Uygulama Sağlama'nın Azure Active Directory

Otomatik sağlama, kullanıcıların erişmesi gereken bulut uygulamalarında kullanıcı kimlikleri ve rolleri oluşturmayı ifade eder. Otomatik sağlama, kullanıcı kimlikleri oluşturmanın yanı sıra durum veya roller değiştiklerinde kullanıcı kimliklerinin bakımını ve kaldırılmasını da içerir. Dağıtıma başlamadan önce, Azure AD sağlamanın nasıl çalıştığını öğrenmek ve yapılandırma önerileri almak için bu makaleyi gözden geçirebilirsiniz.

Azure AD Sağlama Hizmeti, uygulama satıcısı tarafından sağlanan Etki Alanı Arası Kimlik Yönetimi (SCIM) 2.0 kullanıcı yönetimi API'si uç noktasına bağlanarak kullanıcıları SaaS uygulamalarına ve diğer sistemlere sağlar. Bu SCIM uç noktası, Azure AD'nin program aracılığıyla kullanıcı oluşturmalarını, güncelleştirmelerini ve kaldırmalarını sağlar. Seçilen uygulamalar için sağlama hizmeti, gruplar ve roller gibi kimlikle ilgili ek nesneler de oluşturabilir, güncelleştirerek ve kaldırabilir. Azure AD ile uygulama arasında sağlama için kullanılan kanal HTTPS TLS 1.2 şifrelemesi kullanılarak şifrelenir.

Şekil 1: Azure AD Sağlama Hizmeti

"Giden" kullanıcı sağlama iş akışı

(HCM) uygulamalarından gelen kullanıcı hazırlama iş akışından Azure Active Directory ve Windows Server Active Directory

SCIM 2.0 kullanarak sağlama

Azure AD sağlama hizmeti, otomatik sağlama için SCIM 2.0 protokolünü kullanır. Hizmet, uygulama için SCIM uç noktasına bağlanır ve kullanıcıların ve grupların sağlanmasını ve sağlanmasını otomatikleştirmek için SCIM kullanıcı nesnesi şemasını ve REST API'lerini kullanır. Azure AD galerisinde çoğu uygulama için SCIM tabanlı sağlama bağlayıcısı sağlanır. Geliştiriciler, Azure AD için uygulama derlemek üzere SCIM 2.0 kullanıcı yönetimi API'sini kullanarak sağlama için Azure AD'yi tümleştiren bir SCIM uç noktası oluşturur. Ayrıntılar için bkz. SCIM uç noktası oluşturma ve kullanıcı sağlamayı yapılandırma.

Şu anda azure ad sağlama bağlayıcısı olmayan bir uygulamaya yönelik otomatik bir Azure AD sağlama bağlayıcısı isteği Azure Active Directory için bir uygulama isteği doldurun.

Yetkilendirme

Azure AD'nin uygulamanın kullanıcı yönetimi API'lerine bağlanması için kimlik bilgileri gereklidir. Bir uygulama için otomatik kullanıcı sağlamayı yapılandırırken geçerli kimlik bilgilerini girmeniz gerekir. Galeri uygulamaları için, uygulama öğreticisi'ne bakarak uygulamanın kimlik bilgisi türlerini ve gereksinimlerini bulabilirsiniz. Galeri dışı uygulamalar için, kimlik bilgisi türlerini ve gereksinimlerini anlamak için SCIM belgelerine bakabilirsiniz. Bu Azure portal, Azure AD'nin sağlanan kimlik bilgilerini kullanarak uygulamanın sağlama uygulamasına bağlanmayı denemesi ile kimlik bilgilerini testabileceksiniz.

Eşleme öznitelikleri

Bir üçüncü taraf SaaS uygulaması için kullanıcı sağlamayı etkinleştirerek öznitelik Azure portal öznitelik eşlemeleri aracılığıyla bu uygulamanın öznitelik değerlerini kontrol eder. Eşlemeler, kullanıcı hesapları sağlandı veya güncelleştirildiğinde Azure AD ile hedef uygulama arasında akan kullanıcı özniteliklerini belirler.

Azure AD kullanıcı nesneleriyle her SaaS uygulamasının kullanıcı nesneleri arasında önceden yapılandırılmış bir öznitelik kümesi ve öznitelik eşlemeleri vardır. Bazı uygulamalar, Kullanıcılar ve Gruplar gibi diğer nesne türlerini yönetir.

Sağlamayı ayarlarken, Azure AD'den uygulamaya hangi kullanıcı (veya grup) özelliklerinin akışının olduğunu tanımlayan öznitelik eşlemelerini ve iş akışlarını gözden geçirmek ve yapılandırmak önemlidir. İki sistem arasındaki kullanıcıları/grupları benzersiz olarak tanımlamak ve eşleştirmek için kullanılan eşleştirme özelliğini (Bu özniteliği kullanarak nesneleri eşleştir) gözden geçirerek ve yapılandırabilirsiniz.

Varsayılan öznitelik eşlemelerini iş gereksinimlerinize göre özelleştirebilirsiniz. Bu nedenle, mevcut öznitelik eşlemelerini değiştirebilir veya silebilir ya da yeni öznitelik eşlemeleri oluşturabilirsiniz. Ayrıntılar için bkz. SaaS uygulamaları için kullanıcı sağlama öznitelik eşlemelerini özelleştirme.

SaaS uygulamasına sağlamayı yapılandırıldığında, belirtebilirsiniz öznitelik eşlemesi türlerinden biri bir ifade eşlemesi olur. Bu eşlemeler için, kullanıcı verilerinizi SaaS uygulaması için daha kabul edilebilir biçimlere dönüştürmenize olanak sağlayan betik gibi bir ifade yazmanız gerekir. Ayrıntılar için bkz. Öznitelik eşlemeleri için ifade yazma.

Kapsam

Atama tabanlı scoping

Azure AD'den SaaS uygulamasına giden sağlama için, hangi kullanıcıların sağlama kapsamında olduğunu belirlemenin en yaygın yolu kullanıcı veya grup atamalarına güvenmektir. Çoklu oturum açmanın etkinleştirilmesi için kullanıcı atamaları da kullanılır, çünkü hem erişimi hem de sağlamayı yönetmek için aynı yöntem kullanılabilir. Atama tabanlı scoping, Workday ve Successfactors gibi gelen sağlama senaryolarında geçerli değildir.

• Grup. Bir Azure AD Premium planıyla, SaaS uygulamasına erişim atamak için grupları kullanabilirsiniz. Ardından, sağlama kapsamı Yalnızca atanan kullanıcıları ve grupları eşitle olarak ayarlanırsa, Azure AD sağlama hizmeti kullanıcıları uygulamaya atanmış bir grubun üyesi oluplarına bağlı olarak sağlar veya sağlamayı geri alır. Uygulama grup nesnelerini desteklemediği sürece grup nesnesinin kendisi sağ değildir. Uygulamanıza atanan grupların "SecurityEnabled" özelliğinin "True" olarak ayarlanmış olduğundan emin olmak.

• Dinamik gruplar. Azure AD kullanıcı sağlama hizmeti dinamik gruplarda kullanıcıları okuyabilir ve s sağlamayı sağlar. Şu uyarı ve önerileri göz altında bulundurarak:

  • Dinamik gruplar, Azure AD'den SaaS uygulamalarına uzamlı sağlama performansını etkileyebilir.

  • Bir SaaS uygulamasında dinamik gruptaki bir kullanıcının ne kadar hızlı sağlanıyor veya sağlanıyor? Dinamik grubun üyelik değişikliklerini ne kadar hızlı değerlendireblir. Dinamik grubun işleme durumunu denetleme hakkında bilgi için bkz. Üyelik kuralı için işleme durumunu denetleme.

  • Bir kullanıcı dinamik grupta üyeliğini kaybettiğinde sağlamayı geri alama olayı olarak kabul edilir. Dinamik gruplar için kurallar oluştururken bu senaryoyu düşünün.

• İç içe gruplar. Azure AD kullanıcı hazırlama hizmeti iç içe gruplarda kullanıcıları okuya veya sağlayamıyor. Hizmet yalnızca açıkça atanan bir grubun hemen üyesi olan kullanıcıları okuyabilir ve s sağlamayı da sağlar. Bu "uygulamalara grup tabanlı atamalar" sınırlaması çoklu oturum açmayı da etkiler (bkz. SaaS uygulamalarına erişimi yönetmek için grup kullanma). Bunun yerine, sağlanması gereken kullanıcıları içeren gruplara doğrudan veya başka bir şekilde kapsam attayın.

Öznitelik tabanlı scoping

Bir uygulamaya hangi kullanıcıların sağlandı olduğunu belirleyen öznitelik tabanlı kurallar tanımlamak için filtreleme filtrelerini kullanabilirsiniz. Bu yöntem genellikle HCM uygulamalarından Azure AD ve Active Directory'ye gelen sağlama için kullanılır. Her Azure AD kullanıcı sağlama bağlayıcısı için öznitelik eşlemelerinin bir parçası olarak, kapsamındaki filtreler yapılandırılır. Öznitelik tabanlı filtreleme filtrelerini yapılandırma hakkında ayrıntılı bilgi için bkz. Kapsamındaki filtrelerle öznitelik tabanlı uygulama sağlama.

B2B (konuk) kullanıcıları

Azure AD'de B2B (veya konuk) kullanıcılarını SaaS uygulamalarına sağlama için Azure AD kullanıcı sağlama hizmetini kullanabilirsiniz. Ancak B2B kullanıcılarının Azure AD kullanarak SaaS uygulamasında oturum açması için SaaS uygulamasının SAML tabanlı çoklu oturum açma özelliği belirli bir şekilde yapılandırılmış olması gerekir. SaaS uygulamalarını B2B kullanıcılarının oturum açmalarını destekleyecek şekilde yapılandırma hakkında daha fazla bilgi için bkz. SaaS uygulamalarını B2Bişbirliği için yapılandırma.

Konuk kullanıcı için userPrincipalName genellikle "alias#EXT# " olarak @domain.com görüntülenir. userPrincipalName özniteliği eşlemelerinize kaynak öznitelik olarak ekli olduğunda, #EXT# kullanıcıPrincipalName'den çıkarılmış olur. #EXT# olması gerekirse userPrincipalName yerine source özniteliği olarak originalUserPrincipalName yazın.

userPrincipalName = alias@domain.com originalUserPrincipalName = alias#EXT #@domain.com

Sağlama döngüleri: İlk ve artımlı

Kaynak sistem Azure AD olduğunda, sağlama hizmeti Kullanıcıları ve grupları izlemek için Microsoft'ta değişiklik sorgusunu Graph delta sorgusunu kullanır. Sağlama hizmeti, kaynak sisteme ve hedef sisteme karşı bir başlangıç döngüsü çalıştırır ve bunu düzenli aralıklarla artımlı döngüler takip eder.

İlk döngü

Sağlama hizmeti başlatıldı mı, ilk döngü şöyle olur:

1. Kaynak sistemden tüm kullanıcıları ve grupları sorgular ve öznitelik eşlemeleri içinde tanımlanan tüm öznitelikleri alır.

2. Yapılandırılmış atamaları veya öznitelik tabanlı bir şekilde filtreleme filtrelerini kullanarak döndürülen kullanıcıları ve grupları filtrele.

3. Bir kullanıcı atandığı veya sağlama kapsamında olduğu zaman, hizmet belirtilen eşleşen öznitelikleri kullanarak eşleşen bir kullanıcı için hedef sistemi sorgular. Örnek: Kaynak sistemde userPrincipal adı eşleşen öznitelikse ve hedef sistemde userName ile eşlerse, sağlama hizmeti kaynak sistemde userPrincipal ad değerleriyle eşleşen userNames için hedef sistemi sorgular.

4. Hedef sistemde eşleşen bir kullanıcı bulunamasa, kaynak sistemden döndürülen öznitelikler kullanılarak oluşturulur. Kullanıcı hesabı oluşturulduktan sonra, sağlama hizmeti yeni kullanıcı için hedef sistemin kimliğini algılar ve önbelleğe algılar. Bu kimlik, bu kullanıcı üzerinde gelecekteki tüm işlemleri çalıştırmak için kullanılır.

5. Eşleşen bir kullanıcı bulunursa, kaynak sistem tarafından sağlanan öznitelikler kullanılarak güncelleştirilir. Kullanıcı hesabı eşledikten sonra, sağlama hizmeti hedef sistemin kimliğini yeni kullanıcı için algılar ve önbelleğe algılar. Bu kimlik, bu kullanıcı üzerinde gelecekteki tüm işlemleri çalıştırmak için kullanılır.

6. Öznitelik eşlemeleri "başvuru" öznitelikleri içeriyorsa, hizmet başvurulan nesneleri oluşturmak ve bağlamak için hedef sistemde ek güncelleştirmeler yapar. Örneğin, bir kullanıcının hedef sistemde oluşturulan başka bir kullanıcıya bağlı bir "Manager" özniteliği olabilir.

7. sonraki artımlı döngüler için başlangıç noktası sağlayan ilk döngü sonunda bir filigran kalıcı.

ServiceNow, G Suite ve Box gibi bazı uygulamalar yalnızca kullanıcı sağlamayı değil grupları ve üyelerini de sağlar. Bu durumlarda, eşlemelerde grup sağlama etkinse,sağlama hizmeti kullanıcıları ve grupları eşitler ve daha sonra grup üyeliklerini eşitler.

Artımlı döngüler

İlk döngüden sonra diğer tüm döngüler şöyle olur:

1. Son filigran depolandığı için güncelleştirilmiş tüm kullanıcılar ve gruplar için kaynak sistemi sorgulayın.

2. Yapılandırılmış atamaları veya öznitelik tabanlı bir şekilde filtreleme filtrelerini kullanarak döndürülen kullanıcıları ve grupları filtrele.

3. Bir kullanıcı atandığı veya sağlama kapsamında olduğu zaman, hizmet belirtilen eşleşen öznitelikleri kullanarak eşleşen bir kullanıcı için hedef sistemi sorgular.

4. Hedef sistemde eşleşen bir kullanıcı bulunamasa, kaynak sistemden döndürülen öznitelikler kullanılarak oluşturulur. Kullanıcı hesabı oluşturulduktan sonra, sağlama hizmeti yeni kullanıcı için hedef sistemin kimliğini algılar ve önbelleğe algılar. Bu kimlik, bu kullanıcı üzerinde gelecekteki tüm işlemleri çalıştırmak için kullanılır.

5. Eşleşen bir kullanıcı bulunursa, kaynak sistem tarafından sağlanan öznitelikler kullanılarak güncelleştirilir. Bu, yeni atanan bir hesapsa, sağlama hizmeti hedef sistemin kimliğini yeni kullanıcı için algılar ve önbelleğe algılar. Bu kimlik, bu kullanıcı üzerinde gelecekteki tüm işlemleri çalıştırmak için kullanılır.

6. Öznitelik eşlemeleri "başvuru" öznitelikleri içeriyorsa, hizmet başvurulan nesneleri oluşturmak ve bağlamak için hedef sistemde ek güncelleştirmeler yapar. Örneğin, bir kullanıcının hedef sistemde oluşturulan başka bir kullanıcıya bağlı bir "Manager" özniteliği olabilir.

7. Daha önce sağlama kapsamında olan bir kullanıcı atanmamış da dahil olmak üzere kapsamdan kaldırılırsa, hizmet bir güncelleştirme aracılığıyla hedef sistemde kullanıcıyı devre dışı bırakacaktır.

8. Daha önce sağlama kapsamında olan bir kullanıcı kaynak sistemde devre dışı bırakılmış veya geçici olarak silinmişse, hizmet bir güncelleştirme aracılığıyla hedef sistemde kullanıcıyı devre dışı bırakacaktır.

9. Daha önce sağlama kapsamında olan bir kullanıcı kaynak sistemde sabit olarak silinirse, hizmet hedef sistemde kullanıcıyı siler. Azure AD'de kullanıcılar, yazılımdan silindikten 30 gün sonra kalıcı olarak silinir.

10. Artımlı döngünin sonunda yeni bir filigran kalıcı olur ve sonraki artımlı döngüler için başlangıç noktası sağlar.

Sağlama hizmeti, her bir uygulamaya özgü öğreticide tanımlanan aralıklarla süresiz olarak geriye doğru artımlı döngüleri çalıştırmaya devam eder. Artımlı döngüler aşağıdaki olaylardan biri oluşana kadar devam eder:

• Hizmet, Azure portal veya uygun Microsoft Graph API komutu kullanılarak el ile durdurulur.
• Yeni bir başlangıç döngüsü, Azure portal'daki Sağlamayı yeniden başlat seçeneği kullanılarak veya uygun Microsoft Graph API komutu kullanılarak tetiklenir. Bu eylem depolanan filigranları temizler ve tüm kaynak nesnelerin yeniden değerlendirilmesini sağlar.
• Öznitelik eşlemeleri veya filtreleme filtrelerinin değişmesi nedeniyle yeni bir başlangıç döngüsü tetiklenir. Bu eylem ayrıca depolanan filigranları da temizler ve tüm kaynak nesnelerin yeniden değerlendirilmesini sağlar.
• Sağlama işlemi yüksek hata oranı nedeniyle karantinaya alınır (aşağıya bakın) ve dört haftadan uzun süre karantinada kalır. Bu durumda hizmet otomatik olarak devre dışı bırakılır.

Hatalar ve yeniden denemeler

Hedef sistemde bir hata, tek bir kullanıcının hedef sisteme eklenmesini, güncelleştirilmiş veya silinmesini önlediğinde, işlem bir sonraki eşitleme döngüsünde yeniden denenecektir. Hatalar sürekli yeniden denenerek yeniden deneme sıklığını kademeli olarak geri ölçeklendirin. Hatayı çözmek için, yöneticilerin kök nedeni belirlemek ve uygun eylemi yapmak için sağlama günlüklerini denetlemesi gerekir. Yaygın hatalar şunlar olabilir:

• Hedef sistemde gerekli olan kaynak sistemde doldurulan bir öznitelike sahip değil kullanıcılar
• Kaynak sistemde, hedef sistemde benzersiz bir kısıtlamanın olduğu ve aynı değerin başka bir kullanıcı kaydında mevcut olduğu bir öznitelik değerine sahip olan kullanıcılar

Kaynak sistemden etkilenen kullanıcı için öznitelik değerlerini ayarlayarak veya çakışmalara neden olmak için öznitelik eşlemelerini ayarlayarak bu hataları düzeltin.

Karantina

Hedef sisteme yapılan çağrıların çoğu veya hepsi bir hata nedeniyle (örneğin, geçersiz yönetici kimlik bilgileri) sürekli başarısız olursa, sağlama işi "karantina" durumuna gider. Bu durum, sağlama özeti raporunda ve e-posta bildirimlerinin E-posta ile yapılandırıldığında e-posta Azure portal.

Karantinaya alınırken artımlı döngülerin sıklığı kademeli olarak günde bir kezye düşürüler.

Tüm ilgili hatalar düzeltildikten ve sonraki eşitleme döngüsü başladıktan sonra sağlama işi karantinadan çıkar. Sağlama işi dört haftadan uzun süre karantinada kalırsa sağlama işi devre dışı bırakılır. Karantina durumu hakkında burada daha fazla bilgi için buraya bakarak.

Sağlamanın tamamlanma süresi

Performans, sağlama işnizin bir ilk sağlama döngüsü veya artımlı bir döngü çalıştırıp çalıştırmamanıza bağlıdır. Sağlamanın ne kadar sürecesi ve sağlama hizmetinin durumunu izleme hakkında ayrıntılı bilgi için bkz. Kullanıcı hazırlama durumunu denetleme.

Kullanıcıların düzgün bir şekilde sağlandıklarını nasıl söyleyebilirim?

Kullanıcı sağlama hizmeti tarafından çalıştır çalıştıran tüm işlemler Azure AD Sağlama günlüklerine (önizleme) kaydedilir. Günlükler, kaynak ve hedef sistemlerde yapılan tüm okuma ve yazma işlemlerinin ve her işlem sırasında okunan veya yazılan kullanıcı verilerini içerir. Hizmet sağlama günlüklerini okuma hakkında bilgi için Azure portal sağlama raporlama kılavuzuna bakın.

Sağlamayı geri alama

Azure AD sağlama hizmeti, kullanıcı erişimi kaldırıldığı zaman hesapların sağlamayı kaldırarak kaynak ve hedef sistemleri eşitler.

Sağlama hizmeti, kullanıcıları silmeyi ve devre dışı bırakmayı (bazen geçici silme olarak da adlandırılır) destekler. Devre dışı bırakma ve silmenin tam tanımı, hedef uygulamanın uygulamasına göre değişiklik gösterir, ancak genellikle devre dışı bırakma, kullanıcının oturum aça olmadığını gösterir. Silme, kullanıcının uygulamanın tamamen kaldırılmış olduğunu gösterir. SCIM uygulamalarında devre dışı bırakma, kullanıcı üzerinde etkin özelliği false olarak ayarlama isteğidir.

Kullanıcı devre dışı bırakmak için uygulama yapılandırma

Güncelleştirmeler için onay kutusunu seçtiğinizden emin olun.

Uygulamanıza eşlemenin etkin olduğundan emin olun. Uygulama galerisinden bir uygulama kullanıyorsanız eşleme biraz farklı olabilir. Galeri uygulamaları için varsayılan / hazır eşlemeyi kullanmaya dikkat edin.

Kullanıcı silmek için uygulama yapılandırma

Aşağıdaki senaryolar devre dışı bırakmayı veya silmeyi tetikler:

• Bir kullanıcı Azure AD'de (geri dönüşüm kutusu / AccountEnabled özelliği false olarak ayarlanmış şekilde gönderilir) silindi. Kullanıcı Azure AD'de silindikten 30 gün sonra kiracıdan kalıcı olarak silinir. Bu noktada sağlama hizmeti, kullanıcıyı uygulama içinde kalıcı olarak silmek için bir DELETE isteği gönderir. 30 günlük süre boyunca istediğiniz zaman, bir kullanıcıyı kalıcı olarak el ile silebilir ve bu da uygulamaya bir silme isteği gönderir.
• Bir kullanıcı Azure AD'de kalıcı olarak silinir /geri dönüşüm kutusu kaldırılır.
• Bir kullanıcıya bir uygulama atanmamış.
• Bir kullanıcı kapsamdan kapsam dışından geçer (artık kapsam filtresinden geçmez).

Varsayılan olarak, Azure AD sağlama hizmeti geçici silme veya kapsam dışı olan kullanıcıları devre dışı bırakma. Bu varsayılan davranışı geçersiz kılmak için kapsam dışı silme işlemlerini atlayabilirsiniz.

Yukarıdaki dört olaydan biri oluşursa ve hedef uygulama geçici silmeleri desteklemezse, sağlama hizmeti kullanıcıyı uygulamadan kalıcı olarak silmek için bir DELETE isteği gönderir.

Öznitelik eşlemelerinde bir IsSoftDeleted özniteliği görüyorsanız, kullanıcının durumunu ve kullanıcıyı silmek için etkin = false ile güncelleştirme isteği gönderip göndermediğini belirlemek için kullanılır.

Bilinen sınırlamalar

• Daha önce sağlama hizmeti tarafından yönetilen bir kullanıcı bir uygulama veya uygulamaya atanmış bir gruptan atanmamışsa bir devre dışı bırakma isteği göndeririz. Bu noktada, kullanıcı hizmet tarafından yönetilmiyor ve dizinden silindiğinde silme isteği göndermeziz.
• Azure AD'de devre dışı bırakılmış bir kullanıcının sağlanması desteklenmiyor. Sağdan önce Azure AD'de etkin olması gerekir.
• Bir kullanıcı geçici silmeden etkine doğru ilerlerse Azure AD sağlama hizmeti, kullanıcıyı hedef uygulamada etkinleştirir, ancak grup üyeliklerini otomatik olarak geri yüklemez. Hedef uygulama, etkin olmayan kullanıcı için grup üyeliklerini korumalı. Hedef uygulama bunu desteklemezse, grup üyeliklerini güncelleştirmek için sağlamayı yeniden başlatabilirsiniz.

Öneri

Uygulama geliştirmede her zaman hem yazılım silme hem de sabit silme desteğine sahip olur. Bir kullanıcı yanlışlıkla devre dışı bırakılmıştır.

Sonraki Adımlar

Otomatik kullanıcı sağlama dağıtımı planlama

Galeri uygulaması için sağlamayı yapılandırma

ScIM uç noktası oluşturma ve kendi uygulamalarınızı oluştururken sağlamayı yapılandırma

Bir uygulamaya kullanıcı yapılandırma ve sağlama ile ilgili sorunları giderme.