adresse principale, sinon celle de type work. À défaut, userName s’il s’agit d’une adresse e-mail. Une adresse est obligatoire.
Les autres attributs envoyés par Entra sont ignorés. Kitchen retrouve un compte existant uniquement par son externalId, jamais par son adresse e-mail.
Règles à connaître :
Une désactivation ou une suppression révoque l’accès de la personne au groupe et ferme toutes ses sessions Kitchen, y compris celles de ses autres groupes.
Une réactivation (active=true) rétablit l’accès, même si un administrateur Kitchen l’avait révoqué à la main : Entra fait foi pour les comptes provisionnés.
Kitchen refuse de désactiver ou supprimer le dernier administrateur actif du groupe. Nommez d’abord un autre administrateur dans Paramètres → Utilisateurs.
Une adresse e-mail déjà utilisée par un autre compte Kitchen est refusée.
Si l’adresse e-mail d’une personne change dans Entra après son provisionnement, sa connexion Microsoft est refusée.
Si votre secret expire ou est perdu, générez-en un nouveau :
Étape 1 : Dans la carte Provisionnement automatique (SCIM), cliquez sur Générer un nouveau secret, puis sur Générer. Copiez le nouveau secret.
Étape 2 : Dans l’application de provisionnement d’Entra, collez-le dans Client Secret, cliquez sur Test Connection, puis sur Save.
L’ancien secret fonctionne jusqu’à ce qu’Entra obtienne un jeton avec le nouveau : le provisionnement n’est pas interrompu. Kitchen accepte au plus deux secrets actifs à la fois.
Cliquez sur Désactiver le provisionnement, puis sur Désactiver. Entra ne peut plus créer ni mettre à jour vos utilisateurs dans Kitchen. Les comptes existants sont conservés. Arrêtez aussi le provisionnement dans Entra (Provisioning Status sur Off).
« Le provisionnement demande l’option Connexion Microsoft et un annuaire connecté. » Connectez d’abord votre annuaire, ou contactez Kitchen pour activer l’option.
« Trop de secrets actifs. Désactivez le provisionnement, puis recommencez. »
« Seul un administrateur du groupe peut configurer le provisionnement. »
« Une erreur est survenue. Réessayez. »
invalid_client (401, point de terminaison de jeton) : Client Identifier ou Client Secret incorrect, ou secret remplacé. Recopiez les valeurs, ou générez un nouveau secret.
unauthorized_client (400, point de terminaison de jeton) : le provisionnement n’est pas disponible pour le groupe (option désactivée ou annuaire déconnecté).
unsupported_grant_type ou invalid_request (400) : la méthode choisie n’est pas OAuth2 client credentials grant.
401 « Missing, invalid or expired access token » : jeton expiré ou révoqué. Entra en demande un nouveau automatiquement ; si l’erreur persiste, testez la connexion.
400 invalidValue « externalId must be the Entra object id (a GUID): map objectId to externalId » : remplacez mailNickname par objectId dans le mappage externalId.
400 invalidValue « An email address (emails or userName) is required » : renseignez l’adresse e-mail de la personne dans Entra.
409 uniqueness « An account already uses this email address » ou « userName or externalId is already provisioned » : l’adresse ou l’identifiant est déjà utilisé par un autre compte. Contactez le support.
400 mutability « The group must keep at least one active admin: promote another admin first » : nommez un autre administrateur dans Kitchen avant de retirer celui-ci.
400 mutability « externalId cannot change » : l’identifiant d’objet d’une personne provisionnée ne peut pas changer.
501 « Groups are not supported » : désactivez le mappage Provision Microsoft Entra ID Groups.
Écrivez à [email protected], ou cliquez sur Aide et support dans le back-office pour écrire à l’équipe Kitchen. Joignez l’extrait des journaux de provisionnement d’Entra, sans le secret.