Déprovisionner définitivement l'utilisateur

Déprovisionner définitivement cet utilisateur

Description

Retire définitivement cet utilisateur : l’accès est révoqué, le compte est désactivé ou supprimé, les licences et les groupes sont ajustés, et les appartenances aux groupes peuvent être exportées avant d’être modifiées. La propriété des groupes, les subordonnés directs et les parrainages des invités peuvent être transférés à un remplaçant. Un compte supprimé ne peut être restauré que pendant 30 jours.

Prédéfinir la stratégie de départ via les paramètres du Tenant

La plupart des commutateurs de ce runbook sont pris en charge par les paramètres du Tenant, de sorte qu’une organisation peut définir une fois sa stratégie de départ et masquer les champs correspondants aux opérateurs. L’exemple ci-dessous prédéfinit chaque commutateur et masque les champs ; ne conservez que les champs que les opérateurs doivent encore décider à chaque exécution.

{
    "Settings": {
        "OffboardUserPermanently": {
            "userTypeRestriction": 0,
            "deleteUser": true,
            "disableUser": true,
            "revokeAccess": true,
            "exportGroupMemberships": true,
            "licensesMode": 0,
            "groupsMode": 0,
            "groupToAdd": "",
            "groupsToRemovePrefix": "",
            "replaceManagerReferences": true,
            "replaceSponsorReferences": true
        },
        "RJReport": {
            "StorageAccount": {
                "ResourceGroup": "rj-test-runbooks-01",
                "StorageAccountName": "rjrbexports01",
                "LinkExpiryDays": 6
            }
        }
    },
    "Runbooks": {
        "rjgit-user_general_offboard-user-permanently": {
            "ParameterList": [
                { "Name": "UserTypeSelector", "Hide": true },
                { "Name": "DisableUser", "Hide": true },
                { "Name": "RevokeAccess", "Hide": true },
                { "Name": "ChangeLicensesSelector", "Hide": true },
                { "Name": "ChangeGroupsSelector", "Hide": true },
                { "Name": "GroupToAdd", "Hide": true },
                { "Name": "GroupsToRemovePrefix", "Hide": true },
                { "Name": "CallerName", "Hide": true }
            ]
        }
    }
}

Signification des paramètres :

• Restriction du type d’utilisateur: 0 autorise tous les types d’utilisateur, 1 membres uniquement, 2 invités uniquement. Si le type d’utilisateur ne correspond pas, l’exécution s’arrête avant toute modification.
• Supprimer l’utilisateur: supprimer le compte (vrai) ou le conserver (faux).
• Désactiver l’utilisateur, Révoquer l’accès: bloque la connexion au compte et met fin aux sessions de l’utilisateur.
• Exporter les appartenances aux groupes: exporte les appartenances aux groupes vers le compte de stockage du rapport (voir RJReport.StorageAccount) et renvoie un lien de téléchargement avant que les groupes et les licences ne soient modifiés.
• Mode des licences: 0 conserve les licences attribuées directement, 2 en supprime toutes.
• Mode des groupes: 0 conserve les groupes, 1 supprime les groupes commençant par Préfixe des groupes à supprimer, 2 supprime tous les groupes. Les deux 1 et 2 ajouter ou conserver Groupe à ajouter.
• Remplacer les références au responsable, Remplacer les références au parrain: transfère les subordonnés directs et les parrainages de l’utilisateur à la personne de remplacement.

Pour plus d’informations sur la personnalisation des runbooks, veuillez vous référer au Guide de personnalisation des runbooks.

Emplacement

User → General → Offboard User Permanently

Nom complet du runbook

rjgit-user_general_offboard-user-permanently

Détails

Propriété	Valeur
Version	1.2.0
Modules requis	RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.2) ExchangeOnlineManagement (>= 3.9.2)
Planifiable	non

Autorisations

Autorisations d’application

• Type: Microsoft Graph

  • User.ReadWrite.All

    • Désactive la connexion, révoque les sessions, supprime les licences, remplace les références au responsable et au parrain et supprime l’objet utilisateur
  • Group.ReadWrite.All

    • Lit les groupes et transfère ou supprime la propriété des groupes de l’utilisateur
  • GroupMember.ReadWrite.All

    • Ajoute et supprime les appartenances aux groupes pendant le nettoyage des groupes
• Type: Office 365 Exchange Online

  • Exchange.ManageAsApp

    • Ouvre la session Exchange Online réservée à l’application utilisée pour supprimer l’utilisateur des groupes de distribution

Notes sur les autorisations

Azure Storage Account : rôle 'Storage Account Contributor' pour l’identité managée de l’Automation Account sur le Storage Account cible - le téléversement récupère les clés du compte via listKeys (requis uniquement lorsque exportGroupMemberships est utilisé)

Rôles RBAC

• Administrateur d'utilisateurs

  • Requis pour que l’identité réservée à l’application puisse bloquer la connexion, révoquer les sessions et supprimer l’utilisateur
• Administrateur Exchange

  • Requis pour la session Exchange Online réservée à l’application qui supprime les appartenances aux groupes de distribution

Paramètres

Nom d’utilisateur

Nom principal d’utilisateur de l’utilisateur sur lequel le runbook agit. Défini par le portail à partir de l’utilisateur sélectionné.

Propriété	Valeur
Obligatoire	vrai
Valeur par défaut
Type	Chaîne
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

Sélecteur du type d’utilisateur

S’exécute uniquement pour le type d’utilisateur choisi : tous les utilisateurs, membres uniquement ou invités uniquement. En cas de non-correspondance, l’exécution s’arrête avant toute modification.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	0
Type	Int32
Nom d’affichage du portail	Restreindre à un type d’utilisateur

Options du portail

Option du portail	Valeur
Autoriser tous les types d’utilisateurs (membres et invités)	0
Membres uniquement	1
Invités uniquement	2

Supprimer l’utilisateur

Supprimer enlève l’objet utilisateur. Conserver laisse le compte en place ; ce qui lui arrive dépend des autres options.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Nom d’affichage du portail	Supprimer ou conserver le compte

Options du portail

Option du portail	Valeur
Supprimer le compte	vrai
Conserver le compte	faux

DésactiverUtilisateur

Bloque la connexion au compte.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Vrai
Type	Booléen

Révoquer l’accès

Met fin aux sessions actives de l’utilisateur et invalide ses jetons d’actualisation.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Vrai
Type	Booléen

Exporter les appartenances aux groupes

Exporte les appartenances de l’utilisateur aux groupes dans un fichier et renvoie un lien de téléchargement avant que les groupes et les licences ne soient modifiés. Provient du paramètre du Tenant OffboardUserPermanently.exportGroupMemberships.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

Nom du conteneur

Conteneur Storage Account vers lequel l’export est téléversé. À définir pour chaque runbook.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	user-leaver-groupmemberships
Type	Chaîne
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

Nom du groupe de ressources

Groupe de ressources du Storage Account pour les téléversements de rapports. Pris à partir du paramètre Tenant RJReport.StorageAccount.ResourceGroup.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut
Type	Chaîne
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

Nom du Storage Account

Storage Account pour les téléversements de rapports. Pris à partir du paramètre Tenant RJReport.StorageAccount.StorageAccountName.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut
Type	Chaîne
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

LinkExpiryDays

Nombre de jours pendant lesquels un lien de téléchargement reste valide. Pris à partir du paramètre Tenant RJReport.StorageAccount.LinkExpiryDays.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	6
Type	Int32
Masqué dans le portail	oui (prédéfini via la personnalisation du runbook)

Sélecteur de modification des licences

La suppression totale retire chaque licence attribuée directement ; les licences héritées des groupes restent.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	0
Type	Int32
Nom d’affichage du portail	Licences attribuées directement

Options du portail

Option du portail	Valeur
Ne pas modifier les licences attribuées	0
Supprimer toutes les licences attribuées directement	2

Sélecteur de modification des groupes

La suppression des groupes avec le préfixe supprime les groupes nommés par ce préfixe, Supprimer tous les groupes supprime chaque groupe. Les deux ajoutent ou conservent le groupe sous "Groupe à ajouter ou à conserver". Les groupes dynamiques, attribuables à des rôles et locaux sont ignorés et répertoriés.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	0
Type	Int32
Nom d’affichage du portail	Appartenances aux groupes

Options du portail

Option du portail	Valeur
Ne pas modifier les groupes attribués	0
Supprimer les groupes avec le préfixe	1
Supprimer tous les groupes	2

Groupe à ajouter

Groupe dont l’utilisateur a encore besoin après le départ, par exemple un groupe de licences pour les personnes quittant l’entreprise. Il est ajouté s’il manque et n’est jamais supprimé.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut
Type	Chaîne

Préfixe des groupes à supprimer

Les groupes dont le nom commence par ce texte sont supprimés, par exemple LIC_ pour tous les groupes de licences. Utilisé uniquement avec "Supprimer les groupes avec le préfixe".

Propriété	Valeur
Obligatoire	faux
Valeur par défaut
Type	Chaîne

Révoquer la propriété des groupes

Supprimer ou remplacer retire la propriété des groupes de l’utilisateur. Lorsque cet utilisateur est le dernier propriétaire, le remplaçant prend le relais ; sans remplaçant, le groupe est répertorié pour un suivi manuel. Conserver laisse la propriété telle quelle.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Vrai
Type	Booléen
Nom d’affichage du portail	Propriété des groupes

Options du portail

Option du portail	Valeur
Conserver la propriété des groupes de l’utilisateur	faux
Supprimer ou remplacer la propriété des groupes de l’utilisateur	vrai

Responsable comme propriétaire remplaçant

Prend le responsable de l’utilisateur dans Entra ID comme propriétaire remplaçant, responsable et parrain. Si un responsable est défini, il est utilisé à la place de la « personne de remplacement ».

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Vrai
Type	Booléen
Nom d’affichage du portail	Utiliser le responsable comme remplaçant ?

Nom du propriétaire remplaçant

Personne qui reprend la propriété, les subordonnés directs et les parrainages lorsque le responsable n’est pas utilisé ou que cet utilisateur n’en a pas.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut
Type	Chaîne

Remplacer les références au responsable

Définit le remplaçant comme responsable de tous ceux qui rendent compte à cet utilisateur. Sans remplaçant, ces utilisateurs sont seulement répertoriés.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Nom d’affichage du portail	Responsable des subordonnés directs

Options du portail

Option du portail	Valeur
Conserver cet utilisateur comme responsable de ses subordonnés directs	faux
Définir le remplaçant comme responsable des subordonnés directs	vrai

Remplacer les références au parrain

Remplace cet utilisateur comme parrain partout où il est défini comme tel, généralement pour les utilisateurs invités. Sans remplaçant, ces utilisateurs sont seulement répertoriés. Les parrainages détenus via un groupe restent. Cela parcourt tous les utilisateurs du Tenant.

Propriété	Valeur
Obligatoire	faux
Valeur par défaut	Faux
Type	Booléen
Nom d’affichage du portail	Parrain des invités

Options du portail

Option du portail	Valeur
Conserver cet utilisateur comme parrain	faux
Remplacer cet utilisateur comme parrain des utilisateurs (invités)	vrai

Retour à la vue d’ensemble de la référence du runbook