Grupos do Microsoft Entra
Deixe o Microsoft Entra ID manter automaticamente os membros dos grupos através de aprovisionamento SCIM
Última atualização em
Com o aprovisionamento, o Microsoft Entra ID envia os seus utilizadores e grupos para o Tillor. Se associar um grupo do Entra a um grupo do Tillor, os membros desse grupo seguem o Entra: quem adicionar no Entra recebe as tarefas e vistas do grupo, e quem retirar ou desativar perde-as. Ninguém precisa de iniciar sessão de novo para isso.
O Entra usa para isso o protocolo SCIM. O Tillor não lê nada por si do seu inquilino Microsoft: é o Entra que decide que utilizadores e grupos envia. Só durante Configuração rápida é que o seu navegador fala com a Microsoft para criar a aplicação por si.
O que acontece e o que não acontece
- Só membros existentes. O Entra não cria contas Tillor. Alguém que ainda não seja membro da sua organização não conta enquanto não o convidar. Assim que passa a ser membro, entra logo nos seus grupos associados
- Sem dados de não membros. De pessoas sem conta Tillor, o Tillor não guarda nome nem endereço de e-mail, apenas um código ilegível com que as reconhece se mais tarde se tornarem membros
- Nada sem associação. Um grupo do Entra só altera algo no Tillor quando o associa a um grupo do Tillor em Grupos do Entra não ligados
- Um para um. Um grupo do Tillor pertence, no máximo, a um grupo do Entra
- O nome continua a ser do Tillor. Se mudar o nome ao grupo no Entra, vê o novo nome a seguir a Entra ·, mas o grupo do Tillor mantém o seu próprio nome
- Grupos aninhados não são expandidos. Um grupo que é membro de outro grupo não conta como membro. Se quiser também essas pessoas, atribua o grupo aninhado em separado no Entra e associe-o ao mesmo grupo do Tillor ou a outro
- O início de sessão não muda. As pessoas iniciam sessão normalmente com a Microsoft, veja Início de sessão
Antes de começar
Precisa de:
- No Tillor, a permissão Editar definições
- No Microsoft Entra, a função Cloud Application Administrator ou Application Administrator (ou superior)
- Uma licença do Entra que permita aprovisionamento automático para aplicações próprias (Microsoft Entra ID P1 ou superior)
Certifique-se de que os seus colegas têm no Tillor a mesma conta Microsoft ou o mesmo endereço de e-mail que no Entra. Assim o Tillor reconhece quem é quem, veja Como o Tillor reconhece as pessoas.
Configuração rápida
Se você próprio for administrador do Entra, o Tillor deixa a associação pronta de uma só vez.
- Vá a Apoio > Definições e escolha Grupos
- Em Microsoft Entra clique em Configurar com a Microsoft e depois em Iniciar sessão na Microsoft
- Na janela da Microsoft, inicie sessão com a sua conta de administrador e dê a autorização. A Microsoft pede para poder gerir aplicações e aprovisionamento e ler os seus grupos
O Tillor cria então a aplicação no Entra, preenche o URL do inquilino e o token, faz com que os utilizadores sejam reconhecidos pela sua conta Microsoft e faz com que o Entra envie o tipo de cada grupo. Depois inicia-se a sincronização e o Tillor envia logo você e todos os seus grupos, para que não tenha de esperar pela primeira sincronização. Por fim, o Tillor lê, por grupo, o tipo e se existe uma equipa associada. Vê cada passo a ser assinalado. O Tillor faz isto em segundo plano: pode fechar a janela ou até a página. Se mais tarde clicar de novo em Configurar com a Microsoft, vê em que ponto está, ou, até uma hora depois de terminar, se correu bem ou mal. Depois pode recomeçar com Configurar de novo.
O Entra envia assim todos os seus utilizadores e grupos. Não tem de escolher nada antes: os grupos ficam em Grupos do Entra não ligados e não alteram nada até os associar. Continue para isso em Associar grupos no Tillor. Os membros dos grupos seguem com a primeira sincronização. Demora alguns minutos, em organizações grandes algumas horas.
O Tillor usa o acesso apenas para esta configuração. Vai encriptado para a tarefa em segundo plano e depois não é guardado em lado nenhum; a Microsoft deixa-o expirar por si passada cerca de uma hora. Se percorrer Configurar com a Microsoft de novo, o Tillor volta a encontrar a mesma aplicação e não cria uma segunda.
A configuração rápida cria um novo token. Um token que tenha colado antes à mão no Entra deixa de funcionar. Se a configuração parar a meio, clique em Tentar novamente.
Se não conseguir iniciar sessão, por exemplo porque a sua organização bloqueia a autorização de aplicações, ou se quiser que o Entra envie apenas determinados grupos, configure a associação à mão como abaixo.
Configuração manual
Criar um token no Tillor
- Vá a Apoio > Definições e escolha Grupos
- No topo está Microsoft Entra. Se a associação já estiver configurada, clique em Ligação
- Copie o URL do inquilino. Tem este aspeto:
https://…/api/orgs/<organisatie>/scim/v2 - Clique em Gerar token e copie o token que aparece
O token só é mostrado uma vez. Cole-o logo no Entra. Se o perder, clique em Substituir token e use o novo token.
Criar uma aplicação no Entra
- Abra o centro de administração do Microsoft Entra
- Vá a Identity > Applications > Enterprise applications e clique em New application
- Clique em Create your own application
- Dê um nome à aplicação, por exemplo Tillor, escolha Integrate any other application you don't find in the gallery (Non-gallery) e clique em Create
Se já tiver uma enterprise application para o Tillor, também a pode usar.
Associar o aprovisionamento
- Na aplicação, abra Provisioning e clique em Get started (ou New configuration)
- Defina Provisioning Mode como Automatic
- Em Admin Credentials preencha:
- Tenant URL: o URL do inquilino do Tillor
- Secret Token: o token do Tillor
- Clique em Test Connection. O Entra deve indicar que a ligação foi bem-sucedida
- Clique em Save
Verificar os atributos
Em Mappings abra a regra Provision Microsoft Entra ID Users:
- Defina externalId como objectId (por predefinição está mailNickname). Assim o Tillor reconhece alguém pela sua conta Microsoft, mesmo que o endereço de e-mail seja diferente
- Deixe userName (← userPrincipalName), active e emails[type eq "work"].value (← mail) como estão
Deixe Provision Microsoft Entra ID Groups ativado. As predefinições (displayName, externalId ← objectId, members) estão corretas.
Se quiser ver no Tillor que tipo de grupo é, adicione estes atributos aos grupos. Em Show advanced options escolha primeiro Edit attribute list for customappsso e adicione os atributos de destino, depois Add New Mapping por linha:
| Origem no Entra | Atributo de destino | Tipo |
|---|---|---|
Expressão Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Se faltar uma origem na lista do Entra, salte essa linha. O Entra não consegue enviar assim se existe uma equipa associada a um grupo; isso o Tillor só vê através de Configurar com a Microsoft.
Pode deixar outros atributos como estão. O Tillor não os guarda.
Atribuir grupos
- Na aplicação, abra Users and groups e clique em Add user/group
- Escolha os grupos que o Tillor deve receber, por exemplo Receção, e clique em Assign
- Verifique em Provisioning > Settings que Scope está em Sync only assigned users and groups
O Entra envia um grupo juntamente com os seus membros. Não tem de atribuir os membros em separado.
Iniciar o aprovisionamento
Em Provisioning defina Provisioning Status como On e clique em Save.
A primeira ronda pode demorar um pouco, consoante o número de utilizadores. Depois, o Entra envia as alterações cerca de 40 em 40 minutos. Se quiser atualizar uma pessoa de imediato, use Provision on demand no Entra.
Associar grupos no Tillor
Atualize Definições > Grupos. No topo está a linha Microsoft Entra com a última sincronização e quantos grupos estão associados. Por baixo dos seus grupos do Tillor está Grupos do Entra não ligados, com os grupos enviados que ainda não fazem nada. Clique em Mostrar se a lista estiver fechada e use o campo de pesquisa para encontrar um grupo. Para cada grupo, escolha em Ligar a… o que deve acontecer e depois clique em Guardar. Com Reverter deita fora as suas escolhas. Um grupo do Tillor só pode estar ligado a um grupo do Entra; os grupos que já estão associados não os pode escolher outra vez.
| Escolha | O que acontece |
|---|---|
| Criar novo | O Tillor cria um grupo com o nome vindo do Entra e preenche-o com os membros reconhecidos |
| Um grupo existente | Os membros desse grupo são substituídos pelos membros reconhecidos do Entra. Se o Entra ainda não tiver enviado os membros desse grupo, os membros atuais mantêm-se até a sincronização os entregar |
A partir daí, o Entra atualiza os membros em cada sincronização. O grupo associado desaparece da lista e, nos seus grupos do Tillor, aparece por baixo do grupo Entra · [nome] com o tipo de grupo.
A associação só se faz a partir de Grupos do Entra não ligados. Um grupo do Tillor que gere à mão, como TI, não o associa a partir do próprio grupo.
A seguir a cada nome de grupo aparece o tipo de grupo que é no Entra. Com os botões acima da lista mostra apenas um tipo.
| Etiqueta | O que é |
|---|---|
| Segurança | Um grupo de segurança normal, muitas vezes o grupo que quer associar |
| Segurança com email | Um grupo de segurança com endereço de e-mail próprio |
| Lista de distribuição | Apenas uma lista de e-mail |
| Microsoft 365 | Um grupo com uma caixa de correio partilhada e um site do SharePoint, por vezes com uma equipa |
| Windows Server AD | Vem do seu Active Directory local (híbrido) e é gerido aí |
| Dinâmico | O Entra determina os membros por si com uma regra |
| Teams | Existe uma equipa associada |
| Tipo desconhecido | O Tillor ainda não sabe o tipo. Percorra de novo Configurar com a Microsoft |
Os grupos de site do SharePoint, como Proprietários, Membros e Visitantes de um site, não são grupos do Entra. Esses nunca chegam ao Tillor. O que vê é o grupo do Microsoft 365 por trás do site.
Como o Tillor reconhece as pessoas
Para cada utilizador que o Entra envia, o Tillor procura um membro existente da sua organização:
- Primeiro pela conta Microsoft com que essa pessoa inicia sessão no Tillor (o ID de objeto do Entra, se definir externalId como objectId)
- Caso contrário, pelo endereço de e-mail: o endereço de trabalho do Entra, ou o userPrincipalName se for um endereço de e-mail
Se o Tillor não encontrar ninguém, ou se o utilizador estiver desativado no Entra, não conta no grupo. Assim que a pessoa passa a ser membro da organização, conta logo. Se voltar a ativá-lo no Entra, conta na sincronização seguinte.
O que acontece com alterações no Entra
| No Entra | No Tillor |
|---|---|
| Membro adicionado a um grupo associado | Entra no grupo do Tillor (se for membro da organização) |
| Membro retirado do grupo | Sai do grupo do Tillor |
| Utilizador desativado (Account enabled desligado) | Sai de todos os grupos do Tillor associados. A sua conta Tillor continua a existir |
| Utilizador ou grupo deixa de estar atribuído à aplicação | O Entra envia uma desativação ou eliminação, com o mesmo efeito |
| Grupo eliminado | Por baixo do grupo do Tillor aparece Removido no Entra. Os membros foram mantidos. O grupo do Tillor continua a existir com os seus últimos membros e deixa de ser atualizado |
Retirar alguém por completo da sua organização faz-se no Tillor, em Organização. O Entra gere apenas os membros dos grupos.
O que vê no registo de atividade
No registo de atividade vê:
- Cada alteração aos membros de um grupo do Tillor que o Entra efetua, com quem entrou ou saiu. Aparece em nome do sistema, não de um utilizador
- Cada ronda de sincronização do Entra, uma linha por ronda. Uma ronda em que o Entra não envia nada não aparece
- Quem associou ou desassociou um grupo do Entra a um grupo do Tillor, e quem substituiu o token
Alterar ou parar a associação
- Desassociar: no grupo do Tillor, clique em Desligar. O grupo do Tillor fica como está e volta a geri-lo à mão. O grupo do Entra volta a aparecer em Grupos do Entra não ligados
- Outro grupo do Tillor: desligue e depois associe o grupo do Entra, em Grupos do Entra não ligados, a outro grupo. O grupo anterior mantém os seus membros, mas deixa de ser atualizado
- Parar por completo: no Entra, defina Provisioning Status como Off, ou elimine a enterprise application
Substituir o token
Na linha Microsoft Entra clique em Ligação e depois em Substituir token se o token foi divulgado ou se precisar dele de novo. O token antigo deixa logo de funcionar. Cole o novo token no Entra em Provisioning > Admin Credentials > Secret Token e clique em Save. Até o fazer, a sincronização falha no Entra.
Resolver problemas
Configurar com a Microsoft pára num passo
No passo aparece a mensagem da Microsoft. Normalmente falta à sua conta a função de administrador ou a autorização. Verifique as funções em Antes de começar e clique em Tentar novamente. O Tillor reutiliza a aplicação e o aprovisionamento que já tinham sido criados.
Test Connection falha
Verifique se o URL do inquilino foi copiado por inteiro, incluindo /scim/v2, e se o token é o último gerado. Depois de Substituir token, um token antigo deixa de funcionar.
Um grupo não está na lista
Espere que a primeira sincronização termine e atualize a página. Se configurou a associação à mão, o Entra só envia grupos atribuídos à aplicação: verifique Users and groups na aplicação e aguarde a ronda seguinte, ou use Provision on demand.
Alguém falta no grupo do Tillor
- Essa pessoa é membro da sua organização no Tillor? O Entra não cria contas
- O endereço de e-mail no Entra coincide com o do Tillor? Caso contrário, defina externalId como objectId, para que o Tillor o reconheça pela sua conta Microsoft. Isso só funciona se já tiver iniciado sessão no Tillor com a Microsoft
- O utilizador está ativo no Entra?
- É membro direto do grupo, e não através de um grupo aninhado?
A minha alteração manual desaparece
Num grupo associado, o Entra é a fonte. Ajuste os membros no Entra, ou desassocie o grupo.
Mais detalhes sobre uma ronda falhada
No Entra, abra Provisioning > Provisioning logs. Aí vê, por utilizador e grupo, o que o Entra tentou e que resposta o Tillor deu.