Проверка состояния подготовки пользователей

Служба подготовки Microsoft Entra запускает начальный цикл подготовки к исходной системе и целевой системе, а затем периодические добавочные циклы. При настройке подготовки для приложения можно проверка текущее состояние службы подготовки и увидеть, когда пользователь сможет получить доступ к приложению.

Просмотр индикатора выполнения подготовки

На странице подготовки приложения можно просмотреть состояние службы подготовки Microsoft Entra. В разделе Текущее состояние внизу страницы показано, начался ли цикл подготовки учетных записей пользователей. Здесь можно отслеживать ход выполнения цикла и узнавать, сколько пользователей и групп подготовлено, а также сколько ролей создано.

При первой настройке автоматической подготовки в разделе Текущее состояние внизу страницы отображается состояние начального цикла подготовки. Этот раздел обновляется при каждом запуске добавочного цикла. В нем отображаются следующие сведения.

• Тип цикла подготовки, выполняемого в данный момент выполняется или завершенного последним — начальный или добавочный.
• Индикатор выполнения, показывающий процент выполнения цикла подготовки. Процент отражает количество подготовленных страниц. Каждая страница может содержать несколько пользователей или групп, поэтому процент напрямую не сопоставляется с количеством пользователей, групп или ролей, подготовленных.
• Кнопка Обновить, с помощью которой можно обновлять представление.
• Число пользователей и групп в хранилище данных соединителя. Значения на этих счетчиках увеличиваются каждый раз, когда в область подготовки добавляется объект. Количество не происходит, если пользователь обратимо удален или удален, так как операция не удаляет объект из хранилища данных соединителя. Счетчик пересчитывается при первой синхронизации после сброса CDS
• Ссылка "Просмотр журналов аудита", которая открывает журналы подготовки Microsoft Entra. Дополнительные сведения об операциях, выполняемых службой подготовки пользователей, включая состояние подготовки для отдельных пользователей, см . в статье "Использование журналов подготовки ".

По завершении цикла подготовки в разделе Статистика до текущей даты отображается совокупное число подготовленных к работе пользователей и групп с указанием даты завершения и длительности последнего цикла. Идентификатор действия однозначно идентифицирует последний цикл подготовки. Идентификатор задания — это уникальный идентификатор задания подготовки, который относится к приложению в вашем клиенте.

Ход подготовки просматривается в Центре администрирования Microsoft Entra в приложениях> Identity>Applications>Enterprise [имя приложения] >Подготовки.

Microsoft Graph также можно использовать для программного мониторинга состояния подготовки приложения. Дополнительные сведения см. в разделе "Мониторинг подготовки".

Использование журналов подготовки для проверки состояния подготовки пользователя

Чтобы просмотреть состояние подготовки для выбранного пользователя, обратитесь к журналам подготовки в идентификаторе Microsoft Entra. Все операции, выполняемые службой подготовки пользователей, записываются в журналы подготовки Microsoft Entra. Журналы включают операции чтения и записи, сделанные в исходные и целевые системы. Связанные с пользователем данные, связанные с операциями чтения и записи, также регистрируются.

Вы можете получить доступ к журналам подготовки в Центре администрирования Microsoft Entra, выбрав журналы подготовки приложений>Identity>Applications>Enterprise в разделе "Действие". Вы можете произвести поиск данных о предоставлении услуг по имени пользователя или идентификатору в исходной или целевой системе. Дополнительные сведения приведены в статье Журналы подготовки.

В журналах аудита регистрируются все операции, которые выполняются службой подготовки, в том числе:

• Запрос идентификатора Microsoft Entra для назначенных пользователей, которые находятся в область для подготовки
• Получение сведений о наличии этих пользователей от целевого приложения
• Сравнение объектов пользователя в разных системах
• Добавление, обновление или отключение учетной записи пользователя в целевой системе на основе сравнения

Дополнительные сведения о том, как читать журналы подготовки в Центре администрирования Microsoft Entra, см . в руководстве по подготовке отчетов.

Сколько времени занимает подготовка пользователей?

При использовании автоматической подготовки пользователей с приложением следует учитывать некоторые аспекты. Во-первых, идентификатор Microsoft Entra ID автоматически подготавливает и обновляет учетные записи пользователей в приложении на основе таких задач, как назначение пользователей и групп. Синхронизация выполняется на регулярно запланированном интервале времени, обычно каждые 40 минут.

Время, необходимое для подготовки данного пользователя, зависит главным образом от того, какого рода цикл выполняется в задании подготовки: начальный или добавочный.

• Длительность выполнения задания начального цикла зависит от многих факторов, включая число пользователей и групп, которые предстоит подготовить, и общее число пользователей и групп в исходной системе. Первая синхронизация между идентификатором Microsoft Entra и приложением происходит так быстро, как 20 минут или занимает столько часов. Время зависит от размера каталога Microsoft Entra и количества пользователей в область для подготовки. Полный список факторов, влияющих на производительность начальной синхронизации, приведен далее в этом разделе.

• Для добавочных циклов после начального цикла время задания, как правило, будет быстрее (в течение 10 минут), так как служба подготовки хранит подложки, представляющие состояние обеих систем после начального цикла, повышая производительность последующих синхронизаций. Длительность выполнения задания зависит от числа изменений, обнаруженных в данном цикле подготовки. Если обнаружено менее 5000 изменений пользователей или членства в группах, задание может завершиться в течение одного добавочного цикла подготовки.

В следующей таблице перечислены данные о времени синхронизации, необходимом для общих сценариев подготовки. В этих сценариях исходная система — это идентификатор Microsoft Entra, а целевая система — это приложение SaaS. Время синхронизации указано по данным статистического анализа выполнения заданий синхронизации для приложений SaaS ServiceNow, Workplace, Salesforce и G Suite.

Для конфигурации Синхронизация только назначенных пользователей и групп можно определить приблизительную минимальную и максимальную длительность начального цикла по следующим формулам:

• Минимальная длительность (мин) = 0,01 x [число назначенных пользователей, групп и членов групп]
• Максимальная длительность (мин) = 0,08 x [число назначенных пользователей, групп и членов групп]

Ниже приведена сводка факторов, влияющих на время выполнения начальной синхронизации.

• Общее количество пользователей и групп, которые будут подготовлены.

• Общее количество пользователей, групп и участников групп, присутствующих в исходной системе (идентификатор Microsoft Entra).

• Совпадают ли пользователи, которых предстоит подготовить, с имеющимися пользователями в целевом приложении, или же их необходимо создать впервые. Задания синхронизации, в рамках которых все пользователи создаются впервые, выполняются вдвое дольше, чем те, в которых все пользователи совпадают с уже имеющимися пользователями.

• Число ошибок в журналах подготовки. Производительность также снижается, если возникает большое количество ошибок и служба подготовки перешла в состояние карантина.

• Ограничения частоты и регулирования запросов, реализованные целевой системой. В некоторых целевых системах реализуется ограничение и регулирование частоты запросов, что может повлиять на производительность во время выполнения крупных операций синхронизации. В этих условиях приложение, получающее слишком много запросов за короткий промежуток времени, может снизить частоту реагирования или закрыть подключение. Чтобы повысить производительность, соединитель необходимо настроить таким образом, чтобы количество отправляемых запросов соответствовало количеству запросов, которые может обработать приложение. Соединители подготовки, созданные корпорацией Майкрософт, позволяют внести эту корректировку.

• Количество и размеры назначенных групп. Синхронизация назначенных групп длится дольше, чем синхронизация пользователей. Число и размер назначенных групп оказывают влияние на производительность. Если в приложении включена функция сопоставления для синхронизации объектов группы, свойства группы (например, названия групп и членства) синхронизируются в дополнение к пользователям. Эти синхронизации занимают больше времени, чем только для синхронизации пользовательских объектов.

• Если производительность становится проблемой, и вы пытаетесь подготовить большинство пользователей и групп в клиенте, а затем используйте фильтры области. Фильтры области позволяют точно настроить данные, извлеченные службой подготовки из идентификатора Microsoft Entra, отфильтровав пользователей на основе определенных значений атрибутов. Дополнительные сведения о фильтрах области см. в статье Подготовка приложений на основе атрибутов с использованием фильтров области.

В большинстве случаев добавочный цикл завершается в течение 30 минут. Однако при наличии сотен или тысяч изменений пользователей или изменения членства в группах время добавочного цикла увеличивается пропорционально количеству изменений в процессе и может занять несколько часов. Использование назначенных пользователей и групп синхронизации и минимизация количества пользователей или групп в область для подготовки поможет сократить время синхронизации.

Рекомендации для уменьшения времени подготовки пользователя и /или группы:

1. Задайте область подготовки для синхронизацииassigned users and groups, а не sync all users and groups.
2. Свести к минимуму количество пользователей и групп в область для подготовки.
3. Создайте несколько заданий подготовки, предназначенных для одной системы. При этом каждое задание синхронизации будет работать независимо, уменьшая время обработки изменений. Убедитесь, что область пользователей отличаются между этими заданиями подготовки, чтобы избежать изменений из одного задания, влияющего на другое.
4. Добавьте фильтры области, чтобы дополнительно ограничить количество пользователей и групп в область для подготовки.

Аудит изменений конфигурации подготовки

Изменения конфигурации подготовки регистрируются в журналах аудита. Пользователи с необходимыми разрешениями, например администратор приложения и читатель отчетов, могут получать доступ к журналам через пользовательский интерфейс журнала аудита, API и PowerShell. Фильтр действий можно использовать в журналах аудита, чтобы определить следующие действия.

Следующие шаги

Автоматическая подготовка пользователей и ее отзыв для приложений SaaS в Microsoft Entra ID