共用方式為

教學課程：設定 Workplace from Meta 來自動佈建使用者

  • 發行項

此教學課程說明您在 Workplace from Meta 與 Microsoft Entra ID 中設定自動佈建使用者所需執行的步驟。 設定時，Microsoft Entra ID 會自動使用 Microsoft Entra ID 佈建服務，將使用者佈建和取消佈建至 Workplace from Meta。 如需此服務的用途、運作方式和常見問題等重要詳細資訊，請參閱使用 Microsoft Entra ID 自動對 SaaS 應用程式進行使用者佈建和取消佈建。

支援的功能

  • 在 Workplace from Meta 中建立使用者
  • 當使用者不再需要存取權時，將其從 Workplace from Meta 中移除
  • 讓 Microsoft Entra ID 與 Workplace from Meta 之間的使用者屬性保持同步
  • 單一登入 至 Workplace from Meta (建議)

必要條件

本教學課程中概述的案例假設您已經具有下列必要條件：

注意

若要測試本教學課程中的步驟，我們不建議使用生產環境。

注意

此整合也可從 Microsoft Entra US Government 雲端環境使用。 您可以在 Microsoft Entra US Government 雲端應用程式資源庫中找到此應用程式，並以您從公用雲端所做的相同方式進行設定。

若要測試本教學課程中的步驟，您應該遵循這些建議：

  • 除非必要，否則請勿使用生產環境。
  • 如果沒有 Microsoft Entra 試用環境，您可以在此取得一個月免費試用。

步驟 1：規劃佈建部署

  1. 了解佈建服務的運作方式 \(部分機器翻譯\)。
  2. 判斷誰會在佈建範圍 \(部分機器翻譯\) 內。
  3. 判斷要在 Microsoft Entra ID 與 Workplace from Meta 之間對應哪些資料。

步驟 2：設定 Workplace from Meta 以支援使用 Microsoft Entra ID 進行佈建

在設定並啟用佈建服務之前，您必須決定 Microsoft Entra ID 中的哪些使用者及/或群組代表需要您的 Workplace from Meta 應用程式存取權的使用者。 一旦決定後，您可以依照此處的指示，將這些使用者指派給 Workplace from Meta 應用程式︰

  • 建議將單一 Microsoft Entra 使用者指派給 Workplace from Meta，以測試佈建設定。 稍後可能會再指派更多使用者。

  • 將使用者指派給 Workplace from Meta 時，必須選取有效的使用者角色。 「預設存取」角色不適用於佈建。

從 Microsoft Entra 應用程式庫新增 Workplace from Meta，以開始管理對 Workplace from Meta 的佈建。 如果您先前已針對單一登入 (SSO) 設定 Workplace from Meta，則可使用相同的應用程式。 不過，建議您在一開始測試整合時，建立個別的應用程式。 在此深入了解從資源庫新增應用程式。

步驟 4：定義佈建範圍內的人員

Microsoft Entra 佈建服務可讓您根據對應用程式的指派，和/或根據使用者/群組屬性，界定將要對其進行佈建的人員。 如果選擇根據指派來界定將佈建至應用程式的人員，則可使用下列步驟將使用者指派給應用程式。 如果選擇僅根據使用者或群組屬性來界定將要佈建的人員，即可使用如這裡所述的範圍篩選條件。

  • 從小規模開始。 在推出給所有人之前，先使用一小部分的使用者和群組進行測試。 當佈建範圍設為已指派的使用者和群組時，您可將一或兩個使用者或群組指派給應用程式來控制這點。 當範圍設為所有使用者和群組時，您可指定以屬性為基礎的範圍篩選條件。

  • 如果需要其他角色，您可以更新應用程式資訊清單以新增角色。

步驟 5：設定 Workplace from Meta 來自動佈建使用者

本節將引導您逐步設定 Microsoft Entra ID 佈建服務，以根據 Microsoft Entra ID 中的使用者指派，在 Workplace from Meta 應用程式中建立、更新和停用使用者。

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

  2. 瀏覽至 [身分識別]>[應用程式]>[企業應用程式]

    企業應用程式刀鋒視窗

  3. 在應用程式清單中，選取 [Workplace from Meta]。

    應用程式清單中的 Workplace from Meta 連結

  4. 選取 [佈建] 索引標籤。

    [管理] 選項的螢幕擷取畫面，並已指出 [佈建] 選項。

  5. 將 [佈建模式] 設定為 [自動]。

    [佈建模式] 下拉式清單的螢幕擷取畫面，並已指出 [自動] 選項。

  6. 確定 [租用戶 URL] 區段已填入正確的端點：https://scim.workplace.com/。 在 [管理員認證] 區段下，按一下 [授權]。 系統會從 Meta 的授權頁面將您重新導向至 Workplace。 輸入 Workplace from Meta 使用者名稱，然後按一下 [繼續] 按鈕。 按一下 [測試連線]，確保 Microsoft Entra ID 可以連線至 Workplace from Meta。 如果連線失敗，請確定您的 Workplace from Meta 帳戶具有管理員權限並再試一次。

    螢幕擷取畫面：顯示 [管理員認證] 對話方塊與 [授權] 選項。

    授權

    注意

    若無法將網址變更為https://scim.workplace.com/，將會在嘗試儲存設定時導致失敗

  7. 在 [通知電子郵件] 欄位中，輸入應該收到佈建錯誤通知的個人或群組電子郵件地址，然後選取 [發生失敗時傳送電子郵件通知] 核取方塊。

    通知電子郵件

  8. 選取 [儲存]。

  9. 在 [對應] 區段下，選取 [將 Microsoft Entra 使用者同步處理至 Workplace from Meta]。

  10. 在 [屬性對應] 區段中，檢閱從 Microsoft Entra ID 同步處理至 Workplace 的使用者屬性。 選取為 [比對] 屬性 (properties) 的屬性 (attributes) 會用來比對 Workplace by Facebook 中的使用者帳戶以進行更新作業。 如果您選擇變更比對目標屬性，則必須確保 Workplace from Meta API 支援根據該屬性來篩選使用者。 選取 [儲存] 按鈕以認可所有變更。

    屬性 類型
    userName String
    displayName String
    作用中 布林值
    title 布林值
    emails[type eq "work"].value String
    name.givenName String
    name.familyName String
    name.formatted String
    addresses[type eq "work"].formatted String
    addresses[type eq "work"].streetAddress String
    addresses[type eq "work"].locality String
    addresses[type eq "work"].region String
    addresses[type eq "work"].country String
    addresses[type eq "work"].postalCode String
    addresses[type eq "other"].formatted String
    phoneNumbers[type eq "work"].value String
    phoneNumbers[type eq "mobile"].value String
    phoneNumbers[type eq "fax"].value String
    externalId String
    preferredLanguage String
    urn:scim:schemas:extension:enterprise:1.0.manager String
    urn:scim:schemas:extension:enterprise:1.0.department String
    urn:scim:schemas:extension:enterprise:1.0.division String
    urn:scim:schemas:extension:enterprise:1.0.organization String
    urn:scim:schemas:extension:enterprise:1.0.costCenter String
    urn:scim:schemas:extension:enterprise:1.0.employeeNumber String
    urn:scim:schemas:extension:facebook:auth_method:1.0:auth_method String
    urn:scim:schemas:extension:facebook:frontline:1.0.is_frontline 布林值
    urn:scim:schemas:extension:facebook:starttermdates:1.0.startDate 整數

  11. 若要設定範圍篩選，請參閱範圍篩選教學課程中提供的下列指示。

  12. 如要啟用 Workplace from Meta 的 Microsoft Entra 佈建服務，請在 [設定] 區段中，將 [佈建狀態] 變更為 [開啟]。

    佈建狀態已切換為開啟

  13. 透過在 [設定] 區段的 [範圍] 中選擇需要的值，可定義要佈建到 Workplace from Meta 的使用者。

    佈建範圍

  14. 當您準備好要佈建時，按一下 [儲存]。

    儲存雲端佈建設定

針對 [設定] 區段的 [範圍] 中定義的所有使用者，此作業會啟動首次同步週期。 初始週期會比後續週期花費更多時間執行，只要 Microsoft Entra 佈建服務正在執行，這大約每 40 分鐘便會發生一次。

步驟 6：監視您的部署

設定佈建後，請使用下列資源來監視部署：

  1. 使用佈建記錄來判斷哪些使用者已佈建成功或失敗
  2. 檢查進度列來查看佈建週期的狀態，以及其接近完成的程度
  3. 如果佈建設定似乎處於狀況不良的狀態，則應用程式將會進入隔離狀態。 在此 \(部分機器翻譯\) 深入了解隔離狀態。

疑難排解秘訣

  • 如果您看到使用者未成功建立，而且有一個代碼為「1789003」的稽核記錄事件，則表示使用者來自未驗證的網域。
  • 在某些案例中，使用者會收到錯誤訊息：缺少電子郵件欄位：您必須提供從 Facebook 傳回的電子郵件錯誤：處理 HTTP 要求時發生例外狀況。 如需詳細資料，請參閱此例外狀況「回應」屬性傳回的 HTTP 回應。 此操作已重試了零次。 其將在此日期之後進行重試作業」。 這項錯誤來自於客戶將電子郵件 (而非 userPrincipalName) 對應到 Facebook 電子郵件，然而，部分使用者並沒有電子郵件屬性。 若要避免發生錯誤，並成功地將失敗的使用者佈建至 Facebook 的 Workplace，請修改從 facebook 電子郵件屬性到 Workplace 的屬性對應，以聯合 ([mail]、[userPrincipalName]) 或經由 Facebook 的 Workplace 取消指派使用者，或為使用者佈建電子郵件地址。
  • Workplace 中有一個選項，允許沒有電子郵件地址的使用者存在。如果在 Workplace 端切換此設定，則必須重新啟動 Azure 端的佈建，才能在 Workplace 中成功建立沒有電子郵件的使用者。

更新 Workplace from Meta 應用程式以使用 Workplace from Meta 跨網域身分識別管理系統 (SCIM) 2.0 端點

Facebook 於 2021 年 12 月發行跨網域身分識別管理系統 (SCIM) 2.0 連接器。 當您完成下列步驟會將設定為使用跨網域身分識別管理系統 (SCIM) 1.0 端點的應用程式更新為使用 SCIM 2.0 端點。 這些步驟將會移除先前對 Workplace from Meta 應用程式所進行的任何自訂作業，包括：

  • 驗證詳細資料
  • 範圍篩選
  • 自訂屬性對應

注意

在完成下列步驟之前，請務必記下您對於上列設定所做的任何變更。 若未記下變更，將會導致自訂設定遺失。

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

  2. 瀏覽至 [身分識別]>[應用程式]>[企業應用程式]>[Workplace from Meta]。

  3. 在新自訂應用程式的 [屬性] 區段中，複製 [物件識別碼]。

    Azure 入口網站中 Workplace from Meta 應用程式的螢幕擷取畫面

  4. 在新的網頁瀏覽器視窗中，前往 https://developer.microsoft.com/graph/graph-explorer 並以新增應用程式所在之 Microsoft Entra 租用戶的系統管理員身分登入。

    螢幕擷取畫面：Microsoft Graph 總管登入頁面

  5. 請檢查確認使用的帳戶持有正確的權限。 必須具有 “Directory.ReadWrite.All” 權限，才能執行這項變更。

    螢幕擷取畫面：Microsoft Graph 設定選項

    螢幕擷取畫面：Microsoft Graph 權限

  6. 使用先前從應用程式選取的 ObjectID，執行下列命令：

    GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/

  7. 從上述 GET 要求的回應主體取得 "id" 值，執行下列命令，並以 GET 要求中的識別碼值取代 "[job-id]"。 值的格式應為 "FacebookAtWorkOutDelta. xxxxxxxxxxxxxxx. xxxxxxxxxxxxxxx"：

    DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]

  8. 在 Graph Explorer 中，執行下列命令。 將 "[object-id]" 取代為您從第三個步驟複製的服務主體識別碼 (物件識別碼)。

    POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "FacebookWorkplace" }

    螢幕擷取畫面：Microsoft Graph 要求

  9. 返回第一個網頁瀏覽器視窗，然後針對您的應用程式選取 [佈建] 索引標籤。 系統將重設您的設定。 您可以透過確認作業識別碼開頭是否為 "FacebookWorkplace"，來確認已進行升級。

  10. 將 [管理員認證] 區段中的租用戶網址更新為下列內容：https://scim.workplace.com/

    Azure 入口網站中 Workplace from Meta 應用程式的管理員認證螢幕擷取畫面

  11. 還原先前您對應用程式所進行的任何變更 (驗證詳細資料、範圍篩選條件、自訂屬性對應) 並重新啟用佈建。

    注意

    若未能還原先前的設定，可能會導致 Workplace 非預期地更新屬性 (以 name.formatted 為例)。 啟用佈建之前，請務必檢查設定

變更記錄檔

  • 2020/09/10 - 已新增對企業屬性 "division"、"organization"、"costCenter" 和 "employeeNumber" 的支援。 已新增對自訂屬性「startDate」、「auth_method」和「frontline」的支援。
  • 2021 年 7 月 22 日 - 針對將電子郵件對應到 Facebook 電子郵件的客戶更新疑難排解提示，然而，部分使用者沒有電子郵件屬性。

更多資源

下一步