Configurare Funnel Leasing per il provisioning automatico degli utenti con Microsoft Entra ID

Questo articolo descrive le fasi da eseguire sia in Funnel Leasing che in Microsoft Entra ID per configurare il provisioning automatico degli utenti. Se configurata, Microsoft Entra ID effettua automaticamente il provisioning e il deprovisioning degli utenti per Funnel Leasing usando il servizio di provisioning Microsoft Entra. Per dettagli importanti su cosa fa questo servizio, come funziona e domande frequenti, vedere Automatizza il provisioning e il deprovisioning degli utenti nelle applicazioni SaaS con Microsoft Entra ID.

Funzionalità supportate

Creare utenti in Funnel Leasing.
Rimuovere gli utenti in Funnel Leasing quando non richiedono più l'accesso.
Assicurare la sincronizzazione degli attributi utente tra Microsoft Entra ID e Funnel Leasing.
Accesso unico a Funnel Leasing (scelta consigliata).

Prerequisiti

Lo scenario descritto in questo articolo presuppone che siano già disponibili i prerequisiti seguenti:

A tenant Microsoft Entra
Uno dei ruoli seguenti: Amministratore applicazione, Amministratore applicazione cloud o Proprietario applicazione.
Una community attiva in Funnel o almeno una conferma che tutte le configurazioni necessarie sono state eseguite sul lato Funnel in preparazione per una data di avvio.

Passaggio 1: Pianificare la distribuzione dell'approvvigionamento

Informazioni sul funzionamento del servizio di provisioning.
Determinare chi rientra nell'ambito di provisioning.
Determinare i dati da mappare fra Microsoft Entra ID e Funnel Leasing.

Passaggio 2: Configurare Funnel Leasing per supportare il provisioning con Microsoft Entra ID

Contattare il gestore dell'account Funnel e informarlo che si desidera abilitare il provisioning degli utenti di Microsoft Entra, il quale fornirà un token di autenticazione Bearer.

Passaggio 3: Aggiungere Funnel Leasing dalla raccolta di applicazioni Microsoft Entra

Aggiungere Funnel Leasing dalla galleria delle applicazioni di Microsoft Entra per iniziare ad amministrare il provisioning in Funnel Leasing. Se in precedenza si è configurato Funnel Leasing per l'accesso SSO, è possibile usare la stessa applicazione. Tuttavia, è consigliabile creare un'app separata durante il test iniziale dell'integrazione. Altre informazioni sull'aggiunta di un'applicazione dalla raccolta sono disponibili qui.

Passaggio 4: Definire chi è incluso nel processo di provisioning

Il servizio di provisioning Microsoft Entra consente di definire l'ambito del provisioning in base all'assegnazione all'applicazione o in base agli attributi dell'utente o del gruppo. Se si sceglie di definire l'ambito di cui è stato effettuato il provisioning nell'app in base all'assegnazione, è possibile usare la procedura per assegnare utenti e gruppi all'applicazione. Se scegli di definire l'ambito per cui si effettua il provisioning basandoti esclusivamente sugli attributi dell'utente o del gruppo, è possibile usare un filtro di ambito.

Iniziare con pochi elementi. Eseguire il test con un piccolo insieme di utenti e gruppi prima di distribuirlo a tutti. Quando l'ambito per il provisioning è impostato su utenti e gruppi assegnati, è possibile controllarlo assegnando uno o due utenti o gruppi all'app. Quando l'ambito è impostato su tutti gli utenti e i gruppi, è possibile specificare un filtro di ambito basato su attributi.
Se sono necessari ruoli aggiuntivi, è possibile aggiornare il manifesto dell'applicazione per aggiungere nuovi ruoli.

Passaggio 5: Configurare il provisioning automatico degli utenti a Funnel Leasing

Questa sezione illustra come connettere il Microsoft Entra ID all'API di provisioning dell'account utente di Funnel e configurare il servizio di provisioning per creare, aggiornare e disabilitare gli account utente assegnati in Funnel in base all'assegnazione dell'utente in Microsoft Entra ID.

Per configurare il provisioning utenti automatico per Funnel Leasing in Microsoft Entra ID:

Accedi al centro amministrativo di Microsoft Entra con almeno il ruolo di Cloud Application Administrator.
Passare a Entra ID>App aziendali
Nell'elenco delle applicazioni selezionare Imbuto.
Selezionare la scheda Provisioning .
Selezionare + Nuova configurazione.
Nel campo URL tenant immettere l'URL del Funnel Tenant e il token segreto. Selezionare Test Connection per assicurarsi che Microsoft Entra ID possa connettersi a Funnel. Se la connessione non riesce, verificare che l'account Funnel disponga delle autorizzazioni amministrative necessarie e riprovare.
Selezionare Crea per creare la configurazione.
Selezionare Proprietà nella pagina Panoramica .
Nel campo Notifica Email, immettere l'indirizzo email di una persona a cui inviare le notifiche di errore di provisioning e selezionare la casella di controllo Invia una notifica di posta elettronica quando si verifica un errore.
Selezionare Mapping attributi nel pannello sinistro e selezionare utenti.

Esaminare gli attributi utente sincronizzati da Microsoft Entra ID a Funnel nella sezione Attribute-Mapping. Gli attributi selezionati come proprietà corrispondenza vengono utilizzati per abbinare gli account utente in Funnel nelle operazioni di aggiornamento. Se si sceglie di modificare l'attributo di destinazione corrispondente, è necessario assicurarsi che l'API imbuto supporti il filtro degli utenti in base a tale attributo. Selezionare il pulsante Salva per eseguire il commit delle modifiche.

Attributo	TIPO	Supporto per il filtraggio	Richiesto da Funnel Leasing
nome utente	Stringa	✓	✓
attivo	Booleano		✓
titolo	Stringa
email[type eq "work"].valore	Stringa		✓
nome.nomeDato	Stringa		✓
nome.cognome	Stringa		✓
numeriDiTelefono[tipo eq "lavoro"].valore	Stringa
numeriDiTelefono[tipo eq "cellulare"].valore	Stringa
Id esterno	Stringa

Per configurare i filtri di ambito, vedere le istruzioni fornite nell'articolo Filtro di ambito.
Usare il provisioning su richiesta per convalidare la sincronizzazione con un numero ridotto di utenti prima di distribuire in modo più ampio nell'organizzazione.
Quando si è pronti per procedere al provisioning, selezionare Avvia il provisioning nella pagina Panoramica.

Passaggio 6: Monitorare la distribuzione

Dopo aver configurato il provisioning, usare le risorse seguenti per monitorare la distribuzione:

Usare i log di provisioning per determinare gli utenti di cui è stato eseguito il provisioning correttamente o in modo non riuscito
Controllare la barra di progresso per visualizzare lo stato del ciclo di provisioning e quanto è vicino al completamento.
Se la configurazione del provisioning sembra essere in cattivo stato, l'applicazione entra in quarantena. Ulteriori informazioni sugli stati di quarantena sono disponibili nell'articolo sullo stato di quarantena del provisioning delle applicazioni.

Associazioni di ruoli e gruppi

Per associare un utente Azure a un ruolo Funnel o a un utente Azure a un gruppo di dipendenti Funnel, Funnel usa una funzionalità di mapping personalizzata.

Quali campi Azure vengono usati?

Per i mapping dei ruoli, Funnel esamina l'attributo SCIM title per impostazione predefinita. Questo attributo SCIM viene mappato all'attributo utente jobTitle Azure per impostazione predefinita.

Per i mapping dei gruppi, Funnel esamina l'attributo SCIM userType per impostazione predefinita. Questo attributo SCIM viene mappato all'attributo utente department Azure per impostazione predefinita.

Se si desidera modificare i campi usati, è possibile modificare la sezione Mapping attributi ed eseguire il mapping dei campi desiderati a title e userType.
Quali valori vengono usati?

Per la configurazione iniziale, determinare ogni valore che si vuole usare per i mapping di ruoli e gruppi. Fornire questi valori all'Account Manager di Funnel per impostare la configurazione in Funnel.

Ad esempio, se si vuole impostare il jobTitle campo con un agent valore, è necessario indicare al gestore account a imbuto a quale ruolo a imbuto deve essere mappato questo valore.

Se dovesse essere necessario aggiornare o aggiungere nuovi valori in futuro, è importante notificare il Responsabile dell'account Funnel.
Come si associa un utente a diversi ruoli e gruppi?

Non è possibile associare un utente a più ruoli Funnel, ma è possibile associare un utente a più gruppi di dipendenti Funnel.

Per associare un utente a diversi gruppi di dipendenti di Funnel, è necessario specificare più valori nell'attributo department utente (o a qualsiasi attributo mappato a userType). Ogni valore deve essere separato da un delimitatore. Per impostazione predefinita, il - carattere viene usato come delimitatore. Per usare un altro delimitatore, è necessario contattare il tuo account manager di Funnel.