Kurz: Konfigurace pracoviště z meta pro automatické zřizování uživatelů

Tento kurz popisuje kroky, které potřebujete udělat na pracovišti z meta i ID Microsoft Entra, abyste mohli nakonfigurovat automatické zřizování uživatelů. Při konfiguraci microsoft Entra ID automaticky zřídí a zruší zřízení uživatelů na pracovišti z meta pomocí služby zřizování Microsoft Entra. Důležité podrobnosti o tom, co tato služba dělá, jak funguje, a nejčastější dotazy najdete v tématu Automatizace zřizování a rušení zřizování uživatelů pro aplikace SaaS pomocí Microsoft Entra ID.

Podporované funkce

• Vytváření uživatelů na pracovišti z meta
• Odebrání uživatelů na pracovišti z meta, pokud už nevyžadují přístup
• Zachování synchronizace atributů uživatele mezi ID Microsoft Entra a pracovištěm z meta
• Jednotné přihlašování k pracovišti z meta (doporučeno)

Požadavky

Scénář popsaný v tomto kurzu předpokládá, že už máte následující požadavky:

• Tenant Microsoft Entra
• Jedna z následujících rolí: Application Správa istrator, Cloud Application Správa istrator nebo Application Owner.
• Pracoviště z předplatného s povoleným jednotným přihlašováním k meta

Poznámka:

K otestování kroků v tomto kurzu nedoporučujeme používat produkční prostředí.

Poznámka:

Tato integrace je také dostupná pro použití z prostředí Microsoft Entra US Government Cloud. Tuto aplikaci najdete v Galerii cloudových aplikací Microsoft Entra US Government a nakonfigurujete ji stejným způsobem jako ve veřejném cloudu.

Pokud chcete otestovat kroky v tomto kurzu, měli byste postupovat podle těchto doporučení:

• Nepoužívejte produkční prostředí, pokud to není nutné.
• Pokud nemáte zkušební prostředí Microsoft Entra, můžete získat měsíční zkušební verzi tady.

Krok 1: Plánování nasazení zřizování

1. Seznamte se s fungováním služby zřizování.
2. Zjistěte, kdo bude v rozsahu zřizování.
3. Určete, jaká data se mají mapovat mezi ID Microsoft Entra a pracovištěm z meta.

Krok 2: Konfigurace pracoviště z meta pro podporu zřizování pomocí Microsoft Entra ID

Před konfigurací a povolením služby zřizování je potřeba rozhodnout, kteří uživatelé v MICROSOFT Entra ID představují uživatele, kteří potřebují přístup k vašemu pracovišti z meta aplikace. Jakmile se rozhodnete, můžete tyto uživatele přiřadit k aplikaci Meta z aplikace Meta podle těchto pokynů:

• K otestování konfigurace zřizování se doporučuje, aby se k pracovišti přiřadil jeden uživatel Microsoft Entra z meta. Později může být přiřazeno více uživatelů.

• Při přiřazování uživatele k pracovišti z meta musíte vybrat platnou roli uživatele. Pro zřizování nefunguje role Výchozí přístup.

Krok 3: Přidání pracoviště z meta z galerie aplikací Microsoft Entra

Přidejte z galerie aplikací Microsoft Entra pracoviště z galerie aplikací Microsoft Entra, abyste mohli začít spravovat zřizování pro pracoviště z meta. Pokud jste dříve nastavili pracoviště z Meta pro jednotné přihlašování, můžete použít stejnou aplikaci. Při počátečním testování integrace se ale doporučuje vytvořit samostatnou aplikaci. Další informace o přidání aplikace z galerie najdete tady.

Krok 4: Definujte, kdo bude v oboru zřizování

Služba zřizování Microsoft Entra umožňuje určit rozsah, který bude zřízen na základě přiřazení k aplikaci nebo na základě atributů uživatele nebo skupiny. Pokud se rozhodnete určit rozsah, který se pro vaši aplikaci zřídí na základě přiřazení, můžete k přiřazení uživatelů k aplikaci použít následující postup . Pokud se rozhodnete nastavit rozsah uživatelů, kteří se zřídí, pouze na základě atributů jednotlivých uživatelů nebo skupin, můžete použít filtr rozsahu, jak je popsáno tady.

• Začněte v malém. Než se pustíte do zavádění pro všechny, proveďte testování s malou skupinou uživatelů a skupin. Pokud je rozsah zřizování nastavený na přiřazené uživatele a skupiny, můžete testování provést tak, že k aplikaci přiřadíte jednoho nebo dva uživatele nebo skupiny. Pokud je rozsah nastavený na všechny uživatele a skupiny, můžete určit filtr rozsahu na základě atributů.

• Pokud potřebujete další role, můžete aktualizovat manifest aplikace a přidat nové role.

Krok 5: Konfigurace automatického zřizování uživatelů na pracovišti z meta

Tato část vás provede postupem konfigurace služby zřizování Microsoft Entra tak, aby vytvářela, aktualizovala a zakázala uživatele na pracovišti z meta appu na základě přiřazení uživatelů v Microsoft Entra ID.

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň cloudová aplikace Správa istrator.

2. Přejděte k podnikovým aplikacím identit>>

   

3. V seznamu aplikací vyberte Možnost Pracoviště z meta.

   

4. Vyberte kartu Zřizování.

   

5. Nastavte Režim zřizování na hodnotu Automaticky.

   

6. Ujistěte se, že je část Adresa URL tenanta vyplněná správným koncovým bodem: https://scim.workplace.com/. V části Správa Přihlašovací údaje klikněte na Autorizovat. Budete přesměrováni na pracoviště z autorizační stránky meta. Zadejte pracovní místo z meta uživatelského jména a klikněte na tlačítko Pokračovat . Klikněte na testovací Připojení ion a ujistěte se, že se ID Microsoft Entra může připojit k pracovišti z meta. Pokud připojení selže, ujistěte se, že vaše pracoviště z účtu meta má Správa oprávnění a zkuste to znovu.

   

   

   Poznámka:

   Při pokusu o uložení konfigurace dojde k chybě při změně adresy URL https://scim.workplace.com/ na chybu.

7. Do pole Oznamovací e-mail zadejte e-mailovou adresu osoby nebo skupiny, na kterou by se měla odesílat oznámení o chybách zřizování, a zaškrtněte políčko Když dojde k selhání, poslat oznámení e-mailem.

   

8. Zvolte Uložit.

9. V části Mapování vyberte Synchronizovat uživatele Microsoft Entra do pracoviště z meta.

10. Zkontrolujte atributy uživatele, které jsou synchronizovány z Microsoft Entra ID do pracoviště z meta v části Mapování atributů. Atributy vybrané jako Odpovídající vlastnosti se používají ke shodě uživatelských účtů na pracovišti z meta pro operace aktualizace. Pokud se rozhodnete změnit odpovídající cílový atribut, budete muset zajistit, aby pracoviště z meta api podporovalo filtrování uživatelů na základě daného atributu. Výběrem tlačítka Uložit potvrďte všechny změny.

    Atribut	Typ
    userName	String
    displayName	String
    active	Logická hodnota
    title	Logická hodnota
    emails[type eq "work"].value	String
    name.givenName	String
    name.familyName	String
    name.formatted	String
    addresses[type eq "work"].formatted	String
    addresses[type eq "work"].streetAddress	String
    addresses[type eq "work"].locality	String
    addresses[type eq "work"].region	String
    addresses[type eq "work"].country	String
    addresses[type eq "work"].postalCode	String
    addresses[type eq "other"].formatted	String
    phoneNumbers[type eq "work"].value	String
    phoneNumbers[type eq "mobile"].value	String
    phoneNumbers[type eq "fax"].value	String
    externalId	String
    preferredLanguage	String
    urn:scim:schemas:extension:enterprise:1.0.manager	String
    urn:scim:schemas:extension:enterprise:1.0.department	String
    urn:scim:schemas:extension:enterprise:1.0.division	String
    urn:scim:schemas:extension:enterprise:1.0.organization	String
    urn:scim:schemas:extension:enterprise:1.0.costCenter	String
    urn:scim:schemas:extension:enterprise:1.0.employeeNumber	String
    urn:scim:schemas:extension:facebook:auth_method:1.0:auth_method	String
    urn:scim:schemas:extension:facebook:frontline:1.0.is_frontline	Logická hodnota
    urn:scim:schemas:extension:facebook:starttermdates:1.0.startDate	Celé číslo

11. Pokud chcete nakonfigurovat filtry rozsahu, postupujte podle pokynů uvedených v kurzu k filtrům rozsahu.

12. Pokud chcete povolit službu zřizování Microsoft Entra pro pracoviště z meta, změňte stav zřizování na Zapnuto v části Nastavení.

    

13. Definujte uživatele, které chcete zřídit pro pracoviště z meta, výběrem odpovídajících hodnot v oboru v části Nastavení.

    

14. Až budete připravení zřídit, klikněte na Uložit.

    

Tato operace spustí počáteční synchronizační cyklus všech uživatelů definovaných v oboru v části Nastavení. Počáteční cyklus trvá déle než následné cykly, ke kterým dochází přibližně každých 40 minut, pokud je spuštěná služba zřizování Microsoft Entra.

Krok 6: Monitorování nasazení

Po dokončení konfigurace zřizování můžete své nasazení monitorovat pomocí následujících prostředků:

1. S využitím protokolů zřizování můžete zjistit, kteří uživatelé se zřídili úspěšně a kteří neúspěšně.
2. Zkontrolujte indikátor průběhu a podívejte se na stav cyklu zřizování a jeho zavření.
3. Pokud se zdá, že konfigurace zřizování není v pořádku, aplikace přejde do karantény. Další informace o stavech karantény najdete tady.

Rady pro řešení potíží

• Pokud se zobrazí neúspěšně vytvořený uživatel a existuje událost protokolu auditu s kódem "1789003", znamená to, že uživatel pochází z neověřené domény.
• V případech, kdy se uživatelům zobrazí chyba Chyba: Chybějící pole E-mail: Je nutné zadat e-mailovou chybu vrácenou z Facebooku: Zpracování požadavku HTTP způsobilo výjimku. Podrobnosti najdete v odpovědi HTTP vrácené vlastností Response této výjimky. Tato operace se opakovala nulou krát. Po tomto datu se to bude opakovat znovu. Tato chyba je způsobená tím, že zákazníci mapují poštu místo userPrincipalName na facebookový e-mail, ale někteří uživatelé nemají atribut pošty. Abyste se vyhnuli chybám a úspěšně zřídili uživatele, kteří selhali na pracovišti z Facebooku, upravte mapování atributů na pracoviště z atributu e-mailu na Coalesce([mail],[userPrincipalName]) nebo zrušte přiřazení uživatele z Pracoviště z Facebooku nebo zřiďte e-mailovou adresu pro uživatele.
• Na pracovišti je možnost, která umožňuje existenci uživatelů bez e-mailových adres. Pokud je toto nastavení přepnuto na straně Pracoviště, musí se zřizování na straně Azure restartovat, aby uživatelé bez e-mailů mohli úspěšně vytvářet na pracovišti.

Aktualizace pracoviště z meta aplikace tak, aby používala pracoviště z koncového bodu Meta SCIM 2.0

V prosinci 2021 facebook vydal konektor SCIM 2.0. Provedením následujících kroků aktualizujete aplikace nakonfigurované tak, aby používaly koncový bod SCIM 1.0 na použití koncového bodu SCIM 2.0. Tyto kroky odeberou veškerá vlastní nastavení dříve provedená na pracovišti z aplikace Meta, včetně těchto:

• Podrobnosti o ověřování
• Filtry oborů
• Mapování vlastních atributů

Poznámka:

Než provedete následující kroky, nezapomeňte si poznamenat všechny změny nastavení uvedené výše. Pokud to neuděláte, dojde ke ztrátě přizpůsobených nastavení.

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň cloudová aplikace Správa istrator.

2. Přejděte na Pracoviště podnikových>aplikací>identit>z meta.

3. V části Vlastnosti nové vlastní aplikace zkopírujte ID objektu.

   

4. V novém okně webového prohlížeče přejděte do https://developer.microsoft.com/graph/graph-explorer tenanta Microsoft Entra, do kterého se vaše aplikace přidá, a přihlaste se jako správce.

   

5. Zkontrolujte, že použitý účet má správná oprávnění. K provedení této změny se vyžaduje oprávnění Directory.ReadWrite.All.

   

   

6. Pomocí ID objektu vybraného z aplikace dříve spusťte následující příkaz:

   GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/
   

7. Když vezmete hodnotu "ID" z textu odpovědi požadavku GET z výše uvedeného příkazu, spusťte následující příkaz a nahraďte "[job-id]" hodnotou ID z požadavku GET. Hodnota by měla mít formát "FacebookAtWorkOutDelta.xxxxxxxxxxxxxxxxx.xxxxxxxxxxxxx":

   DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]
   

8. V Graph Exploreru spusťte následující příkaz. Nahraďte [object-id] ID instančního objektu (ID objektu) zkopírovaným z třetího kroku.

   POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "FacebookWorkplace" }
   

   

9. Vraťte se do prvního okna webového prohlížeče a vyberte kartu Zřizování pro vaši aplikaci. Vaše konfigurace se resetuje. Upgrade můžete potvrdit potvrzením, že ID úlohy začíná na "FacebookWorkplace".

10. Aktualizujte adresu URL tenanta v části Správa Přihlašovací údaje následujícím způsobem:https://scim.workplace.com/

    

11. Obnovte všechny předchozí změny, které jste provedli v aplikaci (podrobnosti ověřování, filtry oborů, mapování vlastních atributů) a znovu povolte zřizování.

    Poznámka:

    Selhání obnovení předchozího nastavení může mít za následek neočekávané aktualizace atributů (například name.formatted) na pracovišti. Před povolením zřizování nezapomeňte zkontrolovat konfiguraci.

Protokol změn

• 09/10/2020 - Přidání podpory pro podnikové atributy "division", "organization", "costCenter" a "employeeNumber". Přidání podpory vlastních atributů startDate, auth_method a frontline
• 22. 7. 2021 – Aktualizace tipů pro řešení potíží pro zákazníky s mapováním pošty na facebookovou poštu, ale někteří uživatelé nemají atribut pošty.

Další materiály

• Správa zřizování uživatelských účtů pro podnikové aplikace
• Co je přístup k aplikacím a jednotné přihlašování pomocí Microsoft Entra ID?

Další kroky

• Zjistěte, jak procházet protokoly a získat sestavy aktivit zřizování.