Gruppi Microsoft Entra
Fai aggiornare automaticamente i membri dei gruppi da Microsoft Entra ID tramite il provisioning SCIM
Ultimo aggiornamento il
Con il provisioning, Microsoft Entra ID invia a Tillor i tuoi utenti e gruppi. Se colleghi un gruppo Entra a un gruppo Tillor, i membri di quel gruppo seguono Entra: chi aggiungi in Entra riceve le attività e le viste del gruppo, e chi togli o disattivi le perde. Per questo nessuno deve accedere di nuovo.
Entra usa a tal fine il protocollo SCIM. Tillor non legge nulla da solo dal tuo tenant Microsoft: è Entra a decidere quali utenti e gruppi inviare. Solo durante la configurazione rapida il tuo browser parla con Microsoft per creare l'app al posto tuo.
Che cosa succede e che cosa no
- Solo membri esistenti. Entra non crea account Tillor. Chi non è ancora membro della tua organizzazione non conta finché non lo inviti. Non appena diventa membro, entra subito nei suoi gruppi collegati
- Nessun dato dei non membri. Delle persone senza account Tillor, Tillor non conserva né nome né indirizzo e-mail, solo un codice illeggibile con cui le riconosce quando diventano membri in seguito
- Niente senza collegamento. Un gruppo Entra cambia qualcosa in Tillor solo quando lo colleghi a un gruppo Tillor in Gruppi Entra non collegati
- Uno a uno. Un gruppo Tillor appartiene al massimo a un gruppo Entra
- Il nome resta di Tillor. Se rinomini il gruppo in Entra, vedi il nuovo nome dopo Entra ·, ma il gruppo Tillor mantiene il proprio nome
- I gruppi annidati non vengono espansi. Un gruppo che è membro di un altro gruppo non conta come membro. Se vuoi anche quelle persone, assegna il gruppo annidato a parte in Entra e collegalo allo stesso gruppo Tillor o a un altro
- L'accesso non cambia. Le persone accedono come sempre con Microsoft, vedi Accedere
Prima di iniziare
Ti servono:
- In Tillor il permesso Modifica impostazioni
- In Microsoft Entra il ruolo Cloud Application Administrator o Application Administrator (o superiore)
- Una licenza Entra che consenta il provisioning automatico verso app proprie (Microsoft Entra ID P1 o superiore)
Assicurati che i tuoi colleghi abbiano in Tillor lo stesso account Microsoft o lo stesso indirizzo e-mail che hanno in Entra. Così Tillor riconosce chi è chi, vedi Come Tillor riconosce le persone.
Configurazione rapida
Se sei tu l'amministratore Entra, Tillor prepara il collegamento in un colpo solo.
- Vai a Assistenza > Impostazioni e scegli Gruppi
- Accanto a Microsoft Entra fai clic su Configura con Microsoft e poi su Accedi e configura
- Nella finestra di Microsoft accedi con il tuo account amministratore e concedi il permesso. Microsoft chiede di poter gestire app e provisioning e leggere i tuoi gruppi
Tillor crea quindi l'app in Entra, inserisce l'URL del tenant e il token, fa riconoscere gli utenti dal loro account Microsoft e fa inviare a Entra anche il tipo di ogni gruppo. Poi parte la sincronizzazione e Tillor invia subito te e tutti i tuoi gruppi, così non devi aspettare la prima sincronizzazione. Infine Tillor legge per ogni gruppo il tipo e se c'è un Team collegato. Vedi spuntare ogni passaggio. Tillor lo fa in background: puoi chiudere la finestra o perfino la pagina. Se in seguito fai di nuovo clic su Configura con Microsoft, vedi a che punto è, oppure fino a un'ora dopo la fine se è riuscito o fallito. Poi puoi ricominciare con Configura di nuovo.
Entra invia così tutti i tuoi utenti e gruppi. Non devi scegliere nulla prima: i gruppi finiscono in Gruppi Entra non collegati e non cambiano nulla finché non li colleghi. Per farlo continua con Collegare i gruppi in Tillor. I membri dei gruppi arrivano con la prima sincronizzazione. Richiede qualche minuto, per le grandi organizzazioni qualche ora.
Tillor usa l'accesso solo per questa configurazione. Va cifrato all'attività in background e poi non viene conservato da nessuna parte; Microsoft lo fa scadere da sé dopo circa un'ora. Se ripeti Configura con Microsoft, Tillor ritrova la stessa app e non ne crea una seconda.
La configurazione rapida crea un nuovo token. Un token che avevi incollato a mano in Entra in precedenza non funziona più. Se la configurazione si ferma a metà, fai clic su Riprova.
Se l'accesso non riesce, per esempio perché la tua organizzazione blocca il consenso alle app, o se vuoi che Entra invii solo alcuni gruppi, imposta il collegamento a mano come descritto qui sotto.
Configurazione manuale
Creare il token in Tillor
- Vai a Assistenza > Impostazioni e scegli Gruppi
- In alto c'è Microsoft Entra. Se il collegamento è già configurato, fai clic su Connessione
- Copia l'URL del tenant. Ha un aspetto come
https://…/api/orgs/<organisatie>/scim/v2 - Fai clic su Genera token e copia il token che compare
Il token viene mostrato una sola volta. Incollalo subito in Entra. Se lo perdi, fai clic su Sostituisci token e usa il nuovo token.
Creare un'app in Entra
- Apri il centro di amministrazione Microsoft Entra
- Vai a Identity > Applications > Enterprise applications e fai clic su New application
- Fai clic su Create your own application
- Dai un nome all'app, per esempio Tillor, scegli Integrate any other application you don't find in the gallery (Non-gallery) e fai clic su Create
Se hai già un'enterprise application per Tillor, puoi usare anche quella.
Collegare il provisioning
- Nell'app apri Provisioning e fai clic su Get started (o New configuration)
- Imposta Provisioning Mode su Automatic
- In Admin Credentials inserisci:
- Tenant URL: l'URL del tenant di Tillor
- Secret Token: il token di Tillor
- Fai clic su Test Connection. Entra deve segnalare che la connessione è riuscita
- Fai clic su Save
Controllare gli attributi
In Mappings apri la regola Provision Microsoft Entra ID Users:
- Imposta externalId su objectId (di default c'è mailNickname). Così Tillor riconosce una persona dal suo account Microsoft, anche se l'indirizzo e-mail è diverso
- Lascia userName (← userPrincipalName), active e emails[type eq "work"].value (← mail) come sono
Lascia attivo Provision Microsoft Entra ID Groups. Le impostazioni predefinite (displayName, externalId ← objectId, members) vanno bene.
Se in Tillor vuoi vedere che tipo di gruppo è, aggiungi ai gruppi questi attributi. In Show advanced options scegli prima Edit attribute list for customappsso e aggiungi gli attributi di destinazione, poi per ogni riga Add New Mapping:
| Origine in Entra | Attributo di destinazione | Tipo |
|---|---|---|
Espressione Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Se un'origine manca nell'elenco di Entra, salta quella riga. Se a un gruppo è collegato un Team, Entra non può inviarlo così; Tillor lo vede solo tramite Configura con Microsoft.
Puoi lasciare stare gli altri attributi. Tillor non li conserva.
Assegnare i gruppi
- Nell'app apri Users and groups e fai clic su Add user/group
- Scegli i gruppi che Tillor deve ricevere, per esempio Reception, e fai clic su Assign
- In Provisioning > Settings controlla che Scope sia su Sync only assigned users and groups
Entra invia un gruppo insieme ai suoi membri. Non devi assegnare i membri a parte.
Avviare il provisioning
In Provisioning imposta Provisioning Status su On e fai clic su Save.
Il primo giro può richiedere un po' di tempo, a seconda del numero di utenti. Poi Entra invia le modifiche circa ogni 40 minuti. Se vuoi aggiornare subito una persona, usa Provision on demand in Entra.
Collegare i gruppi in Tillor
Aggiorna Impostazioni > Gruppi. In alto c'è la riga Microsoft Entra con l'ultima sincronizzazione e quanti gruppi sono collegati. Sotto i tuoi gruppi Tillor c'è Gruppi Entra non collegati con i gruppi inviati che ancora non fanno nulla. Fai clic su Mostra se l'elenco è chiuso e usa il campo di ricerca per trovare un gruppo. Per ogni gruppo scegli in Collega a… che cosa deve succedere e poi fai clic su Salva. Con Annulla modifiche scarti le tue scelte. Un gruppo Tillor può essere collegato a un solo gruppo Entra; i gruppi già collegati non puoi sceglierli di nuovo.
| Scelta | Che cosa succede |
|---|---|
| Crea nuovo | Tillor crea un gruppo con il nome di Entra e lo riempie con i membri riconosciuti |
| Un gruppo esistente | I membri di quel gruppo vengono sostituiti dai membri riconosciuti di Entra. Se Entra non ha ancora inviato i membri di quel gruppo, restano i membri attuali finché la sincronizzazione non li fornisce |
Da ora Entra aggiorna i membri a ogni sincronizzazione. Il gruppo collegato sparisce dall'elenco e tra i tuoi gruppi Tillor compare sotto il gruppo Entra · [nome] con il tipo di gruppo.
Il collegamento si fa solo da Gruppi Entra non collegati. Un gruppo Tillor che gestisci a mano, come IT, non lo colleghi dal gruppo stesso.
Dopo ogni nome di gruppo compare che tipo di gruppo è in Entra. Con i pulsanti sopra l'elenco mostri un solo tipo.
| Etichetta | Che cos'è |
|---|---|
| Sicurezza | Un normale gruppo di sicurezza, spesso il gruppo che vuoi collegare |
| Sicurezza abilitata alla posta | Un gruppo di sicurezza con un proprio indirizzo e-mail |
| Lista di distribuzione | Solo una lista e-mail |
| Microsoft 365 | Un gruppo con una casella condivisa e un sito SharePoint, a volte con un Team |
| Windows Server AD | Viene dal tuo Active Directory locale (ibrido) e viene gestito lì |
| Dinamico | Entra decide da sé i membri con una regola |
| Teams | Al gruppo è collegato un Team |
| Tipo sconosciuto | Tillor non conosce ancora il tipo. Esegui di nuovo Configura con Microsoft |
I gruppi del sito SharePoint, come Proprietari, Membri e Visitatori di un sito, non sono gruppi Entra. Non arrivano mai in Tillor. Quello che vedi è il gruppo Microsoft 365 dietro il sito.
Come Tillor riconosce le persone
Per ogni utente che Entra invia, Tillor cerca un membro esistente della tua organizzazione:
- Prima in base all'account Microsoft con cui quella persona accede a Tillor (l'ID oggetto Entra, se imposti externalId su objectId)
- Altrimenti in base all'indirizzo e-mail: l'indirizzo di lavoro di Entra, o lo userPrincipalName se è un indirizzo e-mail
Se Tillor non trova nessuno, o se l'utente è disattivato in Entra, non conta nel gruppo. Non appena la persona diventa membro dell'organizzazione, conta subito. Se in Entra lo riattivi, conta dalla sincronizzazione successiva.
Che cosa succede alle modifiche in Entra
| In Entra | In Tillor |
|---|---|
| Membro aggiunto a un gruppo collegato | Entra nel gruppo Tillor (se è membro dell'organizzazione) |
| Membro tolto dal gruppo | Esce dal gruppo Tillor |
| Utente disattivato (Account enabled disattivato) | Esce da tutti i gruppi Tillor collegati. Il suo account Tillor resta |
| Utente o gruppo non più assegnato all'app | Entra invia una disattivazione o una rimozione, con lo stesso effetto |
| Gruppo eliminato | Sotto il gruppo Tillor compare Rimosso in Entra. I membri sono stati conservati. Il gruppo Tillor resta con i suoi ultimi membri e non viene più aggiornato |
Togliere qualcuno del tutto dalla tua organizzazione si fa in Tillor, in Organizzazione. Entra gestisce solo i membri dei gruppi.
Che cosa ritrovi nel registro attività
Nel registro attività vedi:
- Ogni modifica ai membri di un gruppo Tillor che Entra applica, con chi è entrato o uscito. Compare a nome del sistema, non di un utente
- Ogni giro di sincronizzazione di Entra, una riga per giro. Un giro in cui Entra non invia nulla non lo vedi
- Chi ha collegato o scollegato un gruppo Entra a un gruppo Tillor, e chi ha sostituito il token
Modificare o interrompere il collegamento
- Scollegare: accanto al gruppo Tillor fai clic su Scollega. Il gruppo Tillor resta com'è e lo gestisci di nuovo a mano. Il gruppo Entra torna in Gruppi Entra non collegati
- Un altro gruppo Tillor: scollega e poi collega il gruppo Entra a un altro gruppo in Gruppi Entra non collegati. Il gruppo precedente mantiene i suoi membri, ma non viene più aggiornato
- Interrompere del tutto: in Entra imposta Provisioning Status su Off, oppure elimina l'enterprise application
Sostituire il token
Nella riga Microsoft Entra fai clic su Connessione e poi su Sostituisci token se il token è stato divulgato o se te ne serve uno nuovo. Il vecchio token smette subito di funzionare. Incolla il nuovo token in Entra in Provisioning > Admin Credentials > Secret Token e fai clic su Save. Finché non lo fai, la sincronizzazione in Entra fallisce.
Risolvere i problemi
Configura con Microsoft si ferma a un passaggio
Al passaggio compare il messaggio di Microsoft. Di solito al tuo account manca il ruolo di amministratore o il consenso. Controlla i ruoli in Prima di iniziare e fai clic su Riprova. Tillor riutilizza l'app e il provisioning già creati.
Test Connection non riesce
Controlla che l'URL del tenant sia stato copiato per intero, incluso /scim/v2, e che il token sia l'ultimo generato. Dopo Sostituisci token un vecchio token non funziona più.
Un gruppo non compare nell'elenco
Aspetta che la prima sincronizzazione sia terminata e aggiorna la pagina. Se hai impostato il collegamento a mano, Entra invia solo i gruppi assegnati all'app: controlla Users and groups nell'app e attendi il giro successivo, oppure usa Provision on demand.
Manca qualcuno nel gruppo Tillor
- Quella persona è membro della tua organizzazione Tillor? Entra non crea account
- L'indirizzo e-mail in Entra corrisponde a quello in Tillor? Altrimenti imposta externalId su objectId, così Tillor la riconosce dal suo account Microsoft. Funziona solo se ha già effettuato l'accesso a Tillor con Microsoft
- L'utente è attivo in Entra?
- È membro diretto del gruppo, e non tramite un gruppo annidato?
La mia modifica manuale sparisce
In un gruppo collegato la fonte è Entra. Modifica i membri in Entra, oppure scollega il gruppo.
Più dettagli su un giro non riuscito
In Entra apri Provisioning > Provisioning logs. Lì vedi per ogni utente e gruppo che cosa ha provato Entra e quale risposta ha dato Tillor.