Microsoft Entra ID: SCIM-provisionering
Låt Microsoft Entra ID skapa, uppdatera och inaktivera personer i MuchSkills, med deras roller. Du lägger till SCIM-provisionering i din MuchSkills-företagsapp i Entra, mappar e-postadress och roller, testar med några personer och startar provisioneringen.
- Vem
- En Owner eller Admin i MuchSkills, tillsammans med en Application Administrator i Entra
- Så ansluts det
- Supporten skickar SCIM-inloggningsuppgifter, sedan konfigurerar du provisioneringen i Entra
- Uppdateringar
- Ungefär var 40:e minut, styrt av Microsoft
- Planer
- Ingår i alla planer
How to
Innan du börjar
- I MuchSkills: rollen Owner eller Admin.
- I Microsoft Entra: en Application Administrator eller Cloud Application Administrator.
- SCIM-inloggningsuppgifter från MuchSkills. Vi skapar ett OAuth 2.0-klient-ID och en klienthemlighet åt dig. Hemligheten löper inte ut. Steg 1 beskriver hur.
- Single sign-on först. Vi rekommenderar att du konfigurerar Microsoft Entra ID: single sign-on före provisioneringen och lägger till provisioneringen i samma företagsapp, så att personer kan logga in så fort de kommer in.
- En väg in. Om du redan synkar personer med Microsoft Entra ID-kopplingen under Settings › Integrations, bestäm vilken av de två du behåller för samma personer.
- Börja smått. Tilldela först dig själv och några kollegor. Du kan utöka omfattningen efteråt.
Steg
Så gör du i MuchSkills
- Be supporten om SCIM-inloggningsuppgifter. Mejla support@muchskills.com eller skriv i chatten och tala om att du använder Microsoft Entra ID. Fram till att provisioneringen är på plats står det på Team/Org › Settings › Security & SAML: SCIM provisioning is available for your organisation. See the setup guide for next steps.
I Microsoft Entra
- Öppna MuchSkills-appen. I Microsoft Entra admin center går du till Entra ID › Enterprise apps och öppnar den MuchSkills-app du använder för single sign-on. Om du inte har någon klickar du på New application › Create your own application, döper den till MuchSkills, väljer Integrate any other application you don't find in the gallery (Non-gallery) och klickar på Create.
- Skapa MuchSkills-rollerna. Gå till Entra ID › App registrations, öppna All applications och välj MuchSkills-appen. Under App roles klickar du på Create app role. Ange Member som både Display name och Value, välj Users/Groups under Allowed member types, lägg till en Description, låt Do you want to enable this app role? vara ikryssad och klicka på Apply. Upprepa för Analyst och Admin. Värdena måste stavas exakt så här. Microsofts guide till approller
- Anslut till MuchSkills. Tillbaka i Enterprise apps öppnar du MuchSkills-appen, väljer Provisioning och klickar på New configuration. Ange:
- Tenant URL:
https://app.muchskills.com/scim/v2 - OAuth token endpoint:
https://app.muchskills.com/oauth2/token - Authentication method: OAuth2 client credentials grant.
- Client ID och Client Secret: värdena från MuchSkills.
- How credentials are sent: Body.
- Lämna Secret Token tomt: MuchSkills utfärdar inga statiska token. Vissa tenants visar fortfarande den klassiska vyn: där sätter du Provisioning Mode till Automatic, öppnar Admin Credentials, väljer OAuth2 Client Credentials Grant som Authentication Method och fyller i Tenant URL, Token Endpoint, Client Identifier och Client Secret. Klicka på Test Connection och sedan på Create, eller Save i den klassiska vyn. Microsofts guide till att ansluta en SCIM-app
- Tenant URL:
- Kontrollera e-postmappningen. Välj Attribute mapping och öppna användarmappningen. Som standard skickar Entra
userPrincipalNamesom userName. Om dina användares principalnamn inte är deras e-postadresser redigerar du raden userName och sätter Source attribute till mail. userName måste vara den adress som personer loggar in i MuchSkills med. Microsofts guide till attributmappningar - Lägg till rollmappningen. I samma användarmappning klickar du på Add New Mapping. Sätt Mapping type till Expression, Expression till
SingleAppRoleAssignment([appRoleAssignments])och Target attribute tillroles[primary eq "True"].value. Klicka på Ok och sedan på Save. Stäng av gruppmappningen, eftersom MuchSkills bara tar emot användare. Microsofts referens för uttryck - Tilldela dina testanvändare med deras roller. Öppna Users and groups › Add user/group. Välj dina testanvändare, välj Member, Analyst eller Admin under Select a role och klicka på Assign. Behåll omfattningen Sync only assigned users and groups. Microsofts guide till att tilldela användare och grupper
- Testa med en person. Välj Provision on demand, sök efter en testanvändare och kör. Varje steg ska visa att det lyckades.
- Konfigurera aviseringar. Välj Overview › Properties, klicka på pennan, aktivera aviseringsmejl och skydd mot oavsiktliga borttagningar och klicka på Apply.
- Starta provisioneringen. Under Overview klickar du på Start provisioning. I den klassiska vyn sätter du Provisioning Status till On och klickar på Save. Den första cykeln tar längre tid än de följande.
Tillbaka i MuchSkills
- Kontrollera personerna som har kommit in. Team/Org › Members listar dina testanvändare med de roller du valde. När allt ser bra ut tilldelar du resten av dina personer i Entra.
Kontrollera att det fungerade
- Provision on demand visar att det gick bra för din testanvändare.
- I Entra står dina användare som skapade i Provisioning logs, utan fel.
- Under Team/Org › Members finns de med rätt namn, avdelningar, chefer och roller.
- På Team/Org › Settings › Security & SAML står det SCIM provisioning is enabled for your organisation.
Benefits
Det här får du
- Nyanställda och avgångar sköts i Entra. Tilldela någon så får personen ett MuchSkills-konto. Ta bort tilldelningen eller inaktivera personen så inaktiveras hen.
- Roller från Entra. Vem som är Member, Analyst eller Admin i MuchSkills avgörs av den approll du tilldelar.
- Chefer och avdelningar på plats. Rapporteringsvägar och avdelningar följer med varje person, redo för My Circle och rapporter.
Important to know
Bra att veta
Vad som synkas. Bara e-post och namn är obligatoriska. Mappa så många av de övriga attributen som du har i Entra, eftersom varje attribut gör MuchSkills mer användbart.
| Entra-attribut | SCIM-attribut | Krav | Används i MuchSkills för |
|---|---|---|---|
userPrincipalName eller mail | userName | Obligatoriskt | E-post och inloggning |
| emails, type work | Obligatoriskt | E-post. Måste matcha userName | |
| displayName | displayName | Obligatoriskt | Namn |
| givenName, surname | name.givenName, name.familyName | Rekommenderas | Namn |
| jobTitle | title | Rekommenderas | Titel |
| department | enterprise extension: department | Rekommenderas | Avdelning |
| manager | enterprise extension: manager | Rekommenderas | Rapporteringsvägar och My Circle |
| adressattribut | addresses, type work | Rekommenderas | Plats. Behåll mappningen av land |
| Inte borttagen eller inaktiverad | active | Rekommenderas | Inaktivering av personer som slutar |
| Tilldelning av approll | roles, primärt värde | Valfritt | Roll: Member, Analyst eller Admin |
Chefer måste också provisioneras. Entra kan bara skicka en chef som själv provisioneras till MuchSkills. Tilldela därför chefer tillsammans med deras team.
En roll per person. Med SingleAppRoleAssignment ger du varje person en approll. Om någon har två garanterar Microsoft inte vilken som skickas. Den här mappningen kräver också omfattningen Sync only assigned users and groups.
Den som slutar inaktiveras men raderas inte. Om du tar bort en persons tilldelning, eller inaktiverar eller raderar personen i Entra, skickar Entra active med värdet false. MuchSkills inaktiverar då personen, men projekthistorik och certifikat finns kvar.
E-postadresser hanteras av Entra. Provisionerade personer kan inte ändra sin e-postadress i MuchSkills. De ser Managed by automated provisioning under Profile Settings › Account.
Förvara inloggningsuppgifterna säkert. Behandla klienthemligheten som ett lösenord. Den löper inte ut, och Entra hämtar själv en ny åtkomsttoken som gäller i en timme. Om du misstänker att den har läckt ber du supporten om nya inloggningsuppgifter och uppdaterar dem i Entra.
Common errors
Felsökning
| Vad du ser | Varför | Vad du gör |
|---|---|---|
| Test Connection misslyckas | Tenant URL, token-endpoint eller inloggningsuppgifter är fel | Jämför varje värde med steg 4 och det supporten skickade till dig. Be supporten om nya inloggningsuppgifter om du är osäker |
| Förfrågningar misslyckas med 401 Unauthorized i Provisioning logs | Inloggningsuppgifterna är fel eller gäller inte längre | Ange inloggningsuppgifterna igen, eller be supporten om nya |
| Ingen provisioneras | Inga användare eller grupper är tilldelade, eller så har provisioneringen inte startats | Tilldela personer under Users and groups och klicka sedan på Start provisioning |
| En användare misslyckas med 409 Conflict | Det finns redan ett MuchSkills-konto med den e-postadressen | Kontrollera e-postadressen i MuchSkills och i Entra, och att userName är personens e-postadress |
| En användare misslyckas för att userName inte är en giltig e-postadress | userName får användarens principalnamn, som inte är en e-postadress | Mappa mail till userName (steg 5) |
| Alla kommer in som Member | Rollmappningen saknas, eller så stämmer inte approllernas värden | Kontrollera steg 6 och att approllernas värden är exakt Member, Analyst och Admin |
| En chef saknas | Chefen är inte tilldelad appen | Tilldela även chefen och kör sedan Provision on demand för personen |
| Appen hamnar i karantän | Entra har stött på upprepade fel, ofta ett problem med inloggningsuppgifterna | Åtgärda felet som visas i Provisioning logs och starta sedan om provisioneringen |
Vanliga frågor
Vilka Microsoft-roller behöver vi?
En Application Administrator eller Cloud Application Administrator kan konfigurera provisioneringen, skapa approllerna och tilldela personer. I MuchSkills behöver du rollen Owner eller Admin.
Hur ofta skickar Entra ändringar?
Microsoft kör en provisioneringscykel ungefär var 40:e minut. Vill du skicka över en person direkt använder du Provision on demand på appens Provisioning-sida.
Vad händer när någon slutar?
När du tar bort en persons tilldelning eller inaktiverar personen i Entra skickar Entra active med värdet false, och MuchSkills inaktiverar personen. Hen syns då inte längre i de vardagliga vyerna, men projekthistorik och certifikat finns kvar. Ingenting raderas.
Hur ger vi någon rollen Admin eller Analyst?
Skapa approllerna Member, Analyst och Admin, lägg till rollmappningen i steg 6 och välj roll när du tilldelar personen. Personer som tilldelas utan en MuchSkills-roll läggs till som Member.
Kan vi göra någon till Owner via SCIM?
Nej. SCIM tar emot Admin, Member och Analyst. Be en befintlig Owner att göra ändringen i MuchSkills.
Kan vi välja vem som får ett MuchSkills-konto?
Ja. Bara de användare och grupper som du tilldelar appen provisioneras. För att tilldela grupper krävs Microsoft Entra ID P1 eller P2.
Syns våra Entra-grupper i MuchSkills?
Nej. MuchSkills tar emot användare, inte grupper. Grupperna styr bara vilka som provisioneras. Avdelningen hämtas från department-attributet för varje person.
Synkas profilbilder?
Inte via provisioneringen i Entra. Microsoft har inget stöd för att skicka ett fotoattribut till appar. Var och en kan lägga till sin egen bild i MuchSkills.
Ska vi använda detta eller synkkopplingen för Microsoft Entra ID?
Använd en av dem för samma personer. SCIM styrs från Entra och för över roller. Kopplingen under Settings › Integrations styrs från MuchSkills, synkar var 5:e timme och låter dig välja avdelningar eller grupper där. Se Microsoft Entra ID: synka användare.