Esercitazione: Configurare Zscaler One per il provisioning utenti automatico
Questa esercitazione illustra i passaggi da eseguire in Zscaler One e Microsoft Entra ID per configurare Microsoft Entra ID per effettuare automaticamente il provisioning e il deprovisioning di utenti e gruppi in Zscaler One.
Nota
Questa esercitazione descrive un connettore basato sul servizio di provisioning utenti di Microsoft Entra. Per informazioni sul funzionamento di questo servizio e sulle domande frequenti, vedere Automatizzare il provisioning e il deprovisioning degli utenti in applicazioni SaaS (Software as a Service) con Microsoft Entra ID.
Prerequisiti
Lo scenario descritto in questa esercitazione presuppone i prerequisiti seguenti:
- Un tenant di Microsoft Entra.
- Un tenant di Zscaler One.
- Account utente in Zscaler One con autorizzazioni di amministratore.
Nota
L'integrazione del provisioning di Microsoft Entra si basa sull'API SCIM di Zscaler One. Questa API è disponibile per gli sviluppatori di Zscaler One per gli account con il pacchetto Enterprise.
Aggiungere Zscaler One da Azure Marketplace
Prima di configurare Zscaler One per il provisioning utenti automatico con Microsoft Entra ID, aggiungere Zscaler One da Azure Marketplace all'elenco di applicazioni SaaS gestite.
Per aggiungere Zscaler One dal Marketplace, seguire questa procedura.
Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.
Passare a Identità>Applicazioni>Applicazioni aziendali>Nuova applicazione.
Nella sezione Aggiungi dalla raccolta digitare Zscaler One e selezionare Zscaler One nel pannello dei risultati. Per aggiungere l'applicazione, selezionare Aggiungi.
Assegnare gli utenti a Zscaler One
Per determinare quali utenti avranno l'accesso alle app selezionate, Microsoft Entra ID usa il concetto delle cosiddette assegnazioni. Nel contesto del provisioning utenti automatico vengono sincronizzati solo gli utenti e/o i gruppi che sono stati assegnati a un'applicazione in Microsoft Entra ID.
Prima di configurare e abilitare il provisioning utenti automatico, decidere quali utenti o gruppi in Microsoft Entra ID devono accedere a Zscaler One. Per assegnare gli utenti o i gruppi a Zscaler One, seguire le istruzioni riportate in Assegnare un utente o un gruppo a un'app aziendale.
Suggerimenti importanti per l'assegnazione di utenti a Zscaler One
È consigliabile assegnare un singolo utente di Microsoft Entra a Zscaler One per testare la configurazione del provisioning utenti automatico. Sarà possibile assegnare altri utenti o gruppi in un secondo momento.
Quando si assegna un utente a Zscaler One, selezionare qualsiasi ruolo valido specifico dell'applicazione, se disponibile, nella finestra di dialogo di assegnazione. Gli utenti con il ruolo Accesso predefinito vengono esclusi dal provisioning.
Configurare il provisioning automatico degli utenti per Zscaler One
Questa sezione illustra i passaggi per configurare il servizio di provisioning di Microsoft Entra. Usarlo per creare, aggiornare e disabilitare utenti o gruppi in Zscaler One in base alle assegnazioni di utenti o gruppi in Microsoft Entra ID.
Suggerimento
È anche possibile abilitare il Single Sign-On basato su SAML per Zscaler One. Seguire le istruzioni riportate nell'esercitazione per l'accesso Single Sign-On di Zscaler One. L'accesso Single Sign-On può essere configurato indipendentemente dal provisioning utenti automatico, anche se queste due funzionalità sono complementari.
Nota
Quando si esegue il provisioning o il deprovisioning di utenti e gruppi, è consigliabile riavviare periodicamente il provisioning per assicurarsi che le appartenenze ai gruppi vengano aggiornate correttamente. Il riavvio forza il servizio a valutare di nuovo tutti i gruppi e ad aggiornare le appartenenze.
Configurare il provisioning utenti automatico per Zscaler One in Microsoft Entra ID
Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.
Passare a Applicazioni di identità>Applicazioni>aziendali>Zscaler One.
Nell'elenco delle applicazioni selezionare Zscaler One.
Selezionare la scheda Provisioning.
Impostare Modalità di provisioning su Automatico.
Nella sezione Credenziali amministratore compilare le caselle URL tenant e Token segreto con le impostazioni dell'account Zscaler One, come descritto nel passaggio 6.
Per ottenere il token segreto e l'URL del tenant, passare a Administration>Authentication Settings (Amministrazione > Impostazioni di autenticazione) nell'interfaccia utente del portale di Zscaler One. In Authentication Type (Tipo di autenticazione) selezionare SAML.
Selezionare Configure SAML (Configura SAML) per aprire le opzioni di Configure SAML (Configura SAML).
Selezionare Enable SCIM-Based Provisioning (Abilita provisioning basato su SCIM) per ottenere le impostazioni in Base URL (URL di base) e Bearer Token (Token di connessione). Salvare quindi le impostazioni. Copiare l'impostazione URL di base in URL tenant. Copiare l'impostazione Bearer Token (Token di connessione) su Secret Token (Token segreto).
Dopo aver compilato le caselle visualizzate nel passaggio 5, selezionare Test connessione per assicurarsi che Microsoft Entra ID possa connettersi a Zscaler One. Se la connessione non riesce, verificare che l'account Zscaler One disponga di autorizzazioni di amministratore e riprovare.
Nel campo Messaggio di posta elettronica di notifica immettere l'indirizzo e-mail di una persona o di un gruppo che riceverà le notifiche di errore relative al provisioning. Selezionare la casella di controllo Invia una notifica di posta elettronica in caso di errore.
Seleziona Salva.
Nella sezione Mapping selezionare Synchronize Microsoft Entra users to Zscaler One (Sincronizza utenti di Microsoft Entra con Zscaler One).
Esaminare gli attributi utente sincronizzati da Microsoft Entra ID a Zscaler One nella sezione Mapping attributi . Gli attributi selezionati come proprietà corrispondenti vengono usati per trovare le corrispondenze con gli account utente in Zscaler One per le operazioni di aggiornamento. Per salvare le modifiche, selezionare Salva.
Attributo Type Supportato per il filtro Richiesto da Zscaler One userName String ✓ ✓ active Booleano ✓ displayName String ✓ externalId String ✓ name.givenName String name.familyName String urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department String ✓ Nella sezione Mapping selezionare Synchronize Microsoft Entra groups to Zscaler One (Sincronizza gruppi di Microsoft Entra in Zscaler One).
Esaminare gli attributi del gruppo sincronizzati da Microsoft Entra ID a Zscaler One nella sezione Mapping attributi . Gli attributi selezionati come proprietà corrispondenti vengono usati per trovare le corrispondenze con i gruppi in Zscaler One per le operazioni di aggiornamento. Per salvare le modifiche, selezionare Salva.
Attributo Type Supportato per il filtro Richiesto da Zscaler One displayName String ✓ ✓ externalId String ✓ membri Riferimento Per configurare i filtri di ambito, seguire le istruzioni riportate nell'esercitazione sui filtri per la definizione dell'ambito.
Per abilitare il servizio di provisioning di Microsoft Entra per Zscaler One, nella sezione Impostazioni impostare Stato del provisioning su Sì.
Definire gli utenti o i gruppi di cui si vuole eseguire il provisioning in Zscaler One. Nella sezione Impostazioni selezionare i valori desiderati in Ambito.
Quando si è pronti per eseguire il provisioning, selezionare Salva.
L'operazione avvia la sincronizzazione iniziale di tutti gli utenti o i gruppi definiti nell'Ambito della sezione Impostazioni. La sincronizzazione iniziale richiede più tempo rispetto alle sincronizzazioni successive. Le sincronizzazioni vengono eseguite circa ogni 40 minuti, purché il servizio di provisioning di Microsoft Entra sia in esecuzione.
È possibile usare la sezione Dettagli sincronizzazione per monitorare lo stato di avanzamento e selezionare i collegamenti al report attività di provisioning. Il report descrive tutte le azioni eseguite dal servizio di provisioning Microsoft Entra in Zscaler One.
Per scoprire di più sulla lettura dei log di provisioning di Microsoft Entra, vedere Creazione di report sul provisioning automatico degli account utente.
Log delle modifiche
- 16/05/2022 - Funzionalità di individuazione dello schema abilitata in questa app.
Risorse aggiuntive
- Gestione del provisioning degli account utente per le app aziendali
- Accesso alle applicazioni e accesso Single Sign-On con Microsoft Entra ID