L'écran Utilisateurs de Portail ZAPP (menu Administration › Utilisateurs et accès › Utilisateurs) sert à créer, modifier, désactiver et débloquer les comptes. Il est réservé aux Administrateurs.
La liste des utilisateurs
La liste montre l'e-mail, le nom, la Source (Local, Active Directory, Microsoft 365), le Statut (Actif, Verrouillé, Désactivé) et la Dernière connexion de chaque compte. Filtrez par statut et par source ; si le module Organisations est installé, une colonne et un filtre Organisation s'ajoutent.
Quand le module Grilles de données est installé, la liste est une grille : sélectionnez une ligne, puis utilisez les boutons de la barre (Modifier, Désactiver, Déverrouiller, Réactiver). Sinon, chaque ligne porte ses propres boutons.
Créer un compte
Cliquez sur + Nouvel utilisateur et renseignez :
- Identifiant et Email (obligatoires ; un identifiant déjà pris est refusé) ;
- Prénom et Nom ;
- Source d'identité : Local pour un compte qui se connecte avec un mot de passe de Portail ZAPP, Active Directory ou Microsoft 365 pour un compte qui se connecte par l'annuaire de l'entreprise ;
- Mot de passe (comptes locaux) : il doit respecter la politique de mot de passe de l'instance (longueur et types de caractères réglables, voir « Sécuriser la connexion »).
Le compte est créé actif. Il n'y a pas d'invitation par e-mail : communiquez l'identifiant et le mot de passe à la personne, ou laissez-la passer par « Mot de passe oublié ».
Importer des comptes
Importer ouvre l'import d'un fichier CSV (ligne d'en-tête obligatoire, séparateur virgule ou point-virgule). Les colonnes reconnues sont Email, Login, FirstName, LastName, DisplayName, PhoneOffice, PhoneMobile, EmployeeId, IdentitySource et, si le module Organisations est installé, OrganizationCode et OrganizationRole (Member par défaut, ou Referent). L'e-mail est obligatoire ; le login vaut l'e-mail par défaut.
Choisissez le Mode d'import :
- CreateOnly et SkipExisting se comportent de la même façon : les nouveaux comptes sont créés, les comptes existants sont ignorés ;
- UpdateExisting met à jour les comptes existants et crée les nouveaux.
Le compte rendu indique les comptes Créés, Mis à jour et Ignorés, et liste les Lignes rejetées avec leur motif (e-mail absent ou invalide, organisation inconnue ou inactive, utilisateur déjà rattaché à une autre organisation…). Une ligne en erreur ne bloque pas les autres.
Modifier un compte
Modifier ouvre la fiche du compte dans une fenêtre :
- informations (nom d'affichage, téléphones, ID employé) ; l'identifiant et l'e-mail d'un compte venant d'un annuaire sont gérés par l'annuaire ;
- Groupes : ajoutez ou retirez les groupes du compte. Les groupes avec un cadenas sont gérés par une règle de groupe d'organisation (voir « Synchroniser des groupes avec les organisations ») : ils ne se modifient pas ici ;
- Organisation et rôle, en lecture, si le module Organisations est installé.
Mot de passe
Réinitialiser le mot de passe pose un nouveau mot de passe, qui doit respecter les règles de complexité. Ce n'est possible que pour un compte Local : un compte d'annuaire s'authentifie ailleurs. La réinitialisation lève aussi un blocage dû à des mots de passe erronés.
Un compte d'annuaire qui porterait encore un mot de passe local peut en être privé : Retirer le mot de passe local (motif obligatoire, conservé dans le journal d'audit). Le compte ne se connecte plus que par sa source d'identité.
Double authentification
La section Double authentification indique si le second facteur est configuré et s'il est obligatoire sur cette instance.
- Réinitialiser la 2FA supprime le second facteur, les appareils de confiance et les sessions ouvertes : l'utilisateur le reconfigure à sa prochaine connexion. Si le mot de passe peut aussi être compromis, réinitialisez-le également.
- Accorder la dispense autorise un compte à se connecter sans second facteur alors qu'il est obligatoire, jusqu'à une date choisie (30 jours au plus). Mettre fin à la dispense la retire avant terme.
Chaque action demande un motif, conservé dans le journal d'audit.
L'écran Dispenses 2FA (bouton en haut de la liste) liste les dispenses en cours : utilisateur, date de fin, motif, qui l'a accordée et quand. Chaque dispense prend fin à sa date.
Managers
Le bouton Managers et historique de la fenêtre de modification ouvre la page des managers du compte. Un lien relie le compte à un manager pour une période (du… au…, la date de fin étant exclue) :
- Hiérarchique : un seul manager à une date donnée. Pour changer de manager, mettez fin au lien en cours, puis ajoutez le nouveau à partir de la même date ;
- Fonctionnel : plusieurs managers possibles en même temps (organisation matricielle). L'écran Types de lien permet d'ajouter d'autres types.
La page montre les managers du jour et tout l'historique, avec l'origine de chaque lien : saisie à la main, Microsoft 365, Active Directory ou Google Workspace. Un lien ne peut pas faire d'un compte le manager de son propre manager, directement ou non, quel que soit le type des liens (hiérarchique ou fonctionnel) : Portail ZAPP refuse toute boucle.
Les synchronisations d'annuaire peuvent remplir le manager hiérarchique, si l'administrateur l'a activé. Un lien verrouillé (cadenas) n'est jamais modifié par une synchronisation : c'est le cas par défaut d'un lien saisi à la main. Déverrouillez-le si l'annuaire doit faire foi.
Désactiver, réactiver, déverrouiller
Le compte Système apparaît dans la liste, désactivé. Il sert de demandeur aux demandes créées automatiquement par un déclencheur, ne se connecte jamais, n'occupe aucun siège de licence et n'est proposé dans aucune liste de choix d'utilisateur. Il ne peut être ni modifié, ni réactivé, ni supprimé.
- Désactiver empêche le compte de se connecter et le déconnecte aussitôt : ses sessions ouvertes et ses accès par l'API tombent à sa requête suivante (au plus 30 secondes plus tard si Portail ZAPP tourne sur plusieurs instances). Ses données et son historique sont conservés. Un compte désactivé par la synchronisation d'annuaire (Active Directory, Microsoft 365) est coupé de la même façon. Dans la grille, supprimer une ligne désactive le compte : rien n'est effacé.
- Réactiver rend l'accès à un compte désactivé.
- Déverrouiller rend Actif un compte au statut Verrouillé et remet à zéro son compteur d'échecs de connexion. Ce statut n'est jamais posé automatiquement : c'est un blocage décidé par un administrateur (par exemple à l'import). Il dure jusqu'à ce déverrouillage ou jusqu'à une réinitialisation du mot de passe faite par un administrateur ; « Mot de passe oublié » ne le lève pas.
Après plusieurs mots de passe erronés, la connexion est bloquée pour un temps limité, puis se débloque d'elle-même ; l'utilisateur reçoit un e-mail. Ce blocage temporaire ne change pas le statut, qui reste Actif : le bouton Déverrouiller ne s'affiche donc pas. Pour le débloquer tout de suite, réinitialisez son mot de passe (lui-même peut aussi passer par « Mot de passe oublié »).
Traçabilité
Chaque création, modification, désactivation, réactivation, déverrouillage, réinitialisation de mot de passe, import et anonymisation d'un compte est inscrit au Journal d'audit, avec son auteur, son adresse IP et, pour une modification, les champs changés (avant et après). Les comptes créés, désactivés ou réactivés par la synchronisation d'annuaire y figurent aussi. Un mot de passe n'y apparaît jamais.
Restitution du matériel
Si le module Gestion des actifs est installé et que la liste est une grille, le bouton Restitution matériel ouvre la liste des actifs affectés à la personne sélectionnée, à récupérer à son départ (voir la page « Gérer les actifs »).
Voir aussi
- « Gérer les groupes » et « Régler les droits » : ce qu'un compte peut voir et faire dépend de ses groupes.
- Les règles de mot de passe, de verrouillage et de double authentification se règlent dans l'administration de l'authentification.