Cet article explique comment intégrer Okta à Personio. Une fois intégré, cet outil facilite les processus d’onboarding et d’offboarding ainsi que la modification de certaines informations sur les employés. Les informations à jour qui sont stockées dans Personio sont ainsi automatiquement transmises à Okta, ce qui vous permet de gérer les différents accès octroyés aux employés via Okta.

Remarque
La synchronisation s’effectue uniquement de Personio vers Okta. Les informations que vous mettez à jour dans Okta ne sont pas automatiquement synchronisées dans Personio.

Conditions requises pour une intégration réussie

Avant de lancer le processus d’intégration, vérifiez les points suivants : 

• Vous disposez d’un rôle d’administrateur ou des droits de modification pour Intégration Marketplace et API dans Personio via Paramètres > Personnel > Rôles > Droits d’accès > Configuration du compte > Intégration Marketplace.
• Vous disposez du jeton API Okta qui est généré par votre administrateur Okta.
• La case Tray.io, Inc est cochée via Paramètres > Support > Abonnement et facturation > Informations sur la protection des données.
• Pour créer un profil dans Okta, le profil de l'employé dans Personio doit contenir les attributs Prénom, Nom et E-mail.

Connexion et authentification Okta

Configurez l’intégration Okta directement dans le Marketplace de Personio à l’aide de l’assistant de configuration. Pour ce faire, vous devez disposer d'un jeton API Okta et d'un domaine Okta que vous saisissez dans Personio. Procédez comme suit :

1. Dans Personio, accédez au Marketplace, puis recherchez et sélectionnez l’intégration Okta.
2. Cliquez sur Connecter pour ouvrir l’assistant de configuration.
3. Saisissez votre jeton API (la valeur du jeton générée dans votre console d'administration Okta) et votre domaine. Si vous avez plusieurs domaines, choisissez celui qui se rapporte à Personio. Vous ne pouvez utiliser qu'un seul domaine pour cette intégration.
4. Cliquez sur Suivant pour passer à la deuxième étape de l’assistant de configuration, Authentification Personio.

Authentification Personio

Pour la deuxième étape de l’assistant de configuration, vous devez accorder à l’intégration Okta l’accès aux données Personio nécessaires. Procédez comme suit :

1. Passez en revue les autorisations requises par l’intégration Okta.
2. Cliquez sur Suivant pour passer à la troisième étape de l'assistant de configuration afin de définir le schéma de connexion.

Personio permet à Okta de lire au moins les attributs système suivants :

• Prénom
• Nom
• E-mail
• Date d’embauche
• Date de rupture du contrat
• Statut
• Créé à (cette date à laquelle le profil de l’employé a été créé est obligatoire pour la synchronisation initiale)

Conseil
Vous pouvez consulter les autorisations accordées après le processus de configuration en vous rendant dans Marketplace > Afficher les intégrations connectées. Le bouton se trouve dans le coin supérieur droit de la page Marketplace.

Définir le schéma de connexion

La troisième étape de l'assistant de configuration vous demande de choisir le format du schéma de connexion dans lequel les nouvelles connexions seront créées. Procédez comme suit :

1. Vous pouvez pré-attribuer des adresses e-mail ou les définir manuellement via un attribut Personio existant. Vous pouvez également configurer le format des adresses e-mail générées automatiquement en suivant les étapes ci-dessous.
2. Choisir un début d’identifiant 
3. Ajouter un séparateur 
4. Choisir une fin d'identifiant
   Si vous préférez ne pas ajouter de séparateur ou de fin connexion, saisissez None pour les deux options et vérifiez que vous avez sélectionné Champ entier ou Première lettre pour la fin connexion.
5. Saisir le domaine Okta favoris 
6. Cliquez sur Suivant pour passer à la quatrième étape de l’assistant de configuration, Affecter les attributs.

Remarque
Si un employé ayant les mêmes valeurs pour les attributs choisis est ajouté, Okta crée un profil avec le schéma de connexion suivant : DébutIdentifiant[Séparateur]FinIdentifiant_IDEmployé@domaine (par exemple jeandupond_12345@demo.com).

Affecter les attributs

La quatrième étape de l'assistant de configuration vous demande de choisir les attributs Okta que vous souhaitez associer aux attributs Personio. À cette étape, vous pouvez également décider si vous souhaitez automatiser l’activation des utilisateurs à la date d’embauche. Procédez comme suit :

1. Passez en revue tous les attributs et vérifiez que chaque attribut Personio est associé à l’attribut Okta correspondant.
2. Cliquez sur Ajouter un nouvel attribut pour inclure d’autres attributs.
3. Cliquez sur Terminer.

La configuration de l’intégration est terminée.

Workflows Okta

Correspondance des utilisateurs

Lorsque l’intégration est configurée, le flux de liaison avec l'utilisateur commence. Il met en correspondance l'attribut d'e-mail primaire dans Okta avec les attributs d'e-mail dans Personio.

• Si l'attribut d'e-mail dans Personio correspond à l'attribut d'e-mail primaire dans Okta, l'intégration ajoute l'ID de l'employé Personio correspondant au champ Employee Number dans Okta.
• L'ID de l'employé devient le connecteur que l'intégration prend en compte dans tous les futurs workflows de mise à jour et de déprovisioning des utilisateurs. 
• S'il n'y a pas de correspondance, une mise en correspondance manuelle est nécessaire. Voir la section Mapper les profils manuellement.

Note
Les profils correspondants dans Okta avec un statut « Inactif » sont ignorés lors du processus de correspondance initial des utilisateurs.

Mapper les profils manuellement

Les profils sans correspondance nécessitent une mise en correspondance manuelle. Procédez comme suit :

1. Identifiez le profil dans Okta qui correspond à un profil d'employé dans Personio.
2. Ouvrez le profil de l'employé dans Personio et localisez l'ID employé généré par le système.
   • Accédez au profil de l'employé concerné dans Personio.
   • Copiez le numéro à la fin de l'URL du profil de l'employé.
   • Collez ce numéro dans le champ d'attribut Employee Number dans Okta. 

Provisioning des utilisateurs

• Les profils Personio qui n'ont pas été mis en correspondance lors de la synchronisation initiale sont provisionnés dans Okta. 
• L'intégration transfère l'ID employé de Personio dans le champ Employee Number du profil Okta, et crée le nom d'utilisateur pour l'utilisateur, selon le schéma de connexion que vous avez défini. (Voir Définir le schéma de connexion). Le workflow de mise à jour des utilisateurs alimente le profil.

Pour que le provisioning ait lieu, dans le profil de l'employé dans Personio :

• Les champs Prénom, Nom et E-mail de l’employé doivent être remplis.
• L'employé ne doit pas avoir le statut « Inactif ».

Remarque
Les umlauts (trémas allemands) qui se trouveraient dans les noms sont remplacés pour l’UPN de Microsoft Entra ID en fonction de votre pays de facturation. Pour les clients de pays germanophones, les umlauts sont remplacés par leur orthographe alternative : ä → ae, ö → oe, ü → ue, ß → ss. Pour tous les autres pays, les umlauts sont supprimés (par exemple, ä → a).

Mise à jour des utilisateurs

Pour que ce workflow s’exécute correctement, l’ID de l’employé doit figurer dans le profil utilisateur Okta. 

Toutes les 30 minutes, Okta exécute le workflow de mise à jour des utilisateurs pour vérifier si les attributs mappés au cours du processus de configuration ont changé dans Personio. Si un attribut change, il met automatiquement à jour l'attribut mappé dans Okta.

Ces informations peuvent être utilisées par Okta pour accorder ou révoquer les droits d'accès à des outils spécifiques en fonction des modifications. Les modifications sont uniquement transférées de Personio à Okta. Un attribut modifié manuellement dans Okta n’est pas automatiquement mis à jour dans Personio.

Remarque
Les modifications sont uniquement transférées de Personio à Okta. Un attribut modifié manuellement dans Okta n’est pas automatiquement mis à jour dans Personio.

Déprovisioning des utilisateurs

Une fois que l'attribut Statut d'un employé passe en Inactif dans Personio, le statut de l'utilisateur dans Okta passe d'« Actif » à « Désactivé ». Vous pouvez modifier manuellement l'attribut Statut dans Personio. Si vous ne le faites pas, celui-ci sera automatiquement modifié lorsqu'un employé aura dépassé sa date de résiliation. 

L'employé ne peut plus se connecter à son compte, mais l'utilisateur n'est pas supprimé. Vous pouvez toujours accéder à ses informations et à ses services connectés (comme ses boîtes de réception).

Pour en savoir plus sur l’automatisation de la gestion des identités et des accès grâce à l’intégration avec Personio, lisez l’article du Centre d’aide Gestion des identités et des accès.