Настройка служб облачных удостоверений SAP для автоматического предоставления доступа пользователям с помощью Microsoft Entra ID

В этой статье показано, как настроить подготовку из Microsoft Entra ID в облачные службы удостоверений SAP. Цель — настроить Microsoft Entra ID для автоматического предоставления и удаления пользователей из SAP Cloud Identity Services, чтобы они могли аутентифицироваться в SAP Cloud Identity Services и получить доступ к другим рабочим нагрузкам SAP. Облачные службы удостоверений SAP поддерживают предоставление из своего локального каталога удостоверений в другие приложения SAP в качестве целевых систем.

Примечание.

В этой статье описывается соединитель, встроенный в службу подготовки пользователей Microsoft Entra. Важные сведения о том, что эта служба делает, как она работает, а также часто задаваемые вопросы см. в разделе Автоматизация предоставления и удаления доступа пользователей к приложениям SaaS с помощью Microsoft Entra ID. Службы облачных удостоверений SAP также имеют собственный отдельный коннектор для чтения пользователей и групп из Microsoft Entra ID. Дополнительные сведения см. в разделе SAP Cloud Identity Services — управление удостоверениями Microsoft Entra ID в качестве исходной системы.

Примечание.

Новая версия соединителя SAP Cloud Identity Services общедоступна и теперь используется по умолчанию для облачных служб идентификации SAP в коллекции приложений Microsoft Entra. Эта текущая версия соединителя включает следующие изменения:

Обновлено до стандарта SCIM 2.0
Поддержка предоставления и аннулирования групп в Службы облачной идентификации SAP
Поддержка пользовательских атрибутов расширения
Поддержка предоставления учетных данных клиента OAuth 2.0

Это важно

Если при интеграции с SAP IAG сопоставить Microsoft Entra ObjectId с именем пользователя, выберите EDIT в строке имени пользователя и установите атрибуты Source и Target следующим образом:

Исходный атрибут: objectId
Целевой атрибут: userName

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие условия:

Учетная запись пользователя Microsoft Entra с активной подпиской. Если у вас еще нет учетной записи, вы можете бесплатно создать учетную запись.
Одна из следующих ролей:

Клиент служб облачных удостоверений SAP
Учетная запись пользователя в sap Cloud Identity Services с разрешениями администратора.
Для использования возможностей подготовки групп требуется лицензия Microsoft Entra ID P1.

Примечание.

Эта интеграция также доступна для использования в облачной среде Microsoft Entra для правительства США. Это приложение можно найти в Microsoft Entra коллекции облачных приложений для государственных организаций США и настроить его так же, как и в общедоступной облачной среде.

Если у вас еще нет пользователей в Microsoft Entra ID, начните с статьи план развертывания Microsoft Entra для подготовки пользователей с помощью источника SAP и целевых приложений. В этой статье показано, как подключить Microsoft Entra и авторитетные источники, такие как SAP SuccessFactors, для получения списка работников в организации. В нем также показано, как использовать Microsoft Entra для настройки удостоверений для этих работников, чтобы они могли войти в одно или несколько приложений SAP, таких как SAP ECC или SAP S/4HANA.

Если вы настраиваете предоставление в службе SAP Cloud Identity Services в рабочей среде, где вы управляете доступом к рабочим нагрузкам SAP с помощью Управление Microsoft Entra ID, ознакомьтесь с предварительными условиями перед настройкой Microsoft Entra ID для управления идентификацией перед продолжением.

Настройка облачных сервисов управления идентификацией SAP для провиженинга

В этой статье вы добавите систему администрирования в sap Cloud Identity Services и настройте Microsoft Entra.

Архитектура однократной аутентификации и процесса предоставления между приложениями SAP, облачными службами идентификации SAP и Microsoft Entra.

Войдите в административную консоль SAP Cloud Identity Services https://<tenantID>.accounts.ondemand.com/admin, или https://<tenantID>.trial-accounts.ondemand.com/admin если это пробная версия. Перейдите к пользователи и авторизации > администраторы.
Нажмите кнопку +Добавить на левой панели, чтобы добавить нового администратора в список. Выберите "Добавить систему " и введите имя системы.

Примечание.

Удостоверение администратора в службах SAP Cloud Identity Services должно иметь тип System. Пользователь администратора не может пройти проверку подлинности в API SAP SCIM при подготовке. Облачные службы удостоверений SAP не позволяют изменять имя системы после его создания.
В разделе "Настройка авторизации" включите переключатель для управления пользователями. Затем нажмите кнопку "Сохранить", чтобы создать систему.
После создания системы администратора добавьте в нее новый секрет.
Скопируйте идентификатор клиента и секрет клиента , созданные SAP. Эти значения вводятся в поля "Имя пользователя администратора" и "Пароль администратора" соответственно. Это делается на вкладке "Подготовка" приложения SAP Cloud Identity Services, которое вы настроили в следующем разделе.
Облачные службы удостоверений SAP могут иметь сопоставления с одним или несколькими приложениями SAP в качестве целевых систем. Проверьте, есть ли какие-либо атрибуты у пользователей, которые эти приложения SAP требуют для предоставления через службы облачной идентификации SAP. В этой статье предполагается, что облачные службы идентификации SAP и целевые системы, в которые отправляются данные, требуют двух атрибутов: userName и emails[type eq "work"].value. Если целевые системы SAP требуют других атрибутов, и они не являются частью Microsoft Entra ID пользовательской схемы, может потребоваться настроить атрибуты расширения synching.

Добавьте облачные сервисы удостоверений SAP из галереи

Перед настройкой Microsoft Entra ID для автоматического создания пользователей в SAP Cloud Identity Services необходимо добавить SAP Cloud Identity Services из каталога приложений Microsoft Entra в список корпоративных приложений вашего клиента. Этот шаг можно выполнить в Центр администрирования Microsoft Entra или с помощью API Graph.

Если службы SAP Cloud Identity Services уже настроены для единого входа из Microsoft Entra с помощью SAML, а приложение уже присутствует в списке корпоративных приложений Microsoft Entra, перейдите по адресу следующего раздела.

Примечание.

Если вы ранее настроили регистрацию приложения для интеграции OpenID Connect, вы не сможете настроить подготовку для этой регистрации приложения. Вместо этого создайте отдельное корпоративное приложение для управлением ресурсами.

Добавление службы облачных удостоверений SAP с помощью центра администрирования Microsoft Entra

Чтобы добавить SAP Cloud Identity Services из коллекции приложений Microsoft Entra с помощью центра администрирования Microsoft Entra, выполните следующие действия:

Войдите в Центр администрирования Microsoft Entra как минимум с правами администратора облачных приложений.
Перейдите к Entra ID>корпоративные приложения>новое приложение.
Чтобы добавить приложение из коллекции, введите sap Cloud Identity Services в поле поиска.
Выберите sap Cloud Identity Services на панели результатов и добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш клиент.
Перейдите к следующему разделу, чтобы настроить обеспечение.

Добавление облачных сервисов удостоверений SAP с использованием Microsoft Graph

Вы можете создать приложение и основной сервис через API Graph.

Сначала получите идентификатор шаблона приложения галереи для SAP Cloud Identity Services.

GET https://graph.microsoft.com/v1.0/applicationTemplates?$filter=displayName eq 'SAP Cloud Identity Services'

id Извлеките шаблон приложения из ответа. Затем создайте приложение галереи и учетную запись службы.

POST https://graph.microsoft.com/v1.0/applicationTemplates/{applicationTemplateId}/instantiate
Content-type: application/json

{
  "displayName": "SAP Cloud Identity Services"
}

Ответ будет содержать новые объекты приложения и учетную запись службы.

Затем получите шаблон для настройки предоставления, используя id только что созданную учетную запись службы.

GET https://graph.microsoft.com/beta/servicePrincipals/{id}/synchronization/templates

Чтобы включить подготовку, необходимо создать задание. Используйте следующий запрос, чтобы создать задание провизии. Используйте id с предыдущего шага как templateId, когда указываете шаблон, который будет использоваться для задания.

POST https://graph.microsoft.com/beta/servicePrincipals/{id}/synchronization/jobs
Content-type: application/json

{
    "templateId": "sapcloudidentityservices"
}

Как описано в следующем разделе, можно дополнительно настроить задание подготовки и схему шаблона , связанную с субъектом-службой. Затем предоставьте доступ Microsoft Entra для аутентификации в облачных службах удостоверений SAP, а затем запустите задание по подготовке.

Настройка автоматического предоставления пользователей в SAP Cloud Identity Services

В этом разделе описываются шаги по настройке службы автоматической подготовки Microsoft Entra для создания, обновления и отключения пользователей и групп в службах SAP Cloud Identity Services на основе назначений пользователей и групп приложениям в Microsoft Entra ID.

Чтобы настроить автоматическое предоставление пользователей для облачных служб управления идентификацией SAP в Microsoft Entra ID:

Войдите в Центр администрирования Microsoft Entra как минимум с правами администратора облачных приложений.
Перейдите к Entra ID>приложениям предприятия
В списке приложений выберите приложение , sap Cloud Identity Services.
Перейдите на вкладку "Свойства ".
Убедитесь, что параметр "Требуется назначение" установлен на "Да". Если для него задано значение No, все пользователи в каталоге, включая внешние удостоверения, могут получить доступ к приложению, и вы не можете проверить доступ к приложению.
Перейдите на вкладку "Подготовка ".
Задать + Новая конфигурация.
В поле URL арендатора введите URL вашего арендатора в SAP Cloud Identity Services и секретный токен. Выберите Test Connection, чтобы убедиться, что Microsoft Entra ID может подключаться к облачным службам удостоверений SAP. Если подключение завершается ошибкой, убедитесь, что у учетной записи SAP Cloud Identity Services есть необходимые разрешения администратора и повторите попытку.
Нажмите кнопку "Создать", чтобы создать конфигурацию.
Выберите "Свойства " на странице обзора .
Выберите карандаш, чтобы изменить свойства. Включите уведомления и предоставьте сообщение электронной почты для получения сообщений карантина. Включение предотвращения случайных удалений. Выберите Применить, чтобы сохранить изменения.
Выберите сопоставление атрибутов на левой панели и выберите пользователей.
Просмотрите атрибуты пользователя и группы, синхронизированные из Microsoft Entra ID в SAP Cloud Identity Services в разделе Attribute Mapping. Если атрибуты в облачных службах удостоверений SAP не отображаются в качестве целевого объекта для сопоставления, выберите " Показать дополнительные параметры " и выберите "Изменить список атрибутов" для службы проверки подлинности удостоверений SAP Cloud Platform, чтобы изменить список поддерживаемых атрибутов. Добавьте атрибуты клиента SAP Cloud Identity Services.
Просмотрите и зарегистрируйте исходные и целевые атрибуты, выбранные как Matching свойства, сопоставления, которые имеют приоритет Matching, так как эти атрибуты используются для сопоставления пользователей и групп в SAP Cloud Identity Services для службы подготовки Microsoft Entra, чтобы определить, следует ли создать нового пользователя или группу или обновить существующего пользователя или группе. Дополнительные сведения о сопоставлении см. в статье о сопоставлении пользователей в исходных и целевых системах. На следующем шаге вы убедитесь, что атрибуты пользователей, уже находящихся в облачных службах SAP Cloud Identity Services, заполнены как сопоставляющие свойства, чтобы предотвратить создание дублирующихся пользователей.
"Убедитесь, что существует сопоставление атрибутов для IsSoftDeleted или функция, содержащая IsSoftDeleted, сопоставленные с атрибутом приложения." Если пользователь удален из приложения, обратимо удален в Microsoft Entra ID или заблокирован при входе, служба подготовки Microsoft Entra обновит соответствующий атрибут, связанный с isSoftDeleted. Если сопоставленный атрибут отсутствует, то пользователи, которые впоследствии будут отозваны из роли приложения, продолжат существовать в базе данных приложения.
Добавьте любые дополнительные сопоставления, которые требуются вашим службам SAP Cloud Identity Services и целевым подчиненным системам SAP.

Нажмите кнопку "Сохранить ", чтобы зафиксировать любые изменения.

Атрибут пользователя	Тип	Поддерживается для фильтрации	Требуется для облачных сервисов идентификации SAP
`userName`	Строка	✓	✓
`emails[type eq "work"].value`	Строка		✓
`active`	Логический
`displayName`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:manager`	Справочные материалы
`addresses[type eq "work"].country`	Строка
`addresses[type eq "work"].locality`	Строка
`addresses[type eq "work"].postalCode`	Строка
`addresses[type eq "work"].region`	Строка
`addresses[type eq "work"].streetAddress`	Строка
`name.givenName`	Строка
`name.familyName`	Строка
`name.honorificPrefix`	Строка
`phoneNumbers[type eq "fax"].value`	Строка
`phoneNumbers[type eq "mobile"].value`	Строка
`phoneNumbers[type eq "work"].value`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:costCenter`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:division`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:employeeNumber`	Строка
`urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:organization`	Строка
`locale`	Строка
`timezone`	Строка
`userType`	Строка
`company`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute1`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute2`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute3`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute4`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute5`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute6`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute7`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute8`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute9`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:User:attributes:customAttribute10`	Строка
`sendMail`	Строка
`mailVerified`	Строка

Атрибут группы	Тип	Поддерживается для фильтрации	Требуется для облачных сервисов идентификации SAP
`id`	Строка	✓	✓
`externalId`	Строка
`displayName`	Строка		✓
`urn:sap:cloud:scim:schemas:extension:custom:2.0:Group:name`	Строка
`urn:sap:cloud:scim:schemas:extension:custom:2.0:Group:description`	Строка
`members`	Справочные материалы		✓

Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, приведенными в статье о фильтре области .
Используйте подготовку по запросу для проверки синхронизации с небольшим количеством пользователей перед развертыванием в организации.
Когда вы будете готовы к подготовке, выберите "Начать подготовку " на странице обзора .

Создать нового тестового пользователя из Microsoft Entra ID для SAP Cloud Identity Services

Рекомендуется, чтобы один новый тестовый пользователь Microsoft Entra был назначен службам SAP Cloud Identity Services для проверки конфигурации автоматической подготовки пользователей.

Войдите в Центр администрирования Microsoft Entra как минимум в качестве администратора облачных приложений и администратора пользователей.
Перейдите к Entra ID>Users.
Выберите "Новый пользователь">"Создать нового пользователя".
Введите имя участника-пользователя и отображаемое имя нового тестового пользователя. Имя субъекта-пользователя должно быть уникальным и не должно совпадать с текущим или предыдущим пользователем Microsoft Entra или пользователем SAP Cloud Identity Services. Выберите Обзор + создание и Создать.
После создания тестового пользователя перейдите к приложениям Entra ID>Enterprise apps.
Выберите приложение sap Cloud Identity Services.
Выберите "Пользователи" и "Группы" , а затем выберите "Добавить пользователя или группу".
В разделе "Пользователи и группы" выберите "Нет выбрано" и в текстовом поле введите имя участника-пользователя тестового пользователя.
Выберите Выбрать, а затем Назначить.
Выберите "Подготовка" и выберите "Подготовка по запросу".
В текстовом поле "Выбор пользователя или группы" введите принципальное имя тестового пользователя.
Выберите Обеспечение.
Дождитесь завершения подготовки. При успешном выполнении отображается сообщение Modified attributes (successful).

Кроме того, можно также проверить, какие компоненты служба предоставления Microsoft Entra будет готовить, когда пользователь выходит за пределы области действия приложения.

Выберите пользователей и группы.
Выберите тестового пользователя, а затем нажмите кнопку "Удалить".
После удаления тестового пользователя выберите "Подготовка " и выберите "Подготовка по запросу".
В текстовом поле "Выбор пользователя или группы " введите имя основного участника тестового пользователя, который только что был деактивирован.
Выберите Обеспечение.
Дождитесь завершения подготовки.

Наконец, можно удалить тестового пользователя из Microsoft Entra ID.

Перейдите к Entra ID>Users.
Выберите тестового пользователя, нажмите кнопку "Удалить" и нажмите кнопку "ОК". Это действие мягко удаляет тестового пользователя из Microsoft Entra ID.

Затем можно удалить тестового пользователя из облачных служб удостоверений SAP.

Определите существующих пользователей в приложении и назначьте их корпоративному приложению

Microsoft Entra может обнаруживать существующих пользователей в вашем приложении и упростить их назначение корпоративному приложению. Нажмите кнопку идентификации на странице обзора подготовки. После создания отчета вы получите представление обо всех пользователях вашего приложения: какие пользователи в приложении совпадают с пользователями Microsoft Entra ID, какие пользователи уже назначены в корпоративное приложение в Microsoft Entra ID, и какие пользователи в приложении не совпадают с пользователями Microsoft Entra ID. Затем можно запустить простой скрипт PowerShell, чтобы назначить обнаруженных пользователей приложению:

Скачайте файл CorrelatedUsers.ps1.
Создание назначений ролей приложения для пользователей, которые в настоящее время не имеют назначений ролей (сухой запуск):
```
.\Assign-CorrelatedUsers.ps1 -ServicePrincipalId "7A22..." -DryRun
```
Создайте назначения ролей приложения для пользователей, которые на данный момент не имеют назначений ролей.
```
.\Assign-CorrelatedUsers.ps1 -ServicePrincipalId "7A22..."
```
Подождите одну минуту, пока изменения будут распространяться в Microsoft Entra ID.

Для функции обнаружения требуются лицензии Entra ID Governance. Организации без необходимых лицензий по-прежнему могут выполнять приведенные ниже действия, чтобы определить существующих пользователей в службах удостоверений SAP CLout и назначить их корпоративному приложению в Microsoft Entra.

Убедитесь, что у существующих пользователей облачных удостоверений SAP есть необходимые атрибуты сопоставления

Перед назначением нетестовых пользователей приложению SAP Cloud Identity Services в Microsoft Entra ID следует убедиться, что все пользователи, уже имеющиеся в облачных службах удостоверений SAP, которые соответствуют тем же людям, что и пользователи в Microsoft Entra ID, имеют заполненные атрибуты сопоставления в службах SAP Cloud Identity Services.

В сопоставлении подготовки атрибуты, выбранные как Matching, используются для сопоставления учетных записей пользователей в Microsoft Entra ID с учетными записями пользователей в SAP Cloud Identity Services. Если в Microsoft Entra ID есть пользователь, не совпадающий с SAP Cloud Identity Services, служба предоставления Microsoft Entra попытается создать нового пользователя. Если в Microsoft Entra ID существует пользователь и найдено совпадение в SAP Cloud Identity Services, служба подготовки Microsoft Entra обновит этого пользователя в SAP Cloud Identity Services. По этой причине следует убедиться, что у всех пользователей, уже имеющихся в облачных службах удостоверений SAP, выбраны и заполнены атрибуты в качестве свойств сопоставления; в противном случае могут создаваться дубликаты пользователей. Если необходимо изменить сопоставленный атрибут в сопоставлении атрибутов приложения Microsoft Entra, см. раздел сопоставление пользователей в исходных и целевых системах.

Войдите в административную консоль SAP Cloud Identity Services https://<tenantID>.accounts.ondemand.com/admin, или https://<tenantID>.trial-accounts.ondemand.com/admin если это пробная версия.
Перейдите к Пользователи и авторизации> Экспорт пользователей.
Выберите все атрибуты, необходимые для сопоставления Microsoft Entra пользователей с пользователями в SAP. К этим атрибутам относятся SCIM ID, userName, emails, а также другие атрибуты, которые вы можете использовать в системах SAP в качестве идентификаторов.
Выберите "Экспорт " и дождитесь скачивания CSV-файла в браузере.
Откройте окно PowerShell.

Введите следующий скрипт в редактор. В строке один, если вы выбрали другой соответствующий атрибут, отличный от userName, измените значение переменной sapScimUserNameField на имя атрибута SAP Cloud Identity Services. В строке два измените аргумент на имя экспортированного CSV-файла с Users-exported-from-sap.csv на имя скачанного файла.

$sapScimUserNameField = "userName"
$existingSapUsers = import-csv -Path ".\Users-exported-from-sap.csv" -Encoding UTF8
$count = 0
$warn = 0
foreach ($u in $existingSapUsers) {
 $id = $u.id
 if (($null -eq $id) -or ($id.length -eq 0)) {
     write-error "Exported CSV file doesn't contain the ID attribute of SAP Cloud Identity Services users."
     throw "ID attribute not available, re-export"
     return
 }
 $count++
 $userName = $u.$sapScimUserNameField
 if (($null -eq $userName) -or ($userName.length -eq 0)) {
     write-warning "SAP Cloud Identity Services user $id doesn't have a $sapScimUserNameField attribute populated"
     $warn++
 }
}
write-output "$warn of $count users in SAP Cloud Identity Services did not have the $sapScimUserNameFIeld attribute populated."

Выполните скрипт. По завершении скрипта, если у одного или нескольких пользователей не было необходимого соответствующего атрибута, просмотрите этих пользователей в экспортируемом CSV-файле или в консоли администрирования облачных служб удостоверений SAP. Если эти пользователи уже существуют в Microsoft Entra, сначала вам необходимо обновить представление этих пользователей в облачных службах удостоверений SAP для заполнения соответствующего атрибута.
После обновления атрибутов этих пользователей в службах SAP Cloud Identity Services, повторно экспортируйте пользователей из этих служб, как описано в шагах 2–5 и шагах для PowerShell в этом разделе, чтобы подтвердить, что в облачных службах идентификации SAP нет пользователей, у которых отсутствуют соответствующие атрибуты, препятствующие их созданию.

Теперь, когда у вас есть список всех пользователей, полученных из облачных служб удостоверений SAP, вы сопоставляете этих пользователей из хранилища данных приложения с пользователями, уже существующими в Microsoft Entra ID, чтобы определить, какие пользователи должны быть учтены для развертывания.

Получение идентификаторов пользователей в Microsoft Entra ID

В этом разделе показано, как взаимодействовать с Microsoft Entra ID с помощью командлетов Microsoft Graph PowerShell.

При первом использовании этих командлетов в организации для этого сценария необходимо быть в роли глобального администратора, чтобы разрешить использование Microsoft Graph PowerShell в вашем клиенте. Последующие взаимодействия могут использовать роль с более низким уровнем привилегий, например, такую как:

администратор пользователей, если вы планируете создавать новых пользователей;
Администратор приложений или администратор управления удостоверениями, если вы занимаетесь исключительно управлением назначениями ролей в приложении.

Откройте средство PowerShell.
Если у вас еще нет модулей PowerShell Microsoft Graph установите модуль Microsoft.Graph.Users и другие, выполнив следующую команду:
```
Install-Module Microsoft.Graph
```
Если у вас уже установлены модули, убедитесь, что используете последнюю версию:
```
Update-Module microsoft.graph.users,microsoft.graph.identity.governance,microsoft.graph.applications
```

Подключитесь к Microsoft Entra ID:

$msg = Connect-MgGraph -ContextScope Process -Scopes "User.ReadWrite.All,Application.ReadWrite.All,AppRoleAssignment.ReadWrite.All,EntitlementManagement.ReadWrite.All"

Если это первый раз, когда вы использовали эту команду, может потребоваться предоставить согласие на то, чтобы средства командной строки Microsoft Graph имели эти разрешения.
Загрузите в сеанс PowerShell список пользователей, полученный из хранилища данных приложения. Если список пользователей ранее хранился в CSV-файле, вы можете использовать этот командлет PowerShell Import-Csv, предоставив в качестве аргумента имя файла из предыдущего раздела.

Например, если файл, полученный из облачных служб удостоверений SAP, называется Users-exported-from-sap.csv и находится в текущем каталоге, введите следующую команду.
```
$filename = ".\Users-exported-from-sap.csv"
$dbusers = Import-Csv -Path $filename -Encoding UTF8
```
Для другого примера, если используется база данных или каталог, если файл называется users.csv и расположен в текущем каталоге, введите следующую команду:
```
$filename = ".\users.csv"
$dbusers = Import-Csv -Path $filename -Encoding UTF8
```
Выберите столбец файла users.csv, который будет соответствовать атрибуту пользователя в Microsoft Entra ID.

Если вы используете службы SAP Cloud Identity Services, то сопоставление по умолчанию — это атрибут SAP SCIM userName с атрибутом Microsoft Entra ID userPrincipalName:
```
$db_match_column_name = "userName"
$azuread_match_attr_name = "userPrincipalName"
```
В другом примере, если используется база данных или каталог, в базе данных могут быть пользователи, где значение в столбце с именем EMail совпадает со значением атрибута Microsoft Entra userPrincipalName:
```
$db_match_column_name = "EMail"
$azuread_match_attr_name = "userPrincipalName"
```
Получите идентификаторы этих пользователей в Microsoft Entra ID.

В следующем скрипте PowerShell используются значения $dbusers, $db_match_column_name и $azuread_match_attr_name, указанные ранее. Он запрашивает Microsoft Entra ID, чтобы найти пользователя с атрибутом с соответствующим значением для каждой записи в исходном файле. Если в файле есть много пользователей, полученных из исходной облачной службы идентификации SAP, базы данных или каталога, этот сценарий может занять несколько минут. Если у вас нет атрибута в Microsoft Entra ID, который имеет нужное значение, и необходимо использовать contains или другое выражение фильтра, то вам потребуется настроить этот скрипт и скрипт на шаге 11 ниже для использования другого выражения фильтра.
```
$dbu_not_queried_list = @()
$dbu_not_matched_list = @()
$dbu_match_ambiguous_list = @()
$dbu_query_failed_list = @()
$azuread_match_id_list = @()
$azuread_not_enabled_list = @()
$dbu_values = @()
$dbu_duplicate_list = @()

foreach ($dbu in $dbusers) { 
   if ($null -ne $dbu.$db_match_column_name -and $dbu.$db_match_column_name.Length -gt 0) { 
      $val = $dbu.$db_match_column_name
      $escval = $val -replace "'","''"
      if ($dbu_values -contains $escval) { $dbu_duplicate_list += $dbu; continue } else { $dbu_values += $escval }
      $filter = $azuread_match_attr_name + " eq '" + $escval + "'"
      try {
         $ul = @(Get-MgUser -Filter $filter -All -Property Id,accountEnabled -ErrorAction Stop)
         if ($ul.length -eq 0) { $dbu_not_matched_list += $dbu; } elseif ($ul.length -gt 1) {$dbu_match_ambiguous_list += $dbu } else {
            $id = $ul[0].id; 
            $azuread_match_id_list += $id;
            if ($ul[0].accountEnabled -eq $false) {$azuread_not_enabled_list += $id }
         } 
      } catch { $dbu_query_failed_list += $dbu } 
    } else { $dbu_not_queried_list += $dbu }
}
```

Просмотрите результаты предыдущих запросов. Убедитесь, что ни один из пользователей в SAP Cloud Identity Services, базе данных или каталоге не отсутствует в Microsoft Entra ID из-за ошибок или отсутствия совпадений.

Следующий скрипт PowerShell отображает количество записей, которые не удалось найти:

$dbu_not_queried_count = $dbu_not_queried_list.Count
if ($dbu_not_queried_count -ne 0) {
  Write-Error "Unable to query for $dbu_not_queried_count records as rows lacked values for $db_match_column_name."
}
$dbu_duplicate_count = $dbu_duplicate_list.Count
if ($dbu_duplicate_count -ne 0) {
  Write-Error "Unable to locate Microsoft Entra ID users for $dbu_duplicate_count rows as multiple rows have the same value"
}
$dbu_not_matched_count = $dbu_not_matched_list.Count
if ($dbu_not_matched_count -ne 0) {
  Write-Error "Unable to locate $dbu_not_matched_count records in Microsoft Entra ID by querying for $db_match_column_name values in $azuread_match_attr_name."
}
$dbu_match_ambiguous_count = $dbu_match_ambiguous_list.Count
if ($dbu_match_ambiguous_count -ne 0) {
  Write-Error "Unable to locate $dbu_match_ambiguous_count records in Microsoft Entra ID as attribute match ambiguous."
}
$dbu_query_failed_count = $dbu_query_failed_list.Count
if ($dbu_query_failed_count -ne 0) {
  Write-Error "Unable to locate $dbu_query_failed_count records in Microsoft Entra ID as queries returned errors."
}
$azuread_not_enabled_count = $azuread_not_enabled_list.Count
if ($azuread_not_enabled_count -ne 0) {
 Write-Error "$azuread_not_enabled_count users in Microsoft Entra ID are blocked from sign-in."
}
if ($dbu_not_queried_count -ne 0 -or $dbu_duplicate_count -ne 0 -or $dbu_not_matched_count -ne 0 -or $dbu_match_ambiguous_count -ne 0 -or $dbu_query_failed_count -ne 0 -or $azuread_not_enabled_count) {
 Write-Output "You will need to resolve those issues before access of all existing users can be reviewed."
}
$azuread_match_count = $azuread_match_id_list.Count
Write-Output "Users corresponding to $azuread_match_count records were located in Microsoft Entra ID."

По завершении скрипта будет указано сообщение об ошибке, если записи из источника данных не были найдены в Microsoft Entra ID. Если не все записи пользователей из хранилища данных приложения могли быть найдены в качестве пользователей в Microsoft Entra ID, необходимо выяснить, какие записи не совпадают и по какой причине.

Например, чей-то адрес электронной почты и userPrincipalName могли быть изменены в Microsoft Entra ID без обновления их соответствующего свойства mail в источнике данных приложения. Также есть вариант, что пользователь уже покинул организацию, но сведения о нем сохранились в источнике данных приложения. Или может быть учетная запись поставщика или суперадминистратора в источнике данных приложения, которая не соответствует никакому конкретному лицу в Microsoft Entra ID.
Если пользователи не могли находиться в Microsoft Entra ID или не были активными и не смогли войти в систему, но вы хотите проверить их доступ или обновить их атрибуты в SAP Cloud Identity Services, в базе данных или каталоге, необходимо обновить приложение, соответствующее правило или обновить или создать для них Microsoft Entra пользователей. Дополнительные сведения о том, какие изменения необходимо внести, см. в разделе управление сопоставлениями и учетными записями пользователей в приложениях, которые не были сопоставлены с пользователями в Microsoft Entra ID.

Если выбрать вариант создания пользователей в Microsoft Entra ID, вы можете создавать пользователей массово с помощью следующих способов:
- CSV-файл, как описано в Bulk, создает пользователей в Центр администрирования Microsoft Entra
- Командлет New-MgUser
Убедитесь, что эти новые пользователи оснащены атрибутами, необходимыми для Microsoft Entra ID, чтобы позднее сопоставить их с существующими пользователями в приложении, и атрибутами, также необходимыми для Microsoft Entra ID, включая userPrincipalName, mailNickname и displayName. Он userPrincipalName должен быть уникальным среди всех пользователей в каталоге.

Например, у вас могут быть пользователи в базе данных, где значение в столбце с именем EMail — это значение, которое вы хотите использовать в качестве имени участника-пользователя Microsoft Entra, значение в столбце Alias содержит псевдоним Microsoft Entra ID почты, а значение в столбце Full name содержит отображаемое имя пользователя:
```
$db_display_name_column_name = "Full name"
$db_user_principal_name_column_name = "Email"
$db_mail_nickname_column_name = "Alias"
```
Затем скрипт можно использовать для создания пользователей Microsoft Entra для тех, кто есть в SAP Cloud Identity Services, базе данных или каталоге, но не соответствовал пользователям в Microsoft Entra ID. Обратите внимание, что может потребоваться изменить этот скрипт, чтобы добавить дополнительные атрибуты Microsoft Entra, необходимые вашей организации, или если $azuread_match_attr_name не mailNickname или userPrincipalName, чтобы обеспечить наличие этого атрибута Microsoft Entra.
```
$dbu_missing_columns_list = @()
$dbu_creation_failed_list = @()
foreach ($dbu in $dbu_not_matched_list) {
   if (($null -ne $dbu.$db_display_name_column_name -and $dbu.$db_display_name_column_name.Length -gt 0) -and
       ($null -ne $dbu.$db_user_principal_name_column_name -and $dbu.$db_user_principal_name_column_name.Length -gt 0) -and
       ($null -ne $dbu.$db_mail_nickname_column_name -and $dbu.$db_mail_nickname_column_name.Length -gt 0)) {
      $params = @{
         accountEnabled = $false
         displayName = $dbu.$db_display_name_column_name
         mailNickname = $dbu.$db_mail_nickname_column_name
         userPrincipalName = $dbu.$db_user_principal_name_column_name
         passwordProfile = @{
           Password = -join (((48..90) + (96..122)) * 16 | Get-Random -Count 16 | % {[char]$_})
         }
      }
      try {
        New-MgUser -BodyParameter $params
      } catch { $dbu_creation_failed_list += $dbu; throw }
   } else {
      $dbu_missing_columns_list += $dbu
   }
}
```

После добавления отсутствующих пользователей в Microsoft Entra ID запустите сценарий из шага 7 еще раз. Затем запустите скрипт из шага 8. Убедитесь, что сообщения об ошибках отсутствуют.

$dbu_not_queried_list = @()
$dbu_not_matched_list = @()
$dbu_match_ambiguous_list = @()
$dbu_query_failed_list = @()
$azuread_match_id_list = @()
$azuread_not_enabled_list = @()
$dbu_values = @()
$dbu_duplicate_list = @()

foreach ($dbu in $dbusers) { 
   if ($null -ne $dbu.$db_match_column_name -and $dbu.$db_match_column_name.Length -gt 0) { 
      $val = $dbu.$db_match_column_name
      $escval = $val -replace "'","''"
      if ($dbu_values -contains $escval) { $dbu_duplicate_list += $dbu; continue } else { $dbu_values += $escval }
      $filter = $azuread_match_attr_name + " eq '" + $escval + "'"
      try {
         $ul = @(Get-MgUser -Filter $filter -All -Property Id,accountEnabled -ErrorAction Stop)
         if ($ul.length -eq 0) { $dbu_not_matched_list += $dbu; } elseif ($ul.length -gt 1) {$dbu_match_ambiguous_list += $dbu } else {
            $id = $ul[0].id; 
            $azuread_match_id_list += $id;
            if ($ul[0].accountEnabled -eq $false) {$azuread_not_enabled_list += $id }
         } 
      } catch { $dbu_query_failed_list += $dbu } 
    } else { $dbu_not_queried_list += $dbu }
}

$dbu_not_queried_count = $dbu_not_queried_list.Count
if ($dbu_not_queried_count -ne 0) {
  Write-Error "Unable to query for $dbu_not_queried_count records as rows lacked values for $db_match_column_name."
}
$dbu_duplicate_count = $dbu_duplicate_list.Count
if ($dbu_duplicate_count -ne 0) {
  Write-Error "Unable to locate Microsoft Entra ID users for $dbu_duplicate_count rows as multiple rows have the same value"
}
$dbu_not_matched_count = $dbu_not_matched_list.Count
if ($dbu_not_matched_count -ne 0) {
  Write-Error "Unable to locate $dbu_not_matched_count records in Microsoft Entra ID by querying for $db_match_column_name values in $azuread_match_attr_name."
}
$dbu_match_ambiguous_count = $dbu_match_ambiguous_list.Count
if ($dbu_match_ambiguous_count -ne 0) {
  Write-Error "Unable to locate $dbu_match_ambiguous_count records in Microsoft Entra ID as attribute match ambiguous."
}
$dbu_query_failed_count = $dbu_query_failed_list.Count
if ($dbu_query_failed_count -ne 0) {
  Write-Error "Unable to locate $dbu_query_failed_count records in Microsoft Entra ID as queries returned errors."
}
$azuread_not_enabled_count = $azuread_not_enabled_list.Count
if ($azuread_not_enabled_count -ne 0) {
 Write-Warning "$azuread_not_enabled_count users in Microsoft Entra ID are blocked from sign-in."
}
if ($dbu_not_queried_count -ne 0 -or $dbu_duplicate_count -ne 0 -or $dbu_not_matched_count -ne 0 -or $dbu_match_ambiguous_count -ne 0 -or $dbu_query_failed_count -ne 0 -or $azuread_not_enabled_count -ne 0) {
 Write-Output "You will need to resolve those issues before access of all existing users can be reviewed."
}
$azuread_match_count = $azuread_match_id_list.Count
Write-Output "Users corresponding to $azuread_match_count records were located in Microsoft Entra ID."

Убедитесь, что существующие Microsoft Entra пользователи имеют необходимые атрибуты

Перед включением автоматической подготовки пользователей необходимо решить, какие пользователи в Microsoft Entra ID нуждаются в доступе к службам SAP Cloud Identity Services, а затем необходимо проверить, имеют ли эти пользователи необходимые атрибуты в Microsoft Entra ID, и эти атрибуты сопоставляются с ожидаемой схемой sap Cloud Identity Services.

По умолчанию значение атрибута пользователя Microsoft Entra сопоставляется как с атрибутом userPrincipalName, так и с атрибутом userName в SAP Cloud Identity Services. Если адреса электронной почты пользователя отличаются от основных имен пользователей, может потребоваться изменить это соответствие.
Облачные службы удостоверений SAP могут игнорировать значения postalCode атрибута, если формат почтового индекса компании не соответствует стране или региону компании.
По умолчанию атрибут Microsoft Entra country сопоставляется с полем SAP Cloud Identity Services addresses[type eq "work"].country. Если значения атрибута country не являются двумя символами кодов стран ISO 3166, создание этих пользователей в облачных службах удостоверений SAP может завершиться ошибкой. Дополнительные сведения см. в разделе "Страны.свойства".
По умолчанию атрибут Microsoft Entra department сопоставляется с атрибутом SAP Cloud Identity Services urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department. Если у пользователей Microsoft Entra есть значения атрибута department, эти значения должны соответствовать тем отделам, которые уже настроены в службах SAP Cloud Identity Services, в противном случае создание или обновление пользователя завершится ошибкой. Дополнительные сведения см. в departments.properties. Если значения department у пользователей Microsoft Entra не соответствуют значениям в среде SAP, обновите значения отделов в Microsoft Entra, обновите допустимые значения отделов в SAP Cloud Identity Services или удалите сопоставление перед назначением пользователей.
Конечная точка SCIM облачных служб удостоверений SAP требует наличия определенных атрибутов в определенном формате. Дополнительные сведения об этих атрибутах и их конкретном формате см. здесь.

Назначьте пользователей приложению SAP Cloud Identity Services в Microsoft Entra ID

Microsoft Entra ID использует концепцию с именем assignments, чтобы определить, какие пользователи должны получать доступ к выбранным приложениям. В контексте автоматического предоставления пользователей, если значение настройки Scope — Синхронизировать только назначенных пользователей и группы, то только те пользователи и группы, которым назначена роль приложения в Microsoft Entra ID, синхронизируются с услугами SAP Cloud Identity Services. При назначении пользователя облачным службам удостоверений SAP в диалоговом окне назначения необходимо выбрать любую допустимую роль для конкретного приложения (если она доступна). Пользователи с ролью доступа по умолчанию исключаются из подготовки. В настоящее время доступна единственная роль для служб SAP Cloud Identity Services — пользователь.

Если настройка уже включена для приложения, убедитесь, что настройка приложения не находится в карантине перед добавлением дополнительных пользователей к приложению. Прежде чем продолжить, устраните все проблемы, вызывающие карантин.

Проверьте наличие пользователей, присутствующих в облачных службах удостоверений SAP и не назначенных приложению в Microsoft Entra ID

Предыдущие шаги оценивали, существуют ли пользователи в облачных службах удостоверения личности SAP, а также как пользователи в Microsoft Entra ID. Однако в Microsoft Entra ID они могут не назначаться всем ролям приложения. На следующем этапе нужно выяснить, какие пользователи не имеют назначения к ролям приложения.

С помощью PowerShell найдите идентификатор субъекта-службы для субъекта-службы приложения.

Например, если корпоративное приложение называется SAP Cloud Identity Services, введите следующие команды:
```
$azuread_app_name = "SAP Cloud Identity Services"
$azuread_sp_filter = "displayName eq '" + ($azuread_app_name -replace "'","''") + "'"
$azuread_sp = Get-MgServicePrincipal -Filter $azuread_sp_filter -All
```
Получите пользователей, которые в настоящее время назначены на приложение в Microsoft Entra ID.

Это создается на основе переменной, заданной $azuread_sp в предыдущей команде.
```
$azuread_existing_assignments = @(Get-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $azuread_sp.Id -All)
```
Сравните список идентификаторов пользователей, уже имеющихся в облачных службах идентификации SAP, и Microsoft Entra ID с этими пользователями, назначенными приложению в Microsoft Entra ID. Этот скрипт основан на переменной, заданной $azuread_match_id_list в предыдущих разделах:
```
$azuread_not_in_role_list = @()
foreach ($id in $azuread_match_id_list) {
   $found = $false
   foreach ($existing in $azuread_existing_assignments) {
      if ($existing.principalId -eq $id) {
         $found = $true; break;
      }
   }
   if ($found -eq $false) { $azuread_not_in_role_list += $id }
}
$azuread_not_in_role_count = $azuread_not_in_role_list.Count
Write-Output "$azuread_not_in_role_count users in the application's data store aren't assigned to the application roles."
```
Если ни один пользователь не назначен ролям приложений, что указывает на то, что все пользователи назначены ролям приложений, это означает, что общих пользователей в Microsoft Entra ID и службах облачных удостоверений SAP нет, так что изменения не требуются. Однако если один или несколько пользователей уже в sap Cloud Identity Services не назначены ролям приложений, необходимо продолжить процедуру и добавить их в одну из ролей приложения.

Выберите User роль основного субъекта службы приложения.

$azuread_app_role_name = "User"
$azuread_app_role_id = ($azuread_sp.AppRoles | where-object {$_.AllowedMemberTypes -contains "User" -and $_.DisplayName -eq "User"}).Id
if ($null -eq $azuread_app_role_id) { write-error "role $azuread_app_role_name not located in application manifest"}

Создайте назначения ролей приложения для пользователей, которые уже присутствуют в SAP Cloud Identity Services и Microsoft Entra, и в настоящее время не имеют назначений ролей для приложения.
```
foreach ($u in $azuread_not_in_role_list) {
   $res = New-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $azuread_sp.Id -AppRoleId $azuread_app_role_id -PrincipalId $u -ResourceId $azuread_sp.Id
}
```
Подождите одну минуту, пока изменения будут распространяться в Microsoft Entra ID.
В следующем цикле предварительной настройки Microsoft Entra служба предварительной настройки будет сравнивать представление пользователей, назначенных приложению, с представлением в облачных службах управления идентификацией SAP и обновит пользователей этих служб, добавив атрибуты из Microsoft Entra ID.

Назначение оставшихся пользователей и мониторинг начальной синхронизации

После завершения тестирования пользователь успешно оформлен в службы SAP Cloud Identity Services, а существующие пользователи служб облачной идентификации SAP назначаются роли приложения. Вы можете назначить дополнительных авторизованных пользователей приложению SAP Cloud Identity Services, следуя одной из инструкций ниже.

Вы можете назначить каждого отдельного пользователя приложению в Центр администрирования Microsoft Entra,
Вы можете назначить отдельных пользователей приложению с помощью командлета PowerShell New-MgServicePrincipalAppRoleAssignedTo, как показано в предыдущем разделе, или
Если у вашей организации есть лицензия на Управление Microsoft Entra ID, вы также можете развернуть политики управления правами для автоматизации назначения доступа.

Когда пользователи назначены на роль в приложении и находятся в области охвата подготовки, служба подготовки Microsoft Entra подготовит их для облачных служб идентификации SAP. Обратите внимание, что начальная синхронизация занимает больше времени, чем последующие. Последующие синхронизации происходят примерно каждые 40 минут, пока работает служба подготовки Microsoft Entra.

Если вы не видите, что пользователи подготовлены, ознакомьтесь с шагами в руководстве по устранению неполадок для случаев, когда пользователи не подготовлены. Затем проверьте журнал подготовки через API-интерфейсы Центр администрирования Microsoft Entra или Graph API. Отфильтруйте журнал до сбоя состояния. Если возникают сбои с кодом ошибки DuplicateTargetEntries, это означает неоднозначность в правилах сопоставления провизии, и необходимо обновить данные пользователей Microsoft Entra или сопоставления, используемые для матчирования, чтобы гарантировать, что каждый пользователь Microsoft Entra соответствует одному пользователю приложения. Затем отфильтруйте журнал по действию «Создать» и статусу «Пропущено». Если пользователи были пропущены с кодом SkipReason NotEffectivelyEntitled, это может указывать на то, что учетные записи пользователей в Microsoft Entra ID не совпадали, так как статус учетной записи пользователя был Disabled.

Настройка единого входа

Вы также можете включить единый вход на основе SAML для SAP Cloud Identity Services, следуя инструкциям, приведенным в статье о едином входе в SAP Cloud Identity Services. Единый вход можно настроить независимо от автоматической подготовки пользователей, хотя эти две возможности хорошо дополняют друг друга.

Контроль за выделением ресурсов

С помощью раздела Synchronization Details можно отслеживать ход выполнения и следовать ссылкам на отчет о действиях подготовки, который описывает все действия, выполняемые службой подготовки Microsoft Entra в облачных службах удостоверений SAP. Вы также можете мониторить проект развертывания с помощью API-интерфейсов Microsoft Graph.

Дополнительные сведения о том, как читать журналы подготовки предоставления Microsoft Entra, см. статью Отчеты об автоматической подготовке учетных записей пользователей.

Поддержание назначений ролей приложения

Когда пользователи, назначенные приложению, обновляются в Microsoft Entra ID, эти изменения автоматически настраиваются для Служб облачной идентификации SAP.

Если у вас есть Управление Microsoft Entra ID, вы можете автоматизировать изменения в назначениях ролей приложений для облачных служб идентификации SAP в Microsoft Entra ID. Это позволяет автоматически добавлять или удалять назначения по мере того, как сотрудники присоединяются к организации, уходят из нее или меняют должности.

Можно провести однократную или повторяющуюся проверку доступа присвоенных ролей приложения.
Для этого приложения можно создать пакет управления правами. Вы можете иметь политики для пользователей, которым необходимо назначить доступ, либо при запросе администратором, автоматически на основе правил, либо с помощью рабочих процессов жизненного цикла.

Обновление приложения Служб идентификации SAP Cloud для использования конечной точки SAP Cloud Identity Services SCIM 2.0

В сентябре 2025 года Microsoft выпустила соединитель SCIM 2.0 для SAP Cloud Identity Services, который добавил в поддержку группового предоставления и отзыва доступа в SAP Cloud Identity Services, настраиваемые атрибуты расширения и предоставление по OAuth 2.0 с использованием учетных данных клиента.

Выполнив приведенные ниже действия, клиенты, уже использующие соединитель SAP Cloud Identity Services, переключятся с конечной точки SCIM 1.0 на конечную точку SCIM 2.0.

Войдите в Центр администрирования Microsoft Entra как минимум с правами администратора облачных приложений.
Перейдите к Entra ID > Enterprise Apps > SAP Cloud Identity Services.
Скопируйте идентификатор объекта в разделе "Свойства ".
В новом окне веб-браузера перейдите к https://developer.microsoft.com/graph/graph-explorer и войдите в качестве администратора клиента Microsoft Entra, где добавляется ваше приложение.
Убедитесь, что используемая учетная запись имеет правильные разрешения. Для внесения этого изменения требуется разрешение "Directory.ReadWrite.All".
Используя идентификатор объекта, выбранный в приложении ранее, выполните следующую команду.

GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/

Принимая значение "ID" из текста ответа запроса из предыдущего GET примера, выполните следующую команду, заменив "[идентификатор задания]" значением идентификатора GET из запроса. Значение должно иметь формат "sapcloudidentityservices.xxxxxxxxxxxxxxx.xxxxxxxxxxxxxxx".

DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]

В обозревателе Microsoft Graph выполните следующую команду. Замените "[object-id]" идентификатором субъекта-службы (идентификатором объекта), скопированным на третьем шаге.

POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "sapcloudidentityservices" }

Вернитесь к первому окну веб-браузера и выберите вкладку "Подготовка " для приложения. Конфигурация сбрасывается. Вы можете убедиться, что обновление выполнено успешно, убедив, что идентификатор задания начинается с sapcloudidentityservices.
Обновите URL-адрес клиента в разделе учетных данных администратора следующим образом: https://<tenantID>.accounts.ondemand.com/scimили https://<tenantid>.trial-accounts.ondemand.com/service/scim пробная версия.
Восстановите все предыдущие изменения, внесенные в приложение (данные аутентификации, фильтры области действия, сопоставления пользовательских атрибутов) и повторно включите предоставление ресурсов.

Примечание.

Сбой восстановления предыдущих параметров может привести к неожиданному обновлению атрибутов (name.formatted например) в облачных службах удостоверений SAP. Перед включением обеспечения обязательно проверьте конфигурацию.

Журнал изменений

30.09.2025 — выпущена новая версия соединителя SAP Cloud Identity Services для общего доступа, использующая конечную точку SCIM 2.0. Новая версия поддерживает групповое предоставление и отмену доступа в SAP Cloud Identity Services, настраиваемые атрибуты расширения и выдачу учетных данных по клиентским учетным данным OAuth 2.0.

Дополнительные ресурсы

Узнайте, как просматривать журналы и получать отчеты о активности по предоставлению услуг

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-04-28

Настройка служб облачных удостоверений SAP для автоматического предоставления доступа пользователям с помощью Microsoft Entra ID

Предварительные условия

Настройка облачных сервисов управления идентификацией SAP для провиженинга

Добавьте облачные сервисы удостоверений SAP из галереи

Добавление службы облачных удостоверений SAP с помощью центра администрирования Microsoft Entra

Добавление облачных сервисов удостоверений SAP с использованием Microsoft Graph

Настройка автоматического предоставления пользователей в SAP Cloud Identity Services

Чтобы настроить автоматическое предоставление пользователей для облачных служб управления идентификацией SAP в Microsoft Entra ID:

Создать нового тестового пользователя из Microsoft Entra ID для SAP Cloud Identity Services

Определите существующих пользователей в приложении и назначьте их корпоративному приложению

Убедитесь, что у существующих пользователей облачных удостоверений SAP есть необходимые атрибуты сопоставления

Получение идентификаторов пользователей в Microsoft Entra ID

Убедитесь, что существующие Microsoft Entra пользователи имеют необходимые атрибуты

Назначьте пользователей приложению SAP Cloud Identity Services в Microsoft Entra ID

Проверьте наличие пользователей, присутствующих в облачных службах удостоверений SAP и не назначенных приложению в Microsoft Entra ID

Назначение оставшихся пользователей и мониторинг начальной синхронизации

Настройка единого входа

Контроль за выделением ресурсов

Поддержание назначений ролей приложения

Обновление приложения Служб идентификации SAP Cloud для использования конечной точки SAP Cloud Identity Services SCIM 2.0

Журнал изменений

Дополнительные ресурсы

Связанный контент

Обратная связь

Дополнительные ресурсы