Kenmerkwaarden wissen (Preview)

Microsoft Entra-provisioning kan de waarde van een bestaand doelkenmerk wissen wanneer het bijbehorende bronkenmerk null is of leeg. Deze mogelijkheid wordt ook wel 'null value provisioning' genoemd, is handig wanneer een waarde wordt verwijderd uit uw systeem van record en de bijbehorende waarde ook uit het doelsysteem moet worden verwijderd.

Note

Het wissen van kenmerkwaarden is momenteel beschikbaar als preview-versie. We maken previews beschikbaar voor onze klanten onder de voorwaarden die van toepassing zijn op previews. Deze voorwaarden worden beschreven in de algemene Microsoft-productvoorwaarden voor onlineservices.

De configuratie voor het wissen van kenmerkwaarden is consistent in ondersteunde inrichtingsintegraties. De bronschema-editor en de manier waarop een bronsysteem een null-waarde vertegenwoordigt, kan echter per integratie variëren.

Preview-bereik en -beperkingen

  • Het wissen van attribuutwaarden is beschikbaar als preview voor:
    • API-gestuurde inkomende provisioning naar Microsoft Entra ID en lokale Active Directory.
    • Inkomende gebruikersprovisioning van Workday naar Microsoft Entra ID en on-premises Active Directory.
    • SAP SuccessFactors-inkomende gebruikersprovisioning naar Microsoft Entra ID en on-premises Active Directory.
  • Het wissen van kenmerkwaarden wordt alleen ondersteund voor kenmerken met één waarde.
  • Deze functie kan worden ingeschakeld voor het inrichten van aangepaste beveiligingskenmerken.
  • Het wissen van kenmerkwaarden wordt momenteel niet ondersteund voor scenario's voor het inrichten van uitgaande toepassingen, waaronder Workday Writeback en SAP SuccessFactors Writeback.
  • Het wissen van kenmerken met meerdere waarden wordt niet ondersteund.

Hoe kenmerkwaarden worden gewist

Het wissen van kenmerkwaarden is standaard uitgeschakeld en is een opt-in-functie. Het wissen van kenmerkwaarden maakt gebruik van een mechanisme voor beveiliging van twee poorten om onbedoeld gegevensverlies te voorkomen. U moet de optie Flow null values inschakelen voor zowel het bronattribuut als de overeenkomende doeltoewijzing.

Bronwaarde Resultaat wanneer wissen is ingeschakeld
Het kenmerk heeft een niet-lege waarde. De provisioningservice bepaalt de waarde op basis van de geconfigureerde kenmerktoewijzing.
Het kenmerk heeft een null- of lege waarde. Bij een update verwijdert de provisioningservice de bestaande waarde uit het toegewezen doelattribuut.
Voor API-gestuurde inrichting laten we zeggen dat u een kenmerk weglaat waarvoor null-stroom is ingeschakeld. Tijdens een update behandelt de inrichtingsservice het kenmerk als leeg en wist de bestaande toegewezen doelwaarde.

Bij het maken van een gebruiker wordt met een null-, lege of weggelaten bronwaarde het doelkenmerk niet ingevuld, tenzij u de standaardwaarde hebt geconfigureerd als null. Een standaardwaarde is alleen van toepassing tijdens het maken. Tijdens een update wist de provisioningservice de doelwaarde in plaats van de standaardwaarde die bij het aanmaken wordt ingesteld toe te passen.

Note

Configureer het wissen van kenmerkwaarden alleen voor kenmerken waarbij een lege bronwaarde of een null-bronwaarde de bestaande doelwaarde moet verwijderen. Schakel deze niet in voor kenmerken die nodig zijn om een gebruiker te vinden of te maken.

Prerequisites

Voordat u begint, moet u ervoor zorgen dat:

Controleer voor API-gestuurde inkomende provisioning naar on-premises Active Directory de aanvullende rol- en serververeisten en configureer vervolgens de provisioningagent en de Active Directory-verbinding.

Voor inrichting op basis van HR configureert u eerst een van de ondersteunde inkomende inrichtingsapps:

Null-waardestroom inschakelen voor het bronkenmerk

Configureer eerst het bronschemakenmerk om null-waarden te laten stromen. De naam van de bronschema-editor verschilt per inrichtingsintegratie.

  1. Meld u aan bij de Microsoft Entra-beheercentrum als ten minste een toepassingsbeheerder.
  2. Navigeer naar Entra ID>Enterprise apps.
  3. Zoek en selecteer uw provisioning-applicatie.
  4. Selecteer Provisioning>.
  5. Open de kenmerktoewijzing voor het object dat u wilt configureren.
  6. Vouw Geavanceerde opties uit en selecteer vervolgens de optie om de lijst met bronkenmerken te bewerken. De naam van de optie geeft het bronsysteem of de connector aan.
  7. Schakel in de kolom Null-waarden van Flow het selectievakje in voor elk bronkenmerk waarmee het toegewezen doelkenmerk kan worden gewist.
  8. Selecteer Opslaan.

Doorvoer van nullwaarden inschakelen in de doeltoewijzing

Schakel vervolgens null-waardestroom in voor elke overeenkomende doelkenmerktoewijzing.

  1. Ga terug naar de pagina Kenmerktoewijzing .
  2. Selecteer de toewijzing voor het doelattribuut dat u wilt wissen.
  3. Selecteer Null-waarden voor Flow.
  4. Selecteer OK om de toewijzingseditor te sluiten.
  5. Selecteer Opslaan om de kenmerktoewijzingen op te slaan.
  6. Herhaal deze stappen voor elk doelkenmerk dat een null-waarde moet accepteren.

Beide instellingen zijn vereist. Als null-waarden doorgeven niet is geselecteerd voor het bronschema-kenmerk of de doeltoewijzing, gebruikt de inrichtingsservice de null-waarde of lege bronwaarde niet om het doelkenmerk te wissen.

Voorbeeld van API-gestuurde inrichting

In het volgende voorbeeld ziet u hoe u met API gestuurde binnenkomende inrichting configureert om kenmerkwaarden te wissen en null- of lege waarden in een /bulkUpload aanvraag te verzenden.

Null-waardestroom inschakelen in het bronschema

Voor API-gestuurde inrichting vouwt u Geavanceerde opties uit en selecteert u api-gebruikerskenmerken bewerken. Zoek de kolom Null-waarden in Flow en selecteer de bronattributen die null- of lege waarden kunnen verzenden. In het onderstaande voorbeeld zijn null-waarden voor Flow ingeschakeld voor de SCIM-extensiekenmerken division en department. Met deze instelling wordt de inrichtingsservice geïnstrueerd om null- of lege waarden voor deze kenmerken te verwerken en de toewijzing van het doelkenmerk voor null-stroom te evalueren.

Schermopname met de kolom Null-waarden voor Flow in het schema van het API-gebruikerskenmerk.

Schermopname van API-gebruikerskenmerken waarbij voor de divisie- en afdelingskenmerken de Flow-null-waarden zijn geselecteerd.

Note

Als u de optie alleen inschakelt voor het bronattribuut, wordt de doelwaarde niet gewist; de doeltoewijzing moet ook null-waarden doorlaten, zoals beschreven in de volgende sectie.

Doorvoer van nullwaarden inschakelen in de doeltoewijzing

Open elke bijbehorende toewijzing van het doelkenmerk en selecteer Null-waarden voor Flow. In het onderstaande voorbeeld wordt het kenmerk van de SCIM-bronextensie department toegewezen aan het kenmerk Active Directory department en worden null-waarden voor Flow ingeschakeld, zodat wanneer het SCIM-bronkenmerk null of leeg is, de department kenmerkwaarde wordt gewist in Active Directory.

Schermopname van een kenmerktoewijzing met Flow null-waarden geselecteerd.

Null- of lege waarden verzenden

Neem het kenmerk op in een /bulkUpload aanvraag en stel de waarde ervan in op JSON null of een lege tekenreeks.

Important

Voor API-gestuurde provisioning wijzigt het inschakelen van null-waarden van Flow de manier waarop gedeeltelijke payloads worden verwerkt. Stel dat u een bronkenmerk weglaat waarvoor null-doorgifte is ingeschakeld; dan zal de provisioningservice de toegewezen doelwaarde wissen. Een onvolledige of gedeeltelijke bronpayload kan daarom onbedoeld bestaande kenmerkwaarden wissen. Als best practice kunt u het volledige brongebruikersrecord opnemen in elke bulkaanvraag, voor zowel volledige als deltasynchronisatie en een expliciete JSON null - of lege tekenreeks gebruiken om deterministische clearing aan te vragen.

In het volgende fragment worden de bestaande department en division waarden voor de overeenkomende gebruiker gewist:

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:BulkRequest"
  ],
  "Operations": [
    {
      "method": "POST",
      "bulkId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
      "path": "/Users",
      "data": {
        "schemas": [
          "urn:ietf:params:scim:schemas:core:2.0:User",
          "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User"
        ],
        "externalId": "701984",
        "userName": "bjensen@example.com",
        "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User": {
          "department": null,
          "division": ""
        }
      }
    }
  ],
  "failOnErrors": null
}

Gebruik de bronattribuutnamen uit het schema van uw inrichtingsapp. Zorg ervoor dat de aanvraag het overeenkomende kenmerk bevat dat is vereist voor uw configuratie, zoals externalId.

Voor instructies voor het indienen van de aanvraag, zie Quickstart voor API-gestuurde inkomende provisioning met Graph Explorer of Quickstart voor API-gestuurde inkomende provisioning met cURL.

Inrichting van Workday en SAP SuccessFactors

Voor inkomende provisioning van Workday en SAP SuccessFactors haalt de connector attribuutwaarden tijdens een provisioningcyclus rechtstreeks op uit het HR-systeem. U verzendt geen aanvraag om een /bulkUpload kenmerkwaarde te wissen.

  1. Volg de stappen in Doorstroming van null-waarden voor het bronkenmerk inschakelen.
  2. Selecteer onder Geavanceerde optiesde optie Kenmerkenlijst bewerken voor Workday of Kenmerklijst bewerken voor SuccessFactors, indien van toepassing.
  3. Selecteer alleen null-waarden voor flow voor elk bronkenmerk waarvan de null- of lege waarde de toegewezen doelwaarde moet verwijderen.
  4. Volg de stappen in de null-waardedoorvoer inschakelen in de doeltoewijzing voor elk overeenkomend doelkenmerk.
  5. Wis de waarde in Workday of SAP SuccessFactors.
  6. Sta de volgende inrichtingscyclus toe om de bronwijziging te verwerken of gebruik inrichting op aanvraag om een specifieke gebruiker te testen.

Workday maakt gebruik van XPath-expressies en SAP SuccessFactors maakt gebruik van JSONPath-expressies om bronkenmerken op te halen. Het kenmerk moet aanwezig zijn in het schema van de inrichtings-app en door de connector worden opgehaald voordat de inrichtingsservice de nullwaarde of lege waarde ervan kan evalueren.

Note

Tijdens incrementele synchronisatie retourneert Workday alleen wijzigingen die zijn vastgelegd in het transactielogboek. Als er geen wijziging van het bronkenmerk wordt gedetecteerd, ziet u dat sommige updates van het Workday-kenmerk ontbreken.

Als een null- of lege waarde een terugvalwaarde moet invullen of de bestaande doelwaarde moet behouden in plaats van deze te wissen, raadpleegt u Problemen met het bijwerken van HR-gebruikers oplossen.

Controleren of het kenmerk is gewist

Nadat de inrichtingsservice de bronupdate heeft verwerkt, controleert u het resultaat in de inrichtingslogboeken en de doelmap.

  1. Selecteer in uw inrichtings-app Inrichtingslogboeken.

  2. Open het inrichtingsevenement voor de gebruiker.

  3. Selecteer het tabblad Gewijzigde eigenschappen .

  4. Controleer of in het doelkenmerk een lege nieuwe waarde wordt weergegeven.

    Schermopname van gewijzigde eigenschappen met lege nieuwe waarden voor bedrijf en afdeling.

  5. Controleer of het kenmerk geen waarde meer heeft voor het object in het doelsysteem.

In dit on-premises Active Directory voorbeeld wordt het API-bronkenmerk division toegewezen aan het doelkenmerkcompany. Voor on-premises Active Directory verwijdert de inrichtingsservice de kenmerkwaarde in plaats van een lege tekenreeks te schrijven.

Problemen met het wissen van kenmerkwaarden oplossen

Gebruik de volgende richtlijnen als het doelkenmerk niet is gewist.

Issue Resolutie / Besluit
De null- of lege waarde wordt genegeerd. Controleer of Flow null values is geselecteerd voor zowel het kenmerk van het bronschema als de doeltoewijzing.
Het verkeerde doelattribuut wordt gewist. Controleer de attribuuttoewijzing en bevestig dat het bronattribuut is gekoppeld aan het verwachte doelattribuut.
De bron gebruikt een tijdelijke aanduidingswaarde in plaats van null. Configureer de bronintegratie zo dat deze een null-waarde of lege waarde retourneert in plaats van een plaatsaanduiding, of converteer de plaatsaanduiding voordat de provisioning plaatsvindt.
Het kenmerk wordt niet gewist door een API-gestuurde inrichtingsaanvraag. Gebruik een expliciete JSON null - of lege tekenreekswaarde. Als u gebruikmaakt van weglating voor een onderliggend attribuut, controleer dan of het bovenliggende complexe object of verzamelingselement in de payload blijft staan. Controleer ook of het overeenkomstattribuut van de payload de bestaande doelgebruiker identificeert.
Een door API aangestuurde provisioningsaanvraag leegt onverwacht een attribuut. Controleer of het attribuut niet uit de payload is weggelaten. Neem de huidige niet-lege waarde op wanneer u de bestaande doelwaarde wilt behouden.
Een wijziging in Workday of SAP SuccessFactors maakt het kenmerk niet leeg. Controleer of de HR-connector de bronwijziging heeft opgehaald. Gebruik inrichting op aanvraag om de gebruiker te testen en bekijk de inrichtingslogboeken voor de bronwaarde die door de connector is geretourneerd.

Volgende stappen 

  • Laatst bijgewerkt om