# Configurer une source d'identité d'annuaire et synchroniser les utilisateurs

Canonical: https://www.nsecsoft.com/fr/docs/ping64-identity-access/iam/users/directory-identity-source/

Language: fr-FR

Updated: 2026-11-15T04:10:02.449999Z

Une source d'identité synchronise les utilisateurs, groupes et appartenances d'un annuaire vers l'annuaire d'identité unifiée. L'enregistrement, le test de connexion, l'aperçu et la synchronisation sont distincts ; aucun ne prouve à lui seul que les utilisateurs sont synchronisés ou autorisés à accéder aux applications.

Cette procédure couvre les annuaires AD et LDAP. La source d'identité et la configuration d'annuaire dans la gestion de domaine AD sont des entrées distinctes. Même avec le même annuaire, vérifiez séparément usage, connexion et portée ; une entrée ne configure pas automatiquement l'autre.

Les libellés anglais ci-dessous sont ceux de l'interface vérifiée, accompagnés d'explications en français.

## Préparation

-   Vérifiez les droits de consultation, configuration, aperçu et synchronisation des sources. La synchronisation et la suppression peuvent nécessiter des droits supplémentaires.
-   Confirmez avec l'administrateur d'annuaire le serveur, le port, le certificat, le compte de liaison, la racine de synchronisation, les périmètres utilisateurs et groupes et les filtres. Le compte doit disposer des droits de lecture nécessaires ; protégez son mot de passe selon les règles de l'organisation.
-   Assurez-vous que la plateforme peut joindre l'annuaire et valider la chaîne de certificats et le nom d'hôte pour la connexion sécurisée choisie. Préparez un petit périmètre pilote, des comptes de test et un plan de restauration.
-   Coordonnez les changements d'une connexion partagée avec les autres responsables. Restreindre le périmètre ou les filtres peut exclure des utilisateurs ou groupes synchronisés et affecter leur état et leurs accès. Évaluez d'abord les effets sans tester directement tout l'annuaire.

## Configurer et tester la source

1.  **IAM > Identity Directory > Identity Sources**: Dans l'annuaire d'identité unifiée, ouvrez les sources d'identité et choisissez **Add Identity Source** (ajouter une source). Choisissez un annuaire AD ou LDAP. Le type d'une source existante ne peut pas être changé directement en édition. Les choix affichés sont **AD Domain Directory** et **LDAP Directory**.
2.  Dans **Configure connection** (configurer la connexion), saisissez le nom et choisissez de créer ou maintenir une connexion d'annuaire, ou d'utiliser une source existante. Le premier mode crée ou met à jour la connexion lors de l'enregistrement ; le second utilise celle de la source choisie. Coordonnez toute utilisation ou modification partagée. Les options sont **Create or Manage a Directory Connection** et **Use an Existing Directory Source**.
3.  Si vous gérez la connexion, choisissez LDAPS ou StartTLS, saisissez serveur, port, compte de liaison et mot de passe, puis vérifiez la validation du certificat. En édition, laisser le mot de passe vide conserve l'ancien ; pour le changer, saisissez le nouveau. Pour une source existante, vérifiez la connexion choisie et son responsable.
4.  Dans **Sync scope** (périmètre de synchronisation), vérifiez racine, périmètres utilisateurs et groupes et filtres. Décidez de **Business User Delegated Auth** (authentification déléguée des utilisateurs métier) selon votre modèle d'authentification ; ne supposez pas que la synchronisation seule l'exige.
5.  Choisissez **Test Config** (tester la configuration) et examinez les résultats. Corrigez les échecs et retestez. Contrôlez le résumé à l'étape de confirmation puis enregistrez. Un test réussi ne prouve ni la synchronisation des objets ni la connexion métier.

## Aperçu et synchronisation

1.  Revenez à la liste, rouvrez la source enregistrée et choisissez **Preview Sync** (aperçu de synchronisation) à l'étape de confirmation. Une nouvelle source doit d'abord être enregistrée ; l'aperçu utilise la configuration enregistrée, pas les modifications non enregistrées.
2.  Examinez l'état du connecteur, les ajouts, conflits et autres résultats. La page demande au plus 200 objets en aperçu ; ce n'est pas une vérification individuelle de tout l'annuaire. En cas de conflit, faites confirmer les correspondances et leur traitement par l'administrateur.
3.  Après vérification du périmètre pilote, choisissez **Sync** (synchroniser) dans le menu d'action de la source. Le message de déclenchement signifie que la tâche est soumise, non terminée. Si une tâche est déjà en cours, attendez et vérifiez son état. Les messages affichés sont **Sync triggered** et **A sync task is already running**.
4.  Consultez l'état et la date de dernière synchronisation. Une fois terminée, vérifiez les utilisateurs et groupes attendus dans la gestion des utilisateurs et examinez erreurs et conflits. Pour les objets manquants, vérifiez périmètre, filtres, droits de lecture du compte et résultat avant toute modification et nouvelle synchronisation.
5.  Les utilisateurs synchronisés nécessitent encore une portée d'accès applicative et une intégration d'authentification vérifiée. Avec [comptes utilisateurs et accès aux applications](https://www.nsecsoft.com/fr/docs/ping64-identity-access/iam/users/user-accounts/), contrôlez l'utilisateur ou son groupe réel, l'état de l'application et une connexion de test. La synchronisation n'accorde pas automatiquement l'accès à toutes les applications.

**Attention lors d’un changement de périmètre :** l’aperçu repose sur les objets lus à cet instant et ne répertorie pas complètement les utilisateurs et groupes déjà synchronisés exclus par les nouveaux périmètres ou filtres. L’absence d’élément à désactiver dans l’aperçu ne prouve donc pas qu’aucun objet ne sera désactivé. La synchronisation peut désactiver des utilisateurs ou groupes précédemment synchronisés et affecter leurs sessions et accès applicatifs. Avant la modification, comparez l’inventaire synchronisé, le périmètre prévu et les comptes critiques avec l’administrateur de l’annuaire, et préparez une restauration approuvée. Testez sur un petit périmètre, puis vérifiez séparément utilisateurs, groupes et accès métier.

**Conflits et résultat vide :** la page d’aperçu affiche un résumé, notamment l’état et les nombres de créations et de conflits, mais ne fournit ni détail des objets en conflit ni action de liaison. Si un nom d’utilisateur ou une adresse e-mail correspond à un utilisateur existant, ou si un nom de groupe entre en conflit avec un groupe existant, la synchronisation ignore l’objet concerné sans le lier automatiquement. Même si la tâche est terminée, vérifiez les utilisateurs, groupes et appartenances importants. En cas de conflit, consultez l’administrateur de l’annuaire et le support technique ; un nom identique ne suffit pas à établir l’identité. Si aucun objet n’est lu, cette synchronisation ne met aucun objet à jour et ne désactive aucun objet manquant. Une tâche terminée ne signifie donc pas que les utilisateurs existants ont été supprimés. Vérifiez le périmètre, les filtres, les droits de lecture et les données attendues avant de relancer la synchronisation.

**Groupes d’annuaire et accès aux applications :** pour une application utilisant OIDC, l’autorisation par groupe vérifie le groupe de gestion de l’utilisateur dans la gestion des identités ; elle n’utilise pas directement son appartenance aux groupes synchronisés depuis l’annuaire. Un utilisateur nouvellement créé par synchronisation n’a initialement aucun groupe de gestion. Synchroniser un groupe d’annuaire et le sélectionner dans l’application ne garantit donc pas l’accès de ses membres. Pour autoriser un groupe, vérifiez d’abord le groupe de gestion dans la gestion des utilisateurs et définissez-le selon les règles de l’organisation, puis enregistrez le périmètre d’accès spécifié de l’application. Vous pouvez aussi sélectionner directement les utilisateurs autorisés dans l’application. Évaluez les effets avant modification et vérifiez ensuite avec des comptes autorisés et non autorisés.

## Modifications et dépannage

-   **Modifier connexion ou portée :** vérifiez si la connexion est partagée et évaluez l'effet sur utilisateurs, groupes et accès métier existants ; après enregistrement, retestez et vérifiez l'aperçu et la synchronisation.
-   **Échec du test :** vérifiez adresse, port, réseau, chaîne et nom d'hôte du certificat, compte et mot de passe. N'ignorez pas les problèmes de certificat pour réussir le test.
-   **Conflits dans l'aperçu :** n'élargissez pas le périmètre sur cette seule base ; vérifiez les correspondances entre objets et utilisateurs existants et convenez d'un traitement.
-   **Tâche déclenchée mais objets absents :** vérifiez fin de tâche, périmètre, filtres et droits de lecture. Une soumission réussie n'est pas une synchronisation terminée.
-   **Utilisateur synchronisé sans accès applicatif :** vérifiez séparément état utilisateur, portée applicative, intégration d'authentification et connexion réelle. La synchronisation ou l'authentification déléguée ne remplace pas une autorisation applicative.