Подготовка с помощью соединителя веб-служб

В следующей документации содержатся сведения о соединителе универсальных веб-служб. Управление удостоверениями Microsoft Entra поддерживает ввод учетных записей в различные приложения, такие как SAP ECC, Oracle E-Business Suite, а также в бизнес-приложения, которые предоставляют интерфейсы REST или SOAP API. Клиенты, которые ранее развернули MIM для подключения к этим приложениям, могут легко переключаться на использование упрощенного агента подготовки Microsoft Entra, а также повторно использовать тот же соединитель веб-служб, созданный для MIM.

Поддерживаемые возможности

Соединитель веб-служб реализует следующие функции:

• Обнаружение SOAP: позволяет администратору ввести путь WSDL, предоставляемый целевой веб-службой. Обнаружение создает дерево структуры размещенных веб-служб приложения с внутренними конечными точками или операциями вместе с описанием метаданных операции. Количество операций обнаружения, которые можно выполнить (пошаговые действия) не ограничено. Обнаруженные операции используются позже для настройки потока операций, реализующих операции соединителя с источником данных (как импорт и экспорт).

• Обнаружение REST: позволяет администратору вводить сведения о службе REST, включая конечную точку службы, путь к ресурсу, метод и сведения о параметрах. Сведения о службах REST хранятся в файле discovery.xml проекта wsconfig. Они будут использоваться администратором позже для настройки действия веб-службы Rest в рабочем процессе.

• Конфигурация схемы: позволяет администратору настроить схему. Конфигурация схемы содержит список типов объектов и атрибутов для конкретного приложения. Администратор может выбрать атрибуты, которые должны быть частью схемы.

• Конфигурация потока операций: пользовательский интерфейс конструктора рабочих процессов для настройки реализации операций импорта и экспорта для каждого типа объекта с помощью предоставляемых функций веб-службы, включая назначение параметров от пользователя, подготавливаемого к функциям веб-службы.

Предварительные требования для подготовки

Предварительные требования для локальной среды

Компьютер, на котором запущен агент подготовки, должен иметь следующую конфигурацию:

• Подключение к конечным точкам REST или SOAP приложения, а также исходящее подключение к login.microsoftonline.com, другим службам Microsoft Online и доменам Azure. Примером может служить компьютер виртуальной машины под управлением ОС Windows Server 2016, размещенный в Azure IaaS или за прокси-сервером.
• Для размещения агента развертывания требуется как минимум 3 ГБ ОЗУ.
• .NET Framework 4.7.2.
• Windows Server 2016 или более поздней версии.

Перед настройкой предоставления убедитесь, что:

• Предоставьте необходимые API SOAP или REST в приложении для создания, обновления и удаления пользователей.

Требования к облаку

• Клиент Microsoft Entra с идентификатором Microsoft Entra ID P1 или Premium P2 (или EMS E3 или E5).

  Для использования этой функции требуются лицензии Microsoft Entra ID P1. Чтобы правильно выбрать лицензию с учетом своих требований, ознакомьтесь с разделом Сравнение общедоступных возможностей идентификатора Microsoft Entra.

• Роль Администратора гибридных удостоверений для настройки агента подготовки и роль Администратора приложения или Администратора облачного приложения для настройки подготовки на портале Azure.

• Пользователи Microsoft Entra, предназначенные для вашего приложения, должны быть заполнены всеми необходимыми для него атрибутами.

Установка и настройка агента подготовки Microsoft Entra Connect

1. Войдите на портал Azure.
2. Перейдите в корпоративные приложения и выберите "Создать приложение".
3. Найдите локальное приложение ECMA , присвойте приложению имя и нажмите кнопку "Создать ", чтобы добавить его в клиент.
4. В меню перейдите на страницу подготовки приложения.
5. Выберите Начать.
6. На странице Подготовка измените режим на автоматический.

7. В разделе "Локальное подключение" выберите "Скачать и установить" и выберите "Принять условия" и "Скачать".

8. Закройте портал и запустите установщик агента настройки, примите условия обслуживания и выберите Установить.

9. Дождитесь мастера настройки агента подготовки Microsoft Entra, а затем нажмите кнопку "Далее".

10. На шаге выбора расширения выберите " Подготовка локальных приложений" и нажмите кнопку "Далее".

11. Агент подготовки использует веб-браузер операционной системы для отображения всплывающего окна, чтобы вы могли аутентифицироваться в Microsoft Entra ID, а возможно, и в поставщике удостоверений вашей организации. Если вы используете Internet Explorer в качестве браузера в Windows Server, вам может потребоваться добавить веб-сайты Майкрософт в список надежных сайтов браузера, чтобы разрешить JavaScript работать правильно.

12. Укажите учетные данные администратора Microsoft Entra при появлении запроса на авторизацию. Пользователю требуется как минимум роль Администратор гибридных удостоверений.

13. Нажмите кнопку "Подтвердить" , чтобы подтвердить этот параметр. После успешной установки можно выбрать Выйти, а также закрыть установщик пакета агента предварительной настройки.

Настройка локального приложения ECMA

1. На портале в разделе "Локальное подключение" выберите развернутый агент и выберите "Назначить агенты".

   

2. Не закрывайте это окно браузера по мере выполнения следующего шага настройки с помощью мастера настройки.

Настройте сертификат хоста соединителя ECMA для Microsoft Entra

1. На сервере Windows Server, где установлен агент подготовки, щелкните правой кнопкой мыши по мастеру настройки Microsoft ECMA2Host в меню "Пуск" и запустите его с правами администратора. Запуск от имени администратора Windows необходим для создания необходимых журналов событий Windows.

2. Когда начнется конфигурация узла соединителя ECMA, если вы запускаете мастер впервые, вам будет предложено создать сертификат. Оставьте порт 8585 по умолчанию и выберите "Создать сертификат ", чтобы создать сертификат. Автоматически созданный сертификат является самоподписанным как часть доверенной корневой цепи. Сертификат SAN соответствует имени узла.

   

3. Выберите Сохранить.

Создание шаблона соединителя веб-служб

Перед созданием конфигурации соединителя веб-служб необходимо создать шаблон соединителя веб-служб и настроить шаблон в соответствии с потребностями конкретной среды. Убедитесь, что имя_службы, endpointName и имя_операции правильно.

Примеры шаблонов и инструкций по интеграции с популярными приложениями, такими как SAP ECC 7.0 и Oracle E-Business Suite, можно найти в пакете скачивания соединителей. Вы можете узнать, как создать проект для источника данных в средстве настройки веб-службы с помощью руководства по рабочему процессу для SOAP.

Дополнительные сведения о настройке шаблона для подключения к REST или SOAP API собственного приложения см. в разделе "Обзор универсального соединителя веб-службы" в библиотеке документации MIM.

Настройка соединителя универсальных веб-служб

В этом разделе вы создадите конфигурацию соединителя для приложения.

Подключение агента подготовки к приложению

Чтобы подключить агент подготовки Microsoft Entra к приложению, выполните следующие действия.

1. Скопируйте файл шаблона веб-службы соединителя .wsconfig в папку C:\Program Files\Microsoft ECMA2Host\Service\ECMA.

2. Создайте секретный маркер, используемый для проверки подлинности идентификатора Microsoft Entra в соединителе. Минимальная длина должна составлять 12 символов, и строка должна быть уникальной для каждого приложения.

3. Если вы еще этого не сделали, запустите мастер настройки Microsoft ECMA2Host из меню Windows.

4. Выберите Новый соединитель.

   

5. На странице Свойства заполните поля значениями, указанными в таблице под снимком экрана, и нажмите кнопку Далее.

   

   Свойство	Значение
   Имя.	Имя, выбранное для соединителя, которое должно быть уникальным для всех соединителей в вашей среде.
   Таймер автосинхронизации (в минутах)	120
   Секретный токен	Введите секретный маркер, созданный для этого соединителя. Ключ должен быть не менее 12 символов.
   Библиотека расширения DLL	Для соединителя веб-служб выберите Microsoft.IdentityManagement.MA.WebServices.dll.

6. На странице Подключение заполните поля значениями, указанными в таблице под снимком экрана, и нажмите кнопку Далее.

   

   Свойство	Описание
   Проект веб-службы	Имя шаблона веб-служб.
   Хост	Имя хоста конечной точки SOAP вашего приложения, например, vhcalnplci.dummy.nodomain
   Порт	Порт конечной точки SOAP приложения, например 8000

7. На странице возможности заполните поля значениями, указанными в следующей таблице, и выберите Далее.

   Свойство	Значение
   Стиль отличительного имени	Универсальный
   Тип экспорта	ObjectReplace (Замена объектов)
   Нормализация данных	нет
   Подтверждение объекта	Обычная
   Включить импорт	Флажок установлен
   Включение разностного импорта	Не отмечено
   Включить экспорт	Флажок установлен
   Включить полный экспорт	Не отмечено
   Включение экспорта пароля в первом проходе	Флажок установлен
   Нет ссылочных значений в первом проходе экспорта	Не отмечено
   Включить переименование объекта	Не отмечено
   Удалить-добавить как заменить	Не отмечено

8. На глобальной странице заполните поля и нажмите кнопку "Далее".

9. На странице Секции нажмите кнопку Далее.

10. На странице Профили запуска оставьте галочку в флажке Экспорт. Установите флажок Полный импорт и нажмите кнопку Далее. Профиль выполнения Экспорта используется, когда хост соединителя ECMA должен отправлять изменения из Microsoft Entra ID в ваше приложение для вставки, обновления и удаления записей. Профиль выполнения полного импорта используется при запуске службы хоста соединителя ECMA для считывания текущего содержимого приложения.

    Свойство	Значение
    Экспорт (Export)	Профиль запуска, который экспортирует данные в ваше приложение, является обязательным.
    Полный импорт	Запустите профиль, который импортирует все данные из приложения.
    Импорт дельты	Запустите профиль, который импортирует только те изменения, которые произошли в вашем приложении с момента последнего полного или разностного импорта.

11. Заполните поля на странице Типы объектов и нажмите кнопку Далее. Указания относительно заполнения отдельных полей приведены в таблице под снимком экрана.

    • Привязка : значения этого атрибута должны быть уникальными для каждого объекта в целевой системе. Служба настройки Microsoft Entra запрашивает хост ECMA-коннектора, используя этот атрибут после начального цикла. Это значение определяется в шаблоне соединителя веб-служб.

    • DN : параметр автогенерации должен быть выбран в большинстве случаев. Если он не выбран, убедитесь, что атрибут DN сопоставляется с атрибутом в идентификаторе Microsoft Entra, который хранит DN в этом формате: CN = anchorValue, Object = objectType. Дополнительные сведения о привязках и различающихся именах см. здесь.

      Свойство	Значение
      Целевой объект	Пользователь
      Привязка	userName
      ДН	userName
      Созданный автоматически	Флажок установлен

12. Хост соединителя ECMA обнаруживает атрибуты, поддерживаемые вашим приложением. Затем можно выбрать, какие из обнаруженных атрибутов вы хотите предоставить идентификатору Microsoft Entra. Затем эти атрибуты можно настроить в портале Azure для управления ресурсами. На странице Выбор атрибутов поочередно добавьте все атрибуты из раскрывающегося списка. В раскрывающемся списке атрибутов отображается любой атрибут, обнаруженный в приложении и не выбранный на предыдущей странице выбора атрибутов . После добавления всех соответствующих атрибутов нажмите кнопку Далее.

    

13. На странице Депровижнинг в разделе Отключить поток выберите Удалить. Атрибуты, выбранные на предыдущей странице, будут недоступны для выбора на странице деактивации. Нажмите Готово.

На странице отключения в разделе "Отключение потока" выберите "Нет", если вы будете контролировать состояние учетной записи пользователя с помощью свойства, например expirationTime. В разделе "Удаление" выберите "Нет", если вы не хотите удалять пользователей из вашего приложения, или "Удалить", если вы это делаете. Нажмите Готово.

Проверка работы службы ECMA2Host

1. На сервере под управлением узла соединителя Microsoft Entra ECMA нажмите кнопку "Пуск".

2. Введите run, а потом введите в поле services.msc.

3. Убедитесь, что Microsoft ECMA2Host отображается в списке служб и она запущена. В противном случае нажмите Start (Запустить).

   

4. Если вы недавно запустили службу и имеете много объектов пользователей в приложении, подождите несколько минут, пока соединитель установит соединение с приложением и выполните первоначальный полный импорт.

Настройка подключения к приложению на портале Azure

1. Вернитесь в окно веб-браузера, в котором настроили подготовку приложения.

   Примечание.

   Если время ожидания окна истекло, вам потребуется повторно выбрать агента.

   1. Войдите на портал Azure.
   2. Перейдите в раздел Корпоративные приложения и выберите локальное приложение ECMA.
   3. Выберите Подготовка.
   4. Выберите "Начать работу", а затем измените режим на "Автоматически" в разделе "Локальное подключение", выберите развернутый агент и выберите "Назначить агенты". В противном случае перейдите к разделу Изменение настроек.

2. Введите указанный ниже URL-адрес в разделе Учетные данные администратора. Замените фрагмент {connectorName} именем соединителя на хосте соединителя ECMA. Имя коннектора чувствительно к регистру и должно совпадать с тем, как настроено в мастере. Вы также можете заменить localhost на имя вашего узла компьютера.

   Свойство	Значение
   URL-адрес клиента	https://localhost:8585/ecma2host_APP1/scim

3. Введите значение секретного токена, которое вы определили при создании соединителя.

   Примечание.

   Если вы назначили агент для приложения только что, подождите 10 минут, пока не завершится регистрация. Проверка подключения не будет работать, пока регистрация не будет завершена. Ускорить процесс регистрации можно, принудительно завершив регистрацию агента путем перезапуска агента подготовки на сервере. Перейдите на ваш сервер, найдите службы по запросу в строке поиска Windows, определите службу Microsoft Entra Connect Provisioning Agent Service, кликните по ней правой кнопкой мыши и перезапустите.

4. Нажмите Проверить соединение и подождите одну минуту.

5. После успешного теста подключения и подтверждения, что предоставленные учетные данные разрешены для включения развертывания, нажмите кнопку "Сохранить".

   

Настройка сопоставлений атрибутов

Теперь вы сопоставите атрибуты между представлением пользователя в идентификаторе Microsoft Entra и представлением пользователя в приложении.

Вы будете использовать портал Azure для настройки сопоставления атрибутов пользователя Microsoft Entra и атрибутов, выбранных ранее в мастере настройки узла ECMA.

1. Убедитесь, что схема Microsoft Entra содержит атрибуты, необходимые приложению. Если требуется, чтобы у пользователей был атрибут, и этот атрибут еще не является частью схемы Microsoft Entra для пользователя, вам потребуется использовать функцию расширения каталога , чтобы добавить этот атрибут в качестве расширения.

2. В Центре администрирования Microsoft Entra в разделе "Корпоративные приложения" выберите локальное приложение ECMA, а затем страницу провизирования.

3. Выберите Изменить подготовку и подождите 10 секунд.

4. Разверните Сопоставления и выберите Подготовка пользователей Microsoft Entra. Если это первый раз, когда вы настроили сопоставления атрибутов для этого приложения, для заполнителя будет только одно сопоставление.

   

5. Чтобы убедиться, что схема приложения доступна в идентификаторе Microsoft Entra, установите флажок "Показать расширенные параметры " и выберите "Изменить список атрибутов" для ScimOnPremises. Убедитесь, что перечислены все атрибуты, выбранные в мастере настройки. Если нет, подождите несколько минут, пока схема будет обновлена, а затем перезагрузите страницу. Когда вы увидите перечисленные атрибуты, отмените действие на этой странице, чтобы вернуться в список сопоставлений.

6. Теперь выберите сопоставление для userPrincipalName PLACEHOLDER. Это сопоставление добавляется по умолчанию при первой настройке локальной подготовки.

Измените значение, соответствующее следующему:

7. Теперь выберите " Добавить новое сопоставление" и повторите следующий шаг для каждого сопоставления.

8. Укажите исходные и целевые атрибуты для каждого из необходимых атрибутов приложения. Например,

   Атрибут Microsoft Entra	Атрибут ScimOnPremises	Приоритет сопоставления	Применять это сопоставление
   ToUpper(Word([userPrincipalName], 1, "@"), )	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:userName	1	Только во время создания объекта
   Redact("Pass@w0rd1")	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:export_password		Только во время создания объекта
   город	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:city		Всегда
   Компания Имя	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:company		Всегда
   отдел	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:department		Всегда
   почта	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:email		Всегда
   Switch([IsSoftDeleted], "False", "9999-12-31", "True", "1990-01-01")	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:expirationTime		Всегда
   Имя	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:Пользователь:имя		Всегда
   фамилия	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:Фамилия		Всегда
   номер телефона	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:номерТелефона		Всегда
   Название должности	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:должность		Всегда

9. После добавления всех сопоставлений выберите Сохранить.

Назначение пользователей для приложения

Теперь, когда хост соединителя Microsoft Entra ECMA взаимодействует с идентификатором Microsoft Entra, а сопоставление атрибутов настроено, можно перейти к настройке области охвата для предоставления доступа.

Если в приложении есть существующие пользователи, необходимо создать назначения ролей приложения для существующих пользователей. Дополнительные сведения о том, как создавать назначения ролей приложения в массовом режиме, см. в разделе управления существующими пользователями приложения в идентификаторе Microsoft Entra.

В противном случае, если текущих пользователей приложения нет, выберите тестового пользователя из Microsoft Entra, который будет подготовлен для приложения.

1. Убедитесь, что выбранный пользователь имеет все свойства, которые необходимо сопоставить с необходимыми атрибутами приложения.

2. На портале Azure выберите элемент Корпоративные приложения.

3. Выберите вариант Локальное приложение ECMA.

4. В левой части экрана последовательно выберите Управление и Пользователи и группы.

5. Выберите Добавить пользователя или группу.

   

6. В меню Пользователи нажмите Не выбрано.

   

7. Выберите нужных пользователей справа и нажмите кнопку Выбрать.

   

8. Теперь нажмите Назначить.

   

Тестирование настройки

Теперь, когда атрибуты сопоставлены, а пользователи назначены, можно протестировать подготовку по требованию на примере одного из пользователей.

1. На портале Azure выберите элемент Корпоративные приложения.

2. Выберите вариант Локальное приложение ECMA.

3. В левой части экрана выберите элемент Подготовка.

4. Выберите Подготовка по требованию.

5. Найдите тестового пользователя и выберите Подготовить.

   

6. Через несколько секунд появится сообщение успешно созданного пользователя в целевой системе со списком атрибутов пользователя.

Начните подготовку пользователей

1. После успешной подготовки по запросу вернитесь на страницу конфигурации подготовки. Убедитесь, что в качестве области выбраны только назначенные пользователи и группы, включите подготовку и нажмите кнопку Сохранить.

   

2. Ожидайте до 40 минут для запуска службы подготовки. После завершения задания по настройке, как описано в следующем разделе, если вы завершили тестирование, вы можете изменить состояние подготовки на «Выкл.», и выбрать «Сохранить». Данное действие остановит работу службы подготовки в будущем.

Устранение ошибок конфигурирования

Если показана ошибка, выберите Просмотреть журналы настройки. Найдите в журнале строку, в которой находится состояние сбоя, и выберите ее.

Дополнительные сведения см. на вкладке "Устранение неполадок и рекомендации ".

Следующие шаги

• Подготовка приложений
• Общий SQL-коннектор для хоста коннекторов ECMA
• Хост соединителя ECMA, соединитель LDAP
• Находите идентификационные данные в целевых приложениях с помощью функции обнаружения учетных записей