Grupuri Microsoft Entra
Lăsați Microsoft Entra ID să țină la zi automat membrii grupurilor prin provizionare SCIM
Ultima actualizare la
Prin provizionare, Microsoft Entra ID trimite utilizatorii și grupurile dumneavoastră către Tillor. Dacă legați un grup Entra de un grup Tillor, membrii acelui grup urmează Entra: cine este adăugat în Entra primește sarcinile și vizualizările grupului, iar cine este scos sau dezactivat le pierde. Pentru aceasta nimeni nu trebuie să se autentifice din nou.
Entra folosește pentru aceasta protocolul SCIM. Tillor nu citește singur nimic din tenantul dumneavoastră Microsoft: Entra stabilește ce utilizatori și grupuri trimite. Doar în timpul configurării rapide browserul dumneavoastră comunică cu Microsoft pentru a crea aplicația pentru dumneavoastră.
Ce se întâmplă și ce nu
- Doar membri existenți. Entra nu creează conturi Tillor. Cineva care nu este încă membru al organizației dumneavoastră nu contează până când îl invitați. De îndată ce devine membru, intră imediat în grupurile lui legate
- Fără date ale nemembrilor. Despre persoanele fără cont Tillor, Tillor nu păstrează nume sau adresă de e-mail, doar un cod ilizibil prin care le recunoaște dacă devin membri mai târziu
- Nimic fără legătură. Un grup Entra schimbă ceva în Tillor abia când îl legați de un grup Tillor la Grupuri Entra nelegate
- Unu la unu. Un grup Tillor aparține cel mult unui grup Entra
- Numele rămâne al Tillor. Dacă redenumiți grupul în Entra, vedeți noul nume după Entra ·, dar grupul Tillor își păstrează propriul nume
- Grupurile imbricate nu se extind. Un grup care este membru al altui grup nu contează ca membru. Dacă doriți și acele persoane, atribuiți grupul imbricat separat în Entra și legați-l de același grup Tillor sau de altul
- Autentificarea nu se schimbă. Oamenii se autentifică în continuare cu Microsoft, vezi Autentificare
Înainte de a începe
Aveți nevoie de:
- În Tillor permisiunea Editați setările
- În Microsoft Entra rolul Cloud Application Administrator sau Application Administrator (sau mai mare)
- O licență Entra care permite provizionarea automată către aplicații proprii (Microsoft Entra ID P1 sau mai mare)
Asigurați-vă că colegii dumneavoastră au în Tillor același cont Microsoft sau aceeași adresă de e-mail ca în Entra. Astfel Tillor recunoaște cine este cine, vezi Cum recunoaște Tillor oamenii.
Configurare rapidă
Dacă sunteți dumneavoastră administrator Entra, Tillor pregătește legătura dintr-o dată.
- Mergeți la Asistență > Setări și alegeți Grupuri
- La Microsoft Entra faceți clic pe Configurează cu Microsoft și apoi pe Autentifică-te și configurează
- În fereastra Microsoft autentificați-vă cu contul de administrator și acordați permisiunea. Microsoft cere permisiunea de a gestiona aplicații și provizionarea și de a citi grupurile dumneavoastră
Tillor creează apoi aplicația în Entra, completează URL-ul tenantului și tokenul, face ca utilizatorii să fie recunoscuți după contul lor Microsoft și face ca Entra să trimită tipul fiecărui grup. Apoi pornește sincronizarea, iar Tillor vă trimite imediat pe dumneavoastră și toate grupurile, ca să nu așteptați prima sincronizare. La final, Tillor citește pentru fiecare grup tipul și dacă are o echipă Teams asociată. Vedeți fiecare pas bifat. Tillor face acest lucru în fundal: puteți închide fereastra sau chiar pagina. Dacă faceți mai târziu din nou clic pe Configurează cu Microsoft, vedeți cât a avansat sau, până la o oră după terminare, dacă a reușit sau a eșuat. Apoi puteți relua cu Configurează din nou.
Entra trimite astfel toți utilizatorii și grupurile dumneavoastră. Nu trebuie să alegeți nimic în prealabil: grupurile ajung la Grupuri Entra nelegate și nu schimbă nimic până nu le legați. Continuați pentru aceasta la Legarea grupurilor în Tillor. Membrii grupurilor vin cu prima sincronizare. Aceasta durează câteva minute, la organizațiile mari câteva ore.
Tillor folosește accesul doar pentru această configurare. Ajunge criptat la sarcina din fundal și apoi nu mai este păstrat nicăieri; Microsoft îl lasă să expire singur după aproximativ o oră. Dacă parcurgeți din nou Configurează cu Microsoft, Tillor regăsește aceeași aplicație și nu creează una a doua.
Configurarea rapidă creează un token nou. Un token pe care l-ați lipit anterior manual în Entra nu mai funcționează după aceea. Dacă configurarea se oprește la jumătate, faceți clic pe Încearcă din nou.
Dacă autentificarea nu reușește, de exemplu pentru că organizația dumneavoastră blochează permisiunile pentru aplicații, sau dacă doriți ca Entra să trimită doar anumite grupuri, configurați legătura manual, ca mai jos.
Configurare manuală
Crearea tokenului în Tillor
- Mergeți la Asistență > Setări și alegeți Grupuri
- Sus este Microsoft Entra. Dacă legătura este deja configurată, faceți clic pe Conexiune
- Copiați URL-ul tenantului. Arată astfel:
https://…/api/orgs/<organisatie>/scim/v2 - Faceți clic pe Generează tokenul și copiați tokenul care apare
Tokenul se afișează o singură dată. Lipiți-l imediat în Entra. Dacă l-ați pierdut, faceți clic pe Înlocuiește tokenul și folosiți tokenul nou.
Crearea unei aplicații în Entra
- Deschideți centrul de administrare Microsoft Entra
- Mergeți la Identity > Applications > Enterprise applications și faceți clic pe New application
- Faceți clic pe Create your own application
- Dați aplicației un nume, de exemplu Tillor, alegeți Integrate any other application you don't find in the gallery (Non-gallery) și faceți clic pe Create
Dacă aveți deja o enterprise application pentru Tillor, o puteți folosi și pe aceea.
Legarea provizionării
- În aplicație deschideți Provisioning și faceți clic pe Get started (sau New configuration)
- Setați Provisioning Mode pe Automatic
- La Admin Credentials completați:
- Tenant URL: URL-ul tenantului din Tillor
- Secret Token: tokenul din Tillor
- Faceți clic pe Test Connection. Entra trebuie să anunțe că legătura a reușit
- Faceți clic pe Save
Verificarea atributelor
La Mappings deschideți regula Provision Microsoft Entra ID Users:
- Setați externalId pe objectId (implicit este mailNickname). Astfel Tillor recunoaște pe cineva după contul lui Microsoft, chiar dacă adresa de e-mail diferă
- Lăsați userName (← userPrincipalName), active și emails[type eq "work"].value (← mail) neschimbate
Lăsați Provision Microsoft Entra ID Groups activată. Setările implicite (displayName, externalId ← objectId, members) sunt corecte.
Dacă vreți să vedeți în Tillor ce fel de grup este, adăugați aceste atribute la grupuri. La Show advanced options alegeți mai întâi Edit attribute list for customappsso și adăugați atributele țintă, apoi pentru fiecare regulă Add New Mapping:
| Sursă în Entra | Atribut țintă | Tip |
|---|---|---|
Expresia Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Dacă o sursă lipsește din lista din Entra, săriți acea regulă. Dacă un grup are o echipă Teams asociată, Entra nu poate trimite astfel; Tillor vede asta doar prin Configurează cu Microsoft.
Alte atribute le puteți lăsa. Tillor nu le păstrează.
Atribuirea grupurilor
- În aplicație deschideți Users and groups și faceți clic pe Add user/group
- Alegeți grupurile pe care Tillor trebuie să le primească, de exemplu Recepție, și faceți clic pe Assign
- La Provisioning > Settings verificați că Scope este pe Sync only assigned users and groups
Entra trimite un grup împreună cu membrii lui. Nu trebuie să atribuiți membrii separat.
Pornirea provizionării
La Provisioning setați Provisioning Status pe On și faceți clic pe Save.
Prima rundă poate dura puțin, în funcție de numărul de utilizatori. Apoi Entra trimite modificările aproximativ la fiecare 40 de minute. Dacă vreți să actualizați imediat o persoană, folosiți Provision on demand în Entra.
Legarea grupurilor în Tillor
Reîmprospătați Setări > Grupuri. Sus este rândul Microsoft Entra cu ultima sincronizare și câte grupuri sunt legate. Sub grupurile dumneavoastră Tillor sunt Grupuri Entra nelegate cu grupurile trimise care încă nu fac nimic. Faceți clic pe Arată dacă lista este închisă și folosiți câmpul de căutare pentru a găsi un grup. Pentru fiecare grup alegeți la Leagă de… ce trebuie să se întâmple și apoi faceți clic pe Salvează. Cu Anulează modificările aruncați alegerile. Un grup Tillor poate fi legat de un singur grup Entra; grupurile deja legate nu le mai puteți alege.
| Alegere | Ce se întâmplă |
|---|---|
| Creează nou | Tillor creează un grup cu numele din Entra și îl umple cu membrii recunoscuți |
| Un grup existent | Membrii acelui grup sunt înlocuiți cu membrii recunoscuți din Entra. Dacă Entra nu a trimis încă membrii acelui grup, membrii actuali rămân până când sincronizarea îi livrează |
De acum Entra actualizează membrii la fiecare sincronizare. Grupul legat dispare din listă, iar în grupurile dumneavoastră Tillor apare sub grup Entra · [nume] cu tipul de grup.
Legarea se face doar din Grupuri Entra nelegate. Un grup Tillor pe care îl gestionați manual, precum IT, nu îl legați din grupul însuși.
După fiecare nume de grup apare ce fel de grup este în Entra. Cu butoanele de deasupra listei afișați un singur tip.
| Etichetă | Ce este |
|---|---|
| Securitate | Un grup de securitate obișnuit, adesea grupul pe care vreți să-l legați |
| Securitate cu e-mail | Un grup de securitate cu adresă de e-mail proprie |
| Listă de distribuție | Doar o listă de e-mail |
| Microsoft 365 | Un grup cu o căsuță poștală comună și un site SharePoint, uneori cu o echipă Teams |
| Windows Server AD | Provine din Active Directory local (hibrid) și este gestionat acolo |
| Dinamic | Entra stabilește singur membrii cu o regulă |
| Teams | Are o echipă Teams asociată |
| Tip necunoscut | Tillor nu cunoaște încă tipul. Parcurgeți din nou Configurează cu Microsoft |
Grupurile de site SharePoint, precum Owners, Members și Visitors ale unui site, nu sunt grupuri Entra. Acestea nu ajung niciodată în Tillor. Ce vedeți este grupul Microsoft 365 din spatele site-ului.
Cum recunoaște Tillor oamenii
Pentru fiecare utilizator trimis de Entra, Tillor caută un membru existent al organizației dumneavoastră:
- Mai întâi după contul Microsoft cu care persoana se autentifică în Tillor (ID-ul de obiect Entra, dacă setați externalId pe objectId)
- Altfel după adresa de e-mail: adresa de serviciu din Entra sau userPrincipalName dacă este o adresă de e-mail
Dacă Tillor nu găsește pe nimeni sau utilizatorul este dezactivat în Entra, nu contează în grup. De îndată ce persoana devine membră a organizației, contează imediat. Dacă îl reactivați în Entra, contează la următoarea sincronizare.
Ce se întâmplă la modificările din Entra
| În Entra | În Tillor |
|---|---|
| Membru adăugat într-un grup legat | Intră în grupul Tillor (dacă este membru al organizației) |
| Membru scos din grup | Iese din grupul Tillor |
| Utilizator dezactivat (Account enabled dezactivat) | Iese din toate grupurile Tillor legate. Contul lui Tillor rămâne |
| Utilizator sau grup neatribuit aplicației | Entra trimite o dezactivare sau ștergere, cu același efect |
| Grup șters | Sub grupul Tillor apare Eliminat în Entra. Membrii au fost păstrați. Grupul Tillor rămâne cu ultimii lui membri și nu mai este actualizat |
Eliminarea cuiva complet din organizație o faceți în Tillor, la Organizație. Entra gestionează doar membrii grupurilor.
Ce regăsiți în jurnalul de activitate
În jurnalul de activitate vedeți:
- Fiecare modificare a membrilor unui grup Tillor pe care o aplică Entra, cu cine a intrat sau a ieșit. Apare pe numele sistemului, nu al unui utilizator
- Fiecare rundă de sincronizare a Entra, un rând pe rundă. O rundă în care Entra nu trimite nimic nu o vedeți
- Cine a legat sau a dezlegat un grup Entra de un grup Tillor și cine a înlocuit tokenul
Modificarea sau oprirea legăturii
- Dezlegare: la grupul Tillor faceți clic pe Dezleagă. Grupul Tillor rămâne cum este și îl gestionați din nou manual. Grupul Entra revine la Grupuri Entra nelegate
- Alt grup Tillor: dezlegați și apoi legați grupul Entra de un alt grup la Grupuri Entra nelegate. Grupul anterior își păstrează membrii, dar nu mai este actualizat
- Oprire completă: în Entra setați Provisioning Status pe Off sau ștergeți enterprise application
Înlocuirea tokenului
În rândul Microsoft Entra faceți clic pe Conexiune și apoi pe Înlocuiește tokenul dacă tokenul a fost compromis sau dacă aveți nevoie de el din nou. Vechiul token nu mai funcționează imediat. Lipiți tokenul nou în Entra la Provisioning > Admin Credentials > Secret Token și faceți clic pe Save. Până faceți asta, sincronizarea în Entra eșuează.
Rezolvarea problemelor
Configurarea cu Microsoft se oprește la un pas
La pas apare mesajul de la Microsoft. De obicei contului dumneavoastră îi lipsește rolul de administrator sau permisiunea. Verificați rolurile la Înainte de a începe și faceți clic pe Încearcă din nou. Tillor reutilizează aplicația și provizionarea create deja.
Test Connection eșuează
Verificați că URL-ul tenantului a fost preluat complet, inclusiv /scim/v2, și că tokenul este ultimul generat. După Înlocuiește tokenul, un token vechi nu mai funcționează.
Un grup nu apare în listă
Așteptați să se încheie prima sincronizare și reîmprospătați pagina. Dacă ați configurat legătura manual, Entra trimite doar grupurile atribuite aplicației: verificați Users and groups în aplicație și așteptați runda următoare sau folosiți Provision on demand.
Cineva lipsește din grupul Tillor
- Este acea persoană membră a organizației dumneavoastră Tillor? Entra nu creează conturi
- Adresa de e-mail din Entra corespunde cu cea din Tillor? Altfel setați externalId pe objectId, ca Tillor să îl recunoască după contul Microsoft. Funcționează doar dacă s-a autentificat deja o dată în Tillor cu Microsoft
- Este utilizatorul activ în Entra?
- Este membru direct al grupului, și nu printr-un grup imbricat?
Modificarea mea manuală dispare
La un grup legat, Entra este sursa. Modificați membrii în Entra sau dezlegați grupul.
Mai multe detalii despre o rundă eșuată
În Entra deschideți Provisioning > Provisioning logs. Acolo vedeți pentru fiecare utilizator și grup ce a încercat Entra și ce răspuns a dat Tillor.