Configure a Integração Segura de Utilizadores da Cloud para provisionamento automático de utilizadores com o Microsoft Entra ID

Neste tutorial, aprende a configurar o provisionamento automático do utilizador entre o Microsoft Entra ID e o Secure Cloud. Quando configurado, o Microsoft Entra ID cria, atualiza e desaprovisiona automaticamente utilizadores e grupos no Secure Cloud usando o protocolo SCIM 2.0. Isto reduz a sobrecarga administrativa e ajuda a garantir que o acesso dos utilizadores se mantenha sincronizado entre o Microsoft Entra ID e o Secure Cloud.

Para detalhes importantes sobre o que o serviço faz, como funciona e perguntas frequentes, consulte Automatizar o provisionamento e desprovisionamento de utilizadores em aplicações SaaS com Microsoft Entra ID.

Capacidades suportadas

Prerequisites

Antes de começar, certifique-se de ter os seguintes pré-requisitos:

• O login único já foi configurado seguindo o Passo 3: Adicionar Integração Segura de Utilizadores na Cloud ao seu tenant Microsoft Entra.
• Um tenant do Microsoft Entra.
• A aplicação empresarial Secure Cloud User Integration existe no seu tenant Microsoft Entra.
• Uma conta Microsoft Entra com uma das seguintes funções:
  • Administrador da Aplicação.
  • Administrador de Aplicações Cloud.
  • Proprietário da Aplicação.
• Uma subscrição de Integração Segura de Utilizadores na Cloud que suporta o provisionamento automático.
• Acesso de administrador ao Secure Cloud com permissão para configurar o provisionamento.
• Acesso à página de configuração de provisionamento Secure Cloud para obter credenciais de provisionamento SCIM.
• Uma conta de utilizador Secure Cloud User Integration cujo endereço de email corresponde à conta Microsoft Entra do administrador que concede o consentimento no Passo 3.

Etapa 1: Planear o seu processo de provisionamento

1. Saiba como funciona o serviço de aprovisionamento.
2. Determine quem está dentro do âmbito de abastecimento.
3. Determine que dados mapear entre o Microsoft Entra ID e a Secure Cloud User Integration.

Passo 2: Configure a Integração Segura de Utilizadores na Cloud para suportar o provisionamento com o Microsoft Entra ID

1. Inicie sessão no portal de administração da Secure Cloud User Integration como administrador.

2. Navegue até Administração de Serviço>Gestão de Conta>Integração de Utilizadores>Planos de Importação.

   

3. Selecione o Novo Plano Microsoft Entra.

   

4. Em Definições de Provisionamento, ative Enable Microsoft Entra Provisioning.

   

5. Em Serviços, selecione os serviços a atribuir aos utilizadores provisionados. Estes serviços são atribuídos apenas a utilizadores recém-provisionados. Os utilizadores existentes da Secure Cloud User Integration não são alterados por esta definição.

   

6. Opcionalmente, em Notificações, selecione Enviar Email de Boas-Vindas.

   

7. Selecione Guardar. Abre-se a página Detalhes do Plano - Plano de Provisionamento Microsoft Entra.

   

8. Na secção Microsoft Entra Admin Center, copie os seguintes valores. Introduza-os no Microsoft Entra ID no Passo 5.

   Valor da Integração de Utilizadores do Secure Cloud	campo Microsoft Entra
   URL do tenant, por exemplo https://api.appriver.com/scim/api	URL do locatário
   Token Endpoint, por exemplo https://account.appriver.com/identity/connect/token	OAuth token endpoint
   ID de Cliente	Identificador do cliente
   Segredo do Cliente (selecione Mostrar para o revelar)	Segredo do cliente

   

Passo 3: Adicionar Integração Segura de Utilizadores Cloud ao seu tenant Microsoft Entra

A aplicação empresarial Secure Cloud User Integration utiliza onboarding baseado em consentimento. A aplicação é criada no seu tenant Microsoft Entra quando um administrador inicia primeiro sessão no Secure Cloud User Integration com o Microsoft Entra ID e concede o consentimento. Complete este passo para ativar o single sign-on e crie a aplicação que configura para o provisionamento no Passo 5.

Habilitar a autenticação do Microsoft Entra

1. No portal de administração Secure Cloud User Integration, navegue até Administração de Serviços>Gestão de Contas>Integração de Utilizadores>Autenticação.

   

2. Na lista de Tipos de Autenticação, selecione Microsoft Entra SSO.

   

3. Em Configuração, ative Ativar Autenticação Microsoft Entra.

   

4. Opcionalmente, ativa Fallback User Password durante a configuração inicial. Esta opção oferece um método alternativo de início de sessão caso a autenticação Microsoft Entra não esteja disponível.

   • Se a Palavra-passe de Utilizador de Reserva estiver ativada, os utilizadores podem selecionar Iniciar sessão com Microsoft, ou iniciar sessão com as suas credenciais de Integração Segura de Utilizadores Cloud ou credenciais LDAP, se a autenticação LDAP estiver configurada.
   • Se a Password de Utilizador de Reserva estiver desativada, os utilizadores são redirecionados para o Microsoft Entra ID após introduzirem o seu nome de utilizador, e as credenciais Secure Cloud User Integration ou LDAP não podem ser usadas.

   

5. Selecione Guardar.

Iniciar sessão e conceder consentimento

1. Saia da Secure Cloud User Integration, ou use outro navegador, e aceda à página de início de sessão da Secure Cloud User Integration.

   

2. Insira o nome de utilizador de uma conta de Integração de Utilizadores Secure Cloud cujo endereço de email corresponda a uma conta Microsoft Entra que possa conceder consentimento a aplicações no tenant, e depois selecione Continuar.

   

3. Se a Palavra-passe de utilizador de recurso estiver ativada, selecione Iniciar sessão com a Microsoft em Usar a identidade digital da sua organização. Se estiver desligado, és automaticamente redirecionado para o Microsoft Entra ID.

   

4. Inicie sessão com as suas credenciais Microsoft Entra e complete quaisquer indicações de autenticação multifator.

5. Na página de permissões solicitadas , reveja as permissões solicitadas.

   

6. Opcionalmente, selecione Consentir em nome da sua organização para que os utilizadores não sejam solicitados a dar consentimento no primeiro início de sessão. Para mais informações, consulte Visão Geral do consentimento do utilizador e administrador.

   

7. Selecione Aceitar. O Microsoft Entra ID cria a aplicação empresarial Secure Cloud User Integration no seu tenant e redireciona-o de volta para o Secure Cloud User Integration, onde tem sessão iniciada.

8. Para confirmar, inicie sessão no centro de administração Microsoft Entra, navegue até Entra ID> e procure Secure Cloud User Integration.

   

Etapa 4: Definir quem está no escopo do provisionamento

O serviço de provisionamento Microsoft Entra permite-lhe definir quem é provisionado com base na atribuição à aplicação, ou com base nos atributos do utilizador ou grupo. Se você optar por definir o escopo de quem é provisionado para seu aplicativo com base na atribuição, poderá usar as etapas para atribuir usuários e grupos ao aplicativo. Se você optar por definir o escopo de quem é provisionado com base apenas nos atributos do usuário ou grupo, poderá usar um filtro de escopo.

• Comece pequeno. Teste com um pequeno conjunto de usuários e grupos antes de distribuir para todos. Quando o âmbito do aprovisionamento está definido para os utilizadores e os grupos atribuídos, pode controlar isto ao atribuir um ou dois utilizadores ou grupos à aplicação. Quando o âmbito está definido para todos os utilizadores e grupos, pode especificar um filtro de âmbito baseado em atributos.

• Se precisar de funções extras, você pode atualizar o manifesto do aplicativo para adicionar novas funções.

Passo 5: Configurar o provisionamento automático do utilizador para Secure Cloud User Integration

Esta secção orienta-o como ligar o Microsoft Entra ID à API de Provisionamento da Secure Cloud User Integration. O serviço de provisionamento Microsoft Entra utiliza esta ligação para criar, atualizar e desativar utilizadores e grupos atribuídos na Secure Cloud User Integration.

Configurar o provisionamento automático do utilizador para Secure Cloud User Integration no Microsoft Entra ID

1. Entre no centro de administração do Microsoft Entra como, no mínimo, um administrador de aplicações na nuvem.

2. Navegue para Entra ID>Aplicações Empresariais.

   

3. Na lista de aplicações, selecione Secure Cloud User Integration.

4. Selecione Provisionamento.

   

5. Selecione Nova configuração.

   

6. Introduza os valores que copiou no Passo 2:

   campo Microsoft Entra	Value
   URL do locatário	Integração Segura de Utilizadores na Cloud URL do Tenant
   OAuth token endpoint	Endpoint de Token de Integração Segura de Utilizador na Cloud
   Identificador do cliente	Integração Segura de Utilizadores na Cloud ID do Cliente
   Segredo do cliente	Segredo do Cliente de Integração Segura de Utilizadores na Cloud

7. Selecione Testar ligação para garantir que o Microsoft Entra ID consegue ligar-se à Integração Segura de Utilizadores na Cloud. Se a ligação falhar, confirme que os valores correspondem aos apresentados no plano de provisionamento Secure Cloud User Integration e que o Enable Microsoft Entra Provisioning está ativado.

8. Selecione Criar.

9. Na página Aprovisionamento>, selecione Propriedades e, em seguida, edite Definições.

10. No Email de Notificação, introduza um endereço de email para receber notificações de erro de provisionamento e ative a notificação por email quando ocorrer uma falha.

11. Ative Prevenir eliminação acidental e defina um limiar apropriado.

12. Selecione Aplicar.

    

13. Selecione Mapeamento de Atributos e depois selecione utilizadores.

14. Revise os atributos de utilizador que estão sincronizados do Microsoft Entra ID para a Integração Segura de Utilizadores na Cloud. O atributo padrão de correspondência do utilizador é userName, proveniente de userPrincipalName. Os atributos selecionados como propriedades correspondentes são usados para fazer corresponder contas de utilizador na Secure Cloud User Integration para operações de atualização. Se alterar o atributo alvo correspondente, certifique-se de que a API de Integração de Utilizadores Secure Cloud suporta filtrar utilizadores por esse atributo. Selecione Salvar para confirmar as alterações.

    Attribute	Tipo	Suportado para correspondência/filtragem	Exigido pelo Secure Cloud User Integration	Notes
    userName	String	Yes	Yes	Mapeado a partir de userPrincipalName.
    active	booleano			Mapeado a partir de Switch([IsSoftDeleted], , "False", "True", "True", "False").
    displayName	String			Mapeado a partir de displayName.
    title	String			Mapeado a partir de jobTitle.
    emails[type eq "work"].value	String			Mapeado a partir de mail.
    name.givenName	String			Mapeado a partir de givenName.
    name.familyName	String			Mapeado a partir de surname.
    externalId	String			Mapeado a partir de mailNickname.
    phoneNumbers[type eq "work"].value	String			Mapeado a partir de telephoneNumber.
    phoneNumbers[type eq "mobile"].value	String			Mapeado a partir de mobile.
    phoneNumbers[type eq "fax"].value	String			Mapeado a partir de facsimileTelephoneNumber.
    addresses[type eq "work"].streetAddress	String			Mapeado a partir de streetAddress.
    addresses[type eq "work"].locality	String			Mapeado a partir de city.
    addresses[type eq "work"].region	String			Mapeado a partir de state.
    addresses[type eq "work"].postalCode	String			Mapeado a partir de postalCode.
    addresses[type eq "work"].country	String			Mapeado a partir de country.
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	String			Mapeado a partir de department.
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Mapeado a partir de Join(",", [proxyAddresses]).

15. Selecione Mapeamento de Atributos e depois selecione grupos.

16. Revise os atributos do grupo que estão sincronizados do Microsoft Entra ID para a Integração Segura de Utilizadores na Cloud. O atributo padrão de correspondência de grupo é displayName. Os atributos selecionados como propriedades de correspondência são usados para combinar grupos na Secure Cloud User Integration para operações de atualização. Selecione Salvar para confirmar as alterações.

    Attribute	Tipo	Suporta correspondência/filtragem	Exigido por Secure Cloud User Integration	Notes
    displayName	String	Yes	Yes	Mapeado a partir de displayName.
    members	Reference			Mapeado a partir de members.
    externalId	String			Mapeado a partir de objectId.
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Mapeado a partir de Join(",", [proxyAddresses]).

17. Defina o Scope para Sincronizar apenas utilizadores e grupos atribuídos (recomendado). Se usar Sincronizar todos os utilizadores e grupos, use filtros de delimitação para limitar quais os objetos que são provisionados. Para configurar filtros de alcance, siga as instruções em Provisão de aplicações baseada em atributos com filtros de alcance.

18. Use o provisionamento on-demand para validar a sincronização inicial com um pequeno número de utilizadores de teste antes de implementar de forma mais abrangente. Inclua uma conta de teste descartável para o teste de desprovisionamento.

19. Mantenha o âmbito de provisionamento limitado aos utilizadores e grupos de teste, e selecione Iniciar Provisionamento na página de Visão Geral .

20. Atualize os atributos de um utilizador de teste no Microsoft Entra ID e verifique se as alterações sincronizam com a Secure Cloud User Integration.

21. Remova a atribuição da aplicação do utilizador de teste descartável e permita que o ciclo de aprovisionamento adequado processe a remoção da atribuição. Verifique se o utilizador está desprovisionado de acordo com o comportamento de provisionamento configurado. A operação inicial de provisionamento on-demand, por si só, não valida o desprovisionamento.

22. Conclua estas verificações de validação antes de expandir o âmbito de provisionamento para uma implementação mais ampla.

Etapa 6: Monitorar sua implantação

Depois de configurar o provisionamento, use os seguintes recursos para monitorar sua implantação:

1. Use os logs de provisionamento para determinar quais usuários são provisionados com ou sem êxito
2. Verifique a barra de progresso para ver o status do ciclo de provisionamento e quão perto ele está de ser concluído
3. Se a configuração de provisionamento parecer estar em um estado não íntegro, o aplicativo entrará em quarentena. Saiba mais sobre o estado de quarentena no artigo estado de quarentena de aprovisionamento de aplicativos.

Para confirmar os resultados na Secure Cloud User Integration, navegue até Service Administration>Users> para verificar os utilizadores provisionados, e até Service Administration>>User Groups para verificar os grupos e associações provisionados.

Verifique também os atributos esperados e a pertença a grupos dos utilizadores de teste antes de implementar de forma mais abrangente.

Troubleshooting

Secure Cloud User Integration não aparece em aplicações empresariais

• Causa: A aplicação empresarial é criada apenas depois de um administrador iniciar sessão com o Microsoft Entra ID e conceder o consentimento.
• Resolution:
  1. Repita o início de sessão no Passo 3.
  2. Confirme que selecionou Aceitar na página de Permissões Solicitadas e que foi redirecionado de volta para a Secure Cloud User Integration.

Os utilizadores não podem conceder consentimento

• Sintoma: Os utilizadores veem uma mensagem a indicar que é necessária aprovação do administrador.
• Resolução: Verifique as definições de consentimento do seu tenant ou peça a um Administrador de Aplicações Cloud para conceder consentimento em nome da organização. Para mais informações, consulte Visão Geral do consentimento do utilizador e administrador.

Um utilizador não pode iniciar sessão

• Resolução: Verifique se o utilizador existe na Secure Cloud User Integration, se o endereço de email do utilizador corresponde à conta Microsoft Entra e se Ativar Autenticação Microsoft Entra está ativado.

A conexão de teste falha

• Resolution:
  1. Confirme que o URL do tenant, o endpoint do token, o ID do cliente e o segredo do cliente foram copiados exatamente do plano de provisionamento da Secure Cloud User Integration.
  2. Confirme que o Enable Microsoft Entra Provisioning está ativado no plano.
  3. Confirme que o acesso à rede ao endpoint SCIM da Secure Cloud User Integration está disponível.

Utilizadores ou grupos não estão provisionados

• Resolution:
  1. Confirme que o estado de provisionamento está definido para Ligado.
  2. Confirme que os utilizadores ou grupos estão diretamente atribuídos à aplicação Secure Cloud User Integration e estão dentro do âmbito configurado.
  3. Verifique os registos de provisionamento para erros específicos.

Limitações conhecidas

• O Microsoft Entra ID não aprovisiona utilizadores que são membros de um grupo atribuído apenas através de grupos aninhados. Atribua todos os utilizadores necessários, ou os grupos que os contêm diretamente, à aplicação.
• Os serviços selecionados no plano de provisionamento Secure Cloud User Integration são atribuídos apenas a utilizadores recém-provisionados. Os utilizadores existentes não são alterados.

Recursos adicionais

• Gerenciar o provisionamento de contas de usuário para aplicativos corporativos
• O que é o acesso a aplicações e o login único com Microsoft Entra ID?

Conteúdo relacionado

• Rever registos e obter relatórios sobre a atividade de provisionamento