Tutorial: Konfigurieren von Concur für die automatische Benutzerbereitstellung

Artikel
05/28/2024

Das Ziel dieses Tutorials ist es, Ihnen die Schritte zu zeigen, die Sie in Concur und Microsoft Entra ID ausführen müssen, um Benutzerkonten von Microsoft Entra ID direkt in Concur automatisch bereitzustellen und deren Bereitstellung aufzuheben.

Warnung

Diese Bereitstellungsintegration wird nicht mehr unterstützt, und die direkte Bereitstellungsfunktionalität der SAP Concur-Anwendung im Microsoft Entra Enterprise-App-Katalog wurde entfernt. Die SSO-Funktionalität der Anwendung bleibt erhalten. Kund:innen sollten stattdessen SAP Concur über SAP Cloud Identity Services bereitstellen. Weitere Informationen finden Sie unter den Themen zum Konfigurieren der Benutzerbereitstellung aus Microsoft Entra ID in SAP Cloud Identity Services und zum Konfigurieren der Benuterbereitstellung aus SAP Cloud Identity Services in SAP Concur.

Voraussetzungen

Das in diesem Tutorial verwendete Szenario setzt voraus, dass Sie bereits über die folgenden Elemente verfügen:

Ein Microsoft Entra-Mandant.
Ein Concur-Abonnement, für das einmaliges Anmelden aktiviert ist
Ein Benutzerkonto in Concur mit Teamadministratorberechtigung

Zuweisen von Benutzern zu Concur

Microsoft Entra ID ermittelt anhand von „Zuweisungen“, welche Benutzer*innen Zugriff auf ausgewählte Apps erhalten sollen. Im Kontext der automatischen Bereitstellung von Benutzer*innen werden nur die Benutzer*innen und/oder Gruppen synchronisiert, die einer Anwendung in Microsoft Entra ID zugewiesen sind.

Vor dem Konfigurieren und Aktivieren des Bereitstellungsdiensts müssen Sie entscheiden, welche Benutzer und/oder Gruppen in Microsoft Entra ID die Benutzer darstellen, die Zugriff auf Ihre Concur-App benötigen. Anschließend können Sie diese Benutzer Ihrer Concur-App zuweisen, indem Sie diese Anweisungen befolgen:

Zuweisen eines Benutzerkontos oder einer Gruppe zu einer Unternehmens-App.

Wichtige Tipps zum Zuweisen von Benutzern zu Concur

Es wird empfohlen, Concur eine*n einzelne*n Microsoft Entra-Benutzer*in zuzuweisen, um die Konfiguration der Bereitstellung zu testen. Später können weitere Benutzer und/oder Gruppen zugewiesen werden.
Wenn Sie Concur einen Benutzer zuweisen, müssen Sie eine gültige Benutzerrolle auswählen. Die Rolle „Standardzugriff“ funktioniert nicht für die Bereitstellung.

Aktivieren der Benutzerbereitstellung

Dieser Abschnitt führt Sie durch das Herstellen einer Verbindung von Microsoft Entra ID mit der Bereitstellungs-API für Benutzerkonten in Concur sowie durch das Konfigurieren des Bereitstellungsdiensts für das Erstellen, Aktualisieren und Deaktivieren zugewiesener Benutzerkonten in Concur basierend auf der Benutzer- und Gruppenzuweisung in Microsoft Entra ID.

Tipp

Sie können auch das SAML-basierte einmalige Anmelden für Concur aktivieren. Befolgen Sie hierzu die Anweisungen im Azure-Portal. Einmaliges Anmelden kann unabhängig von der automatischen Bereitstellung konfiguriert werden, obwohl diese beiden Features einander ergänzen.

Gehen Sie folgt vor, um die Bereitstellung von Benutzerkonten zu konfigurieren:

In diesem Abschnitt wird erläutert, wie Sie die Bereitstellung von Active Directory-Benutzerkonten für Concur aktivieren.

Die Aktivierung von Apps im Dienst für Ausgaben erfordert die korrekte Einrichtung und Verwendung eines Webdienstadministrator-Profils. Fügen Sie die Webdienstadministrator-Rolle (WSAdmin) nicht dem vorhandenen Administratorprofil hinzu, das Sie für die Verwaltung von Reisekosten und Spesen verwenden.

Concur-Berater oder der Kundenadministrator müssen ein separates Webdienstadministrator-Profil erstellen, und der Kundenadministrator muss dieses Profil für die Webdienstadministrator-Funktionen verwenden (z.B. zum Aktivieren von Apps). Diese Profile müssen vom normalen Administratorprofil für Reisekosten und Spesen des Kundenadministrators getrennt sein (dem Administratorprofil für Reisekosten und Spesen sollte die WSAdmin-Rolle nicht zugewiesen werden).

Geben Sie beim Erstellen des Profils, das zum Aktivieren der App verwendet wird, den Namen des Kundenadministrators in die Felder des Benutzerprofils ein. So wird dem Profil die Eigentümerschaft zugewiesen. Nachdem mindestens ein Profil erstellt wurde, muss sich der Kunde mit diesem Profil anmelden, um im Menü „Webdienste“ auf die Schaltfläche Aktivieren für eine Partner-App zu klicken.

Aus den folgenden Gründen sollte diese Aktion nicht mit dem Profil ausgeführt werden, das für die normale Verwaltung von Reisekosten und Spesen verwendet wird.

Der Kunde muss im Dialogfeld, das nach dem Aktivieren einer App angezeigt wird, auf Ja klicken. Dadurch wird bestätigt, dass der Kunde dem Zugriff der Partneranwendung auf seine Daten zustimmt. Es ist daher nicht möglich, dass Sie oder der Partner auf diese Schaltfläche „Ja“ klicken.
Falls Kundenadministrator:innen, die eine App mit dem Reisekosten- und Spesenprofil aktiviert haben, das Unternehmen verlassen (und ihr Profil deaktiviert wird), gilt Folgendes: Alle Apps, die mit diesen Profilen aktiviert wurden, funktionieren erst dann wieder, wenn sie mit einem anderen aktiven Webdienstadministrator-Profil aktiviert werden. Aus diesem Grund sollten Sie unterschiedliche Webdienstadministrator-Profile erstellen.
Wenn Administrator:innen das Unternehmen verlassen, kann der mit ihrem Webdienstadministrator-Profil verknüpfte Name ggf. in die Namen neuer Administrator:innen geändert werden. Da dieses Profil nicht deaktiviert werden muss, hat dies keinerlei Auswirkungen auf die aktivierte App.

Um die Benutzerbereitstellung zu konfigurieren, führen Sie die folgenden Schritte durch:

Melden Sie sich bei Ihrem Concur-Mandanten an.
Klicken Sie im Menü Verwaltung auf Webdienste.
Wählen Sie auf der linken Seite des Bereichs Webdienste die Option Partneranwendung aktivieren aus.
Wählen Sie in der Liste Anwendung aktivieren die Option Microsoft Entra ID aus, und klicken Sie dann auf Aktivieren.
Klicken Sie auf Ja, um das Dialogfeld Aktion bestätigen zu schließen.
Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
Browsen Sie zu Identität>Anwendungen>Unternehmensanwendungen.
Suchen Sie über das Suchfeld nach Ihrer Concur-Instanz, wenn Sie Concur bereits für einmaliges Anmelden konfiguriert haben. Wählen Sie andernfalls Hinzufügen, und suchen Sie im Anwendungskatalog nach Concur. Wählen Sie „Concur“ in den Suchergebnissen aus, und fügen Sie es Ihrer Anwendungsliste hinzu.
Wählen Sie Ihre Concur-Instanz aus, und wählen Sie dann die Registerkarte Bereitstellung.
Legen Sie den Bereitstellungsmodus auf Automatisch fest.
Geben Sie im Abschnitt Administratoranmeldeinformationen den Benutzernamen und das Kennwort Ihres Concur-Administrators ein.
Wählen Sie Verbindung testen aus, um sicherzustellen, dass Microsoft Entra ID eine Verbindung mit Ihrer Concur-App herstellen kann. Wenn die Verbindung nicht hergestellt werden kann, sollten Sie sicherstellen, dass Ihr Concur-Konto über Teamadministratorberechtigungen verfügt.
Geben Sie im Feld Benachrichtigungs-E-Mail die E-Mail-Adresse einer Person oder einer Gruppe ein, die Benachrichtigungen zu Bereitstellungsfehlern erhalten soll, und aktivieren Sie das Kontrollkästchen.
Klicken Sie auf Speichern.
Wählen Sie im Abschnitt Zuordnungen die Option Synchronize Microsoft Entra-Benutzer mit Concur synchronisieren aus.
Überprüfen Sie im Abschnitt Attributzuordnungen die Benutzerattribute, die von Microsoft Entra ID mit Concur synchronisiert werden. Beachten Sie, dass die als übereinstimmende Eigenschaften ausgewählten Attribute für den Abgleich der Benutzerkonten in Concur für Updatevorgänge verwendet werden. Wählen Sie die Schaltfläche Speichern, um alle Änderungen zu übernehmen.
Um den Microsoft Entra-Bereitstellungsdienst für Concur zu aktivieren, ändern Sie im Abschnitt Einstellungen den Bereitstellungsstatus in Ein
Klicken Sie auf Speichern.