Connettore Microsoft Graph del catalogo ServiceNow

Con il connettore Microsoft Graph per ServiceNow, l'organizzazione può elencare gli elementi del catalogo di servizi visibili a tutti gli utenti o limitati con le autorizzazioni dei criteri utente all'interno dell'organizzazione. Dopo aver configurato il connettore e il contenuto dell'indice da ServiceNow, gli utenti finali possono cercare tali elementi del catalogo da qualsiasi client di Microsoft Search.

Questo articolo è destinato agli amministratori di Microsoft 365 o a tutti gli utenti che configurano, eseguono e monitorano un connettore Microsoft Graph del catalogo ServiceNow. Integra le istruzioni generali fornite nell'articolo Configurare i connettori di Microsoft Graph nell'articolo interfaccia di amministrazione di Microsoft 365. Se non è già stato fatto, leggere l'intero articolo Configurare il connettore Microsoft Graph per comprendere il processo di configurazione generale.

Ogni passaggio del processo di installazione è elencato di seguito insieme a una nota che indica che è necessario seguire le istruzioni generali di configurazione O altre istruzioni che si applicano solo al connettore ServiceNow, incluse le informazioni sulla risoluzione dei problemi e le limitazioni.

Passaggio 1: Aggiungere un connettore nel interfaccia di amministrazione di Microsoft 365

Aggiungere il connettore del catalogo ServiceNow

Seguire le istruzioni di configurazione generali.

Passaggio 2: Assegnare un nome alla connessione

Seguire le istruzioni di configurazione generali.

Passaggio 3: Impostazioni di connessione

Per connettersi ai dati di ServiceNow, è necessario l'URL dell'istanza di ServiceNow dell'organizzazione. L'URL dell'istanza ServiceNow dell'organizzazione è in genere simile al seguente: "https:// <your-organization-domain.service-now>.com".

Oltre a questo URL, è necessario un account del servizio per configurare la connessione a ServiceNow e consentire a Microsoft Search di aggiornare periodicamente gli elementi del catalogo in base alla pianificazione dell'aggiornamento. L'account del servizio dovrà accedere in lettura ai record della tabella ServiceNow seguenti per eseguire correttamente la ricerca per indicizzazione di varie entità.

Funzionalità	Tabelle necessarie per l'accesso in lettura	Descrizione
Indicizzare gli elementi del catalogo disponibili per Tutti	sc_cat_item	Per la ricerca per indicizzazione degli elementi del catalogo
Indicizzare e supportare le autorizzazioni dei criteri utente	sc_cat_item_user_criteria_mtom	Chi può accedere a questo elemento del catalogo
	sc_cat_item_user_criteria_no_mtom	Chi non può accedere a questo elemento del catalogo
	sys_user	Leggere la tabella utente
	sys_user_has_role	Leggere le informazioni sui ruoli degli utenti
	sys_user_grmember	Leggere l'appartenenza a gruppi di utenti
	user_criteria	Leggere le autorizzazioni dei criteri utente
	sys_user_group	Leggere i segmenti dei gruppi di utenti
	sys_user_role	Leggere i ruoli utente
	cmn_location	Leggere le informazioni sulla posizione
	cmn_department	Leggere le informazioni sul reparto
	core_company	Leggere gli attributi aziendali

È possibile creare e assegnare un ruolo per l'account del servizio usato per connettersi a Microsoft Search. Informazioni su come assegnare il ruolo per gli account ServiceNow. L'accesso in lettura alle tabelle può essere assegnato al ruolo creato. Per informazioni sull'impostazione dell'accesso in lettura ai record di tabella, vedere Protezione dei record di tabella.

Nota

Il connettore del catalogo ServiceNow può indicizzare gli elementi del catalogo e le autorizzazioni dei criteri utente senza script avanzati. Se un criterio utente contiene uno script avanzato, tutti gli elementi del catalogo correlati verranno nascosti dai risultati della ricerca.

Per autenticare e sincronizzare il contenuto da ServiceNow, scegliere uno dei tre metodi supportati:

• Autenticazione di base
• ServiceNow OAuth (scelta consigliata)
• MICROSOFT ENTRA ID OpenID Connect

Passaggio 3.1: Autenticazione di base

Immettere il nome utente e la password dell'account ServiceNow con il ruolo del catalogo per l'autenticazione nell'istanza.

Passaggio 3.2: ServiceNow OAuth

Per usare ServiceNow OAuth per l'autenticazione, un amministratore di ServiceNow deve effettuare il provisioning di un endpoint nell'istanza di ServiceNow, in modo che l'app Microsoft Search possa accedervi. Per altre informazioni, vedere Creare un endpoint per i client per accedere all'istanza di nella documentazione di ServiceNow.

La tabella seguente fornisce indicazioni su come compilare il modulo di creazione dell'endpoint:

Campo	Descrizione	Valore consigliato
Nome	Valore univoco che identifica l'applicazione per cui è necessario l'accesso OAuth.	Microsoft Search
ID client	ID univoco generato automaticamente di sola lettura per l'applicazione. L'istanza usa l'ID client quando richiede un token di accesso.	N/D
Segreto client	Con questa stringa di segreto condiviso, l'istanza di ServiceNow e Microsoft Search autorizzano le comunicazioni tra loro.	Seguire le procedure consigliate per la sicurezza considerando il segreto come password.
URL di reindirizzamento	URL di callback necessario a cui viene reindirizzato il server di autorizzazione.	Per M365 Enterprise: https:// gcs.office.com/v1.0/admin/oauth/callback, For M365 Government: https:// gcsgcc.office.com/v1.0/admin/oauth/callback
Logo URL	URL che contiene l'immagine per il logo dell'applicazione.	N/D
Attivazione	Selezionare la casella di controllo per rendere attivo il Registro applicazioni.	Impostare su attivo
Durata del token di aggiornamento	Numero di secondi di validità di un token di aggiornamento. Per impostazione predefinita, i token di aggiornamento scadono tra 100 giorni (8.640.000 secondi).	31.536.000 (un anno)
Durata del token di accesso	Numero di secondi di validità di un token di accesso.	43.200 (12 ore)

Immettere l'ID client e il segreto client per connettersi all'istanza. Dopo la connessione, usare le credenziali di un account ServiceNow per autenticare l'autorizzazione per la ricerca per indicizzazione. L'account deve avere almeno un ruolo di catalogo . Fare riferimento alla tabella all'inizio del passaggio 3: impostazioni di connessione per fornire l'accesso in lettura a più record di tabella ServiceNow e alle autorizzazioni dei criteri utente dell'indice.

Passaggio 3.3: MICROSOFT ENTRA ID OpenID Connect

Per usare Microsoft Entra ID OpenID Connect per l'autenticazione, seguire questa procedura.

Passaggio 3.3.1: Registrare una nuova applicazione nell'ID Microsoft Entra

Per informazioni sulla registrazione di una nuova applicazione nell Microsoft Entra ID, vedere Registrare un'applicazione. Selezionare directory organizzativa a tenant singolo. L'URI di reindirizzamento non è necessario. Dopo la registrazione, annotare l'ID applicazione (client) e l'ID directory (tenant).

Passaggio 3.3.2: Creare un segreto client

Per informazioni sulla creazione di un segreto client, vedere Creazione di un segreto client. Prendere nota del segreto client.

Passaggio 3.3.3: Recuperare l'identificatore dell'oggetto entità servizio

Seguire la procedura per recuperare l'identificatore dell'oggetto entità servizio

1. Eseguire PowerShell.

2. Installare Azure PowerShell usando il comando seguente.

   Install-Module -Name Az -AllowClobber -Scope CurrentUser
   

3. Connettersi ad Azure.

   Connect-AzAccount
   

4. Ottiene l'identificatore dell'oggetto entità servizio.

   Get-AzADServicePrincipal -ApplicationId "Application-ID"
   

   Sostituire "Application-ID" con l'ID applicazione (client) (senza virgolette) dell'applicazione registrata nel passaggio 3.a. Si noti il valore dell'oggetto ID dall'output di PowerShell. Si tratta dell'ID entità servizio.

Ora sono disponibili tutte le informazioni necessarie per portale di Azure. Nella tabella seguente è riportato un breve riepilogo delle informazioni.

Proprietà	Descrizione
ID directory (ID tenant)	ID univoco del tenant Microsoft Entra, dal passaggio 3.a.
ID applicazione (ID client)	ID univoco dell'applicazione registrata nel passaggio 3.a.
Segreto client	Chiave privata dell'applicazione (dal passaggio 3.b). Considerarlo come una password.
ID entità servizio	Identità per l'applicazione in esecuzione come servizio. (dal passaggio 3.c)

Passaggio 3.3.4: Registrare l'applicazione ServiceNow

L'istanza di ServiceNow richiede la configurazione seguente:

1. Registrare una nuova entità OIDC OAuth. Per informazioni, vedere Creare un provider OIDC OAuth.

2. La tabella seguente fornisce indicazioni su come compilare il modulo di registrazione del provider OIDC

   Campo	Descrizione	Valore consigliato
   Nome	Nome univoco che identifica l'entità OIDC OAuth.	Microsoft Entra ID
   ID client	ID client dell'applicazione registrata nel server OIDC OAuth di terze parti. L'istanza usa l'ID client quando si richiede un token di accesso.	ID applicazione (client) dal passaggio 3.a
   Segreto client	Segreto client dell'applicazione registrata nel server OIDC OAuth di terze parti.	Segreto client dal passaggio 3.b

   Tutti gli altri valori possono essere predefiniti.

3. Nel modulo di registrazione del provider OIDC è necessario aggiungere una nuova configurazione del provider OIDC. Selezionare l'icona di ricerca nel campo Configurazione provider OIDC OAuth per aprire i record delle configurazioni OIDC. Selezionare Nuovo.

4. La tabella seguente fornisce indicazioni su come compilare il modulo di configurazione del provider OIDC

   Campo	Valore consigliato
   OIDC Provider	Microsoft Entra ID
   URL dei metadati OIDC	L'URL deve essere nel formato https://login.microsoftonline.com/<tenandId">/.well-known/openid-configuration Sostituire "tenantID" con l'ID directory (tenant) del passaggio 3.a.
   Intervallo di vita della cache di configurazione OIDC	120
   Applicazione	Globale
   Attestazione utente	Sub
   Campo utente	ID utente
   Abilitare la verifica delle attestazioni JTI	Disabilitato

5. Selezionare Submit and Update the OAuth OIDC Entity form (Invia e aggiorna il modulo entità OIDC OAuth).

Passaggio 3.3.5: Creare un account ServiceNow

Fare riferimento alle istruzioni per creare un account ServiceNow e creare un utente in ServiceNow.

La tabella seguente fornisce indicazioni su come compilare la registrazione dell'account utente ServiceNow

Campo	Valore consigliato
ID utente	ID entità servizio del passaggio 3.c
Solo accesso al servizio Web	Controllato

Tutti gli altri valori possono essere lasciati come predefiniti.

Passaggio 3.3.6: Abilitare il ruolo del catalogo per l'account ServiceNow

Accedere all'account ServiceNow creato con l'ID entità ServiceNow come ID utente e assegnare il ruolo del catalogo. Le istruzioni per l'assegnazione di un ruolo a un account ServiceNow sono disponibili qui e assegnano un ruolo a un utente. Fare riferimento alla tabella all'inizio del passaggio 3: impostazioni di connessione per fornire l'accesso in lettura a più record di tabella ServiceNow e alle autorizzazioni dei criteri utente dell'indice.

Usare l'ID applicazione come ID client (dal passaggio 3.a) e il segreto client (dal passaggio 3.b) nella configurazione dell'interfaccia di amministrazione assistente per eseguire l'autenticazione nell'istanza di ServiceNow usando Microsoft Entra ID OpenID Connect.

Passaggio 4: Selezionare le proprietà e filtrare i dati

In questo passaggio è possibile aggiungere o rimuovere le proprietà disponibili dall'origine dati ServiceNow. Microsoft 365 ha già selezionato alcune proprietà per impostazione predefinita.

Con una stringa di query ServiceNow, è possibile specificare le condizioni per la sincronizzazione degli articoli. È come una clausola Where in un'istruzione SQL Select . Ad esempio, è possibile scegliere di indicizzare solo gli elementi attivi. Per informazioni sulla creazione di una stringa di query personalizzata, vedere Generare una stringa di query codificata usando un filtro.

Usare il pulsante dei risultati dell'anteprima per verificare i valori di esempio delle proprietà e del filtro di query selezionati.

Passaggio 5: Gestire le autorizzazioni di ricerca

Il connettore ServiceNow supporta le autorizzazioni di ricerca visibili a tutti o solo agli utenti con accesso a questa origine dati. I dati indicizzati vengono visualizzati nei risultati della ricerca ed è visibile a tutti gli utenti dell'organizzazione o agli utenti che hanno accesso rispettivamente tramite l'autorizzazione dei criteri utente. Se un elemento del catalogo non è abilitato con criteri utente, verrà visualizzato nei risultati della ricerca di tutti gli utenti dell'organizzazione.

Il connettore supporta le autorizzazioni predefinite per i criteri utente senza script avanzati. Quando il connettore rileva criteri utente con script avanzato, tutti i dati che usano tali criteri utente non verranno visualizzati nei risultati della ricerca.

Se si sceglie Solo gli utenti con accesso a questa origine dati, è necessario scegliere ulteriormente se l'istanza di ServiceNow ha Microsoft Entra utenti con provisioning ID o utenti non Azure AD.

Per identificare l'opzione adatta all'organizzazione:

1. Scegliere l'opzione MICROSOFT ENTRA ID se l'ID Email degli utenti di ServiceNow è uguale all'UPN (UserPrincipalName) degli utenti nell'ID Microsoft Entra.
2. Scegliere l'opzione Non Azure AD se l'ID di posta elettronica degli utenti di ServiceNow è diverso dall'UPN (UserPrincipalName) degli utenti nell Microsoft Entra ID.

Nota

• Se si sceglie Microsoft Entra ID come tipo di origine identità, il connettore esegue il mapping degli ID Email degli utenti ottenuti da ServiceNow direttamente alla proprietà UPN da Microsoft Entra ID.
• Se si è scelto "Non Azure AD" per il tipo di identità, vedere Eseguire il mapping delle identità non Azure AD per istruzioni sul mapping delle identità. È possibile usare questa opzione per fornire l'espressione regolare di mapping dall'ID Email all'UPN.

Passaggio 6: Assegnare etichette di proprietà

Seguire le istruzioni di configurazione generali.

Passaggio 7: Gestire lo schema

Seguire le istruzioni di configurazione generali.

Passaggio 8: Scegliere le impostazioni di aggiornamento

Seguire le istruzioni di configurazione generali.

Nota

Per le identità, verrà applicata solo la ricerca per indicizzazione completa pianificata.

Passaggio 9: Esaminare la connessione

Seguire le istruzioni di configurazione generali.

Dopo aver pubblicato la connessione, è necessario personalizzare la pagina dei risultati della ricerca. Per informazioni sulla personalizzazione dei risultati della ricerca, vedere Personalizzare la pagina dei risultati della ricerca.

Limitazioni

Il connettore Microsoft Graph serviceNow Catalog presenta le limitazioni seguenti nella versione più recente:

• Solo gli utenti con accesso a questa funzionalità di origine dati nel passaggio Gestisci autorizzazioni di ricerca elaborano solo le autorizzazioni dei criteri utente . Qualsiasi altro tipo di autorizzazioni di accesso non verrà applicato nei risultati della ricerca.
• Le autorizzazioni dei criteri utente configurate nella categoria del catalogo non sono supportate.
• I criteri utente con script avanzati non sono supportati nella versione corrente. Tutti gli elementi del catalogo con una restrizione di accesso di questo tipo verranno indicizzati negando a tutti l'accesso, ovvero non verranno visualizzati nei risultati della ricerca per nessun utente finché non li supportiamo.

Risoluzione dei problemi

Dopo aver pubblicato la connessione, personalizzando la pagina dei risultati, è possibile esaminare lo stato nella scheda Origini datinell'interfaccia di amministrazione. Per informazioni su come eseguire aggiornamenti ed eliminazioni, vedere Gestire il connettore. Di seguito sono riportati i passaggi per la risoluzione dei problemi più comuni.

1. Impossibile accedere a causa dell'istanza di ServiceNow abilitata per l'accesso Single Sign-On

Se l'organizzazione ha abilitato l'accesso Single Sign-On (SSO) a ServiceNow, potrebbero verificarsi problemi di accesso con l'account del servizio. È possibile visualizzare l'accesso basato su nome utente e password aggiungendo login.do all'URL dell'istanza di ServiceNow. Esempio: https://<your-organization-domain>.service-now.com./login.do.

2. Risposta non autorizzata o non consentita alla richiesta API

2.1. Controllare le autorizzazioni di accesso alle tabelle

Se viene visualizzata una risposta non consentita o non autorizzata nello stato di connessione, verificare se l'account del servizio ha richiesto l'accesso alle tabelle indicate nel passaggio 3: impostazioni di connessione. Controllare se tutte le colonne nelle tabelle hanno accesso in lettura.

2.2. Modifica della password dell'account

Il connettore usa il token di accesso recuperato per conto dell'account del servizio per la ricerca per indicizzazione. Il token di accesso viene aggiornato ogni 12 ore. Assicurarsi che la password dell'account del servizio non venga modificata dopo la pubblicazione della connessione. Potrebbe essere necessario autenticare nuovamente la connessione in caso di modifica della password.

2.3. Verificare se l'istanza di ServiceNow è dietro il firewall

Il connettore Microsoft Graph potrebbe non essere in grado di raggiungere l'istanza di ServiceNow se si trova dietro un firewall di rete. Sarà necessario consentire in modo esplicito l'accesso al servizio connettore. È possibile trovare l'intervallo di indirizzi IP pubblici del servizio connettore nella tabella seguente. In base all'area del tenant, aggiungerla all'elenco di utenti consentiti della rete dell'istanza di ServiceNow.

Ambiente	Area geografica	Intervallo
PROD	Nord America	52.250.92.252/30, 52.224.250.216/30
PROD	Europa	20.54.41.208/30, 51.105.159.88/30
PROD	Asia Pacifico	52.139.188.212/30, 20.43.146.44/30

2.4. Autorizzazioni di accesso non funzionano come previsto

Se si osservano discrepanze nelle autorizzazioni di accesso applicate ai risultati della ricerca, verificare la configurazione dei criteri utente nell'applicazione dei criteri utente agli elementi del catalogo.

3. Problemi con solo le persone con accesso a questa autorizzazione origine dati

3.1 Impossibile scegliere solo le persone con accesso a questa origine dati

Potrebbe non essere possibile scegliere Solo gli utenti con accesso a questa opzione dell'origine dati se l'account del servizio non dispone delle autorizzazioni di lettura per le tabelle necessarie nel passaggio 3: impostazioni di connessione. Verificare se l'account del servizio è in grado di leggere le tabelle indicate in Indice e supportare le autorizzazioni dei criteri utente .

3.2 Errori di mapping degli utenti

Gli account utente di ServiceNow che non hanno un utente di Microsoft 365 in Microsoft Entra ID non verranno mappati. Si prevede che gli account del servizio non utente non riescano a eseguire il mapping degli utenti. È possibile accedere al numero di errori di mapping degli utenti nell'area delle statistiche di identità nella finestra dei dettagli della connessione. Il log dei mapping utente non riusciti può essere scaricato dalla scheda Errore.

4. Problemi con il flusso di accesso ai criteri utente

Se si riscontrano differenze nella convalida dei criteri utente tra ServiceNow e Microsoft Search, impostare la proprietà di sistema su glide.knowman.block_access_with_no_user_criteriano.

Se si verificano altri problemi o si vuole fornire commenti e suggerimenti, scrivere aka.ms/TalkToGraphConnectors