Portail de support Workiva

Complétez les sections suivantes afin de créer un compte d’utilisateur du système d’intégration (ISU) et un compte de groupe de sécurité (SG) pour l’accès API à Workday à partir de Workiva.

Ce processus comporte trois tâches principales.

1. Créez un compte utilisateur du système d’intégration (ISU).
2. Créez un groupe de sécurité.
3. Attribuez et activez les politiques et les autorisations de sécurité du domaine.
4. Testez et vérifiez l’accès au compte.

Créez un compte d’utilisateur du système d’intégration (ISU)

Effectuez les étapes suivantes pour créer un compte d’utilisateur du système d’intégration (ISU) qui sera utilisé par Workiva.

1. Connectez-vous à votre locataire Workday en tant qu’administrateur (ou en tant qu’utilisateur disposant des droits de sécurité appropriés).
2. Dans la boîte Workday Search, entrez Create Integration System User (Créer un utilisateur de système d’intégration) et sélectionnez cette tâche.
   
3. Saisissez un nom d’utilisateur . Par exemple : ISU_WorkivaChain_API_User.
   Nous vous recommandons d’utiliser un terme tel que « API_User » ou « outbound » pour indiquer qu’il s’agit de demandes sortantes.
4. Saisissez et vérifiez un mot de passe Mot de passe.
   Assurez-vous que le mot de passe est conforme aux règles de structure de mot de passe de votre locataire.
5. Décochez Require New Password at Next Sign In.
   Ainsi, le compte ne sera pas obligé de changer de mot de passe lors de la première connexion.
6. Comme ce compte est uniquement destiné à l’API/intégration et ne doit pas être utilisé pour se connecter de manière interactive, cochez la case Do Not Allow UI Sessions (Ne pas autoriser les sessions d’interface utilisateur).
7. (Facultatif) Réglez le paramètre Session Timeout Minutes sur une valeur adaptée aux besoins de votre intégration. La val0 eur signifie que la session n’expire pas.
8. Cliquez sur OK pour créer le compte.
9. Sur l’écran suivant, cliquez sur Terminé pour terminer la création de l’ISU.
   
10. (Facultatif) Naviguez vers la tâche « Maintain Password Rules » et ajoutez ce nouveau GIS à la liste des « System Users exempt from password expiration » afin que le mot de passe n’expire pas et que les intégrations ne soient pas interrompues.

Créez un groupe de sécurité

Suivez les étapes suivantes pour créer un groupe de sécurité spécial pour le GIS. Cela vous permet de limiter cette tâche à l’exécution de l’action Obtenir des travailleurs.

1. Dans la boîte Workday Search, entrez Create Security Group (Créer un groupe de sécurité) et sélectionnez cette tâche.
   
2. Sélectionnez le Type de groupe de sécurité loué que vous souhaitez. Cette série d’instructions utilise « Integration System Security Group (Unconstrained) »,
   , mais si votre politique de sécurité exige une politique plus restrictive, « Constrained » devrait également fonctionner, mais n’a pas été testé.

Note : Il existe deux types de groupes de sécurité : contraints et non contraints.
Un groupe de sécurité contraint garantit que le service web renvoie des résultats limités à une organisation de supervision particulière. Un groupe de sécurité sans contrainte permet à l’utilisateur d’interroger tous les travailleurs de votre locataire.

1. Saisissez un nom pour le groupe. Par exemple, SG_WorkivaChain_Group.
2. Cliquez sur OK.
3. Dans le champ Integration System Users, localisez et sélectionnez le GIS que vous avez créé dans Create an Integration System User (ISU) account. (ISU_WorkivaChain_API_User).
   
4. Cliquez sur OK.
5. Cliquez sur Terminé dans l’écran suivant.

Attribuez les politiques de sécurité du domaine (permissions)

Dans Workday, un domaine contrôle l’accès à un ensemble spécifique de données ou d’actions. Par exemple, « Données sur les travailleurs : Public Worker Reports » détermine qui peut appeler l’opération Get_Workers du service web « Staffing ». Cette étape définit les données et les actions que le groupe de sécurité (et par extension, l’ISU) peut effectuer. Pour chaque domaine (zone de données / fonction) auquel vous voulez que votre intégration accède, vous devez définir les autorisations d’activité pour le groupe de sécurité.

Politiques de sécurité du domaine Workday requises

Les politiques de sécurité de domaine et les valeurs d’accès suivantes sont requises pour la commande Get Workers.

Définir les autorisations du groupe de sécurité

Effectuez les étapes suivantes pour définir les autorisations du groupe de sécurité qui sera utilisé par Workiva.

1. Dans la boîte Workday Search, saisissez Maintain Permissions for Security Group et sélectionnez cette tâche (la boîte de dialogue Maintain Permissions for Security Group s’ouvre).
   
2. Dans le champ Operation, sélectionnez « Maintain ».
3. Dans le champ Source Security Group, localisez et sélectionnez le nom du groupe que vous avez créé dans Create a Security Group (celui dont votre GIS est membre). Pour cet exemple, il s’agit de « SG_WorkivaChain_Group ».
4. Cliquez sur OK.
5. Cliquez sur le bouton Ajouter (+) en haut à gauche du tableau pour ajouter une nouvelle ligne, puis recherchez dans la colonne Domain Security Policy la politique de domaine « WorkerData : Rapports publics sur les travailleurs ».
   
6. Localisez la colonne View/Modify Access et sélectionnez Get Only (ce qui lui confère un accès en lecture seule).
7. Répétez les étapes 5 et 6 pour les politiques « Données sur les travailleurs : Informations actuelles sur le personnel » et « Données sur les travailleurs : Compétences et expérience ».
8. Cliquez sur OK pour enregistrer vos modifications.
9. Cliquez sur OK.
10. Cliquez sur Terminé.

Activez les modifications apportées à votre politique de sécurité

Effectuez les étapes suivantes pour activer les modifications que vous avez apportées à la politique de sécurité du Workday.

1. Dans la boîte Workday Search, entrez Activate Pending Security Policy Changes et sélectionnez cette tâche.
   

2. Saisissez un bref commentaire décrivant la modification.
   Par exemple, « Appliquer les stratégies de domaine au groupe de sécurité SG_WorkivaChain_Group ».

   Avertissement : Cette modification appliquera tous les changements de politique de sécurité en cours, ce qui pourrait affecter d’autres groupes de sécurité que celui que vous venez de configurer. Vérifiez qu’il n’y a pas d’autres changements de politique de sécurité en attente avant de continuer.

3. Cliquez sur OK.
4. Cochez la case Confirm dans la boîte de dialogue suivante et cliquez sur OK pour activer ces modifications.
   
5. Votre groupe de sécurité peut maintenant exécuter le service web Get Worker.

(Facultatif) Suppression de l’accès général au domaine « Worker Data : Worker ».

Les configurations de Workday Tenant peuvent varier d’une instance à l’autre. Si « Tous les utilisateurs » ont été dotés d’un accès en lecture, veuillez suivre les instructions suivantes pour limiter les autorisations de l’utilisateur du système d’intégration de Workiva à ce qui est nécessaire.

IMPORTANT : Cette instruction a été rédigée pour la mise en œuvre d’une chaîne de récupération de données Get_Worker et devra être modifiée pour toute autre utilisation.

Note : Pour supprimer l’option « Tous les utilisateurs », vous devez spécifier explicitement les groupes qui doivent avoir accès à la stratégie du domaine « Worker Data : Worker ».

Supprimez l’accès général du domaine « Worker Data : Worker ».

Effectuez les étapes suivantes pour supprimer l’accès général du domaine « Worker Data : Worker ».

1. Dans la boîte Workday Search, entrez Domain Security Configuration et sélectionnez cette tâche.
2. Dans l’invite, recherchez et sélectionnez le domaine « Worker Data : Worker ».
3. Une fois la page ouverte, cliquez sur le menu Related Actions (le petit bouton gris « twinkie » avec trois points ou une flèche).
4. Naviguez dans le menu comme suit :
   1. Choisissez Domain, puis Edit Security Policy Permissions.
   2. Faites défiler l’écran jusqu’à la section Integration Permissions.
   3. Recherchez la ligne correspondant au groupe de sécurité All Users.
   4. Cliquez sur X pour le supprimer.
   5. Cliquez sur OK pour enregistrer vos modifications et les rendre actives.

Activez les modifications de votre politique de sécurité

Attention : Cette modification peut affecter d’autres intégrations ou rapports qui reposent sur « Tous les utilisateurs ». Testez-la d’abord dans un bac à sable et vérifiez qu’elle n’interrompt pas d’autres processus.

Effectuez les étapes suivantes pour activer les modifications apportées à la politique de sécurité.

1. Dans la boîte Workday Search, entrez Activate Pending Security Policy Changes et sélectionnez cette tâche.
2. Saisissez un bref commentaire décrivant la modification.
   Par exemple, « Suppression du groupe de sécurité ’Tous les utilisateurs’ ».
3. Cliquez sur OK pour enregistrer vos modifications et les rendre actives.

Ajoutez votre groupe de sécurité à « Worker Data : Travailleur »

Après avoir supprimé l’accès ouvert, vous devez maintenant donner explicitement au groupe de votre GIS les permissions dont il a besoin. Suivez les étapes suivantes.

1. Dans la boîte Workday Search, saisissez Domain Security Configuration et sélectionnez cette tâche.
2. Dans l’invite, recherchez et sélectionnez le domaine « Worker Data : Worker ».
   (Il se peut que vous soyez déjà sur cet écran.)
3. Une fois la page ouverte, cliquez sur le menu Related Actions.
4. Naviguez dans le menu comme suit : 
   1. Choisissez Domain puis Edit Security Policy Permissions.
   2. Faites défiler la page jusqu’à la section Integration Permissions.
   3. Cliquez sur Ajouter (+) dans cette section.
   4. Localisez et ajoutez le groupe de sécurité que vous avez créé dans Créer un groupe de sécurité.
   5. Accorder Obtenir l’autorisation. Cela permet à l’intégration d’interroger les données des travailleurs.
   6. Cliquez sur OK pour enregistrer vos modifications et les rendre actives.
5. Exécutez à nouveau le processus « Activate Security Policy Changes » (Activer les modifications de la politique de sécurité).
   Votre groupe de sécurité (et ses membres) peut désormais effectuer un appel API Get_Worker et récupérer des données publiques Worker, alors que le groupe « All Users » n’a plus cet accès.

Testez et vérifiez

Testez et vérifiez que vous pouvez utiliser les identifiants de votre GIS (ou le système d’intégration utilisant ces identifiants) pour effectuer un appel API Get_Worker. Si vous réussissez, vous recevrez les données relatives aux travailleurs telles qu’elles sont définies dans les politiques des domaines « Rapports publics sur les travailleurs » et « Travailleurs ». Si vous obtenez un message « not authorized » (code d’erreur HTML 401 ou 403) ou « no data » (code d’erreur HTML 404), vérifiez à nouveau que vous avez activé les changements de politique en cours après chacune des étapes ci-dessus.

Remarque : Telles qu’elles sont mises en œuvre par Workiva, les données renvoyées par l’appel Get_Worker sont un sous-ensemble des données de travailleur qui peuvent être renvoyées. Pour plus d’informations sur les champs disponibles, reportez-vous à la section « Modify command tab » de la page Workiva Support Get Workers command configuration tabs.

Notes

• Ce document suppose que, par défaut, le domaine « Worker Data : Worker » est livré avec le groupe « Tous les utilisateurs ».
• Ce document suppose que, par défaut, tous les comptes (y compris les GIS) sont automatiquement ajoutés au groupe « Tous les utilisateurs » lors de leur création.
• Pour les champs sensibles (tels que les informations confidentielles), Workday applique une sécurité au niveau du champ. Pour exposer des attributs privés (courriel, téléphone, etc.), vous devez modifier ces politiques de champ séparément - cela permet d’éviter la surexposition d’informations confidentielles.
• Comme toujours, nous vous demandons de tester minutieusement toutes les intégrations dans un bac à sable ou un locataire de mise en œuvre, car le non-respect de cette consigne peut avoir un impact involontaire sur les intégrations autres que celle dans laquelle vous travaillez.
• Pour plus d’informations sur le service web Get_Workers, consultez cette page du support Workday : Concept : Get Workers SOAP Web Service Guidelines and Troubleshooting.
• Étant donné que de nombreux domaines peuvent contrôler l’accès aux sections de données, veillez à consulter le document Get_Workers API et à rechercher le terme « Domain », car il vous fournira des informations utiles sur les domaines qui contrôlent les différentes sections.
• Les Required Workday domain security policies répertoriées dans ce document sont les autorisations minimales requises pour que le connecteur puisse invoquer l’API.
• Consultez le site Reference : Security-Related Reports du Guide d’administration pour plus de détails sur les rapports de sécurité disponibles.

Pour obtenir des instructions sur la configuration d’une connexion Get Worker dans les chaînes, reportez-vous à la page de support de Workiva Set up a Get Worker Connection in Chains (Configuration d’une connexion Get Worker dans les chaînes).