Solucionar problemas de atualização do usuário de RH

Valores nulos e vazios não processados conforme o esperado

Aplica-se a:

  • Provisionamento de usuários do Workday para o Active Directory local
  • Provisionamento de usuários do Workday para o Microsoft Entra
  • SAP SuccessFactors para provisionamento de usuários em Active Directory local
  • SAP SuccessFactors para provisionamento de usuários no Microsoft Entra
Solução de problemas Detalhes
Questão Você configurou com êxito o aplicativo de provisionamento de entrada. Você está obtendo um valor nulo ou vazio do aplicativo de RH. Você espera que o serviço de provisionamento limpe o valor do atributo de destino correspondente em Active Directory local/Microsoft Entra ID. Mas, a operação de criação falha com a mensagem de erro: InvalidAttributeSyntax-LdapErr: The syntax is invalid. The parameter is incorrect. Error in attribute conversion operation, data 0, v3839
Causa O serviço de provisionamento não tem uma lógica padrão para processamento de valor nulo. Quando o serviço de provisionamento obtém uma cadeia de caracteres vazia do aplicativo de origem, ele tenta enviar o valor "no estado em que se encontra" para o aplicativo de destino. Nesse caso, o conector de provisionamento do Active Directory local atualmente não suporta a configuração de valores de cadeia de caracteres vazios e, portanto, você vê o erro mencionado.
Resolução Verifique os logs de provisionamento. Identifique os atributos no Active Directory de destino que estão recebendo valores de cadeia de caracteres nulos ou vazios. Atualize o mapeamento de atributo para tais atributos para usar um mapeamento de expressão. Veja as resoluções recomendadas.

Resoluções recomendadas

Digamos que o atributo BusinessTitle mapeado para o atributo do AD jobTitle possa ser nulo ou vazio no Workday.

  • Opção 1: Use a função Switch para verificar valores vazios ou nulos e passar um valor literal não vazio.

Switch([BusinessTitle],[BusinessTitle],"","N/A")

  • Opção 2: use a função IgnoreFlowIfNullOrEmpty para remover atributos vazios ou nulos no conteúdo enviado para Active Directory local/Microsoft Entra ID.

    IgnoreFlowIfNullOrEmpty([BusinessTitle])

Algumas atualizações de atributo do Workday estão ausentes

Aplica-se a:

  • Workday para provisionamento de usuários no Active Directory local
  • Workday para Microsoft Entra provisionamento de usuário
Solução de problemas Detalhes
Questão Você configurou com sucesso o aplicativo de provisionamento de entrada do Workday e conectou-se com sucesso à URL do locatário do Workday. Você está observando que há um atraso no fluxo de determinadas atualizações de atributos do Workday ou, em alguns casos, as alterações de atributos do Workday não estão fluindo conforme o esperado durante a sincronização incremental.
Causa Durante a sincronização incremental, o aplicativo de provisionamento consulta o log de transações do WORKDAY para alterações na entidade de trabalho principal e somente as alterações controladas pelo log de transações do Workday são processadas.
Se as alterações em um atributo do Workday na sua configuração não forem registradas no log de transações do Workday, o Microsoft Entra ID não buscará a alteração. Por exemplo: o atributo LocalReference Workday faz parte do mapeamento de atributo padrão e tem XPATH wd:Worker/wd:Worker_Data/wd:Employment_Data/wd:Position_Data/wd:Business_Site_Summary_Data/wd:Local_Reference/wd:ID[@wd:type='Locale_ID']/text(). Esse atributo faz parte da entidade Business_Site_Summary_Data. Uma alteração no valor desse atributo no Workday não aparece no log de transações do Workday. Portanto, durante a sincronização incremental, o novo valor desse atributo será exibido apenas se um atributo associado à entidade Worker principal também mudar durante o intervalo de sincronização.
Resolução Se você observar esse comportamento com frequência, em que as alterações em determinados atributos do Workday não estão fluindo, recomendamos executar periodicamente uma sincronização completa semanal ou mensal.

O atributo não é encontrado

Aplica-se a:

  • Workday para o provisionamento de usuários no Active Directory local
  • Provisionamento de usuário do Workday para o Microsoft Entra
  • Provisionamento de usuários do Workday para o Active Directory local
  • SAP SuccessFactors para provisionamento de usuário no Active Directory local
  • Provisionamento controlado por API para Active Directory local
Solução de problemas Detalhes
Questão Você recebe o código de erro: HybridSynchronizationActiveDirectoryCannotFindAttribute
Causa O nome do atributo não foi encontrado no esquema de Active Directory: atributo.
Resolução Se o atributo foi adicionado recentemente ao Active Directory, reinicie o agente de provisionamento, pois ele armazena em cache o esquema na inicialização.

Correspondência de usuário com extensionAttribute não está funcionando

Aplica-se a:

  • Workday para Microsoft Entra para provisionamento de usuário
  • Provisionamento de usuário do SAP SuccessFactors para o Microsoft Entra
Solução de problemas Detalhes
Questão Digamos que você esteja usando extensionAttribute3 no Microsoft Entra ID para armazenar o ID do funcionário e mapear esse ID para o atributo WorkerID do Workday ou personIdExternal do SuccessFactors para correspondência de usuários. Com essa configuração, a etapa correspondente no processo de provisionamento falha. Esse problema afeta a criação e as atualizações do usuário.
Causa O Microsoft Entra ID OnPremisesExtensionAttributes (extensionAttributes1-15) não pode ser usado como um atributo correspondente porque o $filter parâmetro do API do Graph do AD do Azure não suporta filtragem por extensionAttributes.
Resolução Não use Microsoft Entra ID OnPremisesExtensionAttributes (extensionAttributes1-15) no par de atributos correspondente. Use o número de identificação do funcionário.

Não há suporte para atualizações para Microsoft Entra ID mail atributo

Aplica-se a:

  • Workday para Microsoft Entra provisionamento de usuários
  • Provisionamento de usuários do SAP SuccessFactors para o Microsoft Entra
  • Provisionamento controlado por API Microsoft Entra ID
Solução de problemas Detalhes
Questão Você configurou o provisionamento do atributo mail do sistema de RH para o Microsoft Entra ID. Qualquer atualização no atributo email não está funcionando, mesmo que os logs de provisionamento exibam um registro para o atributo email.
Causa O conector de provisionamento para Microsoft Entra não dá suporte à configuração do atributo mail durante o provisionamento de usuário, pois esse atributo é gerenciado por Microsoft Exchange online.
Resolução Depois de criar o usuário, atribuir a licença Exchange Online ao usuário define automaticamente o nome principal de usuário como o endereço de email. Para atualizar o atributo de email, use o portal Exchange Online ou o PowerShell.

Provisionando o campo Último dia de trabalho do Workday

Aplica-se a:

  • Provisionamento de usuários do Workday para Active Directory local
  • Integração de provisionamento de usuários do Workday para o Microsoft Entra
Solução de problemas Detalhes
Questão Você configurou o mapeamento de atributos para o atributo “Último dia de trabalho” (StatusTerminationLastDayOfWork) do dia útil no aplicativo de provisionamento. No entanto, a atualização do “Último dia de trabalho” só acontece após a data de rescisão entrar em vigor, enquanto você gostaria de buscar este “Último dia de trabalho” antes da data de rescisão.
Causa No Workday, o campo “Último dia de trabalho” é definido no perfil do trabalhador somente após a data de rescisão entrar em vigor. Portanto, o conector de provisionamento do Workday não consegue obter essa data antecipadamente antes da data de encerramento.
Resolução No Workday, crie um grupo de provisionamento chamado “Trabalhos após o Último Dia de Trabalho”. Adicione automação no Workday para atribuir usuários a esse grupo quando o último dia de trabalho de um trabalhador for atingido. No trabalho de provisionamento Microsoft Entra, adicione um atributo XPATH do Workday para buscar essa atribuição de grupo.
  • Exemplo:
    `LastDayOfWorkWorkers = wd:Worker/wd:Worker_Data/wd:Account_Provisioning_Data/wd:Provisioning_Group_Assignment_Data[wd:Status='Assigned' and wd:Provisioning_Group=" Workers past Last Day of Work"]/wd:Provisioning_Group/text()`

Use esse campo na lógica de mapeamento de atributo para o sinalizador accountDisabled.

  • Exemplo:
    `Switch([LastDayOfWorkWorkers], Switch([Active], , "1", "False", "0", "True"), 'Workers past Last Day of Work', "True")`

Atraso no processamento de encerramento do Workday

Aplica-se a:

  • Provisão de usuários do Workday para Active Directory on-premises
  • Provisionamento de usuários do Workday para o Microsoft Entra
Solução de problemas Detalhes
Questão Durante a sincronização incremental, pode haver um atraso de 12 a 18 horas no processamento do evento de encerramento para trabalhadores localizados nas regiões Pacífico Asiático e Austrália/Nova Zelândia.
Causa As contas do Usuário do Sistema de Integração do Workday (ISU) sempre recuperam dados com base no fuso horário do Pacífico. Atualmente, o conector não implementa uma consulta especializada para processar registros de encerramento específicos de um fuso horário.
Resolução Há duas soluções alternativas possíveis:

  1. Use o provisionamento sob demanda para processar o evento de encerramento de um usuário específico.

  2. No Workday, crie um grupo de provisionamento chamado Trabalhadores Demitidos. Atualize o processo de negócios de encerramento no Workday para atribuir usuários a esse grupo quando o encerramento ocorrer. No trabalho de provisionamento Microsoft Entra, adicione um atributo XPATH do Workday para buscar essa atribuição de grupo.

  • Exemplo:
    `TerminatedWorkers = wd:Worker/wd:Worker_Data/wd:Account_Provisioning_Data/wd:Provisioning_Group_Assignment_Data[wd:Status='Assigned' and wd:Provisioning_Group="Terminated Workers"]/wd:Provisioning_Group/text()`

Use esse campo na lógica de mapeamento de atributo para o sinalizador accountDisabled.

  • Exemplo:
    `Switch([TerminatedWorkers], Switch([Active], , "1", "False", "0", "True"), "Terminated Workers", "True")`

Atraso no processamento de desligamento do SuccessFactors

Aplica-se a:

  • SuccessFactors para o Active Directory on-premises provisionamento de usuários
  • Provisionamento de usuários do SuccessFactors para Microsoft Entra ID
Solução de problemas Detalhes
Questão Em determinados cenários, pode haver atrasos na propagação do status de emprego encerrado como uma operação de "desabilitar conta". Isso não ocorre devido à falta de capacidade de desabilitar o usuário em Microsoft Entra, mas sim como as alterações no ciclo de vida de identidade em tempo real são detectadas durante o provisionamento controlado por RH.
Causa O serviço de provisionamento da Microsoft Entra opera como um sistema de detecção de alterações sem estado. Ele depende do sistema de origem (por exemplo, SAP SuccessFactors) para emitir um evento de alteração baseado no tempo, como quando uma rescisão se torna efetiva, no momento em que a alteração deve entrar em vigor. Em seguida, os ciclos de provisionamento detectam e atuam nesses eventos durante a sincronização incremental. Em cenários em que a terminação é efetiva a partir do dia atual, o SuccessFactors pode não emitir um evento de alteração incremental no momento exato em que o status de emprego do usuário é alterado (por exemplo, no final do dia útil). Como resultado, o provisionamento do Microsoft Entra não recebe uma alteração detectável durante seu ciclo de verificação, e a ação "desabilitar" pode ser adiada até que uma atualização subsequente ocorra no sistema de origem.
Resolução Para dar suporte ao desligamento determinístico orientado por políticas, use Fluxos de Trabalho do Ciclo de Vida de Governança do Microsoft Entra ID. Esse modelo é baseado no estado, em vez de eventos baseados em tempo. Sincronizar o endDate do funcionário do SuccessFactors com o Microsoft Entra (por exemplo, por meio do atributo employeeLeaveDateTime). As organizações podem iniciar diretamente os fluxos de trabalho automatizados de offboarding a partir do estado atual do diretório, garantindo que as contas sejam desativadas exatamente na data de término do emprego, independentemente da detecção de alterações incrementais no sistema de RH.

Essa abordagem permite:

  • Desligamento de usuário oportuno e previsível.
  • Automação baseada em política alinhada à intenção de RH.
  • Redução da dependência de scripts personalizados ou intervenção manual.
  • Governança centralizada do ciclo de vida entre identidades híbridas e de nuvem.

Lifecycle Workflows fazem parte de Microsoft Entra ID Governance e foram projetados especificamente para impor políticas joiner-mover-leaver com base no estado de identidade autoritativa no diretório.

Próximas etapas

  • Last updated on