Pour vous si…
- Les arrivées et les départs sont réguliers, et les comptes sont créés à la main.
- Vous n’êtes pas sûr que tous les accès d’un ancien collaborateur ont été retirés.
- Vous utilisez Microsoft 365 avec Entra ID et Intune.
Architecture de référence
Arrivée et départ d’un collaborateur : des accès justes, tracés, retirés à temps
Un événement RH validé déclenche la création du compte avec les seuls accès du poste, après approbation du responsable. Au départ, le même circuit retire tout.
Le déroulé, étape par étape
- Événement RH validéL’arrivée est confirmée dans le formulaire ou l’outil RH, avec la date et le poste.
- Orchestration par n8nn8n reçoit l’événement par un webhook authentifié et vérifie que tous les champs sont présents.
- Approbation du responsableLe responsable reçoit une demande d’approbation. Sans réponse, rien n’est créé ; une relance puis une alerte partent.
- Création du compte (Entra ID)Le compte est créé avec les groupes prévus pour le poste, et seulement ceux-là.
- Politiques d’appareil (Intune)L’appareil doit être inscrit et respecter les règles prévues avant d’accéder aux données.
- Remise des accès par un canal sûrMot de passe temporaire, à changer à la première connexion, remis séparément de l’identifiant. Jamais par e-mail en clair.
- Journal d’audit et alerteChaque étape est tracée. Une étape en échec déclenche une alerte.
- Départ, en miroirÀ la date de départ : compte désactivé, groupes retirés, sessions révoquées, appareil récupéré ou effacé selon la règle convenue.
Sous le capot
Secrets dans le coffre de n8n
Les identifiants sont rangés dans le gestionnaire d’identifiants de n8n, jamais écrits dans le workflow.
Webhook authentifié et limité
Le point d’entrée exige un secret et n’accepte que les appels de la source prévue, à un rythme limité.
Permissions Graph minimales
L’application n’obtient que les permissions Microsoft Graph nécessaires aux utilisateurs et aux groupes concernés.
Étapes rejouables
Chaque demande porte un identifiant unique : une étape relancée ne crée pas de deuxième compte.
File d’échecs
Une demande en échec est mise de côté avec la raison, et une alerte prévient la personne responsable.
n8n auto-hébergé : un serveur à patcher
Mises à jour de sécurité appliquées rapidement, sauvegardes testées, accès d’administration protégés.
Pour qui
Pas pour vous si…
- Une arrivée par an : une liste de contrôle écrite suffit.
- Aucune source fiable ne signale les arrivées et les départs : il faut commencer par elle.
Ce qui est livré
- Les circuits d’arrivée et de départ, testés sur un tenant de test, puis sur le vôtre.
- La correspondance entre chaque poste et ses groupes d’accès, validée par vous.
- La liste des permissions accordées à l’automatisation, avec leur justification.
- La procédure de reprise et la documentation, avec les accès à votre nom.
Questions fréquentes
Pourquoi n8n plutôt que Power Automate ?
Les deux conviennent. n8n s’impose quand il faut relier des outils hors de Microsoft ou garder l’orchestration sur un serveur que vous contrôlez ; Power Automate quand tout se passe déjà dans Microsoft 365. Le choix est écrit et expliqué.
Qui décide des accès d’un poste ?
Vous. La correspondance entre postes et groupes d’accès est écrite et validée par le responsable avant la mise en service.
Que se passe-t-il si l’approbation n’arrive pas ?
Rien n’est créé. Une relance part, puis une alerte.
Le mot de passe initial circule-t-il par e-mail ?
Non. Il est temporaire, à changer à la première connexion, et remis séparément de l’identifiant.
Et si le serveur n8n est arrêté ?
Les demandes en attente sont rejouées sans doublon à son retour, et une procédure manuelle de secours est documentée.
Contact
Décrivez le processus. Nous commençons par l’analyser.
Ou écrivez-nous directement : contact@cyphex.io