S’applique à
- Enterprise
Fonctionnalités
Qui peut utiliser cette fonctionnalité ?
- Administrateur système
Centre d'administration : configurer l'accès géré par l'IdP
Avec l'accès géré du fournisseur d'identité (IdP), vous pouvez contrôler efficacement l'accès et les autorisations des utilisateurs au sein de Smartsheet à l'aide de groupes basés sur des rôles définis dans votre IdP. Cela permet non seulement d'améliorer la sécurité, mais aussi de simplifier la gestion des accès, en s'intégrant parfaitement à votre système d'IdP actuel.
Qui peut l’utiliser ?
Forfaits :
- Enterprise
Autorisations :
- Administrateur système
Découvrez si cette fonctionnalité est incluse dans Régions Smartsheet ou Smartsheet pour le secteur public.
Présentation
L'intégration de la gestion d'accès basée sur les rôles avec un IdP permet des mises à jour automatiques des autorisations lorsque les rôles changent au sein de votre société. Cela élimine le processus manuel et fastidieux de mise à jour de l'accès aux éléments Smartsheet lorsqu'un employé passe à une autre équipe.
Par exemple, si un employé passe d'un rôle financier à un rôle marketing, votre organisation n'a pas besoin de supprimer manuellement son accès aux éléments financiers et d'accorder l'accès aux éléments marketing. Cela peut souvent conduire à des failles de sécurité, car tout retard dans la suppression de l'accès aux informations sensibles d'un rôle précédent augmente le risque d'accès non autorisé.
Avec l'accès géré par IdP, les rôles d'utilisateur sont automatiquement synchronisés entre les IdP définies dans votre fournisseur d'identité (tel qu'Okta ou Microsoft Entra ID) et les groupes basés sur les IdP dans Smartsheet, assurant ainsi une correspondance directe entre les rôles dans les deux systèmes.
Prérequis
- Configuration du SAML au niveau du domaine : Le langage de balisage d'assertion de sécurité (Security Assertion Markup Language, SAML) est nécessaire pour attribuer des accès et des autorisations à l'aide de groupes basés sur des IdP de domaine. Les administrateurs système doivent s'assurer que SAML SSO au niveau du domaine est configuré pour activer l'accès géré par IdP. En effet, lorsqu'un utilisateur se connecte à Smartsheet à l'aide de SAML SAML login, il partage en temps réel l'IdP de l'utilisateur d'IdP à Smartsheet.
- Configuration spécifique de l'IdP : En fonction de l'IdP que vous utilisez, suivez les instructions ci-dessous pour vous assurer que les rôles utilisateur de votre IdP sont correctement synchronisés avec Smartsheet :
- Instructions spécifiques à Okta
- Instructions spécifiques à l'ID de saisie (anciennement Azure AD)
- Autres IdP
Rappels importants
- Plans d'entreprise : Les administrateurs système des plans pour lesquels un domaine a été validé peuvent activer ou désactiver l'accès géré par l'IdP pour leurs plans via le Centre d'administration, ce qui leur permet de gérer l'accès des utilisateurs via leurs groupes basés sur les rôles d'IdP.
- Familles EPM : Seuls les administrateurs système du plan principal Enterprise Plan Manager (EPM) ont la possibilité d'activer ou de désactiver cette fonction. Les administrateurs système des plans enfants des familles EPM héritent des paramètres du plan principal et disposent d'un accès en lecture seule. Ils ne peuvent pas créer, modifier ou supprimer des groupes basés sur des IdP dans leur plan.
Activer l'accès géré en IdP
- Dans le centre d’administration, sélectionnez l’icône Menu en haut à gauche.
Accéder à Paramètres > IdP Managed Access.
Brandfolder Image
Activer le Accès Géré En IdP basculer.
Brandfolder Image
Lorsque vous activez la fonction Accès géré à l'IdP, elle génère automatiquement la feuille d'accès géré à l'IdP et la partage avec tous les administrateurs système du plan. Si nécessaire, les administrateurs système peuvent le partager avec d'autres administrateurs système comme ils le feraient avec n'importe quelle autre feuille.
On peut également se rendre au Accès Géré En IdP à partir de la carte Sécurité de la page d'accueil du Centre d'administration.
Désactiver l'accès géré par IdP
- Éteignez le Accès Géré En IdP basculer sur le Accès Géré En IdP page.
Qui peut créer des groupes d'IdP ?
- Administrateurs système des plans où le domaine est activé.
- Regroupez les administrateurs des domaines activés, si cela est autorisé par l'administrateur système.
- Les administrateurs de groupe des domaines validés peuvent demander la création de groupes d'IdP.
Mes utilisateurs pourront-ils partager avec des groupes et des groupes d'IdP Smartsheet ?
Oui. Le nom de domaine sera indiqué à la fin (dans le mode de partage) afin que les utilisateurs puissent reconnaître qu'il s'agit d'un groupe d'IdP.
Quelles sont les modifications qui se produisent lorsque j'active la fonctionnalité pour la première fois dans un plan où le domaine est activé ?
- Une nouvelle feuille est créée pour les mappages d'IdP et de groupe d'IdP.
- Les appartenances à un groupe d'IdP sont automatiquement créées et mises à jour lorsque les utilisateurs se connectent.
- Vous pouvez partager des éléments Smartsheet avec des groupes d'IdP. En outre, les utilisateurs obtiendront l'accès en fonction de leur rôle d'IdP.
Comment la désactivation de la fonctionnalité affecte-t-elle un plan dans lequel le domaine est activé ?
- La feuille est supprimée, mais tous les mappages de rôles sont conservés dans la base de données au niveau du domaine pour une utilisation ultérieure.
- La synchronisation des appartenances aux rôles et aux groupes s'arrête.
- Les utilisateurs ne peuvent plus partager d'éléments Smartsheet avec des groupes d'IdP et les appartenances aux groupes sont supprimées.
- Les appartenances de groupe existantes sont supprimées. Les utilisateurs perdront l'accès aux éléments partagés via les groupes d'IdP.
Que se passe-t-il après la réactivation de la fonctionnalité dans un plan avec un domaine activé ?
- La feuille est recréée à l'aide des mappages de rôles précédents stockés dans la base de données.
- La synchronisation des rôles et des appartenances aux groupes reprend, mettant à jour les appartenances aux groupes des utilisateurs.
- Le partage d'éléments avec des groupes d'IdP redevient disponible, ce qui permet de restaurer l'accès pour les utilisateurs disposant des rôles appropriés.
Quel est l'impact de la désactivation du domaine sur l'accès géré IdP lorsqu'elle est activée ?
- La feuille reste, mais la synchronisation s'arrête pour le domaine désactivé.
- Les mappages de rôles et les appartenances de groupes existants sont conservés, mais aucune nouvelle mise à jour n'est effectuée.
- Les utilisateurs dans des domaines désactivés perdront l'accès aux éléments Smartsheet partagés via des groupes d'IdP.
Que se passe-t-il lorsqu'un domaine est activé avec un IdP déjà défini dans la fiche ?
- Si des mappages de rôles existent déjà, ils sont synchronisés avec la feuille lorsque le domaine est activé.
- Le système s'assure que les données correctes sont disponibles dans la nouvelle feuille ou dans la feuille existante, ce qui restaure l'accès utilisateur.
Comment l'activation, la désactivation ou la réactivation de la fonctionnalité fonctionne-t-elle dans un plan où un domaine est validé ?
- Il n'y a pas d'impact direct sur la feuille, car le plan activé la gère.
- Les appartenances aux groupes sont mises à jour en fonction des connexions utilisateur, mais sont supprimées lorsque la fonctionnalité est désactivée.
- Le partage d'éléments et l'appartenance à un groupe fonctionnent comme prévu, de la même manière que les plans activés, mais sont gérés via le plan activé principal.
Quel est l'effet de l'invalidation de domaine dans un plan de domaine validé ?
- Les appartenances de groupe pour les utilisateurs dans le domaine non validé sont supprimées.
- Les utilisateurs de ces domaines perdent l'accès aux éléments partagés avec des groupes d'IdP.
Y a-t-il des cas particuliers dont je dois être au courant lorsque je traite de la désactivation ou de la réactivation d'un domaine ?
- Lorsqu'un domaine est désactivé, les lignes correspondantes de la feuille sont supprimées, mais les mappages de rôles sont conservés.
- Si le dernier domaine d'un plan est désactivé, la feuille est supprimée et la fonction est désactivée pour le plan.
- Si un domaine est réactivé, tous les mappages de rôles existants sont resynchronisés dans la feuille et les utilisateurs y accèdent à nouveau.