Esercitazione: Gestire l'accesso a un'app locale da Microsoft Entra ID (anteprima)

Contoso esegue un'applicazione per la gestione delle spese in locale. L'applicazione utilizza l'Autenticazione integrata di Windows, quindi autentica gli utenti con Kerberos e li autorizza verificando la loro appartenenza a un gruppo di sicurezza di Active Directory Domain Services (AD DS).

Il team di gestione delle identità gestisce le persone in Microsoft Entra ID e vuole gestire l'accesso a tale applicazione dal cloud: aggiungere un utente a un gruppo cloud e usare l'app per le spese. Il gruppo Approvatori delle spese in Microsoft Entra ID include già le persone giuste, ma la composizione dei membri è eterogenea. Alcuni membri vengono sincronizzati da Active Directory Domain Services e alcuni sono stati creati nel cloud e non hanno mai un account di Active Directory Domain Services.

Questa combinazione è il problema. Un riferimento a un membro può essere scritto in un gruppo di Active Directory Domain Services solo quando il membro dispone di un account di Active Directory Domain Services a cui puntare. I membri sincronizzati ne hanno uno. I membri gestiti dal cloud non lo vedono, quindi l'applicazione non li vede mai e non possono approvare le spese.

In questa esercitazione si esegue il provisioning degli utenti gestiti nel cloud in AD DS, insieme al gruppo e alla relativa appartenenza. L'applicazione continua ad autorizzare come ha sempre fatto, mentre Microsoft Entra ID diventa il punto in cui decidi chi può accedere.

In questa esercitazione, imparerai a:

  • Esaminare gli oggetti coinvolti e i motivi per cui i membri gestiti dal cloud non hanno accesso oggi.
  • Creare una configurazione di provisioning e inserire il gruppo nell'ambito.
  • Convalidare il risultato con il provisioning su richiesta prima di abilitare qualsiasi elemento.
  • Verificare in Servizi di dominio Active Directory che siano stati creati gli account e l'appartenenza al gruppo.
  • Informazioni sul modo in cui gli utenti gestiti dal cloud accedono all'applicazione senza una password di Active Directory Domain Services.
  • Bloccare gli oggetti di cui è stato effettuato il provisioning in modo che possano essere modificati solo da Microsoft Entra ID.
  • Restituire un utente o un gruppo alla gestione locale.

Importante

Il provisioning degli utenti per Active Directory è attualmente in anteprima.

Prerequisiti

Completare i prerequisiti e i requisiti di licenza.

Oggetti in questo scenario

In questa esercitazione vengono usati gli oggetti seguenti. Sostituire gli equivalenti dal proprio tenant.

oggetto Type Stato iniziale
Britta Simon Utente sincronizzato da Active Directory Domain Services Ha un account AD DS. Accede già all'app per le spese.
Lola Jacobson Utente sincronizzato da Active Directory Domain Services Ha un account di AD DS. Accede già all'app delle spese.
Ada Whitfield Utente, gestito tramite cloud, department è Finance Nessun account AD DS. Impossibile accedere all'app delle spese.
Marco Trevisan Utente, gestito tramite cloud, department è Finance Nessun account di AD DS. Non è possibile accedere all'app delle spese.
Responsabili dell'approvazione delle spese Gruppo di sicurezza in Microsoft Entra ID Contiene tutti e quattro gli utenti. Non presente in AD DS.

Le unità organizzative seguenti esistono in Servizi di dominio Active Directory:

Nome visualizzato Nome distinto
Dati finanziari OU=Finance,DC=contoso,DC=com
Groups OU=Gruppi,DC=contoso,DC=com

Capire cosa manca oggi

Prima di modificare qualsiasi cosa, conferma quale divario stai colmando.

  1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di identità ibrida .
  2. Passare a Entra ID>Gruppi> e selezionare Approvatori spese.
  3. Selezionare Membri e prendere nota dei membri sincronizzati da Servizi di dominio Active Directory e quali sono gestiti dal cloud. La colonna abilitata per la sincronizzazione locale li distingue.
  4. Accedere all'ambiente locale e aprire Utenti e computer di Active Directory. Confermare che Ada Whitfield e Marco Trevisan non abbiano alcun account e che non esista alcun gruppo Approvatori spese.

A questo punto, il gruppo cloud è il sistema di riferimento per stabilire chi deve approvare le spese, ma AD DS non può basarsi su di esso.

Crea la configurazione del provisioning

Un dominio supporta una singola configurazione, quindi è possibile inserire entrambi i tipi di oggetto in una configurazione anziché creare una configurazione separata per ognuna.

  1. Accedere a Entra ID>Entra Connect>Cloud sincronizzazione.
  2. Selezionare Nuova configurazione>sincronizzazione da Microsoft Entra ID ad Active Directory.
  3. Selezionare il dominio e quindi crea.

La schermata Iniziamo si apre.

Includere il gruppo e i suoi membri nell'ambito

La definizione dell'ambito determina gli oggetti di cui viene effettuato il provisioning e sono disponibili due modi per definirlo. La scelta determina anche se è disponibile il filtro dei valori dell'attributo.

Scope Sceglilo quando
Utenti e gruppi selezionati Si vogliono ottenere prestazioni ottimali e i cicli di sincronizzazione più rapidi. Il servizio valuta solo gli oggetti scelti, quindi ogni ciclo esegue meno operazioni. Non aggiungere i filtri per i valori degli attributi in questa modalità — la selezione definisce già l'ambito.
Tutti gli utenti e i gruppi È necessario definire l'ambito su vasta scala oppure l'insieme di oggetti cambia nel tempo. Il filtro in base ai valori degli attributi consente di mantenere aggiornato l'ambito man mano che gli utenti entrano, cambiano ruolo e lasciano l'organizzazione, senza dover gestire manualmente un elenco preselezionato. Aggiungere sempre almeno un filtro di attributo in questa modalità.

Per le soglie relative alle dimensioni del tenant e al numero di oggetti supportati da ogni modalità, vedere Limiti di prestazioni e scalabilità.

Selezionare Aggiungi filtri di ambito oppure selezionare Filtri di ambito a sinistra in Gestisci e quindi selezionare Modifica. Seguire quindi la scheda corrispondente alla scelta.

Se si seleziona il gruppo, il gruppo viene inserito nell'ambito e ne viene eseguito il provisioning insieme ai relativi membri.

  1. Nella scheda Ambito per assegnazione impostare l'ambito su Utenti e gruppi selezionati.
  2. Selezionare il gruppo Approvatori spese.

Questa è l'opzione più veloce da sincronizzare, perché vengono valutati ogni ciclo solo gli oggetti selezionati. Per aggiungere qualcuno in un secondo momento, aggiungerli al gruppo in Microsoft Entra ID.

Qualunque sia l'ambito scelto, completa la procedura guidata:

  1. Nel passaggio Configura l'appartenenza ai gruppi, attiva il provisioning dell'appartenenza per gli utenti locali.

    Importante

    Questa opzione è disattivata per impostazione predefinita. Senza di esso, i riferimenti ai membri per Britta Simon e Lola Jacobson non vengono scritti nel gruppo di Active Directory Domain Services. Per altre informazioni, vedere Appartenenza a gruppi agli utenti locali.

  2. Impostare i contenitori di destinazione:

    • Utenti : un utente gestito dal cloud non ha , onPremisesDistinguishedNamequindi viene creato nel contenitore CN=Users,DC=contoso,DC=compredefinito . Sovrascrivilo con OU=Finance,DC=contoso,DC=com per posizionarli insieme al resto di Finance.
    • Gruppi : impostare una costante parentDistinguishedName di OU=Groups,DC=contoso,DC=com.

    Note

    Queste impostazioni predefinite variano intenzionalmente in base al tipo di oggetto. Un utente il cui "Source of Authority" viene convertito nel cloud torna automaticamente alla OU originale, perché la mappatura predefinita legge onPremisesDistinguishedName. I gruppi non hanno equivalenti, quindi per mantenere un gruppo convertito nell'unità organizzativa già occupata, vedere Mantenere l'unità organizzativa e il nome di un gruppo.

  3. Seleziona Salva.

Convalidare con il provisioning su richiesta

Eseguire il test prima di abilitare. Il provisioning su richiesta applica la configurazione a un piccolo insieme di oggetti e mostra ogni passaggio eseguito dal motore, senza avviare il processo.

  1. Aprire la configurazione e selezionare Effettuare il provisioning su richiesta.
  2. Selezionare Ada Whitfield, quindi selezionare Esegui il provisioning.
  3. Esaminare i risultati del passaggio. I passaggi di importazione, determinazione dell'ambito, abbinamento ed esportazione dovrebbero tutti completarsi correttamente e il passaggio di esportazione dovrebbe indicare un'azione di creazione.
  4. Ripeti per il gruppo approvatori delle spese.

Se un oggetto viene ignorato, il passaggio di determinazione dell'ambito spiega perché. Per la procedura completa, vedere Testare e abilitare il provisioning.

Abilitare la configurazione

Quando i risultati su richiesta sono corretti, selezionare Panoramica>Revisione e abilitare>Abilita configurazione. Il provisioning viene quindi eseguito in base alla pianificazione ricorrente.

Verificare il risultato in AD DS

Verificare che entrambe le parti dello scenario siano andate a buon fine.

  1. In Utenti e computer di Active Directory, aprire OU=Finance,DC=contoso,DC=com. Ada Whitfield e Marco Trevisan ora hanno account AD DS.

  2. Apri OU=Groups,DC=contoso,DC=com. Il gruppo Responsabili approvazione spese esiste.

  3. Aprire la scheda Membri del gruppo. Vengono visualizzati tutti e quattro gli utenti:

    • Britta Simon e Lola Jacobson, perché avevano già account di Active Directory Domain Services.
    • Ada Whitfield e Marco Trevisan, perché il provisioning ha creato i loro account, rendendo scrivibili i riferimenti dei membri.

Risultato: il gruppo cloud ora determina l'autorizzazione in AD DS. L'aggiunta di un utente a Approvatori spese in Microsoft Entra ID ne esegue il provisioning e concede l'accesso durante il ciclo successivo. Rimuoverli lo inverte.

Come gli utenti gestiti dal cloud accedono all'applicazione

L'account AD DS (Servizi di dominio Active Directory) di cui è stato eseguito il provisioning serve affinché Kerberos funzioni. Non è una seconda identità gestita dagli utenti separatamente e non è necessaria una password di Active Directory Domain Services.

Ada Whitfield accede a Microsoft Entra ID con un metodo senza password, ad esempio Windows Hello for Business o una chiave di sicurezza FIDO2. Con Cloud Kerberos Trust configurato, Microsoft Entra ID emette un ticket Kerberos per il dominio on-premises e l'applicazione per la gestione delle spese lo accetta e la autorizza tramite l'appartenenza al gruppo AD DS mantenuto dal provisioning.

Poiché l'autenticazione avviene nel cloud, l'accesso locale seleziona anche l'autenticazione a più fattori e i criteri di accesso condizionale.

Importante

Funziona per le applicazioni che usano Kerberos. Le applicazioni che richiedono direttamente una password, ad esempio il binding LDAP o Kerberos con una password, non sono supportate per gli utenti gestiti nel cloud, perché non esiste alcuna password AD DS da fornire.

Bloccare gli oggetti in modo che le modifiche provengano solo da Microsoft Entra ID

Il provisioning fa di Microsoft Entra ID il luogo in cui si decide l'accesso, ma un amministratore dell'ambiente locale può comunque modificare direttamente in AD DS l'account o il gruppo sottoposto a provisioning. L'applicazione forzata degli oggetti AD colma questa lacuna, quindi un oggetto contrassegnato accetta modifiche esclusivamente dal servizio di provisioning.

  1. Preparare i controller di dominio e installare i criteri di imposizione. Si tratta di una configurazione una tantum per dominio e ogni controller di dominio scrivibile deve essere abilitato prima di basarsi su di esso. Vedi Configurazione dell'applicazione di utenti e gruppi di Active Directory.
  2. Selezionare gli utenti per cui è stato eseguito il provisioning e il gruppo Approvatori delle spese per l'applicazione.
  3. Provare a rinominare il gruppo in Utenti e computer di Active Directory. La modifica viene bloccata e il tentativo viene registrato nel registro eventi.

Suggerimento

Installare prima i criteri in modalità di controllo . La modalità di verifica registra ciò che sarebbe stato bloccato senza bloccare nulla, così da poter individuare script e attività pianificate che scrivono ancora su questi oggetti prima di passare a Applicata.

Con l'applicazione forzata attivata, Microsoft Entra ID è in pratica l'unica autorità per l'oggetto, non solo per convenzione.

Gestire il ciclo di vita dell'utente dal cloud

Questa esercitazione inizia con gli utenti che esistono già in Microsoft Entra ID. In una distribuzione completa, il ciclo di vita inizia prima e il provisioning in AD DS diventa l'ultimo passaggio di una catena che inizia con il sistema delle risorse umane:

  1. Joiner. Il sistema HR provisiona l'utente in Microsoft Entra ID, quindi il record HR è la fonte autorevole per stabilire quali utenti esistono. Vedere Provisioning basato sulle risorse umane.
  2. Assegnazione dell'accesso.La gestione delle autorizzazioni assegna alla persona un pacchetto di accesso, oppure una regola di gruppo dinamica la aggiunge, inserendola in Expense approvers.
  3. Provisioning in Servizi di dominio Active Directory. L'utente viene creato in AD DS e viene scritto il riferimento al membro, quindi l'applicazione per la gestione delle spese lo autorizza.
  4. Sposta. Una modifica a un attributo in HR viene propagata a Microsoft Entra ID e quindi ad AD DS durante il ciclo successivo. Se la modifica li rimuove dal gruppo, anche l'accesso all'applicazione viene rimosso.
  5. Lascia. HR registra la cessazione, i flussi di lavoro del ciclo di vita eseguono le attività di offboarding e l'account di AD DS viene disabilitato. Per il comportamento completo di eliminazione e disabilitazione, vedere Funzionamento delle eliminazioni.

Una volta che questo è in esecuzione, è opportuno aggiungere due controlli di governance:

  • Le verifiche di accesso giustificano nuovamente l'appartenenza in base a una pianificazione e le rimozioni raggiungono automaticamente l'applicazione.
  • La pubblicazione del gruppo in un pacchetto di accesso consente agli utenti di richiedere l'accesso come approvatore delle spese invece di inviare un'e-mail a un amministratore.

Il risultato è che nessuna parte di questo ciclo di vita richiede che un amministratore tocchi Active Directory. Per altri dettagli su questo modello, vedere Gestire le app basate su Active Directory locale (Kerberos) usando Microsoft Entra ID Governance.

Restituire un utente o un gruppo alla gestione locale

Se hai convertito l'origine autorevole di un oggetto nel cloud e vuoi che AD DS ne riprenda il controllo, annulla la conversione. Il provisioning smette di sincronizzare l'oggetto e lo rimuove dall'ambito di applicazione. L'oggetto locale non viene eliminato e il controllo locale riprende nel ciclo di sincronizzazione successivo.

  1. Ripristina l'Origine dell'autorità dell'oggetto in modo che Active Directory Domain Services (AD DS) torni a gestirlo.
  2. In Log di controllo verificare che la sincronizzazione non venga più eseguita per l'oggetto perché è gestita in locale.
  3. In Utenti e computer di Active Directory verificare che l'oggetto sia ancora presente e non sia stato eliminato.

L'oggetto viene rimosso automaticamente dall'ambito di configurazione. Non è necessaria alcuna modifica manuale dell'ambito.

Per interrompere il provisioning di un oggetto senza una modifica della Source of Authority, rimuoverlo invece dall'ambito della configurazione.

Cosa genera il provisioning

  • Gli oggetti vengono creati oppure abbinati e aggiornati nell'unità organizzativa di destinazione in base alle mappature dell'ambito e degli attributi.
  • Le modifiche in Microsoft Entra ID vengono propagate ad AD DS in base alla pianificazione ricorrente. Per un oggetto convertito con origine autorevole, la modifica diretta di un attributo gestito in AD DS fa sì che Cloud Sync ignori l'oggetto. Per altre informazioni, vedere Cloud ignora le modifiche apportate in AD dopo la conversione SOA.
  • Per informazioni complete sul comportamento di corrispondenza, aggiornamento ed eliminazione, consulta Come funziona il provisioning in Active Directory.

Passo successivo

Configurare i criteri di applicazione per utenti e gruppi AD

Contenuti correlati

  • Last updated on