Настройка Keystone для автоматического предоставления пользователей с помощью Microsoft Entra ID

В этой статье описаны шаги, которые необходимо выполнить как в Keystone, так и в идентификаторе Microsoft Entra для настройки автоматической подготовки пользователей. При настройке идентификатор Microsoft Entra ID автоматически подготавливает и отменяет подготовку пользователей в Keystone с помощью службы подготовки Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает и ответы на часто задаваемые вопросы см. в статье Автоматизация подготовки и отмены подготовки пользователей в приложениях SaaS с помощью Microsoft Entra ID.

Поддерживаемые возможности

  • Создание пользователей в Keystone.
  • Удалите пользователей в Keystone, когда они больше не требуют доступа.
  • Синхронизация атрибутов пользователей между идентификатором Microsoft Entra и Keystone.
  • Единый вход в Keystone (рекомендуется).

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

Шаг 1. Планирование развертывания подготовки

Шаг 2. Настройка Keystone для поддержки предоставления через Microsoft Entra ID

Обратитесь в службу поддержки Keystone, чтобы настроить Keystone для поддержки развертывания с помощью Microsoft Entra ID.

Добавьте Keystone из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в Keystone. Если вы ранее настроили Keystone для единого входа, можно использовать то же приложение. Но мы рекомендуем создать отдельное приложение для исходной проверки интеграции. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 4. Определите, кто входит в область обеспечения ресурсами.

Служба подготовки Microsoft Entra позволяет определить, кто подготовлен на основе назначения приложению или на основе атрибутов пользователя или группы. Если вы решите предоставлять доступ к вашему приложению на основе назначения, вы можете использовать шаги для назначения пользователей и групп приложению. Если вы выбираете, кто будет включен в диапазон на основе только атрибутов пользователя или группы, можно использовать фильтр области.

  • Начните с малого. Протестируйте с небольшим набором пользователей и групп перед развертыванием для всех пользователей. Если область предоставления доступа задана для назначенных пользователей и групп, вы можете управлять этим, назначив одному или двум пользователям или группам доступ к приложению. Если область задана для всех пользователей и групп, можно указать фильтр области на основе атрибутов.

  • Если вам нужны дополнительные роли, можно обновить манифест приложения, добавить новые роли.

Шаг 5. Настройка автоматической подготовки пользователей в Keystone

В этом разделе описаны действия по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей в TestApp на основе назначений пользователей в идентификаторе Microsoft Entra.

Чтобы настроить автоматическое предоставление пользователей для Keystone в системе Microsoft Entra ID, следуйте этим шагам.

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

  2. Перейдите к Entra ID>приложениям для предприятий

    Снимок экрана: Колонка

  3. В списке приложений выберите Keystone.

    Скриншот ссылки Keystone в списке приложений.

  4. Выберите вкладку Подготовка.

    Снимок экрана с вкладкой

  5. Выберите + Новая конфигурация.

    Снимок экрана: параметр

  6. В поле URL-адреса клиента введите URL-адрес клиента Keystone и секретный маркер. Выберите Тест подключения, чтобы убедиться, что Microsoft Entra ID может подключиться к Keystone. Если подключение завершается ошибкой, убедитесь, что учетная запись Keystone имеет необходимые разрешения администратора и повторите попытку.

    Скриншот тестового подключения службы управления.

  7. Нажмите кнопку "Создать", чтобы создать конфигурацию.

  8. Выберите "Свойства " на странице обзора .

  9. Щелкните значок "Изменить ", чтобы изменить свойства. Включите уведомления и предоставьте сообщение электронной почты для получения сообщений карантина. Включение предотвращения случайных удалений. Выберите Применить, чтобы сохранить изменения.

    Скриншот свойств Provisioning.

  10. Выберите сопоставление атрибутов на левой панели и выберите пользователей.

  11. Просмотрите атрибуты пользователя, которые синхронизируются из Microsoft Entra ID в Keystone в разделе "Сопоставление атрибутов". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Keystone для операций обновления. Если вы решили изменить атрибут назначения на, необходимо убедиться, что API Keystone поддерживает фильтрацию пользователей на основе данного атрибута. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут Тип Поддерживается для фильтрации Требуется для Keystone
    userName Строка ✓ ✓
    Отображаемое имя Строка ✓
    externalId (внешний идентификатор) Строка ✓

  12. Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, приведенными в статье о фильтрации области.

  13. Используйте подготовку по запросу для проверки синхронизации с небольшим количеством пользователей перед развертыванием в организации.

  14. Когда вы будете готовы к подготовке, выберите "Начать подготовку " на странице обзора .

Шаг 6. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания:

  1. Используйте журналы подготовки для определения успешной или неудачной подготовки пользователей.
  2. Используйте индикатор выполнения, чтобы узнать состояние цикла подготовки и приблизительное время до его завершения
  3. Если конфигурация развертывания находится в неисправном состоянии, приложение перейдет в режим карантина. Узнайте больше о состоянии карантина из статьи о состоянии карантина подготовки приложений .

Дополнительные ресурсы

Связанный контент

  • Last updated on