Az AD FS-alkalmazások migrálása az AD FS-alkalmazások Microsoft Entra-azonosítóba való áthelyezéséhez
Ebből a cikkből megtudhatja, hogyan migrálhatja Active Directory összevonási szolgáltatások (AD FS) (AD FS) alkalmazásait a Microsoft Entra-azonosítóba az AD FS-alkalmazás migrálásával.
Az AD FS-alkalmazások migrálása a rendszergazdák számára interaktív felületet biztosít az AD FS függő entitásalkalmazásainak AD FS-ből Microsoft Entra-azonosítóba való migrálásához. A varázsló egységes felületet biztosít az új Microsoft Entra-alkalmazások felderítéséhez, kiértékeléséhez és konfigurálásához. Egykattintásos konfigurációt biztosít az egyszerű SAML-URL-címekhez, jogcímleképezésekhez és felhasználói hozzárendelésekhez az alkalmazás Microsoft Entra-azonosítóval való integrálásához.
Az AD FS alkalmazásmigrálási eszköz úgy lett kialakítva, hogy teljes körű támogatást nyújtson a helyszíni AD FS-alkalmazások Microsoft Entra-azonosítóba való migrálásához.
Az AD FS-alkalmazások migrálásával a következőt teheti:
- Értékelje ki az AD FS függő entitás alkalmazás bejelentkezési tevékenységeit, amely segít azonosítani az adott alkalmazások használatát és hatását.
- Elemezze az AD FS és a Microsoft Entra migrálásának megvalósíthatóságát , amely segít azonosítani az alkalmazások Microsoft Entra platformra való migrálásához szükséges migrálási blokkolókat vagy műveleteket.
- Az új Microsoft Entra-alkalmazás konfigurálása egykattintásos alkalmazásmigrálási folyamattal, amely automatikusan konfigurál egy új Microsoft Entra-alkalmazást az adott AD FS-alkalmazáshoz.
Előfeltételek
Az AD FS-alkalmazás migrálása:
- A szervezetnek jelenleg AD FS-t kell használnia az alkalmazások eléréséhez.
- Microsoft Entra ID P1 vagy P2 licenccel rendelkezik.
- A következő szerepkörök egyikével kell rendelkeznie:
- Felhőalkalmazás-rendszergazda
- Alkalmazásadminisztrátor
- Globális olvasó (írásvédett hozzáférés)
- Jelentésolvasó (írásvédett hozzáférés)
- A Microsoft Entra Connectet a helyszíni környezetekben kell telepíteni a Microsoft Entra Connect Health AD FS állapotügynökei mellett.
Több oka is van annak, hogy az AD FS-hez készült Microsoft Entra Connect Health-ügynökök telepítése után nem jelenik meg az összes várt alkalmazás:
- Az AD FS alkalmazásmigrálási irányítópultja csak azokat az AD FS-alkalmazásokat jeleníti meg, amelyek felhasználói bejelentkezéssel rendelkeznek az elmúlt 30 napban.
- A Microsofthoz kapcsolódó AD FS függő entitásalkalmazások nem érhetők el az irányítópulton.
Az AD FS-alkalmazás áttelepítési irányítópultjának megtekintése a Microsoft Entra-azonosítóban
Az AD FS alkalmazásmigrálási irányítópultja a Microsoft Entra Felügyeleti központban, a Usage &insights reporting alatt érhető el. A varázslónak két belépési pontja van:
Vállalati alkalmazások szakaszból:
- Jelentkezzen be a Microsoft Entra felügyeleti központba legalább felhőalkalmazás-rendszergazdaként.
- Keresse meg az Identity>Applications>Enterprise-alkalmazásokat.
- Az AD FS-alkalmazások migrálási irányítópultjának eléréséhez válassza a Usage & Insights területen az AD FS-alkalmazások áttelepítési irányítópultját.
A Figyelés és állapot szakaszból:
- Jelentkezzen be a Microsoft Entra felügyeleti központba legalább felhőalkalmazás-rendszergazdaként.
- Keresse meg az Identity>Monitoring & Health>Enterprise-alkalmazásokat.
- A Kezelés területen válassza a Usage &Insights lehetőséget, majd válassza az AD FS-alkalmazások migrálását az AD FS-alkalmazások áttelepítési irányítópultjának eléréséhez.
Az AD FS alkalmazásmigrálási irányítópultja azon AD FS-függő entitásalkalmazások listáját jeleníti meg, amelyek az elmúlt 30 napban aktívan bejelentkeztek.
Az irányítópult dátumtartomány-szűrővel rendelkezik. A szűrő lehetővé teszi az összes aktív AD FS függő entitásalkalmazás kiválasztását a kiválasztott időtartomány szerint. A szűrő az elmúlt 1 nap, 7 nap és 30 nap időtartamot támogatja.
Három lap áll rendelkezésre az alkalmazások, a konfigurálható alkalmazások és a korábban konfigurált alkalmazások teljes listájához. Ezen az irányítópulton áttekintheti a migrálási munka általános előrehaladását.
Az irányítópult három lapja a következő:
- Minden alkalmazás – megjeleníti a helyszíni környezetből felderített összes alkalmazás listáját.
- Készen áll a migrálásra – az összes olyan alkalmazás listáját jeleníti meg, amelyek készen állnak a migrálási állapot ellenőrzésére.
- Konfigurálásra kész – megjeleníti az AD FS alkalmazásmigrálási varázslóval korábban migrált Összes Microsoft Entra-alkalmazás listáját.
Alkalmazásmigrálás állapota
A Microsoft Entra Connect és az AD FS-hez készült Microsoft Entra Connect Health-ügynökök beolvassák az AD FS függő entitás alkalmazáskonfigurációit és bejelentkezési naplóit. A rendszer elemzi az egyes AD FS-alkalmazásokkal kapcsolatos adatokat annak megállapításához, hogy az alkalmazás migrálható-e, illetve hogy szükség van-e további felülvizsgálatra. Az elemzés eredménye alapján az adott alkalmazás áttelepítési állapota a következő állapotok egyikeként van megjelölve:
- A migrálásra kész eszköz az AD FS-alkalmazáskonfiguráció teljes mértékben támogatott a Microsoft Entra ID-ban, és a migrálás is folyamatban van.
- A felülvizsgálat azt jelenti, hogy az alkalmazás egyes beállításai áttelepíthetők a Microsoft Entra-azonosítóba, de át kell tekintenie azokat a beállításokat, amelyek nem migrálhatók. Ezek azonban nem blokkolják a migrálást.
- A további szükséges lépések azt jelentik, hogy a Microsoft Entra ID nem támogatja az alkalmazás egyes beállításait, így az alkalmazás nem migrálható a jelenlegi állapotában.
Tekintsük át részletesebben az AD FS alkalmazásmigrálási irányítópultjának minden lapját.
Minden alkalmazás lap
A Minden alkalmazás lap az összes aktív AD FS függő entitásalkalmazást jeleníti meg a kiválasztott dátumtartományból. A felhasználó elemezheti az egyes alkalmazások hatását az összesített bejelentkezési adatok használatával. Az áttelepítés állapothivatkozásával a részletek panelre is navigálhatnak.
Az egyes érvényesítési szabályok részleteinek megtekintéséhez tekintse meg az AD FS-alkalmazás áttelepítésének ellenőrzési szabályait.
Jelöljön ki egy üzenetet a további migrálási szabály részleteinek megnyitásához. A tesztelt tulajdonságok teljes listáját az alábbi konfigurációs tesztek táblázatában találja.
A jogcímszabály-tesztek eredményeinek ellenőrzése
Ha konfigurált egy jogcímszabályt az alkalmazáshoz az AD FS-ben, a felhasználói felület részletes elemzést nyújt az összes jogcímszabályról. Láthatja, hogy mely jogcímszabályokat helyezheti át a Microsoft Entra-azonosítóra, és melyekre van szükség további felülvizsgálatra.
- Válasszon ki egy alkalmazást a Minden alkalmazás lap alkalmazáslistájából, majd az Áttelepítés állapot oszlopában válassza ki az állapotot az áttelepítés részleteinek megtekintéséhez. Megjelenik az átadott konfigurációs tesztek összegzése, valamint az esetleges migrálási problémák.
- Az Áttelepítési szabály részletei lapon bontsa ki az eredményeket a lehetséges migrálási problémák részleteinek megjelenítéséhez és további útmutatásért. Az összes tesztelt jogcímszabály részletes listáját a jelen cikk jogcímszabály-tesztek szakaszában találja.
Az alábbi példa az IssuanceTransform szabály áttelepítési szabályának részleteit mutatja be. Felsorolja azokat a jogcímrészeket, amelyeket felül kell vizsgálni és kezelni kell, mielőtt migrálhatja az alkalmazást a Microsoft Entra-azonosítóra.
Jogcímszabály-tesztek
Az alábbi táblázat felsorolja az AD FS-alkalmazásokban végrehajtott összes jogcímszabály-tesztet.
| Ingatlan | Leírás |
|---|---|
| UNSUPPORTED_CONDITION_PARAMETER | A feltételutasítás reguláris kifejezéseket használ annak kiértékelésére, hogy a jogcím megfelel-e egy adott mintának. Ha hasonló funkciót szeretne elérni a Microsoft Entra ID-ban, használhat előre definiált átalakítást, például ifEmpty(), StartWith(), Contains() elemet, többek között. További információ: Vállalati alkalmazások SAML-jogkivonatában kibocsátott jogcímek testreszabása. |
| UNSUPPORTED_CONDITION_CLASS | A feltételutasítás több feltétellel rendelkezik, amelyeket a kiállítási utasítás futtatása előtt ki kell értékelni. A Microsoft Entra ID a jogcím átalakítási függvényeivel támogatja ezt a funkciót, ahol több jogcímértéket is kiértékelhet. További információ: Vállalati alkalmazások SAML-jogkivonatában kibocsátott jogcímek testreszabása. |
| UNSUPPORTED_RULE_TYPE | A jogcímszabály nem ismerhető fel. A jogcímek Microsoft Entra-azonosítóban való konfigurálásáról további információt a vállalati alkalmazások SAML-jogkivonatában kiadott jogcímek testreszabása című témakörben talál. |
| CONDITION_MATCHES_UNSUPPORTED_ISSUER | A feltételutasítás olyan kiállítót használ, amely nem támogatott a Microsoft Entra-azonosítóban. A Microsoft Entra jelenleg nem az Active Directorytól vagy a Microsoft Entra-azonosítótól eltérő tárolókból származó jogcímeket származtat. Ha ez megakadályozza az alkalmazások Microsoft Entra-azonosítóba való migrálását, tudassa velünk. |
| UNSUPPORTED_CONDITION_FUNCTION | A feltételutasítás egy összesítő függvény használatával ad ki vagy ad hozzá egyetlen jogcímet az egyezések számától függetlenül. A Microsoft Entra ID-ban kiértékelheti a felhasználó attribútumát, hogy eldöntse, milyen értéket használjon a jogcímhez olyan függvényekkel, mint például az IfEmpty(), a StartWith(), a Contains(), többek között az IfEmpty(), a StartWith(), a Contains(). További információ: Vállalati alkalmazások SAML-jogkivonatában kibocsátott jogcímek testreszabása. |
| RESTRICTED_CLAIM_ISSUED | A feltételutasítás a Microsoft Entra-azonosítóban korlátozott jogcímet használ. Előfordulhat, hogy korlátozott jogcímet tud kibocsátani, de nem módosíthatja a forrását, és nem alkalmazhat átalakítást. További információ: Egy adott alkalmazás jogkivonataiban kibocsátott jogcímek testreszabása a Microsoft Entra ID-ban. |
| EXTERNAL_ATTRIBUTE_STORE | A kiállítási utasítás az Active Directorytól eltérő attribútumtárolót használ. A Microsoft Entra jelenleg nem az Active Directorytól vagy a Microsoft Entra-azonosítótól eltérő tárolókból származó jogcímeket származtat. Ha ez az eredmény megakadályozza az alkalmazások Microsoft Entra-azonosítóba való migrálását, tudassa velünk. |
| UNSUPPORTED_ISSUANCE_CLASS | A kiállítási utasítás az ADD használatával a bejövő jogcímkészlethez jogcímeket ad hozzá. A Microsoft Entra ID-ban ez több jogcímátalakításként is konfigurálható. További információ: Vállalati alkalmazások SAML-jogkivonatában kibocsátott jogcímek testreszabása. |
| UNSUPPORTED_ISSUANCE_TRANSFORMATION | A kiállítási utasítás reguláris kifejezésekkel alakítja át a kibocsátandó jogcím értékét. Ha hasonló funkciókat szeretne elérni a Microsoft Entra ID-ban, használhat előre definiált átalakítást, például Extract(), Trim()és ToLower(). További információ: Vállalati alkalmazások SAML-jogkivonatában kibocsátott jogcímek testreszabása. |
Készen áll a migrálásra lap
A Migrálásra kész lapon az összes olyan alkalmazás látható, amelyek migrálási állapota kész vagy igény szerinti.
A bejelentkezési adatok segítségével azonosíthatja az egyes alkalmazások hatását, és kiválaszthatja a migráláshoz megfelelő alkalmazásokat. A támogatott egykattintásos alkalmazásmigrálási folyamat elindításához válassza a Migrálás indítása hivatkozásra kattintva.
Konfigurálásra kész lap
Ezen a lapon az AD FS alkalmazásmigrálási varázslóval korábban migrált Microsoft Entra-alkalmazások listája látható.
Az alkalmazás neve az új Microsoft Entra-alkalmazás neve. Az alkalmazásazonosító megegyezik az AD FS függő entitás alkalmazásazonosítójával, amely az alkalmazás és az AD FS-környezet korrelálásához használható. Az alkalmazás konfigurálása a Microsoft Entra hivatkozásban lehetővé teszi az újonnan konfigurált Microsoft Entra-alkalmazásra való navigálást a Nagyvállalati alkalmazás szakaszban.
Alkalmazás áttelepítése az AD FS-ből a Microsoft Entra-azonosítóba az AD FS alkalmazásmigrálási varázslójával
- Az alkalmazás áttelepítésének elindításához válassza a migrálni kívánt alkalmazás áttelepítésének megkezdése hivatkozását a Migrálásra kész lapról.
- A hivatkozás átirányítja az AD FS alkalmazásmigrálási varázslójának egykattintásos alkalmazásmigrálási szakaszára. A varázsló összes konfigurációja a helyszíni AD FS-környezetből lesz importálva.
Mielőtt áttekintenénk a varázsló különböző lapjainak részleteit, fontos tisztában lenni a támogatott és nem támogatott konfigurációkkal.
Támogatott konfigurációk
A támogatott AD FS-alkalmazás áttelepítése a következő konfigurációkat támogatja:
- Csak az SAML-alkalmazáskonfigurációt támogatja.
- Az új Microsoft Entra-alkalmazás nevének testreszabása.
- Lehetővé teszi, hogy a felhasználók bármilyen alkalmazássablont válasszanak ki az alkalmazássablonok konyhájából.
- Alapszintű SAML-alkalmazáskonfigurációk konfigurálása, azaz azonosító és válasz URL-cím.
- A Microsoft Entra-alkalmazás konfigurálása a bérlő összes felhasználójának engedélyezéséhez.
- Csoportok automatikus hozzárendelése a Microsoft Entra alkalmazáshoz.
- Az AD FS függő entitás jogcímkonfigurációiból kinyert Microsoft Entra-kompatibilis jogcímkonfiguráció.
Nem támogatott konfigurációk:
Az AD FS-alkalmazás áttelepítése nem támogatja a következő konfigurációkat:
- Az OIDC (OpenID Connect), az OAuth és a WS-Fed konfigurációk nem támogatottak.
- A feltételes hozzáférési szabályzatok automatikus konfigurálása nem támogatott, azonban a felhasználó ugyanezt konfigurálhatja az új alkalmazás bérlőbe történő konfigurálása után.
- Az aláíró tanúsítvány nincs migrálva az AD FS függő entitásalkalmazásból. Az AD FS-alkalmazás áttelepítési varázslójában a következő lapok találhatók:
Tekintsük meg az AD FS alkalmazásmigrálási varázslójának támogatott egykattintásos alkalmazásmigrálási szakaszának minden lapjának részleteit
Alapismeretek lap
- Az AD FS függő entitásalkalmazás nevével előre feltöltött alkalmazásnév. Használhatja az új Microsoft Entra-alkalmazás neveként. A nevet tetszőleges más értékre is módosíthatja.
- Alkalmazássablon. Válassza ki az alkalmazásnak leginkább megfelelő alkalmazássablont. Ezt a lehetőséget kihagyhatja, ha nem szeretne sablont használni.
Felhasználói &csoportok lap
A kattintásra történő konfiguráció automatikusan hozzárendeli a felhasználókat és csoportokat a Microsoft Entra-alkalmazáshoz, amelyek megegyeznek a helyszíni konfigurációval.
Az összes csoport ki lesz nyerve az AD FS függő entitásalkalmazás hozzáférés-vezérlési szabályzataiból. A csoportokat microsoft Entra Connect-ügynökökkel kell szinkronizálni a Microsoft Entra-bérlőbe. Abban az esetben, ha a csoportok AD FS függő entitásalkalmazással vannak leképezve, de nincsenek szinkronizálva a Microsoft Entra-bérlővel. A rendszer kihagyja ezeket a csoportokat a konfigurációból.
A támogatott felhasználók és csoportok konfigurációja a következő konfigurációkat támogatja a helyszíni AD FS-környezetből:
- Mindenki engedélyezése a bérlőtől.
- Adott csoportok engedélyezése.
Ezeket a felhasználókat és csoportokat tekintheti meg a konfigurációs varázslóban. Ez egy írásvédett nézet, a szakaszt nem módosíthatja.
SAML-konfigurációk lap
Ez a lap a Microsoft Entra alkalmazás egyszeri bejelentkezési beállításaihoz használt alapvető SAML-tulajdonságokat mutatja be. Jelenleg csak a szükséges tulajdonságok vannak leképezve, amelyek csak azonosítók és válasz URL-címek.
Ezek a beállítások közvetlenül az AD FS függő entitásalkalmazásából vannak implementálva, és ezen a lapon nem módosíthatók. Az alkalmazás konfigurálása után azonban ezeket módosíthatja a Microsoft Entra Felügyeleti központ vállalati alkalmazás egyszeri alkalmazáspaneljén.
Jogcímek lap
Az AD FS-jogcímek nem lesznek lefordítva a Microsoft Entra-jogcímekhez hasonlóan. A migrálási varázsló csak bizonyos jogcímeket támogat. Ha hiányzó jogcímeket talál, konfigurálhatja őket a microsoft Entra felügyeleti központban található migrált vállalati alkalmazásban.
Abban az esetben, ha az AD FS függő entitásalkalmazása konfigurálta nameidentifier a Microsoft Entra ID-ban támogatott alkalmazást, akkor az a következőképpen van konfigurálva nameidentifier: . user.userprincipalname Ellenkező esetben a rendszer alapértelmezett névadentifier-jogcímként használja.
Ez írásvédett nézet, itt nem végezhet módosításokat.
Következő lépések lap
Ez a lap a felhasználó részéről várt következő lépésekről vagy felülvizsgálatokról nyújt tájékoztatást. Az alábbi példa az AD FS függő entitásalkalmazás konfigurációinak listáját mutatja be, amelyek nem támogatottak a Microsoft Entra ID-ban.
Ezen a lapon elérheti a vonatkozó dokumentációt a problémák kivizsgálásához és megértéséhez.
Véleményezés és létrehozás lap
Ez a lap az előző lapok összes konfigurációjának összegzését mutatja. Újra áttekintheti. Ha elégedett az összes konfigurációval, és szeretné elvégezni az alkalmazás áttelepítését, a Létrehozás gombra kattintva elindíthatja az áttelepítési folyamatot. Ez migrálja az új alkalmazást a Microsoft Entra-bérlőbe.
Az alkalmazás áttelepítése jelenleg egy kilenc lépésből álló folyamat, amelyet az értesítések használatával figyelhet. A munkafolyamat a következő műveleteket hajtja végre:
- Alkalmazásregisztráció létrehozása
- Szolgáltatásnév létrehozása
- SAML-beállítások konfigurálása
- Felhasználók és csoportok hozzárendelése az alkalmazáshoz
- Jogcímek konfigurálása
Ha az áttelepítési folyamat befejeződött, megjelenik egy értesítés, amely az alkalmazás migrálását sikeresnek látja.
Az alkalmazásmigrálás befejezésekor a rendszer átirányítja a Konfigurálásra kész lapra, ahol az összes korábban migrált alkalmazás megjelenik, beleértve a konfigurált legújabb alkalmazásokat is.
A vállalati alkalmazás áttekintése és konfigurálása
A Konfigurálásra kész lapon a Microsoft Entra-ban található Alkalmazás konfigurálása hivatkozás használatával navigálhat az újonnan konfigurált alkalmazásra a "Nagyvállalati alkalmazások" szakaszban. Alapértelmezés szerint az alkalmazás SAML-alapú bejelentkezési oldalára kerül.
Az SAML-alapú bejelentkezési panelen a rendszer már alkalmazza az AD FS függő entitásalkalmazás-beállításait az újonnan migrált Microsoft Entra-alkalmazásra. Az alapszintű SAML-konfiguráció azonosító- és válasz URL-tulajdonságai, valamint az AD FS-alkalmazás áttelepítési varázslójának Attribútumok &jogcímek lapjaiból származó jogcímek listája megegyezik a vállalati alkalmazáséval.
Az alkalmazás Tulajdonságok paneljén az alkalmazássablon emblémája azt jelzi, hogy az alkalmazás a kiválasztott alkalmazássablonhoz van csatolva. A Tulajdonosok lapon a rendszer hozzáadja az aktuális rendszergazda felhasználót az alkalmazás egyik tulajdonosaként.
A Felhasználók és csoportok panelen az összes szükséges csoport már hozzá van rendelve az alkalmazáshoz.
A migrált vállalati alkalmazás áttekintése után az üzleti igényeknek megfelelően frissítheti az alkalmazást. Jogcímeket adhat hozzá vagy frissíthet, további felhasználókat és csoportokat rendelhet hozzá, vagy feltételes hozzáférési szabályzatokat konfigurálhat a többtényezős hitelesítés vagy más feltételes engedélyezési funkciók támogatásának engedélyezéséhez.
Visszagurítás
Az AD FS-alkalmazás áttelepítési varázslójának egykattintásos konfigurációja migrálja az új alkalmazást a Microsoft Entra-bérlőbe. Az áttelepített alkalmazás azonban inaktív marad, amíg át nem irányítja a bejelentkezési forgalmat. Addig is, ha vissza szeretné állítani, törölheti az újonnan migrált Microsoft Entra-alkalmazást a bérlőről.
A varázsló nem biztosít automatikus tisztítást. Ha nem szeretné folytatni a migrált alkalmazás beállítását, manuálisan kell törölnie az alkalmazást a bérlőből. Az alkalmazásregisztráció és a hozzá tartozó vállalati alkalmazás törlésére vonatkozó utasításokért tekintse meg a következő URL-címeket:
Hibaelhárítási tippek
Nem látható az összes AD FS-alkalmazás a jelentésben
Ha telepítette a Microsoft Entra Connect Health-ügynököket az AD FS-hez, de továbbra is megjelenik a telepítésre vonatkozó kérés, vagy nem látja az összes AD FS-alkalmazást a jelentésben, előfordulhat, hogy nem rendelkezik aktív AD FS-alkalmazásokkal, vagy az AD FS-alkalmazások Microsoft-alkalmazások.
Jegyzet
Az AD FS-alkalmazás áttelepítése felsorolja a szervezet összes AD FS-alkalmazását, és csak az elmúlt 30 napban jelentkeztek be aktív felhasználók.
A jelentés nem jeleníti meg a Microsofttal kapcsolatos függő entitásokat az AD FS-ben, például az Office 365-ben. Például a névvel urn:federation:MicrosoftOnlinemicrosoftonlinemicrosoft:winhello:cert:prov:server rendelkező függő entitások nem jelennek meg a listában.
Miért jelenik meg az "azonos azonosítóval rendelkező alkalmazás már létezik" érvényesítési hiba?
A bérlőn belül minden alkalmazásnak egyedi alkalmazásazonosítóval kell rendelkeznie. Ha ezt a hibaüzenetet látja, az azt jelenti, hogy már rendelkezik egy másik, azonos azonosítójú alkalmazással a Microsoft Entra-bérlőben. Ebben az esetben vagy frissítenie kell a meglévő alkalmazásazonosítót, vagy frissítenie kell az AD FS függő entitás alkalmazásazonosítóját, és várnia kell 24 órát, amíg a frissítések megjelennek.