> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/identity-providers/active-directory.md).

# Active Directory

Utilisez Active Directory comme fournisseur d’identité afin que les utilisateurs se connectent à Dispel avec leurs identifiants Active Directory via LDAPS.

## Configuration d’une intégration Active Directory <a href="#configuring-an-active-directory-integration" id="configuring-an-active-directory-integration"></a>

Connectez Dispel à l’infrastructure de votre organisation **Active Directory (AD)** afin que votre équipe puisse se connecter avec ses identifiants professionnels existants, avec des accès accordés automatiquement en fonction des groupes AD auxquels les utilisateurs appartiennent déjà.

***

### Avant de commencer <a href="#before-you-begin" id="before-you-begin"></a>

Ces ressources sont nécessaires pour permettre aux utilisateurs de se connecter à Dispel via votre Active Directory.

* **Un compte de service AD en lecture seule**: Dispel l’utilise pour rechercher les utilisateurs et les groupes. Il doit être à privilèges minimaux et n’a pas besoin d’accès en écriture.
* **Les noms d’hôte de vos contrôleurs de domaine** (par exemple `dc01.corp.example.com`), joignables depuis Dispel via **LDAPS (port 636)**.
* **Le certificat de l’AC** qui a émis les certificats TLS de vos contrôleurs de domaine.
* **Les unités d’organisation (OU)** où se trouvent vos utilisateurs et groupes.

***

### 1. Ouvrez les paramètres Active Directory <a href="#id-1.-open-the-active-directory-settings" id="id-1.-open-the-active-directory-settings"></a>

Accédez à **Paramètres → Authentification → Active Directory** dans le tableau de bord Dispel.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-a5e4e108ec026492bf2c642249fba1dc49494502%2FScreenshot%202026-07-29%20at%204.43.53%E2%80%AFPM.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### 2. Nommez l’intégration et définissez l’identifiant de connexion <a href="#id-2.-name-the-integration-and-set-the-sign-in-identifier" id="id-2.-name-the-integration-and-set-the-sign-in-identifier"></a>

Renseignez la **Connexion** section.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-d98e1227d88d12bc8afc75b02bedd57c4afb9a15%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Champ                        | Ce que c’est                                                                                                                                         | Où le trouver                                                                                         |
| ---------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------- |
| **Nom**                      | Un libellé convivial pour cette intégration, visible uniquement dans Dispel.                                                                         | Votre choix - par ex. « Corporate AD » ou « Plant Directory ».                                        |
| **Identifiant de connexion** | Le mot-clé court et unique que vos utilisateurs saisissent lors de la connexion avec cet annuaire. Utilisez des lettres, des chiffres et des tirets. | Votre choix - par ex. `plant-directory`. Doit être unique parmi vos intégrations.                     |
| **Domaine Active Directory** | Le nom de domaine DNS de votre AD.                                                                                                                   | Votre domaine AD/DNS, par ex. `corp.example.com`. Demandez à votre administrateur AD en cas de doute. |

***

### 3. Ajoutez vos contrôleurs de domaine <a href="#id-3.-add-your-domain-controllers" id="id-3.-add-your-domain-controllers"></a>

Indiquez les contrôleurs de domaine auxquels Dispel doit se connecter. Ajoutez-en un par ligne ; vous pouvez en ajouter plusieurs pour la redondance.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6a0922c8b797f53a8d7deb15cda58dc015734cc5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Champ          | Ce que c’est                                                                                 | Où le trouver                                                                                                              |
| -------------- | -------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------- |
| **Contrôleur** | Le nom d’hôte (ou l’adresse IP) d’un contrôleur de domaine, joint via LDAPS sur le port 636. | par ex. `dc01.corp.example.com`. Depuis votre administrateur AD ou le DNS. Assurez-vous qu’il est joignable depuis Dispel. |

> **Astuce :** Après l’enregistrement et le test, chaque contrôleur affiche un état de santé - **Sain**, **Injoignable**, **Échec TLS**, ou **Échec de liaison** - afin que vous puissiez repérer les problèmes de connexion d’un coup d’œil.

***

### 4. Choisissez la confiance du certificat <a href="#id-4.-choose-certificate-trust" id="id-4.-choose-certificate-trust"></a>

Sous **Confiance du certificat**, choisissez comment Dispel valide le certificat TLS de vos contrôleurs de domaine. **La validation complète est fortement recommandée.**

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-bd1dd84fed3f3497cd68da90f5d5c4efdc7f0b10%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Option                                                | Ce que cela signifie                                                                         | Quand l’utiliser                                                                                              |
| ----------------------------------------------------- | -------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------- |
| **Valider la chaîne et le nom d’hôte** *(recommandé)* | Dispel vérifie la chaîne de certificats **et** et que le nom d’hôte correspond. Le plus sûr. | Dans presque tous les cas. Téléversez votre certificat d’AC ci-dessous.                                       |
| **Ignorer la vérification du nom d’hôte**             | La chaîne est toujours vérifiée ; seule la correspondance du nom d’hôte est ignorée.         | Uniquement si le nom d’hôte de votre certificat ne correspond pas à l’adresse à laquelle vous vous connectez. |
| **Désactiver la validation**                          | La connexion est **pas** authentifiée et pourrait être interceptée.                          | Non recommandé. Nécessite une confirmation explicite.                                                         |

| Champ                  | Ce que c’est                                                                                                                                | Où le trouver                                                                     |
| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------- |
| **certificat de l’AC** | Le certificat public de l’autorité qui a signé les certificats de vos contrôleurs de domaine. Collez le texte PEM ou téléversez un fichier. | Auprès de votre administrateur PKI ou AD. Formats acceptés : **PEM, CRT ou CER**. |

***

### 5. Ajoutez les identifiants du compte de service <a href="#id-5.-add-the-service-account-credentials" id="id-5.-add-the-service-account-credentials"></a>

Sous **Compte de service**, fournissez le compte en lecture seule que Dispel utilise pour interroger votre annuaire.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6ef23b59a1eac4c022eb0e39b658dd157de489fb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Champ                       | Ce que c’est                                           | Où le trouver                                                                                                                                                                                     |
| --------------------------- | ------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **DN ou UPN de liaison**    | Le compte de service sous lequel Dispel s’authentifie. | Le UPN du compte (par ex. `svc-dispel@corp.example.com`) ou son nom distinctif (par ex. `CN=svc-dispel,OU=Service Accounts,DC=corp,DC=example,DC=com`). Utilisez un compte **en lecture seule** . |
| **Mot de passe de liaison** | Le mot de passe du compte de service.                  | Défini par la personne qui a créé le compte de service. (Une fois enregistré, il est masqué — saisissez une nouvelle valeur uniquement pour le remplacer.)                                        |

***

### 6. Définissez le mappage des identités <a href="#id-6.-set-the-identity-mapping" id="id-6.-set-the-identity-mapping"></a>

Sous **Identité**, indiquez à Dispel où trouver les utilisateurs et les groupes, et quels attributs lire.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-9f6db0d32b9d7b0b837eebf35e7326fb99288cd3%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Champ                                  | Ce que c’est                                                                                | Où le trouver                                                                                                                 |
| -------------------------------------- | ------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------- |
| **Base de recherche des utilisateurs** | L’OU (nom distinctif) dans laquelle Dispel recherche les utilisateurs.                      | par ex. `OU=Users,DC=corp,DC=example,DC=com`. Depuis la structure de votre AD (Utilisateurs et ordinateurs Active Directory). |
| **Base de recherche des groupes**      | L’OU dans laquelle Dispel recherche les groupes.                                            | par ex. `OU=Groups,DC=corp,DC=example,DC=com`. Depuis la structure de votre AD.                                               |
| **Attribut de connexion**              | L’attribut AD que les utilisateurs saisissent comme nom d’utilisateur lors de la connexion. | Choisissez parmi les attributs détectés - généralement `sAMAccountName` ou `userPrincipalName`.                               |

**Avancé** (facultatif - développez pour ajuster) :

| Champ               | Ce que c’est                                                 | Où le trouver                               |
| ------------------- | ------------------------------------------------------------ | ------------------------------------------- |
| **Nom d’affichage** | L’attribut utilisé pour le nom d’affichage d’un utilisateur. | Généralement `displayName` ou `cn`.         |
| **E-mail**          | L’attribut utilisé pour l’adresse e-mail d’un utilisateur.   | Généralement `mail` ou `userPrincipalName`. |

***

### 7. Testez la connexion <a href="#id-7.-test-the-connection" id="id-7.-test-the-connection"></a>

Cliquez sur **Tester la connexion**. Dispel effectue une liaison avec le compte de service et vérifie chaque contrôleur de domaine.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-c5b37669559382afc58b977bc800e61b296c6206%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

* Un **réussi** le test déverrouille le mappage des groupes et vous permet d’activer l’intégration.
* Si un contrôleur affiche **Échec TLS**, **Échec de liaison**, ou **Injoignable**, consultez [Dépannage](#troubleshooting) ci-dessous.

> **Remarque :** Si vous modifiez ultérieurement des paramètres de connexion, le résultat du test précédent devient **Obsolète** - refaites un test avant d’activer.

***

### 8. Mappez les groupes AD aux groupes Dispel <a href="#id-8.-map-a-d-groups-to-dispel-groups" id="id-8.-map-a-d-groups-to-dispel-groups"></a>

Sous **Accès aux groupes**, associez chaque groupe Active Directory au groupe Dispel dont il doit accorder l’accès. **Les utilisateurs qui ne figurent dans aucun groupe mappé ne peuvent pas se connecter**, donc mappez-en au moins un.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6faf89ae9eeaf03c1c10a4dec3387878abb60bcb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Colonne                      | Ce que c’est                                                  | Où le trouver                                                     |
| ---------------------------- | ------------------------------------------------------------- | ----------------------------------------------------------------- |
| **Groupe AD**                | Le groupe Active Directory dont l’appartenance doit être lue. | Commencez à saisir pour rechercher les groupes de votre annuaire. |
| **Groupe de l’organisation** | Le groupe Dispel dont l’accès sera accordé à ces membres.     | Choisissez parmi vos groupes Dispel existants.                    |

Utilisez **Ajouter un mappage** pour ajouter d’autres lignes. Les membres sont synchronisés automatiquement : les utilisateurs ajoutés à un groupe AD mappé obtiennent l’accès, et ceux qui en sont supprimés le perdent.

***

### 9. (Facultatif) Testez la connexion d’un utilisateur <a href="#id-9.-optional-test-a-user-sign-in" id="id-9.-optional-test-a-user-sign-in"></a>

Avant l’activation, vous pouvez simuler la connexion d’un utilisateur réel via **Tester la connexion d’un utilisateur** pour confirmer qu’il serait autorisé à se connecter et à rejoindre les bons groupes.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-3811d6a9b2386fe71ed7178b0634ab8eff5880a2%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Champ                 | Ce que c’est                                                     | Où le trouver                                                                                             |
| --------------------- | ---------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------- |
| **nom d'utilisateur** | Un nom d’utilisateur réel de l’annuaire à utiliser pour le test. | La valeur de connexion de n’importe quel utilisateur AD (correspondant à l’attribut de connexion choisi). |
| **mot de passe**      | Le mot de passe de l’utilisateur.                                | Le mot de passe de l’utilisateur lui-même. Utilisé uniquement pour le test et jamais stocké.              |

Cliquez sur **Exécuter le test** pour voir si l’accès serait **accordé** ou **refusé**, et quels groupes sont résolus.

***

### 10. Activez l’intégration <a href="#id-10.-enable-the-integration" id="id-10.-enable-the-integration"></a>

Lorsque le test de connexion réussit et qu’au moins un groupe est mappé, cliquez sur **Activer**. Vos utilisateurs peuvent désormais se connecter avec leurs identifiants Active Directory en utilisant l’identifiant de connexion de l’étape 2.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-104bfb7e54151452d54d9142b51006dff58d2b66%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### Comment les utilisateurs se connectent <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Une fois l’intégration activée, les utilisateurs se connectent avec leurs identifiants Active Directory au lieu d’un mot de passe Dispel :

1. Sur l’écran de connexion Dispel, l’utilisateur saisit votre **identifiant de connexion**, puis leur **nom d’utilisateur AD et mot de passe**.
2. Dispel authentifie directement les identifiants auprès de votre annuaire — il n’y a aucune redirection vers un fournisseur d’identité externe.
3. En cas de succès, ils sont connectés.

Dispel lit l’adresse e-mail et le nom d’affichage de l’utilisateur depuis l’annuaire, en utilisant les attributs que vous avez configurés.

{% hint style="info" %}
**Les utilisateurs doivent d’abord être invités**. L’authentification via AD confirme l’identité d’un utilisateur, mais n’accorde pas l’accès à elle seule. Pour Active Directory, les invitations sont créées automatiquement lorsqu’un utilisateur appartient à un groupe AD mappé — la synchronisation des groupes les invite (et révoque l’accès lorsqu’ils sont retirés du groupe). Un utilisateur qui ne figure dans aucun groupe mappé ne peut pas se connecter.
{% endhint %}

***

### Maintenir l’accès synchronisé <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Une fois l’intégration activée, Dispel maintient automatiquement l’alignement de l’appartenance aux groupes Dispel avec vos groupes Active Directory mappés selon un calendrier récurrent - les utilisateurs ajoutés à un groupe mappé obtiennent l’accès, et ceux qui sont retirés d’un groupe mappé perdent l’accès sans aucune action manuelle.

Si vous venez de modifier l’appartenance dans Active Directory et souhaitez que ce soit reflété immédiatement, utilisez **Synchroniser maintenant**.

<figure><img src="https://1718515500-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-849ef03373977b675bfde69590b540f5f0fd8eee%2Fimage.png?alt=media" alt="" width="375"><figcaption></figcaption></figure>

* **Synchroniser maintenant** s’affiche en haut à droite de l’en-tête de la page Active Directory, et\
  uniquement lorsque l’intégration est **activée**.
* Cliquez dessus pour lancer une synchronisation immédiatement. Pendant l’opération, le bouton affiche\
  **Synchronisation…**, et la **Dernière synchronisation** l’horodatage se met à jour lorsqu’elle est terminée.
* Vous n’avez pas besoin de le faire régulièrement - les synchronisations automatiques maintiennent tout à jour d’elles-mêmes. Utilisez-le lorsque vous voulez qu’un changement soit appliqué sans attendre la prochaine synchronisation planifiée.

***

### Gestion de l’intégration <a href="#managing-the-integration" id="managing-the-integration"></a>

* **Appliquer les modifications**: enregistre les modifications d’une intégration existante. Modifier les paramètres de connexion rend le résultat du test obsolète ; refaites un test avant de vous y fier.
* **Désactiver**: arrête la connexion via l’annuaire sans supprimer la configuration. La connexion locale et la connexion de secours restent disponibles ; vous pouvez réactiver à tout moment.
* **Supprimer**: supprime entièrement l’intégration, y compris les contrôleurs de domaine, la confiance en certificat et les mappages de groupes.

***

### Dépannage <a href="#troubleshooting" id="troubleshooting"></a>

| État / message                | Ce que cela signifie généralement                    | Ce qu’il faut vérifier                                                                                                          |
| ----------------------------- | ---------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------- |
| **Injoignable**               | Dispel ne peut pas joindre le contrôleur de domaine. | Le nom d’hôte est correct et joignable depuis Dispel sur le port 636.                                                           |
| **Échec TLS**                 | Le certificat n’a pas pu être validé.                | Le bon certificat d’AC est téléversé (étape 4) et il correspond aux certificats de vos contrôleurs.                             |
| **Échec de liaison**          | Le compte de service n’a pas pu s’authentifier.      | Le DN/UPN de liaison et le mot de passe sont corrects, les attributs de connexion/e-mail sont corrects et le compte est activé. |
| **Un utilisateur est refusé** | L’utilisateur n’appartient à aucun groupe mappé.     | Confirmez qu’il appartient à un groupe AD mappé et que le mappage de groupe (étape 8) est correct.                              |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/identity-providers/active-directory.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.