A G Suite konfigurálása automatikus felhasználói kiépítéshez a Microsoft Entra-azonosítóval

Ez a cikk azokat a lépéseket ismerteti, amelyekre a G Suite és a Microsoft Entra ID szolgáltatásban is szükség van az automatikus felhasználói kiépítés konfigurálásához. Ha konfigurálva van, a Microsoft Entra ID automatikusan hozzáadja és eltávolítja a felhasználókat és csoportokat a G Suite-ba/ban a Microsoft Entra kiépítési szolgáltatás használatával. A szolgáltatás működéséről, működéséről és a gyakori kérdésekről a Microsoft Entra-azonosítóval rendelkező SaaS-alkalmazások felhasználói kiépítésének és leépítésének automatizálása című témakörben olvashat.

Feljegyzés

Ez a cikk a Microsoft Entra felhasználókiépítési szolgáltatására épülő összekötőt ismerteti. A szolgáltatás működéséről, működéséről és a gyakori kérdésekről a Microsoft Entra-azonosítóval rendelkező SaaS-alkalmazások felhasználói kiépítésének és leépítésének automatizálása című témakörben olvashat.

Támogatott képességek

• Felhasználók létrehozása a G Suite-ban
• Felhasználók eltávolítása a G Suite-ban, ha már nem igényelnek hozzáférést (megjegyzés: a felhasználók szinkronizálási hatókörből való eltávolítása nem eredményezi az objektum törlését a GSuite-ban)
• Felhasználói attribútumok szinkronizálásának megtartása a Microsoft Entra ID és a G Suite között
• Csoportok és csoporttagságok kiépítése a G Suite-ban
• Egyszeri bejelentkezés a G Suite-ba (ajánlott)

Előfeltételek

A cikkben ismertetett forgatókönyv feltételezi, hogy már rendelkezik a következő előfeltételekkel:

• Aktív előfizetéssel rendelkező Microsoft Entra-felhasználói fiók. Ha még nem rendelkezik ilyen fiókkal, ingyenesen létrehozhat egy fiókot.
• Az alábbi szerepkörök egyike:
  • Alkalmazásadminisztrátor
  • Felhőalkalmazás-rendszergazda
  • Alkalmazás tulajdonosa.

• G Suite-bérlő felhasználó
• Rendszergazdai engedélyekkel rendelkező felhasználói fiók egy G Suite-csomagban.

1. lépés: Az erőforrások telepítésének megtervezése

1. Tudjon meg többet arról, hogyan működik a szolgáltatás.
2. Határozza meg, hogy ki rendelkezik a kiépítés hatókörével.
3. Határozza meg, hogy mely adatok képezendők le a Microsoft Entra ID és a G Suite között.

2. lépés: A G Suite konfigurálása a Microsoft Entra-azonosítóval való kiépítés támogatásához

Mielőtt konfigurálja a G Suite-t az automatikus felhasználói kiépítéshez a Microsoft Entra-azonosítóval, engedélyeznie kell az SCIM kiépítését a G Suite-on.

1. Jelentkezzen be a G Suite felügyeleti konzolra a rendszergazdai fiókjával, majd válassza a Fő menüt , majd a Biztonság lehetőséget. Ha nem látja, előfordulhat, hogy a Továbbiak megjelenítése menü alatt rejtve van.

   

   

2. Navigáljon a Biztonság –> Hozzáférés és adatvezérlés –> API-vezérlők elemre. Jelölje be a Megbízható belső, tartomány által birtokolt alkalmazások jelölőnégyzetet, majd válassza a MENTÉS lehetőséget

   

   Fontos

   Azoknak a felhasználóknak az esetében, akiket G Suite-hez kíván regisztrálni, a Microsoft Entra ID-n belüli felhasználónevüknek egy egyéni tartományhoz kell kapcsolódnia. A G Suite például nem fogadja el a hasonló bob@contoso.onmicrosoft.com felhasználóneveket. Másrészt bob@contoso.com elfogadott. Egy meglévő felhasználó tartományát az itt leírt utasítások szerint módosíthatja.

3. Miután hozzáadta és ellenőrizte a kívánt egyéni tartományokat a Microsoft Entra-azonosítóval, újra ellenőriznie kell őket a G Suite-nal. A tartományok G Suite-ban való ellenőrzéséhez tekintse meg a következő lépéseket:

   1. A G Suite felügyeleti konzolján lépjen a Fiók –> Tartományok –> Tartományok kezelése elemre.

      

   2. A Tartomány kezelése lapon válassza a Tartomány hozzáadása lehetőséget.

      

   3. A Tartomány hozzáadása lapon írja be a hozzáadni kívánt tartomány nevét.

      

   4. Válassza a TARTOMÁNY HOZZÁADÁSA > ELLENŐRZÉS INDÍTÁSA lehetőséget. Ezután kövesse a lépéseket annak ellenőrzéséhez, hogy Öné-e a tartománynév. A tartomány Google-nal való ellenőrzésére vonatkozó átfogó útmutatásért lásd : Webhely tulajdonjogának ellenőrzése.

   5. Ismételje meg az előző lépéseket a G Suite-hoz hozzáadni kívánt további tartományok esetében.

4. Ezután határozza meg, hogy melyik rendszergazdai fiókot szeretné használni a felhasználók kiépítésének kezeléséhez a G Suite-ban. Lépjen a fiókadminisztrátori> szerepkörökre.

   

5. A fiók rendszergazdai szerepkör esetében szerkessze az adott szerepkör jogosultságait. Mindenképpen engedélyezze az összes rendszergazdai API-jogosultságot , hogy ez a fiók használható legyen a kiépítéshez.

   

3. lépés: G Suite hozzáadása a Microsoft Entra alkalmazáskatalógusából

Adja hozzá a G Suite alkalmazást a Microsoft Entra alkalmazáskatalógusából, hogy megkezdhesse a kiépítést a G Suite-ba. Ha korábban már beállította a G Suite for SSO-t, ugyanazt az alkalmazást használhatja. Javasoljuk azonban, hogy az integráció kezdeti tesztelésekor hozzon létre egy külön alkalmazást. További információ az alkalmazás katalógusból való hozzáadásáról.

4. lépés: Annak meghatározása, hogy kik tartoznak a kiépítés hatókörébe

A Microsoft Entra rendelkezésre bocsátási szolgáltatása lehetővé teszi, hogy az alkalmazáshoz való hozzárendelés vagy a felhasználó vagy csoport attribútumai alapján határozza meg, kiket kell kiépíteni. Ha úgy dönt, hogy a kijelölés alapján határozza meg, ki férhet hozzá az alkalmazáshoz, a lépéseket követve felhasználókat és csoportokat rendelhet hozzá az alkalmazáshoz. Ha csak a felhasználó vagy csoport attribútumai alapján kiépített hatókört választja, használhat hatókörszűrőt.

• Kezdje kicsiben. Tesztelje a felhasználók és csoportok kis halmazát, mielőtt mindenkire kiterjesztené. Amikor az átadás hatóköre a hozzárendelt felhasználókra és csoportokra van beállítva, ennek szabályozásához egy vagy két felhasználót vagy csoportot rendelhet az alkalmazáshoz. Ha a hatókör minden felhasználóra és csoportra be van állítva, megadhat egy attribútumalapú hatókörszűrőt.

• Ha további szerepkörökre van szüksége, frissítheti az alkalmazásjegyzéket új szerepkörök hozzáadásához.

5. lépés: Automatikus felhasználói kiépítés konfigurálása a G Suite-ba

Ez a szakasz végigvezeti a Microsoft Entra kiépítési szolgáltatásnak a Felhasználók és/vagy csoportok a TestAppban való létrehozására, frissítésére és letiltására való konfigurálásának lépésein a Microsoft Entra ID felhasználói és/vagy csoporthozzárendelései alapján.

Feljegyzés

A G Suite Directory API-végpontról további információt a Directory API referenciadokumentációjában talál.

A G Suite automatikus felhasználókiépítésének konfigurálása a Microsoft Entra-azonosítóban:

1. Jelentkezzen be a Microsoft Entra felügyeleti központba legalább felhőalkalmazás-rendszergazdaként.

2. Keresse meg az Entra ID>Enterprise-alkalmazásokat.

   

   

3. Az alkalmazások listájában válassza a G Suite elemet.

   

4. Válassza a Kiépítés lapot. Válassza az Első lépések lehetőséget.

   

5. Állítsa a kiépítési módotautomatikusra.

   

6. A Rendszergazdai hitelesítő adatok szakaszban válassza az Engedélyezés lehetőséget. A rendszer átirányítja a Google engedélyezési párbeszédpanelére egy új böngészőablakban.

   

7. Győződjön meg arról, hogy szeretne-e engedélyt adni a Microsoft Entra-nak, hogy módosításokat hajtson végre a G Suite-bérlőjén. Válassza az Elfogadás lehetőséget.

   

8. Válassza a Kapcsolat tesztelése lehetőséget, hogy a Microsoft Entra ID csatlakozni tud-e a G Suite-hoz. Ha a kapcsolat meghiúsul, győződjön meg arról, hogy a G Suite-fiók rendelkezik rendszergazdai engedélyekkel, és próbálkozzon újra. Ezután próbálkozzon újra az Engedélyezés lépésével.

9. Az Értesítési e-mail mezőben adja meg annak a személynek vagy csoportnak az e-mail-címét, akinek meg kell kapnia a kiépítési hibaértesítéseket, és jelölje be az E-mail-értesítés küldése hiba esetén jelölőnégyzetet.

   

10. Válassza a Mentés lehetőséget.

11. A Leképezések szakaszban válassza a Microsoft Entra felhasználók ellátását.

12. Tekintse át a Microsoft Entra-azonosítóról a G Suite-ra szinkronizált felhasználói attribútumokat az Attribútum-leképezés szakaszban. A módosítások véglegesítéséhez kattintson a Mentés gombra.

Feljegyzés

A GSuite Provisioning jelenleg csak a primaryEmail használatát támogatja egyező attribútumként.

Attribútum	Típus
elsődleges e-mail cím	Sztring
Kapcsolatok. [típus egyenlő "manager"].érték	Sztring
családnév	Sztring
név.utónév	Sztring
Felfüggesztett	Sztring
externalIds. [írja be az "egyéni" eq értéket].érték	Sztring
externalIds. [type eq "organization"].value	Sztring
címek. [type eq "work"].ország	Sztring
Címek.[típus egyezik "munkahely"].utcaCím	Sztring
Címek.[type eq "work"].régió	Sztring
címek.[type eq "work"].település	Sztring
Címek.[type eq "work"].irányítószám	Sztring
emailek.[típus eq "munka"].cím	Sztring
Szervezetek.[típus egyenlő "munka"].osztály	Sztring
Szervezetek. [írja be az eq "work"] címet.	Sztring
phoneNumbers. [type eq "work"].value	Sztring
phoneNumbers. [írja be az eq "mobile"] értéket.	Sztring
phoneNumbers. [írja be az eq "work_fax"] értéket.	Sztring
emailek.[típus eq "munka"].cím	Sztring
Szervezetek.[típus egyenlő "munka"].osztály	Sztring
Szervezetek. [írja be az eq "work"] címet.	Sztring
Címek.["típus egyenlő 'otthon'"].ország	Sztring
címek.[típus eq "home"].formázott	Sztring
Címek.[típus eq "home"].hely	Sztring
Címek. [írja be az "otthoni" eq-t].irányítószám	Sztring
Címek. [írja be az eq "home"]. régiót	Sztring
címek.[típus eq "home"].utcaCím	Sztring
Címek. [type eq "other"].ország	Sztring
Címek. [type eq "other"].formatted	Sztring
Címek. [típus eq "egyéb"].település	Sztring
Címek.[type eq "other"].irányítószám	Sztring
Címek.[típus egyenlő "egyéb"].régió	Sztring
Címek. [type eq "other"].streetAddress	Sztring
címek.[type eq "work"].formatted	Sztring
jelszó megváltoztatása a következő bejelentkezéskor	Sztring
e-maileket. [írja be az eq "home"].address címet	Sztring
e-maileket. [írja be az "egyéb" eq címet].cím	Sztring
externalIds. [írja be az eq "account"] értéket	Sztring
externalIds. [írja be az "egyéni" eq-t].customType	Sztring
externalIds. [type eq "customer"].value	Sztring
externalIds.[típus eq "login_id"].érték	Sztring
externalIds.[type egyenlő "network"].value	Sztring
nem.típus	Sztring
GeneráltVáltoztathatatlanId	Sztring
Azonosító	Sztring
Ims. [írja be az eq "home"]. protokollt	Sztring
ims. [type eq "other"].protocol	Sztring
ims.[type eq "work"].protokoll	Sztring
szerepeljenAGlobálisCímlistában	Sztring
ipWhitelisted	Sztring
Szervezetek. [type eq "school"].costCenter	Sztring
Szervezetek. [típus eq "iskola"].osztály	Sztring
Szervezetek. [type eq "school"].domain	Sztring
Szervezetek. [type eq "school"].fullTimeEquivalent	Sztring
Szervezetek. [type eq "school"].location	Sztring
Szervezetek. [típus eq "iskola"].név	Sztring
Szervezetek. [type eq "school"].symbol	Sztring
Szervezetek. [type eq "school"].title	Sztring
Szervezetek. [írja be az eq "work"]. costCenter parancsot	Sztring
Szervezetek. [típus eq "munka"].domain	Sztring
Szervezetek. [type eq "work"].TeljesMunkaidőEgyenérték	Sztring
Szervezetek. [írja be az eq "work"]location parancsot.	Sztring
Szervezetek. [írja be az eq "work"] nevet.	Sztring
Szervezetek.[típus megegyezik a "work"-kel].szimbólum	Sztring
OrgUnitPath	Sztring
phoneNumbers. [írja be az eq "home"] értéket.	Sztring
phoneNumbers. [type eq "other"].value	Sztring
webhelyeket. [írja be az eq "home"] értéket.	Sztring
webhelyeket. [type eq "other"].value	Sztring
webhelyeket. [type eq "work"].value	Sztring

1. A Leképezések szakaszban válassza a Microsoft Entra-csoportok kiépítése lehetőséget.

2. Tekintse át a Microsoft Entra-azonosítóról a G Suite-ra szinkronizált csoportattribútumokat az Attribútum-leképezés szakaszban. Az egyező tulajdonságokként kiválasztott attribútumok a G Suite frissítési műveleteinek csoportjaival egyeznek. A módosítások véglegesítéséhez kattintson a Mentés gombra.

   Attribútum	Típus
   e-mail	Sztring
   Tagok	Sztring
   név	Sztring
   leírás	Sztring

3. A hatókörszűrők konfigurálásához tekintse meg a hatókörszűrőről szóló cikkben található alábbi utasításokat.

4. Ha engedélyezni szeretné a Microsoft Entra kiépítési szolgáltatást a G Suite-hoz, módosítsa a kiépítés állapotátBe értékre a Beállítások szakaszban.

   

5. Adja meg a G Suite-nak kiépíteni kívánt felhasználókat és/vagy csoportokat a Beállítások szakaszban található Hatókör területen található kívánt értékek kiválasztásával.

   

6. Ha készen áll az üzembe helyezésre, válassza a Mentés lehetőséget.

   

Ez a művelet elindítja a Beállítások szakaszban a Hatókörben definiált összes felhasználó és csoport kezdeti szinkronizálási ciklusát. A kezdeti ciklus végrehajtása több időt vesz igénybe, mint a következő ciklusok, amelyek körülbelül 40 percenként fordulnak elő, amíg a Microsoft Entra kiépítési szolgáltatás fut.

Feljegyzés

Ha a felhasználók már rendelkeznek meglévő személyes/fogyasztói fiókkal a Microsoft Entra-felhasználó e-mail-címével, akkor az okozhat valamilyen problémát, amely a címtár-szinkronizálás végrehajtása előtt a Google Transfer Tool használatával megoldható.

6. lépés: Az üzembe helyezés monitorozása

Miután konfigurálta a kiépítést, a következő erőforrások használatával monitorozza az üzembe helyezést:

1. A kiépítési naplók használatával állapítsa meg, hogy mely felhasználók lettek sikeresen vagy sikertelenül kiépítve
2. A folyamatjelző sávon megtekintheti a kiépítési ciklus állapotát, és hogy milyen közel van a befejezéshez.
3. Ha úgy tűnik, hogy a kiépítési konfiguráció nem megfelelő állapotban van, az alkalmazás karanténba kerül. A karanténállapotokról további információkat talál a(z) alkalmazáskiépítési karantén állapot cikkben.

Hibaelhárítási tippek

• Ha eltávolít egy felhasználót a szinkronizálási hatókörből, az letiltja őket a GSuite-ban, de nem eredményezi a felhasználó törlését a G Suite-ban

Igény szerinti (JIT) alkalmazáshozzáférés a PIM-sel csoportok számára

A PIM for Groups szolgáltatással igény szerint hozzáférést biztosíthat a Google Cloudban vagy a Google Workspace-ben található csoportokhoz, és csökkentheti azon felhasználók számát, akiknek állandó hozzáférésük van a Kiemelt csoportokhoz a Google Cloudban vagy a Google Workspace-ben.

Vállalati alkalmazás konfigurálása egyszeri bejelentkezéshez és üzembe helyezéshez

1. Adja hozzá a Google Cloudot / Google Workspace-t a bérlőhöz, konfigurálja a kiépítéshez a jelen cikkben leírtak szerint, és kezdje el a kiépítést.
2. Konfigurálja az egyszeri bejelentkezést a Google Cloudhoz/ Google Workspace-hez.
3. Hozzon létre egy csoportot , amely minden felhasználó számára hozzáférést biztosít az alkalmazáshoz.
4. Rendelje hozzá a csoportot a Google Cloud/Google Workspace alkalmazáshoz.
5. Rendelje hozzá a tesztfelhasználót az előző lépésben létrehozott csoport közvetlen tagjaként, vagy adjon nekik hozzáférést a csoporthoz egy hozzáférési csomagon keresztül. Ez a csoport használható állandó, nem adminisztrátori hozzáféréshez a Google Cloudban/Google Workspace-ben.

PIM engedélyezése csoportokhoz

1. Hozzon létre egy második csoportot a Microsoft Entra-azonosítóban. Ez a csoport hozzáférést biztosít a rendszergazdai engedélyekhez a Google Cloudban/Google Workspace-ben.
2. A csoport felügyelet alá helyezése a Microsoft Entra PIM-ben.
3. Rendelje hozzá a tesztfelhasználót a PIM-ben a csoport jogosultjaként a tagként beállított szerepkörrel.
4. Rendelje hozzá a második csoportot a Google Cloud/Google Workspace alkalmazáshoz.
5. Igény szerinti kiépítés használatával hozza létre a csoportot a Google Cloud/Google Workspace szolgáltatásban.
6. Jelentkezzen be a Google Cloudba/Google Workspace-be, és rendelje hozzá a második csoportot a rendszergazdai feladatok elvégzéséhez szükséges engedélyekhez.

Mostantól minden olyan végfelhasználó, aki jogosulttá vált a csoportra a PIM-ben, jiT-hozzáférést kaphat a csoporthoz a Google Cloud/Google Workspace szolgáltatásban a csoporttagság aktiválásával. Ha a hozzárendelés lejár, a felhasználó el lesz távolítva a csoportból a Google Cloud/Google Workspace alkalmazásban. A következő növekményes ciklus során a kiépítési szolgáltatás megpróbálja ismét eltávolítani a felhasználót a csoportból. Ez hibát okozhat a kiépítési naplókban. Ez a hiba azért várható, mert a csoporttagság már el lett távolítva. A hibaüzenet figyelmen kívül hagyható.

• Mennyi ideig tart, amíg egy felhasználó ki van építve az alkalmazáshoz?
  • Ha egy felhasználót a Microsoft Entra ID-ban egy csoporthoz adnak hozzá a csoporttagság aktiválásán kívül a Microsoft Entra ID Privileged Identity Management (PIM) használatával:
    • A csoporttagság ki lesz építve az alkalmazásban a következő szinkronizálási ciklus során. A szinkronizálási ciklus 40 percenként fut.
  • Amikor egy felhasználó aktiválja a csoporttagságukat a Microsoft Entra ID PIM-ben:
    • A csoporttagság 2–10 percen belül aktiválva lesz. Ha egyszerre magas a kérelmek száma, a kérelmek szabályozása 10 másodpercenként öt kéréssel történik.
    • Az első öt felhasználó 10 másodperces időszakon belül aktiválja a csoporttagságukat egy adott alkalmazáshoz, a csoporttagság 2–10 percen belül ki lesz építve az alkalmazásban.
    • A hatodik felhasználó és azon túl, amely egy adott alkalmazás csoporttagságának aktiválását 10 másodpercen belül aktiválja, a csoporttagság ki lesz építve az alkalmazás számára a következő szinkronizálási ciklusban. A szinkronizálási ciklus 40 percenként fut. A szabályozási korlátok vállalati alkalmazásonként vannak megadva.
• Ha a felhasználó nem tudja elérni a szükséges csoportot a Google Cloud/Google Workspace alkalmazásban, tekintse át a PIM-naplókat és a kiépítési naplókat annak érdekében, hogy a csoporttagság sikeresen frissüljön. A célalkalmazás létrehozásának módjától függően több időbe telhet, mire a csoporttagság érvénybe lép az alkalmazásban.
• Az Azure Monitor használatával riasztásokat hozhat létre a hibákhoz.

Módosítási napló

• 2020.10.17. – További G Suite-felhasználói és csoportattribútumok támogatása.
• 2020.10.17. – Frissített G Suite-célattribútum-nevek az itt meghatározottaknak megfelelően.
• 2020.10.17. – Frissített alapértelmezett attribútumleképezések.

További erőforrások

• Felhasználói fiókok kiépítésének kezelése nagyvállalati alkalmazásokhoz
• Mi az alkalmazáshozzáférés és az egyszeri bejelentkezés a Microsoft Entra-azonosítóval?

Kapcsolódó tartalom

• Megtudhatja, hogyan tekintheti át a naplókat, és hogyan kérhet le jelentéseket a kiépítési tevékenységről