Автоматизация предоставления пользователей в Slack с помощью Microsoft Entra ID

Цель этой статьи — показать шаги, которые необходимо выполнить в Slack и Microsoft Entra ID для автоматического предоставления и удаления учетных записей пользователей из Microsoft Entra ID в Slack. Важные сведения о том, что делает эта служба, как она работает, а также ответы на часто задаваемые вопросы приведены в статье Автоматизация подготовки и отмены подготовки пользователей для SaaS-приложений с помощью идентификатора Microsoft Entra.

Поддерживаемые возможности

Slack доступен в следующих национальных облачных развертываниях.

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие элементы:

• Клиент Microsoft Entra.
• Одна из следующих ролей: администратор приложений, администратор облачных приложений или владелец приложения.
• Клиент Slack только с планом Business+ . Клиенты Enteprise Grid должны следовать инструкциям Slack вместо этого.
• Учетная запись пользователя в Slack с разрешениями администратора группы.

Шаг 1. Запланируйте развертывание обеспечения

1. Узнайте как работает сервис предоставления.
2. Определите, кто входит в зону ответственности для обеспечения.
3. Определите, какие данные необходимо сопоставить между идентификатором Microsoft Entra и Slack.

Шаг 2. Добавление Slack из коллекции приложений Microsoft Entra

Добавьте Slack из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в Slack. Если вы ранее настроили Slack для единого входа, можете использовать то же приложение. Однако рекомендуется создать отдельное приложение при первоначальном тестировании интеграции. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 3. Определите, кто охватывается в рамках предоставления ресурсов.

Служба подготовки Microsoft Entra позволяет определить, кто подготовлен на основе назначения приложению или на основе атрибутов пользователя или группы. Если вы решите предоставлять доступ к вашему приложению на основе назначения, вы можете использовать шаги для назначения пользователей и групп приложению. Если вы выбираете, кто будет включен в диапазон на основе только атрибутов пользователя или группы, можно использовать фильтр области.

• Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем выполнять развертывание для всех. Если в область подготовки включены назначенные пользователи и группы, проверьте этот механизм, назначив приложению одного или двух пользователей либо одну или две группы. Если в область включены все пользователи и группы, можно указать фильтр области на основе атрибутов.

• Если вам нужны дополнительные роли, можно обновить манифест приложения, добавить новые роли.

Шаг 4. Настройка автоматической подготовки пользователей в Slack

В этом разделе описано, как подключить идентификатор Microsoft Entra к API подготовки учетных записей пользователей Slack и настроить службу подготовки для создания, обновления и отключения назначенных учетных записей пользователей в Slack на основе назначения пользователей и групп в идентификаторе Microsoft Entra ID.

Чтобы настроить автоматическую конфигурацию учетных записей пользователей в Slack через Microsoft Entra ID, выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

2. Перейдите к Entra ID>приложениям для предприятий

   

3. В списке приложений выберите Slack.

   

4. Выберите вкладку Подготовка.

   

5. Выберите + Новая конфигурация.

   

6. В поле URL-адрес арендатора введите URL-адрес арендатора Slack и секретный токен. Выберите Test Connection чтобы убедиться, что Microsoft Entra ID может подключаться к Slack. Если подключение завершается ошибкой, убедитесь, что у учетной записи Slack есть необходимые разрешения администратора и повторите попытку.

   

7. В новом окне войдите в Slack с использованием учетной записи администратора группы. В результирующем диалоговом окне авторизации выберите команду Slack, для которой необходимо включить подготовку, а затем нажмите кнопку "Авторизовать". После завершения вернитесь в Центр администрирования Microsoft Entra, чтобы завершить настройку.

   

8. Нажмите кнопку "Создать", чтобы создать конфигурацию.

9. Выберите "Свойства " на странице обзора .

10. В поле "Электронная почта для уведомлений" введите адрес электронной почты человека, который должен получать уведомления об ошибках снабжения, и установите флажок "Отправить уведомление по электронной почте при возникновении сбоя".

    

11. Выберите сопоставление атрибутов на левой панели и выберите пользователей.

12. Просмотрите атрибуты пользователя, синхронизированные из Microsoft Entra ID в Slack, в разделе Attribute-Mapping. Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Slack для операций обновления. Если вы решили изменить соответствующий целевой атрибут, необходимо убедиться, что API Slack поддерживает фильтрацию пользователей на основе этого атрибута. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут	Тип
    активный	Логический
    externalId (внешний идентификатор)	Строка
    отображаемое имя	Строка
    name.фамилия	Строка
    имя.данноеИмя	Строка
    название	Строка
    Электронные письма[тип eq "работа"].значение	Строка
    userName	Строка
    Псевдоним	Строка
    addresses[type eq "без типа"].streetAddress	Строка
    адреса[type eq "нетипизированный"].местоположение	Строка
    addresses[type eq "untyped"].регион	Строка
    addresses[type eq "untyped"].postalCode	Строка
    адреса[тип равен "неопределенный"].страна	Строка
    phoneNumbers[тип равен "мобильный"].значение	Строка
    Номера телефонов [тип равен "работа"]. значение	Строка
    roles[primary eq "Истина"].value	Строка
    локаль	Строка
    имя.почетныйПрефикс	Строка
    фотографии[тип eq "фото"].значение	Строка
    URL профиля	Строка
    часовой пояс	Строка
    тип пользователя	Строка
    предпочтительный язык	Строка
    urn:scim:schemas:extension:enterprise:1.0.отдел	Строка
    urn:scim:schemas:extension:enterprise:1.0.manager	Справочные материалы
    urn:scim:schemas:extension:enterprise:1.0.номерСотрудника	Строка
    urn:scim:schemas:extension:enterprise:1.0.costCenter	Строка
    urn:scim:schemas:extension:enterprise:1.0.organization (техническое обозначение)	Строка
    urn:scim:schemas:extension:enterprise:1.0.подразделение	Строка

13. В разделе Сопоставления атрибутов просмотрите атрибуты групп, синхронизированные из Microsoft Entra ID в Slack. Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления групп в Slack для операций обновления. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут	Тип
    отображаемое имя	Строка
    участники	Справочные материалы

14. Чтобы настроить фильтры области, ознакомьтесь с инструкциями, приведенными в статье о фильтре области.

15. Используйте динамическое предоставление ресурсов для проверки синхронизации с несколькими пользователями, прежде чем внедрить это более широко в вашей организации.

16. Когда вы будете готовы к подготовке, выберите "Начать подготовку " на странице обзора .

Шаг 5. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания:

1. Используйте журналы подготовки для определения успешной или неудачной подготовки пользователей.
2. Используйте индикатор выполнения, чтобы узнать текущее состояние цикла подготовки ресурсов и насколько близко он к завершению.
3. Если конфигурация предоставления ресурсов кажется неисправной, приложение переходит в режим изоляции. Узнайте больше о состоянии карантина из статьи о состоянии карантина подготовки приложений .

Советы по устранению неполадок

• При настройке атрибута displayName в Slack возможно следующее:

  • Значения не являются совершенно уникальными (например, два пользователя могут иметь одно отображаемое имя)

  • Поддерживаются символы, не принадлежащие английскому языку, пробелы и разные регистры.

  • Разрешенные знаки препинания включают точки, подчеркивания, дефисы, апострофы, квадратные скобки (например, ( [ { } ] )) и разделители (например, , / ;).

  • Свойство displayName не может иметь символ @. Если включен параметр "@", в журналах подготовки может появиться пропущенное событие с описанием "AttributeValidationFailed".

  • Обновляется только в том случае, если эти два параметра настроены на рабочем месте или организации Slack. Синхронизация профилей включена , и пользователи не могут изменить отображаемое имя.

• Атрибут userName в Slack должен содержать до 21 символа и иметь уникальное значение.

• Slack разрешает сопоставление только с атрибутами userName и email.

• Распространенные коды ошибок задокументированы в официальной документации Slack по адресу https://api.slack.com/scim#errors.

Журнал изменений

• 16.06.2020 — измененный атрибут DisplayName будет обновляться только при создании нового пользователя.

Дополнительные ресурсы

• Управление подготовкой учетных записей пользователей для корпоративных приложений
• Что такое доступ к приложению и единый вход с помощью идентификатора Microsoft Entra?

Связанный контент

• Узнайте, как просматривать журналы и получать отчеты о действиях по провизии