Compartir a través de

Tutorial: Configurar Amazon Business para el aprovisionamiento automático de usuarios

  • Artículo

Este tutorial describe los pasos que debe realizar tanto en Amazon Business como en Microsoft Entra ID para configurar el aprovisionamiento automático de usuarios. Cuando se configura, Microsoft Entra ID aprovisiona y desaprovisiona automáticamente usuarios y grupos en Amazon Business mediante el servicio de aprovisionamiento de Microsoft Entra. Para obtener información importante acerca de lo que hace este servicio, cómo funciona y ver preguntas frecuentes al respecto, consulte Automatización del aprovisionamiento y desaprovisionamiento de usuarios para aplicaciones SaaS con Microsoft Entra ID.

Funcionalidades admitidas

  • Crear usuarios en Amazon Business.
  • Elimine usuarios en Amazon Business cuando ya no necesiten acceso.
  • Asignar roles de Amazon Business al usuario.
  • Mantenga la sincronización de los atributos de usuario entre Microsoft Entra ID y Amazon Business.
  • Aprovisionar grupos y membresías de grupos en Amazon Business.
  • Inicio de sesión único en Amazon Business (recomendado).

Requisitos previos

En el escenario descrito en este tutorial se supone que ya cuenta con los requisitos previos siguientes:

Paso 1: Planeación de la implementación de aprovisionamiento

  1. Obtenga información sobre cómo funciona el servicio de aprovisionamiento.
  2. Determine quién estará en el ámbito de aprovisionamiento.
  3. Determine qué datos quiere asignar entre Microsoft Entra ID y Amazon Business.

Paso 2: Configurar Amazon Business para admitir el aprovisionamiento con Microsoft Entra ID

Antes de configurar y habilitar el servicio de aprovisionamiento, debe identificar un grupo predeterminado para usuarios y grupos. Se recomienda que:

  • Siga el principio de privilegio mínimo teniendo solo permisos de SOLICITANTE para el grupo de usuarios predeterminado.
  • Siga la convención de nomenclatura de grupos que se indica a continuación para facilitar las referencias a los grupos a lo largo de este documento.
    • Grupo primario de SCIM predeterminado
      • Esta es la raíz del directorio SCIM en AmazonBusiness. Todos los grupos SCIM se colocan directamente bajo este grupo predeterminado. Puede seleccionar un grupo existente como grupo primario de SCIM predeterminado.
    • Grupo de usuarios de SCIM predeterminado
      • Los usuarios que se asignan a la aplicación de Amazon Business se colocarán en este grupo de forma predeterminada con un rol de solicitante. Se recomienda tener este grupo en el mismo nivel que el grupo primario de SCIM predeterminado.
      • Si un usuario se aprovisiona sin una asignación de grupo, se colocará en este grupo de forma predeterminada con un rol de solicitante.
      • Cualquier usuario desactivado permanecerá en este grupo. Por lo tanto, se recomienda no utilizar ningún otro rol que no sea el de Requisidor para este grupo.

Nota:

  • El grupo primario de SCIM predeterminado puede ser el mismo que el grupo predeterminado seleccionado para la configuración de SSO.
  • El grupo primario de SCIM predeterminado puede ser un grupo de Entidad jurídica. Se recomienda elegir Entidad jurídica como grupo predeterminado si tiene diferentes plantillas de facturación configuradas para diferentes grupos en su cuenta AB.
  • Actualmente se admite la habilitación de SCIM para una sola Entidad jurídica en una cuenta de Amazon Business.

Una vez identificados los grupos SCIM predeterminados, vaya a la página de la cuenta de Amazon Business > Configuración de empresa > Administración de identidades (SCIM), escriba los detalles y haga clic en Activar. Es necesario completar este paso antes de continuar con el paso siguiente.

Agregue Amazon Business desde la galería de aplicaciones de Microsoft Entra para comenzar a administrar el aprovisionamiento en Amazon Business. Si previamente configuró Amazon Business para SSO, puede usar la misma aplicación. Sin embargo, se recomienda que cree una aplicación independiente al probar la integración inicialmente. Puede encontrar más información sobre cómo agregar una aplicación desde la galería aquí.

Paso 4: Determinar quién estará en el ámbito de aprovisionamiento

El servicio de aprovisionamiento de Microsoft Entra le permite definir quién se aprovisionará, en función de la asignación a la aplicación y de los atributos del usuario o grupo. Si elige el ámbito del que se aprovisionará en la aplicación en función de la asignación, puede usar los pasos siguientes para asignar usuarios y grupos a la aplicación. Si elige el ámbito del que se aprovisionará en función únicamente de los atributos del usuario o grupo, puede usar un filtro de ámbito, tal como se describe aquí.

  • Al asignar usuarios y grupos a Amazon Business, debe seleccionar una función que no sea Acceso predeterminado. Los usuarios con el rol de acceso predeterminado se excluyen del aprovisionamiento y se marcarán como no autorizados en los registros de aprovisionamiento. Si el único rol disponible en la aplicación es el rol de acceso predeterminado, puede actualizar el manifiesto de la aplicación para agregar otros roles.
  • Empiece por algo pequeño. Pruebe con un pequeño conjunto de usuarios y grupos antes de implementarlo en todos. Cuando el ámbito del aprovisionamiento se define en los usuarios y grupos asignados, puede controlarlo asignando uno o dos usuarios o grupos a la aplicación. Cuando el ámbito se establece en todos los usuarios y grupos, puede especificar un filtro de ámbito basado en atributos.
  • Puede actualizar el manifiesto de aplicación para agregar roles de Amazon Business. El usuario puede tener uno de los siguientes roles:
    • Solicitante (para realizar pedidos o enviar solicitudes de pedido para su aprobación).
    • Administrador (para administrar personas, grupos, roles y aprobaciones. Ver pedidos. Ejecutar informes de pedidos)
    • Finanzas (para acceder a facturas, notas de crédito, análisis e historial de pedidos).
    • Tecnología (para configurar integraciones del sistema con los programas usados en el trabajo).

Captura de pantalla de la lista de roles de aplicación.

Paso 5: Configurar el aprovisionamiento automático de usuarios en Amazon Business

En esta sección se le guía por los pasos necesarios para configurar el servicio de aprovisionamiento de Microsoft Entra para crear, actualizar y deshabilitar usuarios o grupos en Amazon Business en función de las asignaciones de usuarios o grupos de Microsoft Entra ID.

Para configurar el aprovisionamiento automático de usuarios para Amazon Business en Microsoft Entra ID:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales

    Captura de pantalla del panel Aplicaciones empresariales.

  3. En la lista de aplicaciones, seleccione Amazon Business.

    Captura de pantalla del enlace de Amazon Business en la lista de Aplicaciones.

  4. Seleccione la pestaña Aprovisionamiento.

    Captura de pantalla de la pestaña Aprovisionamiento.

  5. Establezca el modo de aprovisionamiento en Automático.

    Captura de pantalla de la pestaña Aprovisionamiento automático.

  6. En la sección Credenciales de administrador, ingrese su URL de inquilino de Amazon Business y su punto de conexión de autorización. Haga clic en Probar conexión para asegurarse de que Microsoft Entra ID pueda conectarse a Amazon Business. Si la conexión falla, asegúrese de que su cuenta de Amazon Business tenga permisos de administrador y vuelva a intentarlo.

    Captura de pantalla del token.

    Para los valores de dirección URL de inquilino y punto de conexión de autorización, use la tabla siguiente

    Country URL de inquilino Punto de conexión de autorización
    Canadá https://na.business-api.amazon.com/scim/v2/ https://www.amazon.ca/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Alemania https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.de/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    España https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.es/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Francia https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.fr/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    GB/UK https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.co.uk/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    India https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.in/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Italia https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.it/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Japón https://jp.business-api.amazon.com/scim/v2/ https://www.amazon.co.jp/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    México https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com.mx/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    US https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3

  7. En el campo Correo electrónico de notificación, escriba la dirección de correo electrónico de una persona o grupo que deba recibir las notificaciones de error de aprovisionamiento y active la casilla Enviar una notificación por correo electrónico cuando se produzca un error.

    Captura de pantalla del correo electrónico de notificación.

  8. Seleccione Guardar.

  9. En la sección Asignaciones, seleccione Sincronizar usuarios de Microsoft Entra con Amazon Business.

  10. Revise los atributos de usuario que se sincronizan entre Microsoft Entra ID y Amazon Business en la sección Asignación de atributos. Los atributos seleccionados como propiedades de Coincidencia se utilizan para hacer coincidir las cuentas de usuario en Amazon Business para las operaciones de actualización. Si elige cambiar el atributo de destino coincidente, deberá asegurarse de que la API de Amazon Business admita el filtrado de usuarios según ese atributo. Seleccione el botón Guardar para confirmar los cambios.

    Atributo Tipo Compatible con el filtrado Requerido por Amazon Business
    userName String ✓ ✓
    active Boolean
    emails[type eq "work"].value String
    name.givenName String
    name.familyName String
    externalId String
    roles. Lista de appRoleAssignments [appRoleAssignments]

  11. En la sección Asignaciones, seleccione Sincronizar grupos de Microsoft Entra con Amazon Business.

  12. Revise los atributos de grupo que se sincronizan entre Microsoft Entra ID y Amazon Business en la sección Asignación de atributos. Los atributos seleccionados como propiedades de Coincidencia se usan para establecer correspondencia con los grupos de Amazon Business a fin de realizar operaciones de actualización. Seleccione el botón Guardar para confirmar los cambios.

    Atributo Tipo Compatible con el filtrado Requerido por Amazon Business
    DisplayName String ✓ ✓
    members Referencia

  13. Para configurar filtros de ámbito, consulte las siguientes instrucciones, que se proporcionan en el artículo Aprovisionamiento de aplicaciones basado en atributos con filtros de ámbito.

  14. Para habilitar el servicio de aprovisionamiento de Microsoft Entra para Amazon Business, cambie el Estado de aprovisionamiento a Activado en la sección Configuración.

    Captura de pantalla del botón de alternancia Estado de aprovisionamiento activado.

  15. Defina los usuarios o grupos que quiere aprovisionar en Amazon Business; para ello, seleccione los valores deseados en Ámbito, en la sección Configuración.

    Captura de pantalla del ámbito de aprovisionamiento.

  16. Cuando esté listo para realizar el aprovisionamiento, haga clic en Guardar.

    Captura de pantalla de cómo guardar la configuración de aprovisionamiento.

Esta operación inicia el ciclo de sincronización inicial de todos los usuarios y grupos definidos en Ámbito en la sección Configuración. El ciclo de sincronización inicial tarda más tiempo en realizarse que los ciclos posteriores, que se producen aproximadamente cada 40 minutos si el servicio de aprovisionamiento de Microsoft Entra está ejecutándose.

Paso 6: Supervisión de la implementación

Una vez configurado el aprovisionamiento, use los recursos siguientes para supervisar la implementación:

  • Use los registros de aprovisionamiento para determinar qué usuarios se han aprovisionado correctamente o sin éxito.
  • Consulte la barra de progreso para ver el estado del ciclo de aprovisionamiento y cuánto falta para que finalice
  • Si la configuración de aprovisionamiento parece ser incorrecta, la aplicación pasará a estar en cuarentena. Más información sobre los estados de cuarentena aquí.

Limitaciones de característica

  • La estructura plana se crea en la cuenta de Amazon Business, es decir, todos los grupos insertados están en el mismo nivel en el grupo SCIM predeterminado. No se admite la estructura o jerarquía anidadas.
  • Los nombres de grupo serán los mismos en la cuenta de Azure y Amazon Business.
  • A medida que se creen nuevos grupos en la cuenta de Amazon Business, los administradores deben volver a configurar la configuración empresarial (por ejemplo, activar la compra, actualizar la configuración compartida, agregar directivas de compra guiadas, etc.) para los nuevos grupos según sea necesario.
  • Si se eliminan grupos antiguos o usuarios de grupos antiguos en Amazon Business, se perderá la visibilidad de los pedidos realizados con ese grupo antiguo, por lo que se recomienda
    • No eliminar las asignaciones o grupos antiguos y
    • Desactivar la compra de los grupos antiguos.
  • Actualización de correo electrónico o nombre de usuario: no se admite la actualización de correo electrónico o nombre de usuario a través del sistema SCIM en este momento.
  • Sincronización de contraseñas: no se admite la sincronización de contraseñas.
  • Requisito de SSO: aunque la aplicación Amazon Business permite la activación del aprovisionamiento de SCIM sin SSO, los usuarios aprovisionados requerirán autenticación de SSO para acceder a Amazon Business.
  • Cuentas de varias entidades jurídicas (MLE): actualmente no se admite la habilitación de SCIM para más de una entidad jurídica en una cuenta de Amazon Business.
  • Al aprovisionar un grupo con el mismo nombre que ya existente en Amazon Business, estos grupos se vincularán automáticamente (se creará un nuevo grupo en Amazon Business).

Sugerencias de solución de problemas

  • Si los administradores de Amazon Business solo han iniciado sesión con el inicio de sesión único o no conocen sus contraseñas, pueden usar el flujo de contraseña olvidado para restablecer su contraseña e iniciar sesión en Amazon Business.
  • Si las funciones de administrador y solicitante ya se han aplicado al cliente en un grupo, la asignación de roles de finanzas o técnicos no dará lugar a actualizaciones en el lado de Amazon Business.
  • Los clientes con cuentas MASE (varias cuentas con la misma dirección de correo electrónico) que eliminan una de sus cuentas pueden ver errores de que la cuenta no existe al aprovisionar nuevos usuarios durante un breve periodo de tiempo (24-48 horas).
  • Los clientes no se pueden quitar inmediatamente a través del aprovisionamiento a petición. El aprovisionamiento debe estar activado y la eliminación se realizará 40 minutos después de realizar la acción.

Más recursos

Pasos siguientes