Zelfstudie: kenmerktoewijzingen voor gebruikersinrichting aanpassen voor SaaS-toepassingen in Microsoft Entra ID

Microsoft Entra ID biedt ondersteuning voor het inrichten van gebruikers voor niet-Microsoft SaaS-toepassingen zoals Salesforce, G Suite en anderen. Als u gebruikersvoorziening inschakelt voor een SaaS-toepassing die geen Microsoft-toepassing is, beheert het Microsoft Entra beheercentrum de waarden van de attributen via attributietoewijzingen.

Voordat u aan de slag gaat, moet u ervoor zorgen dat u bekend bent met app-beheer en concepten voor eenmalige aanmelding (SSO ). Zie de volgende koppelingen:

• Quickstart-serie over app-beheer in Microsoft Entra ID
• Wat is eenmalige aanmelding?

Er is een vooraf geconfigureerde set kenmerken en kenmerktoewijzingen tussen Microsoft Entra gebruikersobjecten en de gebruikersobjecten van elke SaaS-app. Sommige apps beheren andere typen objecten naast gebruikersobjecten, zoals objecten voor groepen.

U kunt de standaard kenmerktoewijzingen aanpassen op basis van de behoeften van uw bedrijf. Dit betekent dat u bestaande kenmerktoewijzingen kunt wijzigen of verwijderen, of nieuwe kenmerktoewijzingen kunt maken.

Kenmerktoewijzingen voor gebruikers wijzigen

Volg deze stappen voor toegang tot de kenmerktoewijzingsfunctie van gebruikersinrichting:

1. Meld u aan bij de Microsoft Entra-beheercentrum als minimaal een Applicatiebeheerder.

2. Blader naar Entra ID>Enterprise apps.

3. Er wordt een lijst met alle geconfigureerde apps weergegeven, met inbegrip van apps die zijn toegevoegd vanuit de galerie.

4. Selecteer een app om het beheervenster van de app te laden, waar u rapporten kunt bekijken en app-instellingen kunt beheren.

5. Selecteer Inrichten om de instellingen voor het inrichten van gebruikersaccounts voor de geselecteerde app te beheren.

6. Selecteer onder Beherende optie Kenmerktoewijzing. Op de pagina kenmerktoewijzing wordt een tabel met huidige toewijzingen weergegeven die zijn ingedeeld op objecttype (Gebruikers en groepen). In de tabel ziet u het bronkenmerk, het doelkenmerk, het toewijzingstype en de overeenkomende prioriteit voor elke toewijzing.

7. Als u een bestaande toewijzing wilt bewerken, selecteert u het potloodpictogram rechts van de toewijzingsrij. Het scherm Kenmerk bewerken wordt geopend, waar u de gebruikerskenmerken kunt wijzigen die tussen Microsoft Entra ID en de doeltoepassing stromen.

8. Als u een toewijzing wilt verwijderen, selecteert u het prullenbakpictogram rechts van de rij met de toewijzing. Voor vereiste kenmerken is de optie Verwijderen niet beschikbaar.

Inzicht in soorten attributen-mapping

Met kenmerktoewijzingen bepaalt u hoe kenmerken worden ingevuld in een SaaS-toepassing van een andere leverancier dan Microsoft. Er worden vier verschillende mappingtypes ondersteund:

• Direct: het doelkenmerk wordt gevuld met de waarde van een kenmerk van het gekoppelde object in Microsoft Entra ID.

• Constante: het doelkenmerk wordt gevuld met een specifieke tekenreeks die u hebt opgegeven.

• Expressie: het doelkenmerk wordt ingevuld op basis van het resultaat van een scriptachtige expressie. Zie voor meer informatie over expressies, Schrijven van expressies voor Attribute-Mappings in Microsoft Entra ID.

  Notitie

  De maximale ondersteunde lengte voor één kenmerktoewijzingsexpressie is 10.000 tekens.

• LCW-uitbreidbaarheidswerkstroom: het doelkenmerk wordt gevuld met de waarde die wordt gegenereerd door een Azure Logische app, die wordt geactiveerd door een LCW-uitbreidbaarheidswerkstroom. Zie Kenmerktoewijzingen uitbreiden met LCW-uitbreidbaarheidswerkstromen voor meer informatie over dit toewijzingstype.

• Geen: het doelkenmerk blijft ongewijzigd. Als het doelkenmerk echter ooit leeg is, wordt deze gevuld met de standaardwaarde die u opgeeft.

Naast deze vier basistypen ondersteunt aangepaste kenmerktoewijzingen het concept van een optionele standaardwaarde-toewijzing. De standaardwaardetoewijzing zorgt ervoor dat een doelkenmerk wordt gevuld met een waarde als er geen waarde is in Microsoft Entra ID of op het doelobject. De meest gangbare configuratie is om dit leeg te laten. Voor meer informatie over toewijzingskenmerken, zie Hoe applicatieprovisioning werkt in Microsoft Entra ID.

Begrip van eigenschappen van attributietoewijzingen

In de vorige sectie hebt u kennisgemaakt met de eigenschap attribuuttoewijzingstype. Naast deze eigenschap ondersteunen kenmerktoewijzingen ook de kenmerken:

• Source-kenmerk : het gebruikerskenmerk van het bronsysteem (bijvoorbeeld: Microsoft Entra ID).
• Doelkenmerk: het gebruikerskenmerk in het doelsysteem (bijvoorbeeld: ServiceNow).
• Standaardwaarde als null (optioneel): de waarde die wordt doorgegeven aan het doelsysteem als het bronkenmerk null is. Deze waarde wordt alleen toegekend wanneer een gebruiker wordt gemaakt. De 'standaardwaarde bij null' wordt niet ingesteld bij het bijwerken van een bestaande gebruiker. Voeg bijvoorbeeld een standaardwaarde voor functiebenaming toe bij het aanmaken van een gebruiker met de expressie: Switch(IsPresent([jobTitle]), "DefaultValue", "True", [jobTitle]). Zie Referentie voor het schrijven van expressies voor kenmerktoewijzingen in Microsoft Entra ID voor meer informatie over expressies.
• Objecten koppelen met dit kenmerk: geeft aan of deze toewijzing moet worden gebruikt om gebruikers uniek te identificeren tussen het bron- en doelsysteem. Wordt gebruikt voor userPrincipalName of e-mailkenmerk in Microsoft Entra ID en toegewezen aan een gebruikersnaamveld in een doeltoepassing.
• Prioriteit bij koppelen: er kunnen meerdere overeenkomende kenmerken worden ingesteld. Wanneer er meerdere zijn, worden ze geëvalueerd in de volgorde die door dit veld is gedefinieerd. Zodra er een overeenkomst wordt gevonden, worden er geen verdere overeenkomende kenmerken geëvalueerd. Hoewel u zoveel overeenkomende kenmerken kunt instellen als u wilt, kunt u overwegen of de kenmerken die u gebruikt als overeenkomende kenmerken echt uniek zijn en overeenkomende kenmerken moeten zijn. Over het algemeen hebben klanten een of twee overeenkomende kenmerken in hun configuratie.
• Pas de toewijzing toe.
  • Altijd – Pas deze toewijzing toe bij zowel het maken als het bijwerken van gebruikers.
  • Alleen tijdens gebruikerscreatie: deze toewijzing alleen toepassen bij het aanmaken van gebruikers.

Overeenkomende gebruikers in het bron- en doelsysteem

De Microsoft Entra inrichtingsservice kan worden ingezet voor zowel groenveldscenario's (waarbij gebruikers niet bestaan in het doelsysteem) als brownfieldscenario's (waarbij gebruikers al in het doelsysteem bestaan). Om beide scenario's te ondersteunen, hanteert de inrichtingsservice het concept van overeenkomende kenmerken. Overeenkomende kenmerken maken het mogelijk om te bepalen hoe een gebruiker in het bronsysteem uniek wordt geïdentificeerd en wordt gekoppeld aan de gebruiker in het doelsysteem. Als onderdeel van het plannen van uw implementatie, identificeert u het kenmerk dat kan worden gebruikt om een gebruiker uniek te identificeren in de bron- en doelsystemen. Punten die u moet in acht nemen:

• Overeenkomende kenmerken moeten uniek zijn: klanten gebruiken vaak kenmerken zoals userPrincipalName, mail of object-id als het overeenkomende kenmerk.
• Meerdere kenmerken kunnen worden gebruikt als overeenkomende kenmerken: u kunt meerdere kenmerken definiëren die moeten worden geëvalueerd wanneer overeenkomende gebruikers worden geëvalueerd en de volgorde waarin ze worden geëvalueerd (gedefinieerd als overeenkomende prioriteit in de gebruikersinterface). Als u bijvoorbeeld drie kenmerken definieert als overeenkomende kenmerken en een gebruiker uniek wordt vergeleken nadat de eerste twee kenmerken zijn geëvalueerd, wordt het derde kenmerk niet geëvalueerd. De service evalueert overeenkomende kenmerken in de opgegeven volgorde en stopt met evalueren wanneer er een overeenkomst wordt gevonden.
• De waarde in de bron en het doel hoeven niet exact overeen te komen: De waarde in het doel kan een functie zijn van de waarde in de bron. nl-NL: Dus, je zou een emailAddress-kenmerk in de bron en userPrincipalName in het doel kunnen hebben, en deze matchen door middel van een functie van het emailAddress-kenmerk die enkele tekens vervangt door een constante waarde.
• Overeenkomend op basis van een combinatie van kenmerken wordt niet ondersteund: de meeste toepassingen bieden geen ondersteuning voor het uitvoeren van query's op basis van twee eigenschappen. Daarom is het niet mogelijk om te overeenkomen op basis van een combinatie van kenmerken. Het is mogelijk om enkele eigenschappen na elkaar te evalueren.
• Alle gebruikers moeten een waarde hebben voor ten minste één overeenkomend kenmerk: als u één overeenkomend kenmerk definieert, moeten alle gebruikers een waarde voor dat kenmerk hebben in het bronsysteem. Als u bijvoorbeeld userPrincipalName definieert als het overeenkomende kenmerk, moeten alle gebruikers een userPrincipalName hebben. Als u meerdere overeenkomende kenmerken definieert (bijvoorbeeld extensionAttribute1 en mail), hoeven niet alle gebruikers hetzelfde overeenkomende kenmerk te hebben. De ene gebruiker kan wel het kenmerk extensionAttribute1 hebben maar niet mail, terwijl een andere gebruiker het kenmerk mail heeft maar niet extensionAttribute1.
• De doeltoepassing moet filteren op het overeenkomende kenmerk ondersteunen: toepassingsontwikkelaars kunnen filteren op een subset van kenmerken in hun gebruikers- of groeps-API. Voor toepassingen in de galerij zorgen we ervoor dat de standaardkenmerk-toewijzing overeenkomt met een kenmerk waarop kan worden gefilterd door de API van de doeltoepassing. Wanneer u het standaardkoppelingskenmerk voor de doeltoepassing wijzigt, controleert u de niet-Microsoft API-documentatie om ervoor te zorgen dat het kenmerk kan worden gefilterd.
• Een kenmerk met het toewijzingstype LCW-uitbreidbaarheidswerkstroom kan niet worden gebruikt als een overeenkomend kenmerk: Als de waarde van een kenmerk is ingesteld met behulp van het toewijzingstype LCW-werkstroom voor uitbreidbaarheid (waarbij een Azure logische app de waarde genereert), kan het kenmerk niet worden gebruikt als een overeenkomend kenmerk.

Groepstoewijzingen van attributen bewerken

Een geselecteerd aantal toepassingen, zoals ServiceNow, Box en G Suite, biedt ondersteuning voor de mogelijkheid om groeps- en gebruikersobjecten in te richten. Groepsobjecten kunnen groepseigenschappen bevatten, zoals weergavenamen en e-mailaliassen, naast groepsleden.

Voor apps die groepssynchronisatie ondersteunen, schakelt u groepssynchronisatie in of uit door naar de pagina Bereikfilters te navigeren.

De kenmerken die als onderdeel van groepsobjecten worden ingericht, kunnen op dezelfde manier worden aangepast als gebruikersobjecten, zoals eerder is beschreven.

De lijst met ondersteunde kenmerken bewerken

De gebruikerskenmerken die voor een bepaalde toepassing worden ondersteund, zijn vooraf geconfigureerd. De meeste API's voor gebruikersbeheer van toepassingen bieden geen ondersteuning voor schemadetectie. De Microsoft Entra inrichtingsservice kan dus niet dynamisch de lijst met ondersteunde kenmerken genereren door aanroepen naar de toepassing uit te voeren.

Sommige toepassingen ondersteunen echter aangepaste kenmerken en de Microsoft Entra inrichtingsservice kan aangepaste kenmerken lezen en schrijven. Als u de definities in het Microsoft Entra-beheercentrum wilt invoeren, selecteert u het vervolgkeuzemenu Geavanceerde opties boven aan de pagina Kenmerktoewijzing en selecteert u vervolgens Kenmerken van doelgebruiker bewerken.

Enkele voorbeelden van toepassingen en systemen die ondersteuning bieden voor aanpassing van de lijst met kenmerken:

• Salesforce
• ServiceNow
• Workday naar Active Directory/Workday naar Microsoft Entra ID
• SuccessFactors naar Active Directory / SuccessFactors naar Microsoft Entra ID
• Microsoft Entra ID (Microsoft Entra ID Graph API standaardkenmerken en aangepaste directory-extensies worden ondersteund). Zie voor meer informatie over het maken van extensies, "Syncing extension attributes for Microsoft Entra Application Provisioning" en "Known issues for provisioning in Microsoft Entra ID".
• Apps die ondersteuning bieden voor System for Cross-Domain Identity (SCIM) 2.0
• Microsoft Entra ID ondersteunt writeback naar Workday of SuccessFactors voor XPATH- en JSONPath-metagegevens. Microsoft Entra ID biedt geen ondersteuning voor nieuwe kenmerken van Workday of SuccessFactors die niet zijn opgenomen in het standaardschema

Wanneer u de lijst met ondersteunde kenmerken bewerkt, worden de volgende eigenschappen opgegeven:

• Naam: de systeemnaam van het kenmerk, zoals gedefinieerd in het schema van het doelobject.
• Type : het type gegevens dat door het kenmerk wordt opgeslagen, zoals gedefinieerd in het schema van het doelobject. Dit kan een van de volgende typen zijn.
  • Binair: het kenmerk bevat binaire gegevens.
  • Booleaans: het kenmerk bevat een waarde True of False.
  • DatumTijd: het kenmerk bevat een datumtekenreeks.
  • Geheel getal: het kenmerk bevat een geheel getal.
  • Verwijzing: het kenmerk bevat een id die verwijst naar een waarde die is opgeslagen in een andere tabel in de doeltoepassing.
  • Tekensreeks: het kenmerk bevat een tekenreeks.
• Primaire sleutel?: Of het kenmerk is gedefinieerd als een primaire-sleutelveld in het schema van het doelobject.
• Vereist? Of het kenmerk moet worden ingevuld in de doeltoepassing of het doelsysteem.
• Meerdere waarden?: Of het kenmerk meerdere waarden ondersteunt.
• Hoofdlettergevoelig?: Of bij het evalueren van de kenmerkwaarden onderscheid wordt gemaakt tussen hoofdletters en kleine letters.
• API-expressie - Niet gebruiken, tenzij dit wordt aanbevolen in de documentatie voor een specifieke inrichtingsconnector (zoals Workday).
• Objectkenmerk waarnaar wordt verwezen: als het een kenmerk van het type Verwijzing is, kunt u in dit menu de tabel en het kenmerk in de doeltoepassing selecteren die de waarde bevat die aan het kenmerk is gekoppeld. Als u bijvoorbeeld een kenmerk met de naam 'Afdeling' hebt waarvan de opgeslagen waarde verwijst naar een object in een afzonderlijke tabel Afdelingen, selecteert u Departments.Name. De referentietabellen en de primaire id-velden die voor een bepaalde toepassing worden ondersteund, zijn vooraf geconfigureerd en kunnen niet worden bewerkt met behulp van de Microsoft Entra-beheercentrum. U kunt ze echter bewerken met behulp van de Microsoft Graph API.

Een aangepast uitbreidingskenmerk inrichten voor een SCIM-compatibele toepassing

De SCIM-aanvraag voor opmerkingen (RFC) definieert een basisschema voor gebruikers en groepen, terwijl u ook uitbreidingen voor het schema toestaat om te voldoen aan de behoeften van uw toepassing. Een aangepast kenmerk toevoegen aan een SCIM-toepassing:

1. Meld u aan bij de Microsoft Entra-beheercentrum als minimaal een Applicatiebeheerder.

2. Blader naar Entra ID>Enterprise apps.

3. Selecteer uw toepassing en selecteer vervolgens Inrichten.

4. Selecteer onder Beherenkenmerktoewijzing en selecteer vervolgens het objecttype (Gebruikers of groepen) waarvoor u een aangepast kenmerk wilt toevoegen.

5. Selecteer de vervolgkeuzelijst Geavanceerde opties en selecteer vervolgens doelgebruikerskenmerken bewerken.

   Notitie

   Als de optie Kenmerken bewerken voor AppName niet wordt weergegeven, gaat u naar uw toepassing met behulp van de URL https://portal.azure.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true om de schema-editor in te schakelen.

6. Voer in de velden onderaan de lijst met kenmerken gegevens in voor het aangepaste kenmerk. Selecteer ten slotte Kenmerk toevoegen.

Voor SCIM-toepassingen moet de kenmerknaam het patroon volgen dat in het voorbeeld wordt weergegeven. De CustomExtensionName en CustomAttribute kunnen worden aangepast aan de vereisten van uw toepassing, bijvoorbeeld: urn:ietf:params:scim:schemas:extension:CustomExtensionName:2.0:User:CustomAttribute.

Deze instructies gelden alleen voor SCIM-compatibele toepassingen. Toepassingen zoals ServiceNow en Salesforce zijn niet geïntegreerd met Microsoft Entra ID met SCIM, en daarom is deze specifieke naamruimte niet vereist bij het toevoegen van een aangepast kenmerk.

Aangepaste kenmerken kunnen geen referentiële kenmerken, meerdere waarden of complexe kenmerken zijn. Aangepaste uitbreidingskenmerken met meerdere waarden en van een complex type worden momenteel alleen ondersteund voor toepassingen in de galerie. De schemaheader van de aangepaste extensie wordt weggelaten in het voorbeeld omdat deze niet wordt verzonden in aanvragen van de Microsoft Entra SCIM-client.

Voorbeeld van een gebruiker met een uitbreidingskenmerk:

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User",
    "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User"
  ],
  "userName": "bjensen",
  "id": "48af03ac28ad4fb88478",
  "externalId": "bjensen",
  "name": {
    "formatted": "Ms. Barbara J Jensen III",
    "familyName": "Jensen",
    "givenName": "Barbara"
  },
  "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User": {
    "employeeNumber": "701984",
    "costCenter": "4130",
    "organization": "Universal Studios",
    "division": "Theme Park",
    "department": "Tour Operations",
    "manager": {
      "value": "26118915-6090-4610-87e4-49d8ca9f808d",
      "$ref": "../Users/26118915-6090-4610-87e4-49d8ca9f808d",
      "displayName": "John Smith"
    }
  },
  "urn:ietf:params:scim:schemas:extension:CustomExtensionName:2.0:User": {
    "CustomAttribute": "701984",
  },
  "meta": {
    "resourceType": "User",
    "created": "2010-01-23T04:56:22Z",
    "lastModified": "2011-05-13T04:42:34Z",
    "version": "W\/\"3694e05e9dff591\"",
    "location": "https://example.com/v2/Users/00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
  }
}

Een rol inrichten bij een SCIM-app

Gebruik de stappen in het voorbeeld om toepassingsrollen voor een gebruiker in te richten voor uw toepassing. De beschrijving is specifiek voor aangepaste SCIM-toepassingen. Gebruik voor galerietoepassingen zoals Salesforce en ServiceNow de vooraf gedefinieerde roltoewijzingen. De opsommingstekens beschrijven hoe u het kenmerk AppRoleAssignments transformeert naar de indeling die uw toepassing verwacht.

• Voor het toewijzen van een appRoleAssignment in Microsoft Entra ID aan een rol in uw toepassing moet u het kenmerk transformeren met behulp van een expressie. Het kenmerk appRoleAssignment mag niet rechtstreeks worden toegewezen aan een rolkenmerk zonder een expressie te gebruiken om de roldetails te parseren.

SingleAppRoleAssignment

Wanneer gebruikt u: Gebruik de expressie SingleAppRoleAssignment om één rol in te richten voor een gebruiker en om de primaire rol op te geven.

Hoe te configureren: Gebruik de beschreven stappen om naar de pagina met kenmerktoewijzingen te navigeren en gebruik de expressie SingleAppRoleAssignment om toe te wijzen aan het kenmerk 'rollen'. Er zijn drie rolkenmerken om uit te kiezen (roles[primary eq "True"].display, roles[primary eq "True"].typeen roles[primary eq "True"].value). U kunt ervoor kiezen om bepaalde of alle role-kenmerken in uw toewijzingen op te nemen. Als u meer dan één wilt opnemen, voegt u gewoon een nieuwe mapping toe en neemt u deze op als het doelattribuut.

Aandachtspunten

• Zorg ervoor dat meerdere rollen niet zijn toegewezen aan een gebruiker. Er is geen garantie over welke rol geconfigureerd wordt.
• Controleer het SingleAppRoleAssignments kenmerk. Het kenmerk is niet compatibel met het instellen van het bereik naar Sync All users and groups.

Voorbeeldaanvraag (POST)

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "externalId": "alias",
  "userName": "alias@contoso.OnMicrosoft.com",
  "active": true,
  "displayName": "First Name Last Name",
  "meta": {
    "resourceType": "User"
  },
  "roles": [
    {
      "primary": true,
      "type": "WindowsAzureActiveDirectoryRole",
      "value": "Admin"
    }
  ]
}

Voorbeelduitvoer (PATCH)

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "Add",
      "path": "roles",
      "value": [
        {
          "value": "{\"id\":\"06b07648-ecfe-589f-9d2f-6325724a46ee\",\"value\":\"25\",\"displayName\":\"Role1234\"}"
        }
      ]
    }
  ]
}

De aanvraagindelingen in de PATCH en POST verschillen. Om ervoor te zorgen dat POST en PATCH in dezelfde indeling worden verzonden, kunt u de functievlag gebruiken die hier wordt beschreven.

AppRoleAssignmentsComplex

Wanneer te gebruiken: Gebruik de expressie AppRoleAssignmentsComplex om meerdere rollen in te richten voor een gebruiker.

Configureren: bewerk de lijst met ondersteunde kenmerken zoals beschreven om een nieuw kenmerk voor rollen op te nemen:

Gebruik vervolgens de expressie AppRoleAssignmentsComplex om toe te wijzen aan het aangepaste rolkenmerk, zoals wordt weergegeven in de afbeelding:

Aandachtspunten

• Alle rollen worden ingericht als primair = onwaar.
• Het id kenmerk is niet vereist in SCIM-rollen. Gebruik in plaats daarvan het value kenmerk. Als het value kenmerk bijvoorbeeld de naam of id voor de rol bevat, gebruikt u het om de rol in te richten. U kunt de functievlag hier gebruiken om het id-kenmerkprobleem op te lossen. Vertrouwen op het waardekenmerk is echter niet altijd voldoende; Als er bijvoorbeeld meerdere rollen zijn met dezelfde naam of id. In bepaalde gevallen is het nodig om het id-kenmerk te gebruiken om de rol correct in te richten

Beperkingen

• AppRoleAssignmentsComplex is niet compatibel met het instellingsbereik 'Alle gebruikers en groepen synchroniseren'.

Voorbeeldaanvraag (POST)

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "externalId": "alias",
  "userName": "alias@contoso.OnMicrosoft.com",
  "active": true,
  "displayName": "First Name Last Name",
  "meta": {
    "resourceType": "User"
  },
  "roles": [
    {
      "primary": false,
      "type": "WindowsAzureActiveDirectoryRole",
      "displayName": "Admin",
      "value": "Admin"
    },
    {
      "primary": false,
      "type": "WindowsAzureActiveDirectoryRole",
      "displayName": "User",
      "value": "User"
    }
  ]
}

Voorbeelduitvoer (PATCH)

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "Add",
      "path": "roles",
      "value": [
        {
          "value": "{\"id\":\"06b07648-ecfe-589f-9d2f-6325724a46ee\",\"value\":\"Admin\",\"displayName\":\"Admin\"}"
        },
        {
          "value": "{\"id\":\"06b07648-ecfe-599f-9d2f-6325724a46ee\",\"value\":\"User\",\"displayName\":\"User\"}"
        }
      ]
    }
  ]
}

AssertiveAppRoleAssignmentsComplex (aanbevolen voor complexe rollen)

Wanneer te gebruiken: Gebruik het AssertiveAppRoleAssignmentsComplex om patch replace-functionaliteit in te schakelen. Voor SCIM-toepassingen die meerdere rollen ondersteunen, zorgt dit ervoor dat rollen die zijn verwijderd in Microsoft Entra ID ook worden verwijderd in de doeltoepassing. De vervangingsfunctionaliteit verwijdert ook eventuele extra rollen die de gebruiker heeft die niet worden weerspiegeld in Entra ID

Het verschil tussen het AppRoleAssignmentsComplex en AssertiveAppRoleAssignmentsComplex is de modus van de patchaanroep en het effect op het doelsysteem. De eerstgenoemde patch voegt alleen toe en verwijdert daardoor geen enkele bestaande rollen op het doel. Deze laatste vervangt PATCH, waardoor rollen in het doelsysteem worden verwijderd als ze niet zijn toegewezen aan de gebruiker op Entra ID.

Configureren: bewerk de lijst met ondersteunde kenmerken zoals beschreven om een nieuw kenmerk voor rollen op te nemen:

Gebruik vervolgens de uitdrukking AssertiveAppRoleAssignmentsComplex om te koppelen aan het aangepaste rolkenmerk, zoals getoond in de afbeelding.

Aandachtspunten

• Alle rollen worden ingericht als primair = onwaar.
• Het id kenmerk is niet vereist in SCIM-rollen. Gebruik in plaats daarvan het value kenmerk. Als het value kenmerk bijvoorbeeld de naam of id voor de rol bevat, gebruikt u het om de rol in te richten. U kunt de functievlag hier gebruiken om het id-kenmerkprobleem op te lossen. Vertrouwen op het waardekenmerk is echter niet altijd voldoende; Als er bijvoorbeeld meerdere rollen zijn met dezelfde naam of id. In bepaalde gevallen is het nodig om het id-kenmerk te gebruiken om de rol correct in te richten

Beperkingen

• AssertiveAppRoleAssignmentsComplex is niet compatibel met het instellingsbereik 'Alle gebruikers en groepen synchroniseren'.

Voorbeeldaanvraag (POST)

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "externalId": "contoso",
  "userName": "contoso@alias.onmicrosoft.com",
  "active": true,
  "roles": [
    {
      "primary": false,
      "type": "WindowsAzureActiveDirectoryRole",
      "display": "User",
      "value": "User"
    },
    {
      "primary": false,
      "type": "WindowsAzureActiveDirectoryRole",
      "display": "Test",
      "value": "Test"
    }
  ]
}

Voorbeelduitvoer (PATCH)

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "replace",
      "path": "roles",
      "value": [
        {
          "primary": false,
          "type": "WindowsAzureActiveDirectoryRole",
          "display": "User",
          "value": "User"
        },
        {
          "primary": false,
          "type": "WindowsAzureActiveDirectoryRole",
          "display": "Test",
          "value": "Test"
        }
      ]
    }
  ]
}

Een kenmerk met meerdere waarden inrichten

Bepaalde kenmerken, zoals phoneNumbers en e-mailberichten, zijn kenmerken met meerdere waarden, waarbij u verschillende typen telefoonnummers of e-mailberichten moet opgeven. Gebruik de expressie voor kenmerken met meerdere waarden. Hiermee kunt u het kenmerktype opgeven en toewijzen aan het bijbehorende Microsoft Entra gebruikerskenmerk voor de waarde.

• phoneNumbers[type eq "work"].value
• phoneNumbers[type eq "mobile"].value
• phoneNumbers[type eq "fax"].value

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "phoneNumbers": [
    {
      "value": "555-555-5555",
      "type": "work"
    },
    {
      "value": "555-555-5555",
      "type": "mobile"
    },
    {
      "value": "555-555-5555",
      "type": "fax"
    }
  ]
}

De standaardkenmerken en standaardkenmerktoewijzingen herstellen

Als u uw toewijzingsinstellingen wilt terugzetten naar de standaardinstellingen, selecteert u Kenmerktoewijzing>Standaardtoewijzingen herstellen om de configuratie te herstellen en op te slaan. Hiermee worden alle toewijzingen en bereikfilters ingesteld alsof de toepassing vanuit de toepassingsgalerie is toegevoegd aan uw Microsoft Entra-tenant. Hiermee wordt ook de synchronisatie opnieuw gestart.

Als u deze optie selecteert, worden alle gebruikers opnieuw gesynchroniseerd terwijl de provisioningservice wordt uitgevoerd.

Wat u moet weten

• Microsoft Entra ID biedt een efficiënte implementatie van een synchronisatieproces. In een geïnitialiseerde omgeving worden alleen objecten waarvoor updates vereist zijn, verwerkt tijdens een synchronisatiecyclus.
• Het bijwerken van kenmerktoewijzingen is van invloed op de prestaties van een synchronisatiecyclus. Om de kenmerktoewijzing configuratie bij te werken, moeten alle beheerde objecten opnieuw worden geëvalueerd.
• Een aanbevolen best practice is om het aantal opeenvolgende wijzigingen in uw kenmerktoewijzingen daarom tot een minimum te beperken.
• Het toevoegen van een fotokenmerk dat moet worden ingericht voor een app wordt momenteel niet ondersteund, omdat u de indeling voor het synchroniseren van de foto niet kunt opgeven. U kunt de functie op User Voice aanvragen.
• Het kenmerk IsSoftDeleted maakt vaak deel uit van de standaardtoewijzingen voor een toepassing en kan waar zijn in een van de vier scenario's:
  • De gebruiker valt buiten het bereik omdat deze niet is toegewezen vanuit de toepassing.
  • De gebruiker valt buiten reikwijdte doordat niet aan een toepassingsfilter wordt voldaan.
  • De gebruiker is in Microsoft Entra ID zacht verwijderd.
  • De eigenschap AccountEnabled is ingesteld op false voor de gebruiker. Probeer het kenmerk in uw IsSoftDeleted kenmerktoewijzingen te bewaren.
• De Microsoft Entra inrichtingsservice verzendt standaard geen null-waarden naar doelsystemen. Het wissen van kenmerkwaarden is alleen beschikbaar in de preview-versie voor binnenkomende inrichtingsapps op basis van api's. Het wordt momenteel niet ondersteund voor andere scenario's voor het inrichten van toepassingen of voor binnenkomende inrichting vanuit Workday of SAP SuccessFactors. Zie Kenmerkwaarden wissen (preview) om deze functie in te schakelen voor api-gestuurde inkomende inrichtingsapps.
• Deze primaire sleutel mag doorgaans IDniet worden opgenomen als een doelkenmerk in uw kenmerktoewijzingen.
• Het kenmerk role moet meestal worden toegewezen met behulp van een expressie, in plaats van een directe toewijzing. Zie Een rol inrichten voor een SCIM-app voor meer informatie over roltoewijzing.
• Hoewel het uitschakelen van groepen uit uw toewijzingen mogelijk is, wordt het uitschakelen van gebruikers niet ondersteund.

Volgende stappen

• Automatiseer de provisioning/deprovisioning van gebruikers voor SaaS-apps
• Expressies schrijven voor kenmerktoewijzingen
• Bereikfilters voor provisioning van gebruikers
• SCIM gebruiken om automatische provisioning van gebruikers en groepen van Microsoft Entra ID naar toepassingen mogelijk te maken
• Lijst met zelfstudies voor het integreren van SaaS-apps