Comment relier Lucca et Microsoft 365 sans double saisie

Pourquoi Lucca et Microsoft 365 restent souvent déconnectés

Lucca est le système RH. Microsoft 365 est le poste de travail. Deux éditeurs, deux contrats, deux équipes. Personne n'a naturellement la charge de faire circuler la date d'effet, le site et l'identité de messagerie d'un bord à l'autre.

Le piège classique : la RH clôture la fiche Lucca, puis envoie un mail à l'IT. L'IT crée le compte quand elle a le temps. L'UPN choisi ne correspond pas à l'email saisi dans Lucca. Le jour J, le collaborateur a une fiche RH propre et un accès qui n'ouvre pas. Sur un réseau multi-sites, ce décalage se répète à chaque agence.

Relier les deux n'est pas un connecteur magique. C'est un flux : qui valide quoi, quels champs sont obligatoires, qui crée le compte, à quelle date. Sans cette cartographie, l'API Lucca et les scripts Graph resteront deux projets séparés.

Cartographie du flux idéal : RH, IT, dates, responsabilités

Avant d'ouvrir une console API, dessinez le chemin des données. Une ETI de 200 à 800 personnes a rarement un seul établissement : le site conditionne l'OU, les groupes et parfois la licence.

1. 1. Demande d'embauche structurée

   Le manager pose le poste, le site, la date d'effet et le type de contrat. Sans ces quatre champs, Lucca et Entra recevront des dossiers incomplets.

2. 2. Validation RH, puis écriture Lucca

   Lucca reste le SIRH maître. On n'y pousse la fiche qu'une fois le dossier validé. Écrire trop tôt crée des contrats fantômes et des identités à corriger.

3. 3. Signal IT avec les mêmes données

   L'IT ne redemande pas le nom, le site ni la date. Elle reçoit le livrable : créer le compte, attribuer la licence, poser les groupes. Voir aussi préparer l'IT avant le jour J.

4. 4. Compte Entra / M365 actif avant le premier jour

   La cible opérationnelle est un compte utilisable en J-5 à J-1, pas le matin de l'arrivée. L'email Lucca et l'UPN M365 doivent être identiques, ou mappés explicitement.

Prérequis côté Lucca : API, champs, droits

L'API Lucca n'est utile que si les champs dont l'IT a besoin existent et sont stables. Un connecteur qui pousse un nom et un contrat ne suffit pas si le site, le manager et la date d'effet manquent.

Côté droits : un compte technique avec le périmètre CRUD utilisateurs et contrats, pas le login d'un admin RH personnel. Documentez le mapping : établissement Lucca vers site IT, département vers groupes, type de contrat vers licence. Ce mapping se décide au déploiement, pas dans un script écrit un vendredi soir.

Vérifiez aussi qui a le droit de modifier une date d'arrivée après coup. Si la RH change le jour J dans Lucca et que l'IT n'est pas notifiée, vous avez juste déplacé la double saisie dans le temps.

Prérequis côté Microsoft 365 et Entra ID

Côté Microsoft, le minimum est clair : un tenant Entra, une politique de licences, des groupes de sécurité par métier ou par site. Si vous avez encore un AD on-prem, le pont hybride (Entra Connect) doit être en place avant d'automatiser la création.

Décidez où naît le compte. Cloud only : création Entra, licence M365, groupes cloud. Hybride : création dans la bonne OU, synchro vers Entra, puis licence. Les deux modèles marchent. Les mélanger sans règle produit des doublons.

Préparez aussi la convention d'UPN. prenom.nom@domaine est fréquent. Les homonymes, les tirets et les caractères accentués cassent le matching avec Lucca. Une règle écrite évite que chaque admin invente la sienne.

Scénario pas à pas : de la demande d'embauche au compte actif

Voici un enchaînement réaliste pour une ETI multi-sites. Vous pouvez l'exécuter à la main, avec des scripts IT, ou via un orchestrateur. L'ordre compte plus que l'outil.

1. Recueillir la demande : poste, site, date d'effet, manager, type de contrat. Rien ne part vers Lucca tant que ces champs ne sont pas validés.
2. Valider côté RH : la RH contrôle le dossier, corrige l'identité de messagerie si besoin, puis autorise l'écriture SIRH.
3. Créer ou mettre à jour la fiche Lucca : utilisateur, contrat, département, établissement. Lucca reste la source RH. Pas de second fichier Excel « pour l'IT ».
4. Déclencher le livrable IT : même identité, même date, même site. L'IT crée le compte Entra (ou AD + synchro), attribue la licence, pose les groupes.
5. Contrôler avant le jour J : connexion test, boîte visible, groupes corrects, UPN aligné avec Lucca. Si un champ diverge, on corrige avant l'arrivée, pas devant le nouvel arrivant.
6. Tracer qui a fait quoi : en cas d'audit, vous devez pouvoir dire qui a validé la fiche et qui a créé le compte. Un fil mail ne tient pas.

Erreurs fréquentes quand on relie Lucca et M365

Compte créé avant la validation RH. L'embauche est annulée, le compte reste. Vous payez une licence et vous ouvrez un accès sans contrat.

Email divergent. Lucca a sophie.martin@, Entra a s.martin@. Les invitations Teams, les listes de distribution et le badge d'identité ne se recoupent plus. Le matching API casse au prochain mouvement.

Date d'effet ignorée. L'IT crée le compte le jour où elle lit le mail, pas le jour prévu. Trop tôt : licence inutile. Trop tard : journée d'arrivée sans accès. Sur plusieurs sites, personne ne voit le retard de l'autre agence.

Scripts sans maître d'ouvrage. Un admin écrit un appel API Lucca, un autre un script Graph. Les deux marchent en labo. En production, la demande manager n'existe toujours pas, et le départ n'est pas branché. Relier Lucca et M365 sans offboarding, c'est finir le travail à moitié.

Questions fréquentes

Lucca propose-t-il une intégration native Microsoft 365 ?

Lucca gère le SIRH : contrats, organigramme, établissements. Le provisioning Microsoft 365 (compte Entra, licence, groupes) passe par l'IT ou par un orchestrateur. Ne prenez pas pour acquis une synchro native sans l'avoir vérifiée sur votre tenant et votre contrat Lucca.

Faut-il Azure AD Connect si AD on-premise ?

Oui en hybride. Azure AD Connect (ou Entra Connect) relie l'annuaire local à Entra ID, puis Microsoft 365. Sans ce pont, un compte créé seulement dans le cloud n'apparaît pas dans l'AD on-prem, et l'inverse est vrai. Cadrez le sens de synchro avant d'automatiser.

Qui doit piloter le projet : RH ou IT ?

Les deux. La RH maîtrise Lucca (champs, dates, établissements). L'IT maîtrise Entra, les licences et les groupes. Un référent transverse, DSI ou DRH adjoint, évite que chaque camp attende l'autre. Sans ce rôle, le projet retombe en mails.

Combien de temps entre fiche Lucca et compte M365 ?

Objectif raisonnable : compte prêt entre J-5 et J-1, une fois la fiche Lucca validée. Si la création n'a lieu que le matin du jour J, le nouvel arrivant attend, et l'IT travaille en urgence. Le délai dépend de vos validations, pas d'une durée magique.