Oktatóanyag: A G Suite konfigurálása automatikus felhasználókiépítéshez

Ez az oktatóanyag ismerteti azokat a lépéseket, amelyekre a G Suite-ban és a Microsoft Entra ID-ban is végre kell hajtania az automatikus felhasználói kiépítés konfigurálásához. Ha konfigurálva van, a Microsoft Entra ID automatikusan kiépít és kiépít felhasználókat és csoportokat a G Suite-ba a Microsoft Entra kiépítési szolgáltatás használatával. A szolgáltatás működéséről, működéséről és a gyakori kérdésekről a Microsoft Entra-azonosítóval rendelkező SaaS-alkalmazások felhasználói kiépítésének és leépítésének automatizálása című témakörben olvashat.

Feljegyzés

Ez az oktatóanyag a Microsoft Entra felhasználói kiépítési szolgáltatására épülő összekötőt ismerteti. A szolgáltatás működéséről, működéséről és a gyakori kérdésekről a Microsoft Entra-azonosítóval rendelkező SaaS-alkalmazások felhasználói kiépítésének és leépítésének automatizálása című témakörben olvashat.

Támogatott képességek

• Felhasználók létrehozása a G Suite-ban
• Felhasználók eltávolítása a G Suite-ban, ha már nem igényelnek hozzáférést (megjegyzés: ha eltávolít egy felhasználót a szinkronizálási hatókörből, az nem eredményezi az objektum törlését a GSuite-ban)
• Felhasználói attribútumok szinkronizálásának megtartása a Microsoft Entra ID és a G Suite között
• Csoportok és csoporttagságok kiépítése a G Suite-ban
• Egyszeri bejelentkezés a G Suite-ba (ajánlott)

Előfeltételek

Az oktatóanyagban ismertetett forgatókönyv feltételezi, hogy már rendelkezik a következő előfeltételekkel:

• Microsoft Entra-bérlő
• Az alábbi szerepkörök egyike: Application Rendszergazda istrator, Cloud Application Rendszergazda istrator vagy Application Owner.
• G Suite-bérlő
• Felhasználói fiók egy G Suite-on Rendszergazda engedélyekkel.

1. lépés: A kiépítési üzembe helyezés megtervezése

1. Ismerje meg az átadási szolgáltatás működését.
2. Határozza meg, hogy ki rendelkezik a kiépítés hatókörével.
3. Határozza meg, hogy mely adatok képezendők le a Microsoft Entra ID és a G Suite között.

2. lépés: A G Suite konfigurálása a Microsoft Entra-azonosítóval való kiépítés támogatásához

Mielőtt konfigurálja a G Suite-t az automatikus felhasználói kiépítéshez a Microsoft Entra-azonosítóval, engedélyeznie kell az SCIM kiépítését a G Suite-on.

1. Jelentkezzen be a G Suite Rendszergazda konzolra a rendszergazdai fiókjával, majd kattintson a Fő menüre, majd válassza a Biztonság lehetőséget. Ha nem látja, előfordulhat, hogy a Továbbiak megjelenítése menü alatt rejtve van.

   

   

2. Navigáljon a Biztonság –> Hozzáférés és adatvezérlés –> API-vezérlők elemre. Jelölje be a Belső és tartomány tulajdonában lévő alkalmazások megbízhatósága jelölőnégyzetet, majd kattintson a MENTÉS gombra

   

   Fontos

   A G Suite-nak kiépíteni kívánt összes felhasználó esetében a Microsoft Entra-azonosítóban szereplő felhasználónevet egy egyéni tartományhoz kell kötni. A G Suite például nem fogadja el a hasonló bob@contoso.onmicrosoft.com felhasználóneveket. Másrészt bob@contoso.com , elfogadjuk. Egy meglévő felhasználó tartományát az itt leírt utasítások szerint módosíthatja.

3. Miután hozzáadta és ellenőrizte a kívánt egyéni tartományokat a Microsoft Entra-azonosítóval, újra ellenőriznie kell őket a G Suite-nal. A tartományok G Suite-ban való ellenőrzéséhez tekintse meg a következő lépéseket:

   1. A G Suite Rendszergazda konzolon lépjen a Fiók –> Tartományok –> Tartományok kezelése elemre.

      

   2. A Tartomány kezelése lapon kattintson a Tartomány hozzáadása elemre.

      

   3. A Tartomány hozzáadása lapon írja be a hozzáadni kívánt tartomány nevét.

      

   4. Válassza a TARTOMÁNY HOZZÁADÁSA > ELLENŐRZÉS INDÍTÁSA lehetőséget. Ezután kövesse a lépéseket annak ellenőrzéséhez, hogy Öné-e a tartománynév. A tartomány Google-nal való ellenőrzésére vonatkozó átfogó útmutatásért lásd : Webhely tulajdonjogának ellenőrzése.

   5. Ismételje meg az előző lépéseket a G Suite-hoz hozzáadni kívánt további tartományok esetében.

4. Ezután határozza meg, hogy melyik rendszergazdai fiókot szeretné használni a felhasználók kiépítésének kezeléséhez a G Suite-ban. Lépjen a Fiók Rendszergazda> szerepkörökre.

   

5. A fiók Rendszergazda szerepköréhez szerkessze az adott szerepkör jogosultságait. Mindenképpen engedélyezze az összes Rendszergazda API-jogosultságot, hogy ez a fiók használható legyen a kiépítéshez.

   

3. lépés: G Suite hozzáadása a Microsoft Entra alkalmazáskatalógusából

A G Suite hozzáadása a Microsoft Entra alkalmazáskatalógusából a kiépítés G Suite-ba való kezelésének megkezdéséhez. Ha korábban már beállította a G Suite for SSO-t, ugyanazt az alkalmazást használhatja. Javasoljuk azonban, hogy az integráció kezdeti tesztelésekor hozzon létre egy külön alkalmazást. Az alkalmazások katalógusból való hozzáadásáról itt tudhat meg többet.

4. lépés: A kiépítés hatókörének meghatározása

A Microsoft Entra kiépítési szolgáltatás lehetővé teszi, hogy az alkalmazáshoz való hozzárendelés vagy a felhasználó/csoport attribútumai alapján kiépítendő felhasználók hatóköre legyen. Ha a hozzárendelés alapján kiépített alkalmazás hatókörét választja, az alábbi lépésekkel rendelhet hozzá felhasználókat és csoportokat az alkalmazáshoz. Ha csak a felhasználó vagy csoport attribútumai alapján kiépített hatókört választja, az itt ismertetett hatókörszűrőt használhatja.

• Kezdje kicsiben. Tesztelje a felhasználók és csoportok kis halmazát, mielőtt mindenkire kiterjesztené. Amikor az átadás hatóköre a hozzárendelt felhasználókra és csoportokra van beállítva, ennek szabályozásához egy vagy két felhasználót vagy csoportot rendelhet az alkalmazáshoz. Amikor a hatókör az összes felhasználóra és csoportra van beállítva, meghatározhat egy attribútumalapú hatókörszűrőt.

• Ha több szerepkörre van szüksége, frissítheti az alkalmazásjegyzéket új szerepkörök hozzáadásához.

5. lépés: Automatikus felhasználói kiépítés konfigurálása a G Suite-ba

Ez a szakasz végigvezeti a Microsoft Entra kiépítési szolgáltatásnak a Felhasználók és/vagy csoportok a TestAppban való létrehozására, frissítésére és letiltására való konfigurálásának lépésein a Microsoft Entra ID felhasználói és/vagy csoporthozzárendelései alapján.

Feljegyzés

A G Suite Directory API-végpontról további információt a Directory API referenciadokumentációjában talál.

A G Suite automatikus felhasználókiépítésének konfigurálása a Microsoft Entra-azonosítóban:

1. Jelentkezzen be a Microsoft Entra felügyeleti központba legalább felhőalkalmazásként Rendszergazda istratorként.

2. Keresse meg az Identity>Applications>Enterprise-alkalmazásokat.

   

   

3. Az alkalmazások listájában válassza a G Suite elemet.

   

4. Válassza a Kiépítés lapot. Kattintson az Első lépések gombra.

   

   

5. Állítsa a Kiépítési mód mezőt Automatikus értékre.

   

6. A Rendszergazda Hitelesítő adatok szakaszban kattintson az Engedélyezés gombra. A rendszer átirányítja a Google engedélyezési párbeszédpanelére egy új böngészőablakban.

   

7. Győződjön meg arról, hogy engedélyt szeretne adni a Microsoft Entra-nak a G Suite-bérlő módosításához. Válassza az Elfogadás lehetőséget.

   

8. Válassza a Teszt Csatlakozás ion lehetőséget, hogy a Microsoft Entra-azonosító csatlakozzon a G Suite-hoz. Ha a kapcsolat meghiúsul, győződjön meg arról, hogy a G Suite-fiók rendelkezik Rendszergazda engedélyekkel, és próbálkozzon újra. Ezután próbálkozzon újra az Engedélyezés lépésével.

9. Az Értesítés e-mailben mezőben adja meg annak a személynek vagy csoportnak az e-mail-címét, aki az átadással kapcsolatos hibaüzeneteket kapja, és jelölje be az E-mail-értesítés küldése hiba esetén jelölőnégyzetet.

   

10. Válassza a Mentés lehetőséget.

11. A Leképezések szakaszban válassza a Microsoft Entra-felhasználók kiépítése lehetőséget.

12. Tekintse át a Microsoft Entra-azonosítóról a G Suite-ra szinkronizált felhasználói attribútumokat az Attribútum-leképezés szakaszban. A módosítások véglegesítéséhez kattintson a Mentés gombra.

Feljegyzés

A GSuite Provisioning jelenleg csak a primaryEmail használatát támogatja egyező attribútumként.

Attribútum	Típus
primaryEmail	Sztring
Kapcsolatok. [type eq "manager"].value	Sztring
name.familyName	Sztring
name.givenName	Sztring
Felfüggesztett	Sztring
externalIds. [írja be az "egyéni" eq értéket].érték	Sztring
externalIds. [type eq "organization"].value	Sztring
Címek. [type eq "work"].country	Sztring
Címek. [type eq "work"].streetAddress	Sztring
Címek. [type eq "work"].region	Sztring
Címek. [type eq "work"].locality	Sztring
Címek. [írja be az eq "work"]. irányítószámot	Sztring
E-mail. [írja be a "work" eq címet].address	Sztring
Szervezetek. [type eq "work"].department	Sztring
Szervezetek. [írja be az eq "work"] címet.	Sztring
phoneNumbers. [type eq "work"].value	Sztring
phoneNumbers. [írja be az eq "mobile"] értéket.	Sztring
phoneNumbers. [írja be az eq "work_fax"] értéket.	Sztring
E-mail. [írja be a "work" eq címet].address	Sztring
Szervezetek. [type eq "work"].department	Sztring
Szervezetek. [írja be az eq "work"] címet.	Sztring
Címek. [írja be az eq "home"]country kifejezést.	Sztring
Címek. [írja be az eq "home"].formatted	Sztring
Címek. [írja be az eq "home"].locality	Sztring
Címek. [írja be az "otthoni" eq-t].irányítószám	Sztring
Címek. [írja be az eq "home"]. régiót	Sztring
Címek. [type eq "home"].streetAddress	Sztring
Címek. [type eq "other"].country	Sztring
Címek. [type eq "other"].formatted	Sztring
Címek. [type eq "other"].locality	Sztring
Címek. [type eq "other"].postalCode	Sztring
Címek. [írja be az eq "other"]. régiót	Sztring
Címek. [type eq "other"].streetAddress	Sztring
Címek. [type eq "work"].formatted	Sztring
changePasswordAtNextLogin	Sztring
E-mail. [írja be az eq "home"].address címet	Sztring
E-mail. [írja be az "egyéb" eq címet].cím	Sztring
externalIds. [írja be az eq "account"] értéket	Sztring
externalIds. [írja be az "egyéni" eq-t].customType	Sztring
externalIds. [type eq "customer"].value	Sztring
externalIds. [írja be az eq "login_id"].	Sztring
externalIds. [type eq "network"].value	Sztring
gender.type	Sztring
GeneratedImmutableId	Sztring
Azonosító	Sztring
Ims. [írja be az eq "home"]. protokollt	Sztring
Ims. [type eq "other"].protocol	Sztring
Ims. [írja be az eq "work"]. protokollt	Sztring
includeInGlobalAddressList	Sztring
ipWhitelisted	Sztring
Szervezetek. [type eq "school"].costCenter	Sztring
Szervezetek. [type eq "school"].department	Sztring
Szervezetek. [type eq "school"].domain	Sztring
Szervezetek. [type eq "school"].fullTimeEquivalent	Sztring
Szervezetek. [type eq "school"].location	Sztring
Szervezetek. [type eq "school"].name	Sztring
Szervezetek. [type eq "school"].symbol	Sztring
Szervezetek. [type eq "school"].title	Sztring
Szervezetek. [írja be az eq "work"]. costCenter parancsot	Sztring
Szervezetek. [type eq "work"].domain	Sztring
Szervezetek. [type eq "work"].fullTimeEquivalent	Sztring
Szervezetek. [írja be az eq "work"]location parancsot.	Sztring
Szervezetek. [írja be az eq "work"] nevet.	Sztring
Szervezetek. [írja be az eq "work"]szimbólumot	Sztring
OrgUnitPath	Sztring
phoneNumbers. [írja be az eq "home"] értéket.	Sztring
phoneNumbers. [type eq "other"].value	Sztring
Weboldalak. [írja be az eq "home"] értéket.	Sztring
Weboldalak. [type eq "other"].value	Sztring
Weboldalak. [type eq "work"].value	Sztring

1. A Leképezések szakaszban válassza a Microsoft Entra-csoportok kiépítése lehetőséget.

2. Tekintse át a Microsoft Entra-azonosítóról a G Suite-ra szinkronizált csoportattribútumokat az Attribútum-leképezés szakaszban. Az egyező tulajdonságokként kiválasztott attribútumok a G Suite frissítési műveleteinek csoportjaival egyeznek. A módosítások véglegesítéséhez kattintson a Mentés gombra.

   Attribútum	Típus
   e-mail	Sztring
   Tagok	Sztring
   név	Sztring
   leírás	Sztring

3. Hatókörszűrők konfigurálásához tekintse meg a hatókörszűrővel kapcsolatos oktatóanyagban szereplő következő utasításokat.

4. Ha engedélyezni szeretné a Microsoft Entra kiépítési szolgáltatást a G Suite-hoz, módosítsa a kiépítés állapotát Be állásra a Gépház szakaszban.

   

5. Az Gépház szakaszban válassza ki a kívánt értékeket a G Suite-ban kiépíteni kívánt felhasználók és/vagy csoportok meghatározásához.

   

6. Ha készen áll a kiépítésre, kattintson a Mentés gombra.

   

Ez a művelet a Beállítások szakasz Hatókör területén meghatározott összes felhasználó és csoport kezdeti szinkronizálási ciklusát elindítja. A kezdeti ciklus végrehajtása több időt vesz igénybe, mint a következő ciklusok, amelyek körülbelül 40 percenként fordulnak elő, amíg a Microsoft Entra kiépítési szolgáltatás fut.

Feljegyzés

Ha a felhasználók már rendelkeznek meglévő személyes/fogyasztói fiókkal a Microsoft Entra-felhasználó e-mail-címével, akkor az okozhat valamilyen problémát, amely a címtár-szinkronizálás végrehajtása előtt a Google Transfer Tool használatával megoldható.

6. lépés: Az üzembe helyezés monitorozása

Miután konfigurálta a kiépítést, a következő erőforrások használatával monitorozza az üzembe helyezést:

1. Az átadási naplókkal határozhatja meg, hogy mely felhasználók átadása sikeres, és melyeké sikertelen.
2. A folyamatjelző sávon megtekintheti a kiépítési ciklus állapotát, és hogy milyen közel van a befejezéshez.
3. Ha úgy tűnik, hogy a kiépítési konfiguráció nem megfelelő állapotban van, az alkalmazás karanténba kerül. A karanténállapotokról itt találhat további információt.

Hibaelhárítási tippek

• Ha eltávolít egy felhasználót a szinkronizálási hatókörből, az letiltja őket a GSuite-ban, de nem eredményezi a felhasználó törlését a G Suite-ban

Igény szerinti (JIT) alkalmazáshozzáférés a PIM-sel csoportok számára

A PIM for Groups szolgáltatással igény szerint hozzáférést biztosíthat a Google Cloudban vagy a Google Workspace-ben található csoportokhoz, és csökkentheti azon felhasználók számát, akiknek állandó hozzáférésük van a Kiemelt csoportokhoz a Google Cloudban vagy a Google Workspace-ben.

Vállalati alkalmazás konfigurálása egyszeri bejelentkezéshez és üzembe helyezéshez

1. Adja hozzá a Google Cloud/Google-munkaterületet a bérlőhöz, konfigurálja a kiépítéshez az oktatóanyagban leírtak szerint, és kezdje el a kiépítést.
2. Konfigurálja az egyszeri bejelentkezést a Google Cloudhoz/ Google Workspace-hez.
3. Hozzon létre egy csoportot , amely minden felhasználó számára hozzáférést biztosít az alkalmazáshoz.
4. Rendelje hozzá a csoportot a Google Cloud/Google Workspace alkalmazáshoz.
5. Rendelje hozzá a tesztfelhasználót az előző lépésben létrehozott csoport közvetlen tagjaként, vagy adjon nekik hozzáférést a csoporthoz egy hozzáférési csomagon keresztül. Ez a csoport használható állandó, nem állandó hozzáféréshez a Google Cloudban/Google Workspace-ben.

PIM engedélyezése csoportokhoz

1. Hozzon létre egy második csoportot a Microsoft Entra-azonosítóban. Ez a csoport hozzáférést biztosít a rendszergazdai engedélyekhez a Google Cloudban/Google Workspace-ben.
2. A csoport felügyelet alá helyezése a Microsoft Entra PIM-ben.
3. Rendelje hozzá a tesztfelhasználót a PIM-ben a csoport jogosultjaként a tagként beállított szerepkörrel.
4. Rendelje hozzá a második csoportot a Google Cloud/Google Workspace alkalmazáshoz.
5. Igény szerinti kiépítés használatával hozza létre a csoportot a Google Cloud/Google Workspace szolgáltatásban.
6. Jelentkezzen be a Google Cloudba/Google Workspace-be, és rendelje hozzá a második csoportot a rendszergazdai feladatok elvégzéséhez szükséges engedélyekhez.

Mostantól minden olyan végfelhasználó, aki jogosulttá vált a csoportra a PIM-ben, jiT-hozzáférést kaphat a csoporthoz a Google Cloud/Google Workspace szolgáltatásban a csoporttagság aktiválásával.

• Mennyi ideig tart, amíg egy felhasználó ki van építve az alkalmazáshoz?
  • Ha egy felhasználót a Microsoft Entra ID-ban egy csoporthoz adnak hozzá a csoporttagság aktiválásán kívül a Microsoft Entra ID Privileged Identity Management (PIM) használatával:
    • A csoporttagság ki lesz építve az alkalmazásban a következő szinkronizálási ciklus során. A szinkronizálási ciklus 40 percenként fut.
  • Amikor egy felhasználó aktiválja a csoporttagságukat a Microsoft Entra ID PIM-ben:
    • A csoporttagság 2–10 perc alatt ki lesz építve. Ha egyszerre magas a kérelmek száma, a kérelmek szabályozása 10 másodpercenként öt kéréssel történik.
    • Az első öt felhasználó 10 másodperces időszakon belül aktiválja a csoporttagságukat egy adott alkalmazáshoz, a csoporttagság 2–10 percen belül ki lesz építve az alkalmazásban.
    • A hatodik és újabb felhasználó számára egy 10 másodperces időtartamon belül, amely aktiválja a csoporttagságukat egy adott alkalmazáshoz, a csoporttagság ki lesz építve az alkalmazás számára a következő szinkronizálási ciklusban. A szinkronizálási ciklus 40 percenként fut. A szabályozási korlátok vállalati alkalmazásonként vannak megadva.
• Ha a felhasználó nem tudja elérni a szükséges csoportot a Google Cloud/Google Workspace alkalmazásban, tekintse át a PIM-naplókat és a kiépítési naplókat annak érdekében, hogy a csoporttagság sikeresen frissüljön. A célalkalmazás létrehozásának módjától függően több időt vehet igénybe, mire a csoporttagság érvénybe lép az alkalmazásban.
• Az Azure Monitor használatával riasztásokat hozhat létre a hibákhoz.

Módosítási napló

• 2020.10.17. – További G Suite-felhasználói és csoportattribútumok támogatása.
• 2020.10.17. – Frissített G Suite-célattribútum-nevek az itt meghatározottaknak megfelelően.
• 2020.10.17. – Frissített alapértelmezett attribútumleképezések.

További erőforrások

• Felhasználói fiók átadásának kezelése vállalati alkalmazásokhoz
• Mi az alkalmazáshozzáférés és az egyszeri bejelentkezés a Microsoft Entra-azonosítóval?

Következő lépések

• Tudnivalók a naplók áttekintéséről és az átadási tevékenységekkel kapcsolatos jelentések lekéréséről