Grupy Microsoft Entra
Automatyczne aktualizowanie członków grup przez Microsoft Entra ID za pomocą aprowizacji SCIM
Ostatnio zaktualizowano
Dzięki aprowizacji Microsoft Entra ID wysyła Twoich użytkowników i grupy do Tillor. Jeśli połączysz grupę Entra z grupą Tillor, członkowie tej grupy podążają za Entra: kogo dodasz w Entra, dostaje zadania i widoki grupy, a kogo z niej usuniesz lub wyłączysz, traci je. Nikt nie musi się w tym celu logować ponownie.
Entra używa do tego protokołu SCIM. Tillor sam niczego nie odczytuje z Twojej dzierżawy Microsoft: to Entra decyduje, których użytkowników i grupy wysyła. Tylko podczas Szybkiej konfiguracji Twoja przeglądarka łączy się z Microsoft, aby utworzyć dla Ciebie aplikację.
Co się dzieje, a co nie
- Tylko istniejący członkowie. Entra nie tworzy kont Tillor. Osoba, która nie jest jeszcze członkiem Twojej organizacji, nie liczy się, dopóki jej nie zaprosisz. Gdy tylko zostanie członkiem, od razu trafia do swoich połączonych grup
- Brak danych osób niebędących członkami. O osobach bez konta Tillor Tillor nie przechowuje imienia ani adresu e-mail, tylko nieczytelny kod, dzięki któremu rozpozna je, gdy później zostaną członkami
- Nic bez połączenia. Grupa Entra zmienia coś w Tillor dopiero wtedy, gdy połączysz ją z grupą Tillor w Grupy Entra niepołączone
- Jeden do jednego. Grupa Tillor należy do najwyżej jednej grupy Entra
- Nazwa pozostaje w Tillor. Jeśli zmienisz nazwę grupy w Entra, nową nazwę zobaczysz za Entra ·, ale grupa Tillor zachowuje własną nazwę
- Grupy zagnieżdżone nie są rozwijane. Grupa, która jest członkiem innej grupy, nie liczy się jako członek. Jeśli chcesz mieć także te osoby, przypisz grupę zagnieżdżoną osobno w Entra i połącz ją z tą samą lub inną grupą Tillor
- Logowanie się nie zmienia. Ludzie logują się jak zwykle przez Microsoft, zobacz Logowanie
Zanim zaczniesz
Potrzebujesz:
- W Tillor uprawnienia Edycja ustawień
- W Microsoft Entra roli Cloud Application Administrator lub Application Administrator (albo wyższej)
- Licencji Entra, która pozwala na automatyczną aprowizację do własnych aplikacji (Microsoft Entra ID P1 lub wyższa)
Zadbaj, aby Twoi współpracownicy mieli w Tillor to samo konto Microsoft lub ten sam adres e-mail co w Entra. Dzięki temu Tillor rozpoznaje, kto jest kim, zobacz Jak Tillor rozpoznaje osoby.
Szybka konfiguracja
Jeśli sam jesteś administratorem Entra, Tillor przygotuje połączenie za Ciebie za jednym razem.
- Przejdź do Pomoc > Ustawienia i wybierz Grupy
- Przy Microsoft Entra kliknij Skonfiguruj z Microsoft, a potem Zaloguj się i skonfiguruj
- W oknie Microsoft zaloguj się kontem administratora i udziel zgody. Microsoft prosi o zgodę na zarządzanie aplikacjami i aprowizacją oraz na odczyt Twoich grup
Tillor tworzy wtedy aplikację w Entra, uzupełnia adres URL dzierżawy i token, sprawia, że użytkownicy są rozpoznawani po koncie Microsoft, i każe Entra wysyłać typ każdej grupy. Potem rozpoczyna się synchronizacja, a Tillor od razu wysyła Ciebie i wszystkie Twoje grupy, więc nie musisz czekać na pierwszą synchronizację. Na koniec Tillor odczytuje dla każdej grupy jej typ i to, czy należy do niej zespół w Teams. Widzisz, jak każdy krok jest odhaczany. Tillor robi to w tle: możesz zamknąć okno, a nawet stronę. Gdy później ponownie klikniesz Skonfiguruj z Microsoft, zobaczysz, jak daleko to zaszło, lub do godziny po zakończeniu, czy się udało, czy nie. Potem możesz zacząć od nowa przyciskiem Skonfiguruj ponownie.
Entra wysyła przy tym wszystkich Twoich użytkowników i wszystkie grupy. Nie musisz niczego wcześniej wybierać: grupy trafiają do Grupy Entra niepołączone i niczego nie zmieniają, dopóki ich nie połączysz. Przejdź w tym celu dalej do Łączenie grup w Tillor. Członkowie grup dojdą z pierwszą synchronizacją. Trwa ona kilka minut, w dużych organizacjach kilka godzin.
Tillor używa dostępu tylko do tej konfiguracji. Dostęp trafia zaszyfrowany do zadania w tle i potem nie jest nigdzie przechowywany; Microsoft sam go unieważnia po około godzinie. Jeśli ponownie przejdziesz Skonfiguruj z Microsoft, Tillor odnajdzie tę samą aplikację i nie utworzy drugiej.
Szybka konfiguracja tworzy nowy token. Token, który wcześniej wkleiłeś ręcznie w Entra, przestaje potem działać. Jeśli konfiguracja zatrzyma się w połowie, kliknij Spróbuj ponownie.
Jeśli logowanie się nie udaje, na przykład dlatego, że Twoja organizacja blokuje zgody dla aplikacji, albo chcesz, aby Entra wysyłała tylko wybrane grupy, skonfiguruj połączenie ręcznie, jak opisano poniżej.
Konfiguracja ręczna
Utwórz token w Tillor
- Przejdź do Pomoc > Ustawienia i wybierz Grupy
- U góry jest Microsoft Entra. Jeśli połączenie jest już skonfigurowane, kliknij Połączenie
- Skopiuj Adres URL dzierżawy. Wygląda tak:
https://…/api/orgs/<organisatie>/scim/v2 - Kliknij Wygeneruj token i skopiuj token, który się pojawi
Token jest pokazywany tylko raz. Wklej go od razu w Entra. Jeśli go zgubisz, kliknij Zastąp token i użyj nowego tokenu.
Utwórz aplikację w Entra
- Otwórz Microsoft Entra admin center
- Przejdź do Identity > Applications > Enterprise applications i kliknij New application
- Kliknij Create your own application
- Nadaj aplikacji nazwę, na przykład Tillor, wybierz Integrate any other application you don't find in the gallery (Non-gallery) i kliknij Create
Jeśli masz już enterprise application dla Tillor, możesz użyć jej.
Połącz aprowizację
- W aplikacji otwórz Provisioning i kliknij Get started (lub New configuration)
- Ustaw Provisioning Mode na Automatic
- W Admin Credentials wpisz:
- Tenant URL: adres URL dzierżawy z Tillor
- Secret Token: token z Tillor
- Kliknij Test Connection. Entra musi zgłosić, że połączenie się udało
- Kliknij Save
Sprawdź atrybuty
W Mappings otwórz regułę Provision Microsoft Entra ID Users:
- Ustaw externalId na objectId (domyślnie jest mailNickname). Wtedy Tillor rozpoznaje osobę po koncie Microsoft, nawet gdy adres e-mail się różni
- Zostaw userName (← userPrincipalName), active i emails[type eq "work"].value (← mail)
Zostaw Provision Microsoft Entra ID Groups włączone. Ustawienia domyślne (displayName, externalId ← objectId, members) są dobre.
Jeśli chcesz w Tillor widzieć, jakiego rodzaju jest grupa, dodaj do grup te atrybuty. W Show advanced options wybierz najpierw Edit attribute list for customappsso i dodaj atrybuty docelowe, potem dla każdej reguły Add New Mapping:
| Źródło w Entra | Atrybut docelowy | Typ |
|---|---|---|
Wyrażenie Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Jeśli brakuje źródła na liście Entra, pomiń tę regułę. Tego, czy do grupy należy zespół w Teams, Entra tą drogą nie przekaże; Tillor widzi to tylko przez Skonfiguruj z Microsoft.
Inne atrybuty możesz zostawić. Tillor ich nie zapisuje.
Przypisz grupy
- W aplikacji otwórz Users and groups i kliknij Add user/group
- Wybierz grupy, które ma dostać Tillor, na przykład Recepcja, i kliknij Assign
- Sprawdź w Provisioning > Settings, czy Scope jest ustawiony na Sync only assigned users and groups
Entra wysyła grupę razem z jej członkami. Nie musisz osobno przypisywać członków.
Uruchom aprowizację
W Provisioning ustaw Provisioning Status na On i kliknij Save.
Pierwsza runda może chwilę potrwać, zależnie od liczby użytkowników. Potem Entra wysyła zmiany mniej więcej co 40 minut. Jeśli chcesz od razu zaktualizować jedną osobę, użyj Provision on demand w Entra.
Łączenie grup w Tillor
Odśwież Ustawienia > Grupy. U góry znajduje się wiersz Microsoft Entra z ostatnią synchronizacją i liczbą połączonych grup. Pod Twoimi grupami Tillor znajduje się Grupy Entra niepołączone z przesłanymi grupami, które jeszcze nic nie robią. Kliknij Pokaż, jeśli lista jest zwinięta, i użyj pola wyszukiwania, aby znaleźć grupę. Wybierz dla każdej grupy w Połącz z…, co ma się stać, a potem kliknij Zapisz. Przyciskiem Cofnij zmiany odrzucasz swoje wybory. Grupa Tillor może być połączona tylko z jedną grupą Entra; grup, które są już połączone, nie możesz wybrać ponownie.
| Wybór | Co się dzieje |
|---|---|
| Utwórz nową | Tillor tworzy grupę z nazwą z Entra i wypełnia ją rozpoznanymi członkami |
| Istniejąca grupa | Członkowie tej grupy są zastępowani rozpoznanymi członkami z Entra. Jeśli Entra nie wysłała jeszcze członków tej grupy, obecni członkowie pozostają do czasu, aż synchronizacja ich dostarczy |
Od teraz Entra aktualizuje członków przy każdej synchronizacji. Połączona grupa znika z listy, a w Twoich grupach Tillor pod grupą widnieje Entra · [nazwa] z informacją, jakiego rodzaju jest grupa.
Łączenie odbywa się tylko z poziomu Grupy Entra niepołączone. Grupy Tillor, którą zarządzasz ręcznie, na przykład IT, nie łączysz z poziomu samej grupy.
Za każdą nazwą grupy widać, jakiego rodzaju jest grupa w Entra. Przyciskami nad listą pokazujesz jeden rodzaj.
| Etykieta | Co to jest |
|---|---|
| Zabezpieczenia | Zwykła grupa zabezpieczeń, często grupa, którą chcesz połączyć |
| Zabezpieczenia z obsługą poczty | Grupa zabezpieczeń z własnym adresem e-mail |
| Lista dystrybucyjna | Tylko lista e-mailowa |
| Microsoft 365 | Grupa ze wspólną skrzynką pocztową i witryną SharePoint, czasem z zespołem w Teams |
| Windows Server AD | Pochodzi z Twojego lokalnego Active Directory (hybrydowa) i jest tam zarządzana |
| Dynamiczna | Entra sama określa członków regułą |
| Teams | Należy do niej zespół w Teams |
| Nieznany typ | Tillor nie zna jeszcze typu. Przejdź ponownie Skonfiguruj z Microsoft |
Grupy witryny SharePoint, takie jak Właściciele, Członkowie i Goście witryny, nie są grupami Entra. Nigdy nie trafiają do Tillor. Widzisz natomiast grupę Microsoft 365 stojącą za witryną.
Jak Tillor rozpoznaje osoby
Dla każdego użytkownika, którego wysyła Entra, Tillor szuka istniejącego członka Twojej organizacji:
- Najpierw po koncie Microsoft, którym ta osoba loguje się w Tillor (ID obiektu Entra, jeśli ustawisz externalId na objectId)
- W przeciwnym razie po adresie e-mail: adres służbowy z Entra lub userPrincipalName, jeśli jest adresem e-mail
Jeśli Tillor nikogo nie znajdzie albo użytkownik jest w Entra wyłączony, nie liczy się w grupie. Gdy tylko osoba zostanie członkiem organizacji, od razu się liczy. Jeśli włączysz ją w Entra ponownie, liczy się od następnej synchronizacji.
Co się dzieje przy zmianach w Entra
| W Entra | W Tillor |
|---|---|
| Członek dodany do połączonej grupy | Trafia do grupy Tillor (jeśli jest członkiem organizacji) |
| Członek usunięty z grupy | Znika z grupy Tillor |
| Użytkownik wyłączony (Account enabled wyłączone) | Znika ze wszystkich połączonych grup Tillor. Jego konto Tillor nadal istnieje |
| Użytkownik lub grupa nie jest już przypisana do aplikacji | Entra wysyła wyłączenie lub usunięcie, z takim samym skutkiem |
| Grupa usunięta | Pod grupą Tillor widnieje Usunięto w Entra. Członkowie zostali zachowani. Grupa Tillor pozostaje z ostatnimi członkami i nie jest już aktualizowana |
Całkowite usunięcie kogoś z organizacji robisz w Tillor, w Organizacja. Entra zarządza tylko członkami grup.
Co zobaczysz w dzienniku aktywności
W dzienniku aktywności zobaczysz:
- Każdą zmianę członków grupy Tillor, którą wprowadza Entra, z informacją, kto dołączył lub odszedł. Jest ona zapisana na system, nie na użytkownika
- Każdą rundę synchronizacji z Entra, jeden wiersz na rundę. Rundy, w której Entra nic nie wysyła, nie widać
- Kto połączył lub odłączył grupę Entra z grupą Tillor i kto zastąpił token
Zmiana lub zatrzymanie połączenia
- Odłączanie: kliknij przy grupie Tillor Odłącz. Grupa Tillor pozostaje taka, jaka jest, a Ty znów zarządzasz nią ręcznie. Grupa Entra wraca do Grupy Entra niepołączone
- Inna grupa Tillor: odłącz, a potem połącz grupę Entra w Grupy Entra niepołączone z inną grupą. Poprzednia grupa zachowuje swoich członków, ale nie jest już aktualizowana
- Całkowite zatrzymanie: ustaw w Entra Provisioning Status na Off albo usuń enterprise application
Zastąpienie tokenu
Kliknij w wierszu Microsoft Entra Połączenie, a potem Zastąp token, jeśli token wyciekł lub potrzebujesz go ponownie. Stary token od razu przestaje działać. Wklej nowy token w Entra w Provisioning > Admin Credentials > Secret Token i kliknij Save. Dopóki tego nie zrobisz, synchronizacja w Entra się nie udaje.
Rozwiązywanie problemów
Skonfiguruj z Microsoft zatrzymuje się na jednym z kroków
Przy kroku widać komunikat od Microsoft. Zwykle koncie brakuje roli administratora lub zgody. Sprawdź role w Zanim zaczniesz i kliknij Spróbuj ponownie. Tillor ponownie używa aplikacji i aprowizacji, które zostały już utworzone.
Test Connection się nie udaje
Sprawdź, czy adres URL dzierżawy został przepisany w całości, łącznie z /scim/v2, i czy token jest ostatnio wygenerowanym. Po Zastąp token stary token nie działa.
Grupy nie ma na liście
Poczekaj, aż pierwsza synchronizacja się zakończy, i odśwież stronę. Jeśli ustawiłeś połączenie ręcznie, Entra wysyła tylko grupy przypisane do aplikacji: sprawdź Users and groups w aplikacji i poczekaj na następną rundę albo użyj Provision on demand.
Ktoś nie ma się w grupie Tillor
- Czy ta osoba jest członkiem Twojej organizacji w Tillor? Entra nie tworzy kont
- Czy adres e-mail w Entra zgadza się z tym w Tillor? Jeśli nie, ustaw externalId na objectId, aby Tillor rozpoznał osobę po jej koncie Microsoft. Działa to tylko wtedy, gdy osoba już kiedyś zalogowała się w Tillor przez Microsoft
- Czy użytkownik jest w Entra włączony?
- Czy jest bezpośrednim członkiem grupy, a nie przez grupę zagnieżdżoną?
Moja ręczna zmiana znika
W połączonej grupie źródłem jest Entra. Zmień członków w Entra albo odłącz grupę.
Więcej szczegółów o nieudanej rundzie
Otwórz w Entra Provisioning > Provisioning logs. Zobaczysz tam dla każdego użytkownika i grupy, co Entra próbowała zrobić i jaką odpowiedź dał Tillor.