Интеграция Microsoft Entra SSO с Kronos Workforce Dimensions

В этой статье вы узнаете, как интегрировать Kronos Workforce Dimensions с идентификатором Microsoft Entra ID. Интеграция Kronos Workforce Dimensions с идентификатором Microsoft Entra позволяет:

• Контроль доступа к Kronos Workforce Dimensions с помощью идентификатора Microsoft Entra ID.
• Включите автоматический вход пользователей в Kronos Workforce Dimensions с помощью учетных записей Microsoft Entra.
• Управляйте своими учетными записями в одном центральном месте.

Предварительные требования

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если ее нет, можно создать учетную запись бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• Подписка Kronos Workforce Dimensions с функцией единого входа (SSO) активирована.

Примечание.

Эта интеграция также доступна для использования из облачной среды Microsoft Entra для государственных организаций США. Это приложение можно найти в коллекции облачных приложений Microsoft Entra для государственных организаций США и настроить его так же, как и в общедоступном облаке.

Описание сценария

В этой статье описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

• Kronos Workforce Dimensions поддерживает SP инициированный SSO.

Добавить Kronos Workforce Dimensions из галереи

Чтобы настроить интеграцию Kronos Workforce Dimensions с идентификатором Microsoft Entra ID, необходимо добавить Kronos Workforce Dimensions из коллекции в список управляемых приложений SaaS.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор облачных приложений.
2. Перейдите к Identity>Applications>Enterprise applications>New application.
3. В разделе Добавление из коллекции в поле поиска введите Kronos Workforce Dimensions.
4. Выберите Kronos Workforce Dimensions в области результатов и добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш тенант.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере можно добавить приложение в клиент, добавить пользователей и группы в приложение, назначить роли, а также просмотреть конфигурацию единого входа. Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Kronos Workforce Dimensions

Настройте и проверьте SSO (Единый вход) Microsoft Entra для Kronos Workforce Dimensions с использованием тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в Kronos Workforce Dimensions.

Чтобы настроить и протестировать Microsoft Entra SSO с Kronos Workforce Dimensions, выполните следующие действия:

1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.
   1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra с помощью B.Simon.
   2. Назначьте тестового пользователя Microsoft Entra, чтобы Б.Саймон мог использовать функцию единого входа Microsoft Entra.
2. Настройте Kronos Workforce Dimensions для единого входа - чтобы настроить параметры единого входа на стороне приложения.
   1. Создайте тестового пользователя Kronos Workforce Dimensions, чтобы иметь в Kronos Workforce Dimensions пользователя B.Simon, связанного с представлением пользователя в Microsoft Entra.
3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройка единого входа Microsoft Entra

Выполните следующие действия, чтобы включить SSO для Microsoft Entra.

1. Войдите в Центр администрирования Microsoft Entra как минимум Администратор облачных приложений.

2. Перейдите к Identity>Applications>Enterprise applications>Kronos Workforce Dimensions>Single sign-on.

3. На странице Выбрать метод единого входа выберите SAML.

4. На странице Настройка единого входа с помощью SAML щелкните значок карандаша, чтобы открыть диалоговое окно Базовая конфигурация SAML для изменения параметров.

   

5. В разделе Базовая конфигурация SAML выполните приведенные ниже действия.

   a. В текстовое поле Идентификатор (идентификатор сущности) введите URL-адрес в следующем формате: https://<SUBDOMAIN>.<ENVIRONMENT>.mykronos.com/authn/<TENANT_ID/hsp/<TENANT_NUMBER>.

   б. В текстовом поле URL-адрес входа введите URL-адрес в одном из таких форматов:

   URL-адрес для входа
   https://<CUSTOMER>-<ENVIRONMENT>-sso.<ENVIRONMENT>.mykronos.com/
   https://<CUSTOMER>-sso.<ENVIRONMENT>.mykronos.com/

   Примечание.

   Эти значения не являются реальными. Замените эти значения фактическим идентификатором и URL-адресом единого входа. Чтобы получить эти значения, обратитесь в группу поддержки клиентов Kronos Workforce Dimensions. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".

6. На странице Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML нажмите кнопку "Копировать", чтобы скопировать URL-адрес метаданных федерации приложений и сохранить его на компьютере.

   

Создание и назначение тестового пользователя Microsoft Entra

Следуйте инструкциям в руководстве по созданию и назначению учетной записи пользователя быстрого старта, чтобы создать тестовую учетную запись пользователя B.Simon.

Настройка Единого Входа (SSO) в Kronos Workforce Dimensions

Чтобы настроить единый вход на стороне Kronos Workforce Dimensions, необходимо отправить URL-адрес метаданных федерации приложения в группу поддержки Kronos Workforce Dimensions. Они устанавливают эту настройку, чтобы правильно настроить подключение SAML SSO с обеих сторон.

Создание тестового пользователя Kronos Workforce Dimensions

В этом разделе описано, как создать пользователя Britta Simon в приложении Kronos Workforce Dimensions. Для добавления пользователей на платформу Kronos Workforce Dimensions обратитесь к группе поддержки Kronos Workforce Dimensions. Перед использованием единого входа необходимо создать и активировать пользователей.

Примечание.

Исходная документация Майкрософт рекомендует обратиться в службу поддержки UKG по электронной почте, чтобы создать пользователей Microsoft Entra. Пока эта возможность доступна, рассмотрите следующие варианты самостоятельного обслуживания.

Ручной процесс

Существует два способа вручную создать пользователей Microsoft Entra в WFD. Вы можете выбрать существующего пользователя, дублировать их, а затем обновить необходимые поля, чтобы сделать этого пользователя уникальным. Этот процесс может занять много времени и требует знаний о пользовательском интерфейсе WFD. Альтернативой является создание пользователя с помощью API WFD, который гораздо быстрее. Для этого параметра требуются знания об использовании инструментов API, таких как Postman, для отправки запросов в API. Следующие инструкции помогут импортировать предварительно созданный пример в средство API Postman.

Настройка

1. Откройте средство Postman и импортируйте следующие файлы:

   a. Измерения рабочей силы — создание User.postman_collection.json

   b. Идентификатор Microsoft Entra для WFD Env Variables.json

2. В левой области нажмите кнопку "Среды ".

3. Щелкните AAD_to_WFD_Env_Variables и добавьте значения, предоставленные поддержкой UKG для вашего экземпляра WFD.

   Примечание.

   access_token и refresh_token должны быть пустыми, так как они автоматически заполнятся в результате HTTP-запроса для получения маркера доступа.

4. Откройте HTTP-запрос Create Microsoft Entra user в WFD и обновите выделенные свойства в полезных данных JSON:

   { 
   
   "personInformation": { 
   
      "accessAssignment": { 
   
         "accessProfileName": "accessProfileName", 
   
         "notificationProfileName": "All" 
   
       }, 
   
       "emailAddresses": [ 
   
         { 
   
           "address": "address” 
   
           "contactTypeName": "Work" 
   
         } 
   
       ], 
   
       "employmentStatusList": [ 
   
         { 
   
           "effectiveDate": "2019-08-15", 
   
           "employmentStatusName": "Active", 
   
           "expirationDate": "3000-01-01" 
   
         } 
   
       ], 
   
       "person": { 
   
         "personNumber": "personNumber", 
   
         "firstName": "firstName", 
   
         "lastName": "lastName", 
   
         "fullName": "fullName", 
   
         "hireDate": "2019-08-15", 
   
         "shortName": "shortName" 
   
       }, 
   
       "personAuthenticationTypes": [ 
   
         { 
   
           "activeFlag": true, 
   
           "authenticationTypeName": "Federated" 
   
         } 
   
       ], 
   
       "personLicenseTypes": [ 
   
         { 
   
           "activeFlag": true, 
   
           "licenseTypeName": "Employee" 
   
         }, 
   
         { 
   
           "activeFlag": true, 
   
           "licenseTypeName": "Absence" 
   
         }, 
   
         { 
   
           "activeFlag": true, 
   
           "licenseTypeName": "Hourly Timekeeping" 
   
         }, 
   
         { 
   
           "activeFlag": true, 
   
           "licenseTypeName": "Scheduling" 
   
         } 
   
       ], 
   
       "userAccountStatusList": [ 
   
         { 
   
           "effectiveDate": "2019-08-15", 
   
           "expirationDate": "3000-01-01", 
   
           "userAccountStatusName": "Active" 
   
         } 
   
       ] 
   
     }, 
   
     "jobAssignment": { 
   
       "baseWageRates": [ 
   
         { 
   
           "effectiveDate": "2019-01-01", 
   
           "expirationDate": "3000-01-01", 
   
           "hourlyRate": 20.15 
   
         } 
   
       ], 
   
       "jobAssignmentDetails": { 
   
         "payRuleName": "payRuleName", 
   
         "timeZoneName": "timeZoneName" 
   
       }, 
   
       "primaryLaborAccounts": [ 
   
         { 
   
           "effectiveDate": "2019-08-15", 
   
           "expirationDate": "3000-01-01", 
   
           "organizationPath": "organizationPath" 
   
         } 
   
       ] 
   
     }, 
   
     "user": { 
   
       "userAccount": { 
   
         "logonProfileName": "Default", 
   
         "userName": "userName" 
   
       } 
   
     } 
   
   }
   

   Примечание.

   PersonInformation.emailAddress.address и user.userAccount.userName должны совпадать с целевым пользователем Microsoft Entra, который вы пытаетесь создать в WFD.

5. В правом верхнем углу выберите раскрывающееся меню "Среды" и выберите AAD_to_WFD_Env_Variables.

6. После обновления полезных данных JSON и выбора правильных переменных среды выберите HTTP-запрос для получения токена доступа и нажмите кнопку Отправить. Это позволит использовать обновленные переменные среды для аутентификации в экземпляре WFD, а затем кэшировать токен доступа в переменных среды для вызова метода создания пользователя.

7. Если вызов проверки подлинности выполнен успешно, вы увидите ответ 200 с возвращенным маркером доступа. Этот маркер доступа теперь будет отображаться в столбце CURRENT VALUE в переменных среды для записи access_token .

   Примечание.

   Если access_token не был получен, убедитесь, что все переменные окружения верны. Учетные данные пользователя должны быть учетной записью суперпользователя.

8. После получения access_token выберите AAD_to_WFD_Env_Variables HTTP-запрос и нажмите кнопку "Отправить". Если запрос выполнен успешно, вы получите состояние HTTP 200.

9. Войдите в WFD с помощью учетной записи суперпользователя и убедитесь, что новый пользователь Microsoft Entra был создан в экземпляре WFD.

Автоматизированный процесс

Автоматизированный процесс состоит из плоского файла в формате CSV, который позволяет пользователю предварительно определить выделенные значения в полезной нагрузке из приведенного выше процесса API вручную. Неструктурированный файл используется сопровождающим скриптом PowerShell, который создает новых пользователей WFD в массовом режиме. Скрипт обрабатывает создание новых пользователей пакетами по 70 (по умолчанию), которые можно настроить для оптимальной производительности. Ниже приведены инструкции по настройке и выполнению скрипта.

1. Сохраните файлы AAD_To_WFD.csv и AAD_To_WFD.ps1 локально на компьютере.

2. Откройте файл AAD_To_WFD.csv и заполните столбцы.

   • personInformation.accessAssignment.accessProfileName: конкретное имя профиля доступа из экземпляра WFD.

   • personInformation.emailAddresses.address: должен соответствовать имени принципала пользователя в Microsoft Entra ID.

   • personInformation.personNumber: должен быть уникальным в экземпляре системы WFD.

   • personInformation.firstName: имя пользователя.

   • personInformation.lastName: фамилия пользователя.

   • jobAssignment.jobAssignmentDetails.payRuleName: определённое название правила оплаты из WFD.

   • jobAssignment.jobAssignmentDetails.timeZoneName: формат часового пояса должен соответствовать инстанции WFD (то есть (GMT -08:00) Pacific Time).

   • jobAssignment.primaryLaborAccounts.organizationPath: Путь структурной организации конкретной бизнес-структуры в системе WFD.

3. Сохраните файл .csv.

4. Щелкните правой кнопкой мыши скрипт AAD_To_WFD.ps1 и нажмите кнопку "Изменить ", чтобы изменить его.

5. Убедитесь, что путь, указанный в строке 15, является правильным именем или путем к файлу AAD_To_WFD.csv .

6. Обновите следующие строки значениями, предоставленными службой поддержки UKG для вашего экземпляра WFD.

   • Строка 33: vanityUrl

   • Строка 43: appKey

   • Строка 48: client_id

   • Строка 49: client_secret

7. Сохраните и выполните скрипт.

8. При появлении запроса укажите учетные данные суперпользователя WFD.

9. После завершения скрипт вернет список всех пользователей, которые не удалось создать.

Примечание.

Не забудьте проверить значения, указанные в файле AAD_To_WFD.csv, если он возвращён из-за опечаток или несоответствия полей в экземпляре WFD. Ошибка также может быть возвращена системой API WFD, если все пользователи в пакете уже существуют в этой системе.

Проверка единого входа

В этом разделе вы тестируете конфигурацию единого входа Microsoft Entra с использованием следующих параметров.

• Щелкните на "Протестировать это приложение", вы будете перенаправлены на URL-адрес входа в Kronos Workforce Dimensions, где вы сможете инициировать процесс входа.

• Перейдите на страницу входа в Kronos Workforce Dimensions непосредственно по URL-адресу и начните процесс входа.

• Вы можете использовать портал "Мои приложения" корпорации Майкрософт. По нажатию плитки Kronos Workforce Dimensions в разделе "Мои приложения" вы будете перенаправлены по URL-адресу единого входа в Kronos Workforce Dimensions. Дополнительные сведения о портале "Мои приложения" см. в этой статье.

Связанный контент

После настройки Kronos Workforce Dimensions можно применить управление сеансами, которое защищает от хищения конфиденциальных данных вашей организации и несанкционированного доступа к ним в реальном времени. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.