Automatyzacja tworzenia kont użytkowników w usłudze Slack przy użyciu Microsoft Entra ID

Celem tego artykułu jest pokazanie kroków, które należy wykonać w usługach Slack i Microsoft Entra ID w celu automatycznego aprowizowania i dezaktywacji kont użytkowników z Microsoft Entra ID do Slack. Aby uzyskać ważne szczegółowe informacje na temat działania tej usługi, sposobu jej działania i często zadawanych pytań, zobacz Automatyzowanie aprowizacji użytkowników i anulowania aprowizacji aplikacji SaaS przy użyciu identyfikatora Entra firmy Microsoft.

Obsługiwane funkcje

Usługa Slack jest dostępna w następujących wdrożeniach chmury krajowej.

Wymagania wstępne

W scenariuszu opisanym w tym artykule przyjęto założenie, że masz już następujące elementy:

• Dzierżawa firmy Microsoft Entra.
• Jedną z następujących ról: Administrator aplikacji, Administrator aplikacji w chmurze lub Właściciel aplikacji.
• Konto Slack wyłącznie z planem Business+. Klienci usługi Enteprise Grid powinni zamiast tego postępować zgodnie z instrukcjami usługi Slack .
• Konto użytkownika w usłudze Slack z uprawnieniami Team Admin (administratora zespołu).

Krok 1. Planowanie wdrożenia provisioning

1. Dowiedz się na temat sposobu działania usługi dostarczania.
2. Określ, kto znajduje się w zakresie , związanym z wdrażaniem.
3. Ustal, jakie dane mają być mapowane między Identyfikatorem Entra firmy Microsoft a Slackiem.

Krok 2. Dodawanie usługi Slack z galerii aplikacji Microsoft Entra

Dodaj usługę Slack z galerii aplikacji Microsoft Entra, aby rozpocząć zarządzanie aprowizowaniem w usłudze Slack. Jeśli wcześniej skonfigurowano usługę Slack dla logowania jednokrotnego, możesz użyć tej samej aplikacji. Zalecamy jednak utworzenie oddzielnej aplikacji podczas początkowego testowania integracji. Więcej informacji o dodawaniu aplikacji z galerii znajdziesz tutaj.

Krok 3: Określenie, kto znajduje się w zakresie udostępniania

Usługa aprowizacji Microsoft Entra umożliwia definiowanie, kto ma być aprowizowany na podstawie przypisania do aplikacji lub na podstawie atrybutów użytkownika lub grupy. Jeśli zdecydujesz się ustalić, kto ma mieć dostęp do Twojej aplikacji na podstawie przypisania, możesz skorzystać z kroków , aby przypisać użytkowników i grupy do aplikacji. Jeśli zdecydujesz się określić zakres przyznawania zasobów wyłącznie na podstawie atrybutów użytkownika lub grupy, możesz użyć filtru zakresu.

• Zacznij od małego. Przeprowadź test z użyciem mniejszego zestawu użytkowników i grup, zanim wdrożysz to rozwiązanie dla wszystkich. W przypadku ustawienia zakresu aprowizacji na przypisanych użytkowników i grupy, możesz kontrolować to, przypisując do aplikacji jednego lub dwóch użytkowników lub jedną lub dwie grupy. W przypadku ustawienia zakresu na wszystkich użytkowników i wszystkie grupy, możesz określić filtrowanie zakresu na podstawie atrybutów.

• Jeśli potrzebujesz dodatkowych ról, możesz zaktualizować manifest aplikacji, aby dodać nowe role.

Krok 4. Konfigurowanie automatycznej aprowizacji użytkowników w usłudze Slack

Ta sekcja prowadzi przez proces łączenia Microsoft Entra ID z API do aprowizacji kont użytkowników Slack oraz konfigurowania usługi aprowizacji w celu tworzenia, aktualizowania i wyłączania przypisanych kont użytkowników w Slack, w oparciu o przypisania użytkowników i grup w Microsoft Entra ID.

Aby skonfigurować automatyczne udostępnianie kont użytkowników w usłudze Slack w Microsoft Entra ID:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

2. Przejdź do aplikacji Entra ID>Dla przedsiębiorstw

   

3. Na liście aplikacji wybierz pozycję Slack.

   

4. Wybierz kartę Aprowizacja.

   

5. Wybierz + Nową konfigurację.

   

6. W polu Adres URL dzierżawy wprowadź Adres URL dzierżawcy Slack i tajny token. Wybierz pozycję Test Connection aby upewnić się, że Microsoft Entra ID może nawiązać połączenie z usługą Slack. Jeśli połączenie nie powiedzie się, upewnij się, że konto usługi Slack ma wymagane uprawnienia administratora i spróbuj ponownie.

   

7. W tym nowym oknie zaloguj się do usługi Slack przy użyciu konta administratora zespołu. W wyświetlonym oknie dialogowym autoryzacji wybierz zespół usługi Slack, dla którego chcesz włączyć aprowizację, a następnie wybierz pozycję Autoryzuj. Po zakończeniu wróć do centrum administracyjne Microsoft Entra, aby ukończyć konfigurację aprowizacji.

   

8. Wybierz pozycję Utwórz , aby utworzyć konfigurację.

9. Wybierz Właściwości na stronie Przegląd.

10. W polu Wiadomość e-mail z powiadomieniem wprowadź adres e-mail osoby, która powinna otrzymywać powiadomienia o błędach aprowizacji, a następnie zaznacz pole wyboru Wyślij powiadomienie e-mail w przypadku wystąpienia błędu .

    

11. Wybierz Mapowanie atrybutów w panelu po lewej stronie i wybierz użytkownicy.

12. Przejrzyj atrybuty użytkownika zsynchronizowane z Microsoft Entra ID do usługi Slack w sekcji Attribute-Mapping. Atrybuty wybrane jako Właściwości dopasowywania są używane do dopasowania kont użytkowników w usłudze Slack na potrzeby operacji aktualizacji. Jeśli zdecydujesz się zmienić pasujący atrybut docelowy, musisz upewnić się, że interfejs API usługi Slack obsługuje filtrowanie użytkowników na podstawie tego atrybutu. Wybierz przycisk Zapisz , aby zatwierdzić wszelkie zmiany.

    Atrybut	Typ
    aktywny	logiczny
    Identyfikator zewnętrzny	Sznurek
    nazwa wyświetlana	Sznurek
    nazwa.nazwisko	Sznurek
    nazwa.imię	Sznurek
    tytuł	Sznurek
    emails[typ eq "praca"].wartość	Sznurek
    userName (nazwa użytkownika)	Sznurek
    pseudonim	Sznurek
    adresy[typ eq "nietypowany"].adresUliczny	Sznurek
    adresy[typ jest równy "bez typu"].lokalizacja	Sznurek
    addresses[type eq "nieokreślony"].region	Sznurek
    addresses[type eq "nietykowane"].kodPocztowy	Sznurek
    adresy[typ eq "nieokreślony"].kraj	Sznurek
    phoneNumbers[typ eq "komórkowy"].wartość	Sznurek
    phoneNumbers[type eq "work"].value // Numer telefonu typu "praca"	Sznurek
    roles[główna równa się "True"].value	Sznurek
    regionalny	Sznurek
    nazwa.tytułHonorowy	Sznurek
    zdjęcia[type eq "photo"].value	Sznurek
    URL profilu	Sznurek
    strefa czasowa	Sznurek
    typ użytkownika	Sznurek
    preferowanyJęzyk	Sznurek
    urn:scim:schemas:extension:enterprise:1.0.dział	Sznurek
    urn:scim:schemas:extension:enterprise:1.0.manager	Referencja
    urn:scim:schemas:extension:enterprise:1.0.employeeNumber	Sznurek
    urn:scim:schemas:extension:enterprise:1.0.costCenter	Sznurek
    urn:scim:schemas:extension:enterprise:1.0.organization	Sznurek
    urn:scim:schemas:extension:enterprise:1.0.podział	Sznurek

13. W sekcji Mapowania atrybutów przejrzyj atrybuty grup zsynchronizowane z Microsoft Entra ID do Slacka. Atrybuty wybrane jako pasujące właściwości są używane do dopasowywania grup w usłudze Slack do operacji aktualizacji. Wybierz przycisk Zapisz, aby zatwierdzić zmiany.

    Atrybut	Typ
    nazwa wyświetlana	Sznurek
    członkowie	Referencja

14. Aby skonfigurować filtry określania zakresu, zapoznaj się z instrukcjami podanymi w artykule Określanie filtrów zakresu.

15. Użyj udostępniania na żądanie, aby zweryfikować synchronizację z kilkoma użytkownikami przed szerszym wdrożeniem w całej organizacji.

16. Gdy wszystko będzie gotowe do aprowizacji, wybierz pozycję Rozpocznij aprowizację na stronie Przegląd .

Krok 5. Monitorowanie wdrożenia

Po skonfigurowaniu aprowizacji użyj następujących zasobów, aby monitorować wdrożenie:

1. Użyj dzienników przydzielania , aby określić, którzy użytkownicy zostali pomyślnie przydzieleni lub dla których proces przydzielania się nie powiódł.
2. Sprawdź pasek postępu , aby zobaczyć stan cyklu wdrażania i sprawdzić, jak blisko jest do zakończenia.
3. Jeśli konfiguracja aprowizacji wydaje się być w złej kondycji, aplikacja przechodzi do kwarantanny. Dowiedz się więcej o stanach kwarantanny w artykule dotyczącym udostępniania aplikacji i statusu kwarantanny.

Porady dotyczące rozwiązywania problemów

• Podczas konfigurowania atrybutu displayName usługi Slack pamiętaj o następujących zagadnieniach związanych z jego działaniem:

  • Wartości nie są całkowicie unikatowe (na przykład dwóch użytkowników może mieć taką samą nazwę wyświetlaną)

  • Obsługiwane są znaki spoza alfabetu angielskiego, spacje i wielkie litery.

  • Dozwolone znaki interpunkcyjne obejmują kropki, znaki podkreślenia, łączniki, apostrofy, nawiasy (na przykład ( [ { } ] )), i separatory (na przykład , / ;).

  • Właściwość displayName nie może mieć znaku "@". Jeśli element "@" jest dołączony, w dziennikach aprowizacji może znajdować się pominięte zdarzenie z opisem "AttributeValidationFailed".

  • Aktualizacje są stosowane tylko wtedy, gdy te dwa ustawienia są skonfigurowane w miejscu pracy/organizacji Slack — synchronizacja profilu jest włączona a użytkownicy nie mogą zmieniać swojej nazwy wyświetlanej.

• Atrybut userName usługi Slack musi być unikatowy i nie może mieć więcej niż 21 znaków.

• Usługa Slack umożliwia dopasowanie tylko do atrybutów userName i email.

• Typowe kody błędów są udokumentowane w oficjalnej dokumentacji usługi Slack — https://api.slack.com/scim#errors

Dziennik zmian

• 2020-06-16 — zmodyfikowano atrybut DisplayName, tak aby był aktualizowany tylko podczas tworzenia nowego użytkownika.

Więcej zasobów

• Zarządzanie aprowizacją kont użytkowników w aplikacjach dla przedsiębiorstw
• Co to jest dostęp do aplikacji i logowanie jednokrotne przy użyciu identyfikatora Microsoft Entra ID?

Powiązana zawartość

• Dowiedz się, jak przeglądać dzienniki i uzyskiwać raporty dotyczące działań aprowizacji