Anforderungen an die Benutzerbereitstellung für den Microsoft Entra-Anwendungskatalog

Überprüfen Sie diese Anforderungen, bevor Sie eine Anwendung validieren und veröffentlichen, die die Benutzerbereitstellung im Microsoft Entra-Anwendungskatalog unterstützt. Anforderungen, die für jede Übermittlung gelten, finden Sie unter "Voraussetzungen", um Ihre App zu überprüfen und zu veröffentlichen.

Wenn Ihre Anwendung auch SSO unterstützt, lesen Sie die SSO-Anforderungen für Microsoft Entra App-Katalog.

SCIM-API-Anforderungen

Ihr System für domänenübergreifende Identitätsverwaltungs-API (SCIM) muss die folgenden Anforderungen erfüllen:

  • Unterstützung eines SCIM 2.0-Benutzer- und Gruppenendpunkts. Die Benutzerprovisionierung ist erforderlich. Gruppenbereitstellung wird empfohlen. (Erforderlich)
  • Unterstützen Sie mindestens 25 Anfragen pro Sekunde pro Mandant, damit Benutzer und Gruppen ohne Verzögerung provisioniert und deprovisioniert werden. (Erforderlich)
  • Überprüfen und testen Sie die Bereitstellung von Benutzern und Gruppen mithilfe einer Nicht-Kataloganwendung. (Erforderlich)
  • Validieren Sie die Authentifizierung der Clientanmeldeinformationen oder eine andere unterstützte Authentifizierungsmethode mithilfe einer Nicht-Kataloganwendung. (Erforderlich)
  • Unterstützung für vorläufiges Löschen oder endgültiges Löschen für Benutzer. Sie können beide Methoden unterstützen. (Erforderlich)
  • Zurückgeben einer erfolgreichen Antwort mit null Ergebnissen, wenn eine Abfrage nicht mit einem Benutzer übereinstimmt. Geben Sie keine fehlerhafte Anfrage zurück. (Erforderlich)
  • Unterstützung der Schemaermittlung auf dem SCIM-Endpunkt. (Erforderlich)
  • Unterstützen Sie das Aktualisieren mehrerer Gruppenmitgliedschaften mit einer einzigen PATCH Anforderung. (Empfohlen)
  • Unterstützen Sie SCIM-Massen-APIs, um die Connectorleistung zu verbessern. (Empfohlen)

SCIM-Authentifizierungsanforderungen

Verwenden Sie OAuth 2.0-Clientanmeldeinformationen oder einen Workloadidentitätsverbund, um den Microsoft Entra Bereitstellungsdienst für Ihren SCIM-Endpunkt zu authentifizieren. Microsoft integriert keine SCIM-Bereitstellungsanwendungen, die Standardauthentifizierung, langlebige Bearertoken oder den Autorisierungscode-Genehmigungsfluss verwenden.

OAuth 2.0-Clientanmeldeinformationen

Wenn Sie OAuth 2.0-Clientanmeldeinformationen verwenden, erfüllen Sie die folgenden Anforderungen:

  • Stellen Sie Kunden eine Client-ID, einen geheimen Clientschlüssel, einen Tokenendpunkt und einen SCIM-Endpunkt bereit. (Erforderlich)
  • Legen Sie den geheimen Clientschlüssel so fest, dass er nach einem bis drei Jahren abläuft. Stellen Sie kein Zugriffstoken aus, wenn die Anmeldeinformationen abgelaufen sind. (Erforderlich)
  • Ermöglichen Sie eine reibungslose Rotation von Geheimnissen, indem Sie mehrere aktive Geheimnisse und das Löschen alter Geheimnisse zulassen. Alternativ können Kunden eine neue Client-ID und einen neuen geheimen Clientschlüssel erstellen. (Erforderlich)
  • Legen Sie fest, dass Zugriffstoken zwischen 60 Minuten und sechs Stunden nach ihrer Ausstellung ablaufen. (Erforderlich)

Implementierungsanleitungen finden Sie unter OAuth 2.0-Clientanmeldeinformationserteilungsflow.

Workload-Identitätsverbund

Der Workload-Identitätsverbund ermöglicht es dem Microsoft Entra Bereitstellungsdienst, sich bei Ihrem SCIM-Endpunkt zu authentifizieren, ohne einen langlebigen geheimen Schlüssel zu speichern. Microsoft Entra ID stellt eine signierte JSON Web Token (JWT)-Assertion für Ihren Tokenendpunkt dar, indem das OAuth 2.0 JWT-Bearerprofil in RFC 7523 verwendet wird. Ihr Tokenendpunkt überprüft die Assertion und gibt ein kurzlebiges Zugriffstoken für den SCIM-Endpunkt zurück.

Um den Workloadidentitätsverbund zu unterstützen, überprüfen Sie die von Microsoft Entra ausgestellten JWTs anhand des von Microsoft veröffentlichten JSON Web Key Sets und stellen Sie Zugriffstoken mit Gültigkeitsbereich für Ihren SCIM-Endpunkt aus. Informationen zum Konfigurationsfluss, tokenansprüchen und Implementierungsanforderungen finden Sie unter Workload-Identitätsverbund für die SCIM-Bereitstellung. (Empfohlen)

ISV-Anforderungen

Als unabhängiger Softwareanbieter (ISV) müssen Sie diese Anforderungen erfüllen:

  • Einrichtung von Kontakten aus Engineering und Support für das Onboarding in der App Gallery, den Support nach dem Onboarding und die künftige Kommunikation seitens Microsoft. (Erforderlich)
  • Veröffentlichen Sie die Dokumentation für Ihren SCIM-Endpunkt. (Erforderlich)
  • Verwenden Sie den Microsoft Entra Non-Gallery-Ansatz, um Ihre SCIM-Bereitstellungsintegration bei mindestens 100 gemeinsamen Kunden bereitzustellen.
  • Erfüllen Sie die Complianceanforderungen für jede Cloud, in der Sie die Anwendung auflisten möchten, z. B. Azure Government oder Microsoft Azure, betrieben von 21Vianet. (Erforderlich)

Bekannte Einschränkungen

Überprüfen Sie bekannte Probleme bei der Anwendungsbereitstellung , bevor Sie Ihre Integration übermitteln.

Integration validieren

Nachdem Ihr SCIM-Endpunkt diese Anforderungen erfüllt, validieren Sie ihn mit dem Bereitstellungsdienst von Microsoft Entra und übermitteln Sie die Ergebnisse mit Ihrer Galerieübermittlung. Anweisungen finden Sie unter Überprüfen der Benutzerbereitstellung für den Microsoft Entra App-Katalog.

Vorbereiten der Kundendokumentation

Veröffentlichen Sie die Dokumentation, die mindestens die folgenden Informationen enthält:

  • Eine Einführung in Ihre Bereitstellungsfunktionalität.
  • Lizenzierungsanforderungen.
  • Rollen, die zum Konfigurieren der Bereitstellung erforderlich sind.
  • Ihr SCIM-Endpunkt und unterstützte Ressourcen und Attribute.
  • Anweisungen zur Einrichtung der Authentifizierung und zur Rotation von Anmeldeinformationen.
  • Testschritte für Pilotbenutzer.
  • Problembehandlungsinformationen, einschließlich Fehlercodes und Meldungen.
  • Support-Optionen.

Nächste Schritte

  • Last updated on