Microsoft Entra collaboration interentreprises (B2B) avec Microsoft Identity Manager(MIM) 2016 SP1 avec Azure Application Proxy

Article
10/12/2023

Le scénario initial concerne la gestion du cycle de vie des comptes Active Directory des utilisateurs externes. Dans ce scénario, un organization a invité des invités dans son répertoire de Microsoft Entra et souhaite donner à ces invités l’accès à des applications locales d’authentification Windows-Integrated ou Kerberos, via le proxy d’application Microsoft Entra ou d’autres mécanismes de passerelle. Le proxy d’application Microsoft Entra exige que chaque utilisateur dispose de son propre compte AD DS, à des fins d’identification et de délégation.

Conseils pour ce scénario

Voici quelques hypothèses dans la configuration de B2B avec MIM et Microsoft Entra ID Proxy d'application :

Vous avez déjà déployé une instance locale d’AD, que Microsoft Identity Manager est installé, et que vous avez effectué une configuration de base du service MIM, du portail MIM, de l’agent de gestion Active Directory (AD MA) et de l’agent de gestion FIM (FIM MA). Pour plus d’informations, consultez Déployer Microsoft Identity Manager 2016 SP2.
Vous avez déjà suivi les instructions fournies dans l’article expliquant comment télécharger et installer le connecteur Graph.
Vous avez configuré Microsoft Entra Connect pour synchroniser les utilisateurs et les groupes sur Microsoft Entra ID.
Vous avez déjà configuré Proxy d'application connecteurs et groupes de connecteurs. Si ce n’est pas le cas, consultez Tutoriel : Ajouter une application locale pour l’accès à distance via Proxy d'application dans Microsoft Entra ID à installer et à configurer.
Vous avez déjà publié une ou plusieurs applications, qui s’appuient sur l’authentification intégrée Windows ou des comptes AD individuels via Microsoft Entra proxy d’application.
Vous avez invité ou invité un ou plusieurs invités, ce qui a entraîné la création d’un ou de plusieurs utilisateurs dans Microsoft Entra ID. Pour plus d’informations, consultez Inscription en libre-service pour Microsoft Entra B2B Collaboration.

Scénario : exemple de déploiement de bout en bout B2B

Ce guide s’appuie sur le scénario suivant :

Contoso Pharmaceuticals travaille avec Trey Research Inc. dans le cadre de son service de recherche et développement. Les employés de Trey Research ont besoin d’accéder à l’application de création de rapports de recherche fournie par Contoso Pharmaceuticals.

Contoso Pharmaceuticals a son propre locataire, ayant configuré un domaine personnalisé.
Une personne a invité un utilisateur externe dans le locataire Contoso Pharmaceuticals. Celui-ci a accepté l’invitation et peut accéder aux ressources partagées.
Contoso Pharmaceuticals a publié une application via le proxy d’application. Dans ce scénario, l’exemple d’application est le portail MIM. Celui-ci permet à un utilisateur invité de participer aux processus MIM, par exemple, dans les scénarios de support technique ou pour demander l’accès à des groupes MIM.

Configurer AD et Microsoft Entra Connect pour exclure les utilisateurs ajoutés de l’ID Microsoft Entra

Par défaut, Microsoft Entra Connect suppose que les utilisateurs non-administrateurs dans Active Directory doivent être synchronisés dans Microsoft Entra ID. Si Microsoft Entra Connect trouve un utilisateur existant dans Microsoft Entra ID qui correspond à l’utilisateur à partir d’AD local, Microsoft Entra Connect correspondra aux deux comptes et supposera qu’il s’agit d’une synchronisation antérieure de l’utilisateur, et rendra l’AD local faisant autorité. Toutefois, ce comportement par défaut ne convient pas au flux B2B, où le compte d’utilisateur provient de Microsoft Entra ID.

Par conséquent, les utilisateurs introduits dans AD DS par MIM à partir de Microsoft Entra ID doivent être stockés de manière à ce que Microsoft Entra ID ne tente pas de synchroniser ces utilisateurs avec Microsoft Entra ID. L’une des façons de procéder consiste à créer une unité d’organisation dans AD DS et à configurer Microsoft Entra Connect pour exclure cette unité organisationnelle.

Pour plus d’informations, consultez Microsoft Entra Connect Sync : Configurer le filtrage.

Créer l’application Microsoft Entra

Remarque : Avant de créer l’agent de gestion pour le connecteur Graph dans MIM Sync, lisez le guide de déploiement du connecteur Graph, puis créez une application avec un ID client et un secret. Vérifiez que l’application dispose au moins de l’une des autorisations suivantes : User.Read.All, User.ReadWrite.All, Directory.Read.All ou Directory.ReadWrite.All.

Créer un agent de gestion

Dans l’interface utilisateur Synchronization Service Manager, sélectionnez Connecteurs et Créer. Sélectionnez Graph (Microsoft) , puis attribuez-lui un nom explicite.

Capture d’écran montrant l’agent de gestion pour Graph avec un nom de graphe B 2 B et un bouton O K.

Connectivité

Dans la page Connectivité, vous devez spécifier la version de l’API Graph. Pour la version de production, il s’agit de v 1.0, pour la version de préproduction, il s’agit de Bêta.

Capture d’écran montrant la version de Graph A P I sélectionnée et un bouton Suivant.

Paramètres globaux

Capture d’écran montrant les valeurs des paramètres globaux et un bouton Suivant.

Configurer la hiérarchie de provisionnement

Cette page sert à mapper le composant du nom unique, par exemple l’unité d’organisation, sur le type d’objet à provisionner, par exemple organizationalUnit. Cependant, nous n’en avons pas besoin pour ce scénario, vous pouvez donc garder la valeur par défaut et cliquer sur Suivant.

Capture d’écran montrant la page Configurer la hiérarchie d’approvisionnement et un bouton Suivant.

Configurer les partitions et les hiérarchies

Dans la page des partitions et hiérarchies, sélectionnez tous les espaces de noms contenant des objets que vous envisagez d’importer et d’exporter.

Capture d’écran montrant la page Configurer les partitions et les hiérarchies et un bouton O K.

Sélectionner les types d’objets

Dans la page Types d’objets, sélectionnez les types d’objets à importer. Vous devez sélectionner au moins l’objet Utilisateur.

Capture d’écran montrant la page Sélectionner des types d’objets avec un type d’objet sélectionné et un bouton OK.

Sélectionner les attributs

Dans l’écran Sélectionner des attributs, sélectionnez des attributs dans Microsoft Entra qui seront nécessaires pour gérer les utilisateurs B2B dans AD. L’attribut « ID » est obligatoire. Les attributs userPrincipalName et userType seront utilisés plus tard dans cette configuration. Les autres attributs sont facultatifs, notamment :

displayName
mail
givenName
surname
userPrincipalName
userType

Capture d’écran montrant l’écran Sélectionner des attributs avec certains attributs sélectionnés et un bouton O K.

Configurer les ancres

Dans l’écran Configurer l’ancre, la configuration de l’attribut d’ancre constitue une étape obligatoire. Par défaut, utilisez l’attribut ID pour le mappage d’utilisateurs.

Capture d’écran montrant l’écran Configurer les ancres avec un type d’objet d’utilisateur et un attribut d’ancre i d et un bouton Suivant.

Configurer le filtre de connecteur

Dans la page Configurer le filtre du connecteur, MIM vous permet d’exclure des objets en fonction d’un filtre d’attribut. Dans ce scénario pour B2B, l’objectif est d’introduire uniquement les utilisateurs avec la valeur de l’attribut userType qui est Guestégal à , et non les utilisateurs avec l’userType égal memberà .

Capture d’écran montrant la page Configurer le filtre de connecteur avec des filtres pour l’utilisateur sélectionnés et un bouton OK.

Configurer les règles de jointure et de projection

Ce guide suppose que vous allez créer une règle de synchronisation. La configuration des règles de jointure et de projection est gérée par la règle de synchronisation. Il n’est donc pas nécessaire d’identifier une jointure et une projection dans le connecteur. Laissez la valeur par défaut et cliquez sur OK.

Capture d’écran montrant la page Configurer les règles de jointure et de projection avec un bouton O K.

Configurer le flux de valeur d’attribut

Ce guide suppose que vous allez créer une règle de synchronisation. Pour la projection, il n’est pas nécessaire de définir le flux de valeur d’attribut dans MIM Sync, puisqu’il est géré par la règle de synchronisation que vous allez créer plus tard. Laissez la valeur par défaut et cliquez sur OK.

Capture d’écran montrant la page Configurer le flux d’attributs avec un bouton O K.

Configurer le déprovisionnement

Le paramètre de configuration du déprovisionnement permet de configurer la synchronisation MIM en vue de supprimer l’objet, si l’objet métaverse est supprimé. Dans ce scénario, nous en faisons des déconnectés, car l’objectif est de les laisser dans Microsoft Entra ID. Dans ce scénario, nous n’exportons rien vers Microsoft Entra ID, et le connecteur est configuré uniquement pour l’importation.

Capture d’écran montrant la page Configurer le déprovisionnement avec un bouton O K.

Configurer les extensions

La configuration des extensions de cet agent de gestion est facultative puisque nous utilisons une règle de synchronisation. Si nous avions décidé d’utiliser une règle avancée dans le flux de valeur d’attribut, nous aurions dû définir l’extension des règles.

Capture d’écran montrant la page Configurer les extensions avec un bouton OK.

Extension du schéma de métaverse

Avant de créer la règle de synchronisation, nous avons besoin de créer un attribut appelé userPrincipalName lié à l’objet de la personne à l’aide du concepteur de métaverse.

Dans le client de synchronisation, sélectionnez le concepteur de métaverse.

Capture d’écran montrant l’option Métaverse Designer dans le menu du ruban Synchronisation Service Manager.

Ensuite, sélectionnez le type d’objet Personne.

Capture d’écran montrant les types d’objets Metaverse Designer avec le type d’objet person sélectionné.

Ensuite, sous Actions, cliquez sur Ajouter un attribut.

Capture d’écran montrant l’élément Ajouter un attribut dans le menu Actions.

Enfin, renseignez les informations suivantes :

Nom d’attribut : userPrincipalName

Type d’attribut : Chaîne (indexable)

Indexé = Vrai

Capture d’écran montrant les boîtes de dialogue permettant d’entrer des valeurs pour Nom d’attribut, Type d’attribut et Indexé.

Création de règles de synchronisation du service MIM

Dans les étapes ci-dessous, nous commençons le mappage du compte invité B2B et du flux d’attributs. Nous partons du principe que vous avez déjà configuré l’agent de gestion Active Directory, et que l’agent de gestion FIM est configuré pour importer les utilisateurs dans le service et le portail MIM.

Capture d’écran montrant l’écran Règles de synchronisation.

Les étapes suivantes nécessiteront l’ajout d’une configuration minimale à la ma FIM et à l’ad ma.

Vous trouverez plus d’informations ici pour la configuration https://technet.microsoft.com/library/ff686263(v=ws.10).aspx - Guide pratique pour provisionner des utilisateurs dans AD DS

Règle de synchronisation : Importer un utilisateur invité dans MV dans le métaverse du service de synchronisation à partir de Microsoft Entra ID

Accédez au portail MIM, sélectionnez Règles de synchronisation, puis cliquez sur Nouveau. Créer une règle de synchronisation de trafic entrant pour le flux B2B via le connecteur Graph. Capture d’écran montrant l’onglet Général de l’écran Créer une règle de synchronisation avec le nom de la règle de synchronisation entré.

Capture d’écran montrant l’onglet Étendue avec Métaverse Type de ressource, Système externe, Type de ressource système externe et Filtres.

Dans l’étape relative aux critères de relation, veillez à sélectionner « Créer une ressource dans FIM ». Capture d’écran montrant l’onglet Relation et Critères de relation.

Capture d’écran montrant l’onglet Flux d’attribut entrant dans l’écran Règle de synchronisation IN.

Configurez les règles de flux de valeur d’attribut entrant ci-dessous. Veillez à remplir les accountNameattributs et userPrincipalName , uid car ils seront utilisés plus loin dans ce scénario :

Flux initial uniquement	Utilisation en tant que test d’existence	Flux (valeur source ⇒ attribut FIM)
		`[displayName⇒displayName](javascript:void(0);)`
		`[Left(id,20)⇒accountName](javascript:void(0);)`
		`[id⇒uid](javascript:void(0);)`
		`[userType⇒employeeType](javascript:void(0);)`
		`[givenName⇒givenName](javascript:void(0);)`
		`[surname⇒sn](javascript:void(0);)`
		`[userPrincipalName⇒userPrincipalName](javascript:void(0);)`
		`[id⇒cn](javascript:void(0);)`
		`[mail⇒mail](javascript:void(0);)`
		`[mobilePhone⇒mobilePhone](javascript:void(0);)`

Règle de synchronisation : Créer le compte d’utilisateur invité dans Active Directory

Cette règle de synchronisation crée l’utilisateur dans Active Directory. Assurez-vous que le flux pour dn doit placer l’utilisateur dans l’unité organisationnelle qui a été exclue de Microsoft Entra Connect. Mettez à jour le flux pour unicodePwd de manière à respecter votre stratégie de mot de passe AD. L’utilisateur n’aura pas besoin de connaître le mot de passe. Notez que la valeur de 262656 pour userAccountControl encode les indicateurs SMARTCARD_REQUIRED et NORMAL_ACCOUNT.

Capture d’écran montrant l’onglet Général de l’écran Règle de synchronisation OUT.

Capture d’écran montrant l’onglet Étendue avec Métaverse Type de ressource, Système externe, Type de ressource système externe et Filtre d’étendue du système sortant.

Capture d’écran montrant l’onglet Flux d’attribut sortant.

Règles de flux :

Flux initial uniquement	Utilisation en tant que test d’existence	Flux (valeur FIM ⇒ attribut de destination)
		`[accountName⇒sAMAccountName](javascript:void(0);)`
		`[givenName⇒givenName](javascript:void(0);)`
		`[mail⇒mail](javascript:void(0);)`
		`[sn⇒sn](javascript:void(0);)`
		`[userPrincipalName⇒userPrincipalName](javascript:void(0);)`
O		`["CN="+uid+",OU=B2BGuest,DC=contoso,DC=com"⇒dn](javascript:void(0);)`
O		`[RandomNum(0,999)+userPrincipalName⇒unicodePwd](javascript:void(0);)`
O		`[262656⇒userAccountControl](javascript:void(0);)`

Cette règle de synchronisation du trafic entrant importe l’attribut SID de l’utilisateur Active Directory dans MIM, afin que l’utilisateur puisse accéder au portail MIM. Le portail MIM exige que l’utilisateur ait renseigné les attributs samAccountName, domain et objectSid dans la base de données du service MIM.

Configurez le système externe source en tant que ADMA, car l’attribut objectSid est défini automatiquement par AD lorsque MIM crée l’utilisateur.

Notez que si vous configurez des utilisateurs à créer dans le service MIM, vous devez vérifier qu’ils ne font pas partie d’un ensemble destiné aux règles de stratégie de gestion SSPR des employés. Vous devrez peut-être modifier vos définitions d’ensemble d’utilisateurs pour exclure les utilisateurs qui ont été créés par le flux B2B.

Capture d’écran montrant l’onglet Général de l’écran Règle de synchronisation IN.

Capture d’écran montrant l’onglet Relation de l’écran Règle de synchronisation IN.

Capture d’écran montrant l’onglet Étendue de l’écran Règle de synchronisation IN.

Capture d’écran montrant l’onglet Flux d’attributs entrants.

Flux initial uniquement	Utilisation en tant que test d’existence	Flux (valeur source ⇒ attribut FIM)
		`[sAMAccountName⇒accountName](javascript:void(0);)`
		`["CONTOSO"⇒domain](javascript:void(0);)`
		`[objectSid⇒objectSid](javascript:void(0);)`

Exécuter les règles de synchronisation

Enfin, nous invitons l’utilisateur, puis nous exécutons les règles de synchronisation de l’agent de gestion dans l’ordre suivant :

Importation et synchronisation complètes sur l’agent de gestion MIMMA. Ainsi, vous êtes sûr que les règles de synchronisation les plus récentes sont configurées dans MIM Sync.
Importation et synchronisation complètes sur l’agent de gestion ADMA. Cela garantit la cohérence entre MIM et Active Directory. À ce stade, il n’y a pas encore d’exportations d’invités en attente.
Importation et synchronisation complètes dans l’agent de gestion Graph B2B. Cela importe les utilisateurs invités dans le métaverse. À ce stade, un ou plusieurs comptes sont en attente d’exportation pour ADMA. Si aucune exportation n’est en attente, vérifiez que les utilisateurs invités ont été importés dans l’espace connecteur, et que les règles ont été configurées de manière à être appliquées aux comptes Active Directory.
Exportation, importation différentielle et synchronisation dans l’agent de gestion ADMA. Si l’exportation échoue, vérifiez la configuration des règles, puis vérifiez si des spécifications de schéma sont manquantes.
Exportation, importation différentielle et synchronisation dans l’agent de gestion MIMMA. Lorsque cette opération est terminée, il ne doit plus y avoir d’exportations en attente.

Table répertoriant les agents de gestion par nom, type, description et état.

Facultatif : Proxy d’application pour les invités B2B se connectant au portail MIM

À présent, nous avons créé les règles de synchronisation dans MIM. Dans la configuration du proxy d’application, définissez l’utilisation du principal de cloud pour autoriser KCD sur le proxy d’application. De plus, ajoutez l’utilisateur manuellement aux utilisateurs et groupes gérés. Les options permettant de ne pas montrer l’utilisateur tant que sa création ne s’est pas produite dans MIM pour ajouter l’invité à un groupe Office une fois qu’il est provisionné exigent une configuration plus avancée qui n’est pas décrite dans ce document.

Capture d’écran montrant l’écran de gestion des utilisateurs et des groupes MIM B2 B.

Capture d’écran montrant l’écran de gestion de l’authentification unique MIM B2 B.

Capture d’écran montrant l’écran du proxy d’application MIM B 2 B.

Une fois tout ceci configuré, demandez à l’utilisateur B2B de se connecter pour voir l’application.

Capture d’écran montrant la connexion et les applications de démonstration.

Capture d’écran montrant la page d’accueil Microsoft Identity Manager.

Étapes suivantes

How Do I Provision Users to AD DS

Functions Reference for FIM 2010

Guide pratique pour fournir un accès à distance sécurisé aux applications locales

Télécharger le connecteur Microsoft Identity Manager pour Microsoft Graph