Provisionnement SCIM avec Microsoft Entra ID

Connectez-vous à ClickHouse Cloud Console en tant qu’administrateur de l’organisation, puis ouvrez Organization settings → SAML and SCIM settings → SCIM Configuration.

Cliquez sur Enable SCIM. SCIM est disponible une fois SAML SSO connecté. Si l’option est grisée, terminez d’abord la configuration de SAML.

Une URL de point de terminaison SCIM est générée, sous la forme :

https://api.clickhouse.cloud/v1/organizations/<your-org-id>/scim

Copiez-la : vous la renseignerez ultérieurement dans Entra ID comme URL du locataire.

Repérez la section Generate new key et choisissez une date d’expiration.

Cliquez sur Generate new key. Le jeton n’est affiché qu’une seule fois, sous la forme d’une clé (préfixée par scim_) et d’un secret. Copiez-les immédiatement et stockez-les dans un gestionnaire de secrets sécurisé : ils ne pourront pas être récupérés ultérieurement. Si vous les perdez, révoquez le jeton et générez-en un nouveau.

Vous combinerez la clé et le secret en un seul jeton Bearer pour Entra ID, sous la forme :

<scim-key>:<scim-secret>

Plus précisément : la clé du jeton (commençant par scim_), suivie de deux-points, puis du secret du jeton, sans espaces. Entra ID envoie cette valeur dans l’en-tête Authorization: Bearer à chaque requête.

Dans le panneau SCIM Configuration, cliquez sur Map roles in "Utilisateurs et rôles" (ou accédez-y directement via Utilisateurs et rôles → Roles).

Les groupes SCIM sont associés aux rôles ClickHouse Cloud par leur nom. Gardez toutefois les règles suivantes à l’esprit :

• Vous ne pouvez pas mapper un groupe SCIM à un rôle système prédéfini. Les mappages SCIM s’appliquent uniquement aux rôles personnalisés. Si vous devez exposer une capacité système via SCIM, créez un rôle personnalisé qui regroupe les permissions souhaitées.
• Les noms correspondants sont associés automatiquement. Si un rôle personnalisé porte le même nom que le groupe SCIM entrant, ClickHouse Cloud les associe automatiquement : aucun mappage manuel n’est nécessaire.
• Pour utiliser un nom de rôle différent du nom du groupe, créez le rôle personnalisé avec le nom souhaité, puis définissez son champ SCIM group sur le nom du groupe SCIM auquel il doit être associé.
• Les groupes non mappés créent de nouveaux rôles. Si Entra ID transmet un groupe qui ne correspond à aucun nom de rôle existant et n’est référencé dans le champ SCIM group d’aucun rôle, ClickHouse Cloud crée un nouveau rôle personnalisé portant le nom de ce groupe. Vous pouvez ensuite lui accorder les permissions souhaitées.

Ouvrez la vue d’ensemble de Microsoft Entra ID, puis, sous Manage dans le menu de gauche, sélectionnez Enterprise applications. Ouvrez l’application créée lors de la configuration de SAML SSO pour ClickHouse Cloud.

Si vous n’avez pas encore créé l’application d’entreprise, suivez d’abord le guide de configuration SAML SSO — avec le SSO basé sur SAML, la même application d’entreprise est utilisée à la fois pour l’authentification unique et le provisionnement SCIM.

Dans la barre latérale gauche de l’application, sélectionnez Provisioning, puis cliquez sur Get started (ou sur Provisioning → Edit provisioning).

Réglez Provisioning Mode sur Automatic. Dans la section Admin Credentials, renseignez :

• Tenant URL — l’URL de l’endpoint SCIM depuis la ClickHouse Cloud Console (l’URL .../scim).
• Secret Token — vos identifiants SCIM concaténés avec deux-points, au format <scim-key>:<scim-secret>. Entra ID les envoie dans l’en-tête Authorization: Bearer.

Cliquez sur Test Connection. Entra ID effectue un appel de test à l’endpoint SCIM ; une notification de réussite devrait s’afficher. En cas d’échec, consultez la section Troubleshooting.

Cliquez sur Save.

Après avoir enregistré les informations d’identification, développez la section Mappages. Entra ID affiche deux ensembles de mappages :

• Provisionner les utilisateurs Microsoft Entra ID
• Provisionner les groupes Microsoft Entra ID

Ouvrez Provisionner les utilisateurs Microsoft Entra ID et vérifiez que les mappages d’attributs correspondent à ce que ClickHouse Cloud attend.

Par défaut, Entra ID mappe userName depuis userPrincipalName. L’essentiel est que userName provienne de l’attribut contenant la même adresse e-mail que celle utilisée par vos utilisateurs pour se connecter via SAML SSO — et non d’un nom d’attribut spécifique. Dans certains tenants, userPrincipalName contient déjà cette adresse e-mail et aucune modification n’est nécessaire ; dans d’autres, l’adresse e-mail se trouve dans mail. Vous devez alors modifier le mappage afin que userName provienne de mail. Pour modifier la source, cliquez sur la ligne userName, définissez l’Attribut source approprié, puis enregistrez.

Définissez la préséance de correspondance de sorte que userName soit l’attribut de correspondance principal. Vous pouvez supprimer les mappages non pris en charge ; tous les éléments en dehors de l’ensemble standard SCIM sont ignorés côté ClickHouse Cloud.

Les lignes restantes ci-dessous sont mappées par défaut ; vérifiez que chacune est présente :

Ouvrez Provisionner les groupes Microsoft Entra ID et vérifiez que displayName est mappé à displayName et que members est mappé à members — le nom d’affichage du groupe est celui qui est associé à votre rôle ClickHouse Cloud.

Développez la section Settings :

• Définissez Scope sur Sync only assigned users and groups. Le provisionnement sera ainsi limité aux utilisateurs et groupes que vous affecterez explicitement à l’application à l’étape suivante.
• Laissez Provisioning Status sur Off pour le moment ; vous l’activerez après avoir affecté vos utilisateurs de test.

Cliquez sur Save.

C’est ici que les rôles sont attribués automatiquement.

Créez des groupes dans Entra ID. Pour chaque role mapping configuré précédemment, créez ou identifiez un groupe Entra ID portant exactement le même nom d’affichage. Par exemple, si votre mapping indique ClickHouse-Admins → Admin, créez dans Entra ID un groupe nommé ClickHouse-Admins.

Attribuez des groupes à l’application. Dans l’application d’entreprise, accédez à Users and groups → Add user/group, sélectionnez votre groupe de rôles et attribuez-le. Répétez l’opération pour chaque groupe de rôles. Comme l’étendue de provisionnement de l’application est définie sur assigned users and groups, seuls ces groupes (et leurs membres) sont provisionnés.

Attribuez des utilisateurs. Vous avez deux options :

• Via des groupes (recommandé). Ajoutez des utilisateurs aux groupes Entra ID que vous avez attribués à l’application. Ils seront provisionnés dans ClickHouse Cloud et le rôle correspondant leur sera attribué automatiquement.
• Directement. Attribuez des utilisateurs individuels à l’application dans Users and groups. Ils seront provisionnés avec le Default role, sauf s’ils sont également membres d’un groupe attribué.

L’attribution par groupe simplifie la gestion au quotidien : lorsqu’une personne change de rôle, il suffit de mettre à jour son appartenance aux groupes.

Revenez à Provisioning, définissez Provisioning Status sur On, puis cliquez sur Save.

Entra ID exécute le provisionnement selon un cycle régulier (environ toutes les 40 minutes). Pour provisionner immédiatement un utilisateur spécifique — notamment à des fins de test — utilisez Provisioning → Provision on demand, recherchez l’utilisateur et lancez une opération de provisionnement ponctuelle.