Connecter Okta

Connectez votre annuaire Okta pour synchroniser les membres dans Klang. Choisissez tous les utilisateurs synchronisés ou limitez l’accès à certains groupes.

Klang peut aussi se synchroniser depuis Microsoft Entra, Google Workspace ou un autre service SCIM. Chaque espace de travail utilise un fournisseur à la fois. Une connexion Okta peut être partagée par plusieurs espaces de travail.

Avant de commencer

Il vous faut deux choses :

• Dans Klang : être administrateur d’un espace de travail Pro ou Enterprise
• Dans Okta : le droit d’ajouter une application et de configurer le provisionnement

Les groupes sont facultatifs. Prévoyez des groupes si vous souhaitez attribuer des accès ou des rôles différents selon les personnes.

Récupérer les valeurs dans Klang

1. Dans Klang, ouvrez Paramètres → Espace de travail → Membres → Synchronisation des membres
2. Sur la carte Annuaire SCIM, cliquez sur Connecter
3. Dans la boîte de dialogue, choisissez l’onglet Okta
4. Cliquez sur Enregistrer pour créer la connexion et afficher l’URL et le jeton

Klang affiche une URL de base et un jeton, avec les étapes à suivre dans Okta.

Le jeton n’est affiché qu’une seule fois. Copiez-le avant de fermer la boîte de dialogue. Si vous le perdez, cliquez sur Créer un nouveau jeton ; l’ancien cesse alors immédiatement de fonctionner.

Si Paramètres de connexion apparaît, gardez Créer une nouvelle connexion pour une nouvelle configuration. Pour réutiliser une connexion, sélectionnez plutôt un espace de travail que vous administrez, puis cliquez sur Enregistrer. Aucun nouveau jeton ni nouvelle configuration chez le fournisseur n’est nécessaire.

Pour relire les instructions, ouvrez Plus d’options (⋮) sur la carte de connexion et sélectionnez Afficher la configuration. L’URL et les instructions du fournisseur restent disponibles, mais le jeton enregistré ne peut plus être affiché. Fermer ferme le guide sans modifier la connexion.

Ajouter l’application dans Okta

1. Dans la console d’administration Okta, allez dans Applications
2. Cliquez sur Browse App Catalog
3. Cherchez SCIM 2.0 Test App (OAuth Bearer Token) et cliquez sur Add integration
4. Nommez-la Klang, puis cliquez sur Next et Done

Malgré son nom, c’est le connecteur SCIM générique d’Okta. C’est ainsi que l’on connecte une application absente de l’Okta Integration Network, et c’est le même connecteur que documentent de nombreux éditeurs.

Coller les valeurs dans Okta

1. Dans l’application Klang, ouvrez Provisioning
2. Choisissez Integration dans la colonne de gauche, puis cliquez sur Edit
3. Cochez Enable API integration
4. Collez l’URL de base de Klang dans SCIM 2.0 Base Url
5. Collez le jeton de Klang dans OAuth Bearer Token
6. Cliquez sur Test API Credentials. Okta doit répondre que l’application “was verified successfully”
7. Cliquez sur Save

Si le test échoue, vérifiez que vous avez copié le jeton en entier et que l’URL de base ne finit pas par une barre oblique.

Activer ce dont Klang a besoin

C’est l’étape que l’on oublie, et sans elle tout ce qui suit échoue en silence.

1. Toujours sous Provisioning, choisissez To App dans la colonne de gauche, puis cliquez sur Edit
2. Activez Create Users, Update User Attributes et Deactivate Users
3. Laissez Sync Password désactivé. Klang ne connecte jamais personne avec un mot de passe venant d’Okta
4. Cliquez sur Save

Faites les modifications dans le formulaire Edit. Les mêmes options apparaissent aussi en lecture seule au-dessus, et les cocher là n’a aucun effet.

Sans Create Users, Okta se contente de chercher des personnes déjà présentes dans Klang et n’en crée aucune. Chaque affectation échoue alors avec Automatic provisioning of user ... failed: Matching user not found.

Affecter les personnes

1. Ouvrez l’onglet Assignments
2. Cliquez sur Assign, puis sur Assign to People ou Assign to Groups
3. Choisissez qui provisionner, cliquez sur Save and Go Back, puis sur Done

Affecter quelqu’un le crée dans Klang. Cela ne donne pas encore accès à un espace de travail ; c’est la dernière étape ci-dessous.

Facultatif: Envoyer vos groupes

Vous pouvez ignorer le provisionnement des groupes avec Tous les utilisateurs synchronisés. Pour sélectionner des groupes spécifiques dans Klang, transmettez ces groupes et leurs membres.

Okta envoie les noms de groupes séparément des personnes : c’est donc cette étape qui fait apparaître vos groupes dans Klang.

Si vous affectez l’application à un groupe, utilisez un autre groupe pour Push Groups.

1. Ouvrez l’onglet Push Groups
2. Cliquez sur Push Groups → Find groups by name
3. Saisissez le nom du groupe et choisissez-le dans la liste
4. Laissez Push group memberships immediately coché
5. Okta indique Match found si un groupe de ce nom existe déjà dans Klang ; choisissez alors Link Group. Sinon, il propose Create Group
6. Cliquez sur Save

Choisir les membres de cet espace de travail

Tous les utilisateurs synchronisés donne un accès membre à chaque utilisateur actif transmis par cette connexion. Gérez les administrateurs dans Klang. Votre fournisseur détermine toujours les utilisateurs transmis.

1. De retour dans Synchronisation des membres, trouvez Qui doit avoir accès ?
2. Choisissez Tous les utilisateurs synchronisés ou Choisir des groupes spécifiques. Pour des groupes spécifiques, choisissez ceux qui attribuent le rôle Administrateur ou Membre
3. Cliquez sur Voir qui est inclus pour passer en revue les personnes de votre sélection
4. Vérifiez les licences supplémentaires nécessaires, puis cliquez sur Enregistrer

Les groupes peuvent se chevaucher ; chaque personne est comptée une fois par espace de travail. Personne n’obtient l’accès depuis une nouvelle connexion tant que vous n’avez pas enregistré une sélection.

Utiliser la connexion dans un autre espace de travail

1. Passez à un autre espace de travail que vous administrez
2. Ouvrez Paramètres → Espace de travail → Membres → Synchronisation des membres
3. Sur la carte Annuaire SCIM, cliquez sur Connecter
4. Choisissez l’espace de travail dont vous voulez réutiliser la connexion
5. Cliquez sur Enregistrer pour utiliser cette connexion
6. Choisissez les personnes qui doivent avoir accès et enregistrez la sélection

Vous devez administrer les deux espaces de travail pour les relier. La connexion est partagée, Okta n’a donc besoin d’être configuré qu’une fois. Un même groupe peut accorder des rôles différents dans des espaces différents.

Ce qui se passe ensuite

• Les utilisateurs actifs inclus dans votre sélection enregistrée ont accès à cet espace de travail
• Les utilisateurs désactivés ou retirés de votre sélection perdent leur accès synchronisé. Leur contenu est conservé
• Toute personne retirée de l’application, ou désactivée dans Okta, perd l’accès de la même façon
• Les groupes d’administrateurs peuvent promouvoir des membres. Les administrateurs existants conservent leur rôle en passant dans un groupe de membres
• Les personnes qui ne se sont jamais connectées à Klang reçoivent une invitation par e-mail

Vous continuez à gérer les personnes dans Okta. Klang suit.

Renouveler le jeton

Sur la carte de connexion, ouvrez Plus d’options (⋮) et sélectionnez Créer un nouveau jeton. Tout administrateur d’un espace de travail lié peut le faire. La confirmation nomme tous les espaces concernés : l’ancien jeton cesse de fonctionner pour tous. Collez le nouveau dans le champ OAuth Bearer Token d’Okta pour relancer la synchronisation.

Si quelque chose ne se synchronise pas

• Test API Credentials, sous Provisioning → Integration, revérifie la connexion à tout moment
• Okta affiche les erreurs par personne dans l’onglet Assignments. Cliquez sur l’icône rouge à côté d’une personne pour en lire la raison
• Matching user not found signifie que Create Users est désactivé. Voyez l’étape ci-dessus
• L’onglet Import relit vos groupes depuis Klang, mais pas vos personnes. Klang répond volontairement par un résultat vide à une demande de liste complète d’utilisateurs, car il n’est pas la source de référence de votre annuaire. C’est le push qu’il faut utiliser

Se déconnecter

Cliquez sur Plus d’options (⋮) → Déconnecter pour arrêter la synchronisation de cet espace de travail. Les membres existants conservent leur accès et deviennent gérés manuellement ; les invitations de synchronisation en attente sont annulées. Les autres espaces liés continuent de se synchroniser. Déconnecter le dernier espace supprime aussi la connexion partagée et son jeton.