Konfiguracja katalogu federacyjnego do automatycznego aprowizowania użytkowników przy użyciu Microsoft Entra ID

Celem tego artykułu jest zademonstrowanie kroków, które należy wykonać w katalogu federacyjnym i Microsoft Entra ID w celu skonfigurowania Microsoft Entra ID w celu automatycznego aprowizowania i anulowania aprowizacji użytkowników i/lub grup w katalogu federacyjnym.

Uwaga

W tym artykule opisano łącznik oparty na usłudze aprowizacji użytkowników Microsoft Entra. Aby uzyskać ważne szczegółowe informacje na temat działania tej usługi oraz odpowiedzi na często zadawane pytania, sprawdź Automatyzuj aprowizację użytkowników i deaprowizację w aplikacjach SaaS za pomocą Microsoft Entra ID.

Obsługiwane funkcje

  • Utwórz użytkowników w katalogu federacyjnym.
  • Usuń użytkowników w katalogu federacyjnym, gdy nie będą już wymagać dostępu.
  • Obsługiwane jest długotrwałe uwierzytelnianie tokenu elementu nośnego.

Wymagania wstępne

W scenariuszu opisanym w tym artykule przyjęto założenie, że masz już następujące wymagania wstępne:

— konto użytkownika Microsoft Entra z aktywną subskrypcją. Jeśli jeszcze go nie masz, możesz bezpłatnie utworzyć konto. — Jedną z następujących ról: — Administrator Aplikacji - Administrator Aplikacji w Chmurze - Właściciel Aplikacji.

  • Katalog federacyjny.
  • Konto użytkownika w katalogu federacyjnym z uprawnieniami administratora.

Przypisywanie użytkowników do katalogu federacyjnego

Microsoft Entra ID używa koncepcji nazywanej przypisaniami, aby określić, którzy użytkownicy powinni otrzymywać dostęp do wybranych aplikacji. W kontekście automatycznej aprowizacji użytkowników synchronizowane są tylko użytkownicy i/lub grupy przypisane do aplikacji w Microsoft Entra ID.

Przed skonfigurowaniem i włączeniem automatycznej aprowizacji użytkowników należy zdecydować, którzy użytkownicy i/lub grupy w Microsoft Entra ID potrzebują dostępu do katalogu federacyjnego. Po podjęciu decyzji możesz przypisać tych użytkowników i/lub grupy do katalogu federacyjnego, wykonując poniższe instrukcje:

Ważne porady dotyczące przypisywania użytkowników do katalogu federacyjnego

  • Zaleca się przypisanie pojedynczego użytkownika Microsoft Entra do katalogu federacyjnego, aby przetestować konfigurację automatycznej aprowizacji użytkowników. Dodatkowi użytkownicy i/lub grupy mogą być przypisywani później.

  • Podczas przypisywania użytkownika do katalogu federacyjnego należy wybrać dowolną prawidłową rolę specyficzną dla aplikacji (jeśli jest dostępna) w oknie dialogowym przypisywania. Użytkownicy z rolą Dostęp domyślny są wykluczeni z aprowizacji.

Konfigurowanie katalogu federacyjnego na potrzeby aprowizacji

Przed skonfigurowaniem katalogu federacyjnego na potrzeby automatycznej aprowizacji użytkowników przy użyciu Microsoft Entra ID należy włączyć aprowizację SCIM w katalogu federacyjnym.

  1. Zaloguj się do konsoli administracyjnej katalogu federacyjnego

    Zrzut ekranu przedstawiający konsolę administracyjną usługi Federated Directory z polem umożliwiającym wprowadzenie nazwy firmy. Przyciski logowania są również widoczne.

  2. Przejdź do Katalogi Użytkownika > i wybierz najemcę.

    Zrzut ekranu przedstawiający konsolę administracyjną usługi Federated Directory z wyróżnionymi katalogami oraz federacyjnym katalogiem Microsoft Entra ID Test.

  3. Aby wygenerować trwały token elementu nośnego, przejdź do pozycji Klucze > katalogu Utwórz nowy klucz.

    Zrzut ekranu przedstawiający stronę Klucze katalogu konsoli administracyjnej usługi Federated Directory. Przycisk Utwórz nowy klucz został wyróżniony.

  4. Utwórz klucz katalogu.

    Zrzut ekranu przedstawiający stronę Tworzenie klucza katalogu konsoli administracyjnej usługi Federated Directory z polami Nazwa i Opis oraz przyciskiem Utwórz klucz.

  5. Skopiuj wartość tokenu dostępu. Ta wartość jest wprowadzana w polu Token tajny na karcie Aprowizacja w aplikacji katalogu federacyjnego.

    Zrzut ekranu przedstawiający stronę w konsoli administracyjnej usługi Federated Directory. Symbol zastępczy tokenu dostępu i nazwa klucza, opis i wystawca są widoczne.

Aby skonfigurować katalog federacyjny na potrzeby automatycznej aprowizacji użytkowników przy użyciu Microsoft Entra ID, należy dodać katalog federacyjny z galerii aplikacji Microsoft Entra do listy zarządzanych aplikacji SaaS.

Aby dodać katalog federacyjny z galerii aplikacji Microsoft Entra, wykonaj następujące kroki:

  1. Zaloguj się do centrum administracyjne Microsoft Entra jako co najmniej Administrator aplikacji w chmurze.

  2. Przejdź do Entra ID> Aplikacje dla przedsiębiorstw>Nowa aplikacja.

  3. W sekcji Dodawanie z galerii wpisz Katalog federacyjny, wybierz pozycję Katalog federacyjny w panelu wyników.

    Zrzut ekranu przedstawiający katalog federacyjny na liście wyników.

  4. Przejdź do adresu URL wyróżnionego poniżej w osobnej przeglądarce.

    Zrzut ekranu przedstawiający stronę w portalu Azure, na której wyświetlane są informacje o katalogu federacyjnym. Wartość U R L jest wyróżniona.

  5. Wybierz pozycję ZALOGUJ.

    Zrzut ekranu przedstawiający menu główne w witrynie katalogu federacyjnego. Przycisk Zaloguj jest wyróżniony.

  6. Ponieważ katalog federacyjny to aplikacja OpenIDConnect, wybierz opcję zalogowania się do katalogu federacyjnego przy użyciu konta służbowego Microsoft.

    Zrzut ekranu przedstawiający stronę testową S C I M A D w witrynie katalogu federacyjnego. Zalogowanie się przy użyciu konta Microsoft jest wyróżnione.

  7. Po pomyślnym uwierzytelnieniu zaakceptuj monit o zgodę dla strony zgody. Następnie ta aplikacja zostanie automatycznie dodana do Twojej dzierżawy, a Ty zostaniesz przekierowany do konta usługi Federated Directory.

Konfigurowanie automatycznego zarządzania użytkownikami w Katalogu Federacyjnym

W tej sekcji przedstawiono procedurę konfigurowania usługi aprowizacji Microsoft Entra w celu tworzenia, aktualizowania i wyłączania użytkowników i/lub grup w katalogu federacyjnym na podstawie przypisań użytkowników i/lub grup w Microsoft Entra ID.

Aby skonfigurować automatyczną aprowizację użytkowników dla katalogu federacyjnego w Microsoft Entra ID:

  1. Zaloguj się do centrum administracyjne Microsoft Entra jako co najmniej Administrator aplikacji w chmurze.

  2. Przejdź do Entra ID> Aplikacje dla przedsiębiorstw

    Zrzut ekranu przedstawiający blok Aplikacje dla przedsiębiorstw.

  3. Na liście aplikacji wybierz pozycję Katalog federacyjny.

    Zrzut ekranu przedstawiający link do katalogu federacyjnego na liście aplikacji.

  4. Wybierz kartę Provisioning.

    Zrzut ekranu przedstawiający opcje Zarządzania z wywołaną opcją Aprowizacja.

  5. Wybierz + Nową konfigurację.

    Zrzut ekranu pokazuje listę rozwijaną Trybu Provisioning z zaznaczoną opcją Automatyczna.

  6. W polu Adres URL dzierżawy wprowadź adres URL dzierżawy katalogu Federated Directory oraz token tajny. Wybierz pozycję Test Connection aby upewnić się, że Microsoft Entra ID może nawiązać połączenie z katalogiem federacyjnym. Jeśli połączenie nie powiedzie się, upewnij się, że konto usługi Federated Directory ma wymagane uprawnienia administratora i spróbuj ponownie.

    Zrzut ekranu przedstawiający połączenie testowe aprowizacji.

  7. Wybierz pozycję Utwórz , aby utworzyć konfigurację.

  8. Wybierz Właściwości na stronie Przegląd.

  9. Wybierz ikonę Edytuj , aby edytować właściwości. Włącz wiadomości e-mail z powiadomieniami i podaj wiadomość e-mail, aby otrzymywać powiadomienia o kwarantannie. Włącz zapobieganie przypadkowym usunięciom. Wybierz Zastosuj, aby zapisać zmiany.

  10. W polu Wiadomość e-mail z powiadomieniem wprowadź adres e-mail osoby, która powinna otrzymywać powiadomienia o błędach aprowizacji, a następnie zaznacz pole wyboru Wyślij powiadomienie e-mail w przypadku wystąpienia błędu .

    Zrzut ekranu przedstawiający właściwości prowizjonowania.

  11. Wybierz Mapowanie atrybutów w panelu po lewej stronie i wybierz użytkownicy.

  12. Przejrzyj atrybuty użytkownika synchronizowane z Microsoft Entra ID do katalogu federacyjnego w sekcji Mapowanie atrybutów. Atrybuty wybrane jako Właściwości dopasowywania są używane do dopasowywania kont użytkowników w katalogu federacyjnym na potrzeby operacji aktualizacji. Wybierz przycisk Zapisz , aby zatwierdzić wszelkie zmiany.

    Zrzut ekranu strony Mapowania atrybutów. Tabela zawiera atrybuty Microsoft Entra ID i katalogu federacyjnego oraz status dopasowania.

  13. Aby skonfigurować filtry określania zakresu, zapoznaj się z instrukcjami podanymi w artykule Określanie filtrów zakresu.

  14. Użyj prowizjonowania na żądanie, aby zweryfikować synchronizację z niewielką liczbą użytkowników przed wdrożeniem na szerszą skalę w organizacji.

  15. Gdy wszystko będzie gotowe do aprowizacji, wybierz pozycję Rozpocznij aprowizację na stronie Przegląd .

Aby uzyskać więcej informacji na temat sposobu odczytywania dzienników aprowizacji Microsoft Entra, zobacz Raportowanie na temat automatycznej aprowizacji kont użytkowników

Dodatkowe zasoby

Powiązana zawartość

  • Last updated on