Руководство по настройке SAP SuccessFactors для подготовки пользователей Active Directory

В этом учебнике описаны действия, необходимые для выполнения подготовки пользователей из SuccessFactors Employee Central в Active Directory (AD) и Azure AD с необязательной обратной записью электронного адреса в SuccessFactors.

Примечание

Используйте этот учебник, если пользователям, которых требуется подготовить из SuccessFactors, требуется локальная учетная запись AD и при необходимости учетная запись Azure AD. Если пользователям из SuccessFactors требуется только учетная запись Azure AD (пользователи, работающие только в облаке), ознакомьтесь с учебником по настройке SAP SuccessFactors для подготовки пользователей Azure AD.

Обзор

Служба подготовки пользователей Azure Active Directory интегрируется с SuccessFactors Employee Central для управления жизненным циклом удостоверений пользователей.

Рабочие процессы подготовки пользователей SuccessFactors, поддерживаемые службой подготовки пользователей Azure AD, позволяют автоматизировать указанные ниже сценарии управления персоналом и жизненным циклом удостоверений.

  • Наем новых сотрудников. При добавлении нового сотрудника в SuccessFactors учетная запись пользователя автоматически создается в Active Directory, Azure Active Directory и при необходимости в Microsoft 365, а также в других приложениях SaaS, поддерживаемых Azure AD, с обратной записью адреса электронной почты в SuccessFactors.

  • Обновления атрибута и профиля сотрудника. При обновлении записи сотрудника в SuccessFactors (например, имени, должности или руководителя) его учетная запись пользователя будет автоматически обновлена в Active Directory, Azure Active Directory и при необходимости в Microsoft 365 и других приложениях SaaS, поддерживаемых Azure AD.

  • Увольнения сотрудников. При увольнении сотрудника в SuccessFactors его учетная запись пользователя будет автоматически отключена в Active Directory, Azure Active Directory, Microsoft 365 (при необходимости) и других приложениях SaaS, поддерживаемых Azure AD.

  • Повторные наймы сотрудников. При повторном поступлении сотрудника на работу в SuccessFactors его старая учетная запись может быть автоматически активирована повторно или повторно подготовлена (в зависимости от вашего желания) в Active Directory, Azure Active Directory и при необходимости в Microsoft 365 и других приложениях SaaS, поддерживаемых Azure AD.

Кому это решение подготовки пользователей подходит лучше всего?

Это решение подготовки пользователей из SuccessFactors в Active Directory идеально подходит для:

  • организаций, которым необходимо готовое облачное решение для подготовки пользователей в SuccessFactors;

  • организаций, которым требуется прямая подготовка пользователей из SuccessFactors в Active Directory;

  • организаций, которые выполняют подготовку пользователей на основе данных, полученных из SuccessFactors Employee Central (EC);

  • организаций, которым необходимо синхронизировать процессы присоединения, перемещения и удаления пользователей с одним или несколькими лесами Active Directory, доменами и подразделениями на основе только данных изменений, обнаруженных в SuccessFactors Employee Central (EC);

  • организаций, использующих Microsoft 365 для электронной почты.

Архитектура решения

В этом разделе описывается архитектура полноценного решения для подготовки пользователей в распространенных гибридных средах. Имеется два связанных потока:

  • Доверенный поток данных управления персоналом SuccessFactors в локальной службе Active Directory. В этом потоке связанные с работниками события (например, наем, перевод и увольнение) сначала происходят в облачной службе SuccessFactors Employee Central, а затем данные событий передаются в локальную службу Active Directory через Azure AD и агент подготовки. В зависимости от события, это может приводить к операциям создания, обновления, включения или отключения в AD.

  • Поток обратной записи электронной почты: из локальной службы Active Directory в SuccessFactors. По завершении создания учетной записи в Active Directory она синхронизируется с Azure AD с помощью функции синхронизации Azure AD Connect, а атрибут электронной почты можно записать обратно в SuccessFactors.

    Обзор

Полноценный поток данных пользователей

  1. Команда по управлению персоналом выполняет транзакции с работниками (присоединение, перемещение и удаление или наем, перевод и увольнение) в SuccessFactors Employee Central.
  2. Служба подготовки Azure AD выполняет плановую синхронизацию удостоверений из SuccessFactors EC и определяет изменения, которые необходимо обработать для синхронизации с локальной службой Active Directory.
  3. Служба подготовки Azure AD вызывает локальный агент подготовки Azure AD Connect, включив операции создания, обновления, включения или отключения учетных записей AD в полезные данные запроса.
  4. Агент подготовки Azure AD Connect использует учетную запись службы для добавления или обновления данных учетной записи AD.
  5. Модуль синхронизации Azure AD Connect выполняет разностную синхронизацию, чтобы получить обновления в AD.
  6. Обновления Active Directory синхронизируются с Azure Active Directory.
  7. Если настроено приложение обратной записи в SuccessFactors, оно выполняет обратную запись атрибута электронной почты в SuccessFactors в соответствии с используемым атрибутом.

Планирование развертывания

Для настройки подготовки пользователей с помощью системы управления персоналом в облаке из SuccessFactors в AD требуется основательное планирование, охватывающее следующие аспекты:

  • настройка агента подготовки Azure AD Connect;
  • количество развертываемых приложений подготовки пользователей из SuccessFactors в AD;
  • идентификатор сопоставления, сопоставление атрибутов, преобразование и фильтры области действия.

Подробные рекомендации по этим темам см. в плане развертывания облачных служб управления персоналом. Сведения о поддерживаемых сущностях, обработке и настройке интеграции для различных сценариев управления персоналом см. в Справочнике по интеграции SAP SuccessFactors.

Настройка SuccessFactors для интеграции

Общим требованием для всех соединителей подготовки SuccessFactors являются учетные данные SuccessFactors с соответствующими разрешениями для вызова API-интерфейсов SuccessFactors OData. В этом разделе описана процедура создания учетной записи службы в SuccessFactors и предоставления соответствующих разрешений.

Создание или определение учетной записи пользователя API в SuccessFactors

Совместно с группой администраторов или партнером по внедрению SuccessFactors создайте или укажите в SuccessFactors учетную запись пользователя, которая будет использоваться для вызова API-интерфейсов OData. При настройке приложений подготовки в Azure AD потребуются имя пользователя и пароль этой учетной записи.

Создание роли разрешений для API

  1. Войдите в SAP SuccessFactors с учетной записью пользователя, имеющего доступ к центру администрирования.

  2. Введите в строке поиска Manage Permission Roles (Управление ролями разрешений), а затем среди результатов поиска выберите Manage Permission Roles (Управление ролями разрешений). Управление ролями разрешений

  3. В списке ролей разрешений щелкните Create New (Создать).

    Создание роли разрешения

  4. Заполните поля Role Name (Имя роли) и Description (Описание) для новой роли разрешений. Имя и описание должны указывать на то, что роль предназначена для разрешений на использование API.

    Сведения о роли разрешений

  5. В разделе Permission settings (Параметры разрешений) щелкните Permission... (Разрешение...), затем прокрутите список разрешений вниз и щелкните Manage Integration Tools (Управление инструментами интеграции). Установите флажок Allow Admin to Access to OData API through Basic Authentication (Разрешить администратору доступ к API-интерфейсу OData с использованием обычной проверки подлинности).

    Раздел Manage integration tools (Управление инструментами интеграции)

  6. Прокрутите вниз в том же поле и выберите Employee Central API (API-интерфейс Employee Central). Добавьте разрешения на чтение и изменение с помощью API-интерфейса OData, как показано ниже. Параметр изменения следует выбирать, если вы планируете использовать ту же учетную запись и для сценария обратной записи в SuccessFactors.

    Разрешения на чтение и запись

  7. В том же окне разрешений перейдите к пункту User Permissions -> Employee Data (Разрешения пользователей -> Данные о сотрудниках) и проверьте атрибуты, которые учетная запись службы может считывать из клиента SuccessFactors. Например, чтобы получить из SuccessFactors атрибут Username (Имя пользователя), убедитесь, что для этого атрибута предоставлено разрешение View (Просмотр). Аналогичным образом проверьте каждый атрибут для разрешения на просмотр.

    Разрешения на данные сотрудников

    Примечание

    Полный список атрибутов, полученных этим приложением подготовки, см. в справочнике по атрибутам SuccessFactors.

  8. Нажмите кнопку Готово. Щелкните Сохранить изменения.

Создание группы разрешений для пользователя API

  1. В центре администрирования SuccessFactors в строке поиска введите Manage Permission Groups (Управление группами разрешений), а затем среди результатов поиска выберите Manage Permission Groups (Управление группами разрешений).

    Пункт Manage permission groups (Управление группами разрешений)

  2. В окне Manage permission groups (Управление группами разрешений) щелкните Create New (Создать).

    Добавление новой группы

  3. Добавьте имя новой группы в поле Group Name (Имя группы). Это имя должно указывать на то, что группа предназначена для пользователей API.

    Имя группы разрешений

  4. Добавьте членов в группу. Например, в раскрывающемся меню People Pool (Пул пользователей) можно выбрать Username (Имя пользователя), а затем ввести имя пользователя учетной записи API, которая будет использоваться для интеграции.

    Добавление членов группы

  5. Щелкните Done (Готово), чтобы завершить создание группы разрешений.

Предоставление роли разрешений группе разрешений

  1. В центре администрирования SuccessFactors в строке поиска введите Manage Permission Roles (Управление ролями разрешений), а затем среди результатов поиска выберите Manage Permission Roles (Управление ролями разрешений).
  2. В разделе Permission Role List (Список ролей разрешений) выберите роль, созданную для разрешений на использование API.
  3. В разделе Grant this role to... (Предоставить эту роль...) нажмите кнопку Add... (Добавить...).
  4. В раскрывающемся меню выберите Permission Group... (Группа разрешений...), а затем щелкните Select... (Выбрать...), чтобы открыть окно Groups (Группы) для поиска и выбора созданной ранее группы.

    Добавление группы разрешений

  5. Просмотрите роль разрешений, предоставленную группе разрешений.

    Сведения о роли и группе разрешений

  6. Щелкните Сохранить изменения.

Настройка подготовки пользователей из SAP SuccessFactors в Active Directory

В этом разделе описаны шаги для подготовки учетных записей пользователей из SuccessFactors в каждом домене Active Directory в области интеграции.

Часть 1. Добавление приложения соединителя подготовки и скачивание агента подготовки

Чтобы настроить SuccessFactors для подготовки пользователей Active Directory, сделайте следующее:

  1. Перейдите на страницу https://portal.azure.com.

  2. В области навигации слева выберите Azure Active Directory.

  3. Щелкните Корпоративные приложения, а затем — Все приложения.

  4. Выберите Добавить приложение и выберите категорию Все.

  5. Найдите SuccessFactors to Active Directory User Provisioning (Подготовка пользователей SuccessFactors в Active Directory) и добавьте это приложение из коллекции.

  6. После добавления приложения и отображения экрана сведений о приложений выберите Подготовка.

  7. Для параметра Режим подготовки к работе выберите значение Авто.

  8. Щелкните информационный баннер, чтобы скачать агент подготовки.

    Скачать агент

Часть 2. Установка и настройка локальных агентов подготовки

Чтобы подготовить локальную службу Active Directory, необходимо установить агент подготовки на присоединенном к домену сервере с сетевым доступом к нужным доменам Active Directory.

Перенесите скачанный установщик агента на узел сервера и следуйте инструкциям из раздела об установке агента, чтобы завершить настройку агента.

Часть 3. В приложении подготовки настройте подключения к SuccessFactors и Active Directory

На этом шаге мы устанавливаем подключение с SuccessFactors и Active Directory на портале Azure.

  1. На портале Azure вернитесь в приложение подготовки пользователей Active Directory в SuccessFactors, созданное в части 1.

  2. В разделе Учетные данные администратора заполните поля следующим образом.

    • Имя пользователя администратора. Введите имя пользователя учетной записи API SuccessFactors, добавив к нему идентификатор компании. Формат: имя_пользователя@идентификатор_компании.

    • Пароль администратора. Введите пароль учетной записи пользователя API SuccessFactors.

    • URL-адрес клиента. Введите имя конечной точки служб API-интерфейса OData для SuccessFactors. Вводить следует только имя узла сервера без http или https. Это значение должно выглядеть так: .successfactors.com.

    • Лес Active Directory — имя домена Active Directory, зарегистрированное в агенте. В раскрывающемся списке выберите целевой домен для подготовки. Как правило, это строка вида: contoso.com.

    • Контейнер Active Directory — выберите различающееся имя контейнера, в котором агент должен по умолчанию создавать учетные записи пользователей. Пример OU=Users,DC=contoso,DC=com

      Примечание

      Этот параметр используется только при создании учетных записей, если в сопоставлениях атрибутов не настроен атрибут parentDistinguishedName. Этот параметр не используется для операций обновления и поиска пользователей. Областью действия операции поиска является все дочернее дерево домена.

    • Адрес электронной почты для уведомлений — введите адрес электронной почты и установите флажок "send email if failure occurs" (Отправлять по электронной почте в случае сбоя).

      Примечание

      Служба подготовки Azure AD отправляет уведомление по электронной почте, если задание подготовки переходит в состояние Карантин.

    • Нажмите кнопку Проверить подключение. Если проверка подключения выполнена успешно, нажмите кнопку Сохранить в верхней части. В случае неудачи убедитесь, что учетные данные SuccessFactors и AD, заданные в настройках агента, действительны.

      Портал Azure

    • После успешного сохранения учетных данных в разделе Сопоставления отобразится сопоставление по умолчанию Synchronize SuccessFactors Users to Azure Active Directory (Синхронизировать пользователей SuccessFactors с локальной службой Active Directory).

Часть 4. Настройка сопоставлений атрибутов

В этом разделе описана настройка потоков данных пользователя из SuccessFactors в Active Directory.

  1. На вкладке "Подготовка" в разделе Сопоставления щелкните Synchronize Azure Active Directory Users to Workday (Синхронизировать пользователей локальной службы Active Directory с SuccessFactors).

  2. В поле Область исходного объекта можно выбрать, какие наборы пользователей в SuccessFactors должны учитываться при подготовке в AD, определив набор фильтров на основе атрибутов. Область по умолчанию — "все пользователи в SuccessFactors". Примеры фильтров

    • Пример Охват пользователей с personIdExternal в диапазоне от 1000000 до 2000000 (не включая 2000000)

      • Атрибут: personIdExternal

      • Оператор: REGEX MATCH.

      • Значение: (1[0–9][0–9][0–9][0–9][0–9][0–9]).

    • Пример Только сотрудники, а не временные работники.

      • Атрибут: EmployeeID

      • Оператор: IS NOT NULL.

    Совет

    При первой настройке приложения подготовки необходимо проверить сопоставления атрибутов и выражения, чтобы получить желаемый результат. Корпорация Майкрософт рекомендует использовать фильтры области в разделе Область исходного объекта для проверки сопоставлений с несколькими тестовыми пользователями из SuccessFactors. После проверки работоспособности сопоставлений можно либо удалить фильтр, либо постепенно расширять его, добавляя больше пользователей.

    Внимание!

    Поведение по умолчанию обработчика подготовки заключается в том, чтобы отключить или удалить неподходящих пользователей. Это может быть нежелательно в случае интеграции SuccessFactors с AD. Сведения о том, как переопределить такое поведение по умолчанию, см. в статье Пропустить удаление учетных записей неподходящих пользователей.

  3. В поле Действия с целевыми объектами можно в глобальном масштабе отфильтровать, какие действия доступны для выполнения в Active Directory. Самыми распространенными являются создание и обновление.

  4. В разделе Сопоставление атрибутов можно определить, как отдельные атрибуты SuccessFactors сопоставляются с атрибутами Active Directory.

    Примечание

    Полный список атрибутов SuccessFactors, поддерживаемых приложением, см. в справочнике по атрибутам SuccessFactors.

  5. Щелкните существующее сопоставление атрибута, чтобы его обновить, или Добавить новое сопоставление в нижней части экрана, чтобы добавить новые сопоставления. Отдельное сопоставление атрибутов поддерживает следующие свойства:

    • Тип сопоставления

      • Прямое — записывает значение атрибута SuccessFactors в атрибут AD без изменений.

      • Константа — записывает статическое постоянное строковое значение в атрибут AD.

      • Выражение — позволяет записывать пользовательское значение в атрибут AD на основании одного или нескольких атрибутов SuccessFactors. Дополнительные сведения см. в статье о выражениях.

    • Исходный атрибут — атрибут пользователя из SuccessFactors.

    • Значение по умолчанию — необязательно. Если исходный атрибут имеет пустое значение, сопоставление запишет это значение. В наиболее распространенной конфигурации это поле остается пустым.

    • Целевой атрибут — атрибут пользователя в Active Directory.

    • Сопоставление объектов с помощью этого атрибута — должно ли это сопоставление использоваться для уникальной идентификации пользователей между SuccessFactors и Active Directory. Как правило, значение задается в поле идентификатора работника для SuccessFactors, который обычно сопоставляется с одним из атрибутов идентификатора сотрудника в Active Directory.

    • Приоритет сопоставления — возможность указания нескольких атрибутов сопоставления. При указании нескольких атрибутов сопоставления они вычисляются в порядке, заданном в этом поле. Как только соответствие найдено, дальнейшие атрибуты сопоставления не вычисляются.

    • Применить это сопоставление

      • Всегда — применить это сопоставление как при создании, так и при обновлении пользователей

      • Только при создании — применить это сопоставление только при создании пользователей

  6. Чтобы сохранить сопоставления, щелкните Сохранить в верхней части раздела "Сопоставление атрибутов".

Завершив настройку сопоставления атрибутов, можно протестировать подготовку по требованию для одного пользователя, а затем включить и запустить службу подготовки пользователей.

Включение и запуск подготовки пользователей

Завершив настройку приложения подготовки SuccessFactors и проверив подготовку по требованию для одного пользователя, можно включить службу подготовки на портале Azure.

Совет

По умолчанию при включении службы подготовки она инициализирует операции подготовки для всех пользователей в области. При наличии ошибок в сопоставлении или проблем с данными SuccessFactors задание подготовки может завершиться ошибкой и перейти в состояние карантина. Чтобы избежать этого, рекомендуем настроить фильтр Область исходного объекта и протестировать сопоставления атрибутов с несколькими тестовыми пользователями с помощью подготовки по требованию перед запуском полной синхронизации всех пользователей. После проверки работоспособности сопоставлений и получения желаемых результатов можно либо удалить фильтр, либо постепенно расширять его, добавляя больше пользователей.

  1. Перейдите в колонку Подготовка и щелкните Начать подготовку.

  2. Будет запущена начальная синхронизация, которая может занять несколько часов в зависимости от количества пользователей в клиенте SuccessFactors. Ход выполнения цикла синхронизации можно проверить на индикаторе выполнения для отслеживания.

  3. В любой момент можно проверить вкладку Журналы аудита на портале Azure, чтобы узнать, какие действия выполнила служба подготовки. В журналах аудита перечислены все отдельные события синхронизации, выполняемые службой подготовки, например, какие пользователи считываются из SuccessFactors и впоследствии будут добавлены или обновлены в Active Directory.

  4. После завершения первичной синхронизации на вкладке Подготовка будет создан сводный отчет аудита, как показано ниже.

    Индикатор выполнения подготовки

Дальнейшие шаги