Provisi dengan konektor layanan web

Dokumentasi berikut ini menyediakan informasi tentang konektor layanan web generik. Tata Kelola ID Microsoft Entra mendukung provisi akun ke dalam berbagai aplikasi seperti SAP ECC, Oracle eBusiness Suite, dan lini aplikasi bisnis yang mengekspos REST atau SOAP API. Pelanggan yang sebelumnya telah menyebarkan MIM untuk terhubung ke aplikasi ini dapat dengan mudah beralih menggunakan agen provisi Microsoft Entra yang ringan, sambil menggunakan kembali konektor layanan web yang sama yang dibangun untuk MIM.

Kemampuan yang didukung

• Buat pengguna di aplikasi Anda.
• Hapus pengguna di aplikasi Anda saat mereka tidak memerlukan akses lagi.
• Menjaga atribut pengguna tetap sinkron antara ID Microsoft Entra dan aplikasi Anda.
• Temukan skema untuk aplikasi Anda.

Konektor layanan web mengimplementasikan fungsi berikut:

• SOAP Discovery: Memungkinkan administrator untuk memasukkan jalur WSDL yang diekspos oleh layanan web target. Proses penemuan menghasilkan struktur pohon dari layanan web yang dihosting aplikasi yang mencakup titik akhir atau operasi di dalamnya bersama dengan deskripsi metadata operasi. Tidak ada batasan jumlah operasi penemuan yang dapat dilakukan (langkah demi langkah). Operasi yang ditemukan digunakan nanti untuk mengonfigurasi alur operasi yang mengimplementasikan operasi konektor terhadap sumber data (sebagai Impor/Ekspor).

• Rest Discovery: Memungkinkan administrator untuk memasukkan detail layanan REST, termasuk Titik Akhir Layanan, Jalur Sumber Daya, Metode, dan detail Parameter. Informasi layanan REST disimpan dalam file discovery.xml proyek wsconfig. Mereka akan digunakan nanti oleh administrator untuk mengonfigurasi aktivitas Rest Web Service dalam alur kerja.

• Konfigurasi skema: Memungkinkan administrator untuk mengonfigurasi skema. Konfigurasi skema mencakup daftar Jenis Objek dan atribut untuk aplikasi tertentu. Administrator dapat memilih atribut yang akan menjadi bagian dari skema.

• Konfigurasi Alur Operasi: UI perancang alur kerja untuk mengonfigurasi implementasi operasi impor dan ekspor per jenis objek melalui fungsi operasi layanan web yang diekspos, termasuk penetapan parameter dari pengguna yang diprovisikan ke fungsi layanan web.

Prasyarat untuk provisi

Prasyarat lokal

Komputer yang menjalankan agen provisi harus memiliki:

• Konektivitas ke titik akhir REST atau SOAP aplikasi, serta konektivitas keluar ke login.microsoftonline.com, layanan Microsoft Online lainnya dan domain Azure. Contohnya adalah mesin virtual Windows Server 2016 yang dihosting di Azure IaaS atau di belakang proksi.
• Setidaknya RAM 3 GB, untuk menghosting agen penyedia.
• .NET Framework 4.7.2
• Windows Server 2016 atau versi yang lebih baru.

Sebelum mengonfigurasi provisi, pastikan Anda:

• Mengekspos SOAP atau REST API yang diperlukan di aplikasi Anda untuk membuat, memperbarui, dan menghapus pengguna.

Persyaratan cloud

• Pelanggan Microsoft Entra dengan Microsoft Entra ID P1 atau Premium P2 (atau EMS E3 atau E5).

  Menggunakan fitur ini memerlukan lisensi Microsoft Entra ID P1. Untuk menemukan lisensi yang tepat untuk kebutuhan Anda, lihat Membandingkan fitur Microsoft Entra ID yang tersedia secara umum.

• Peran Administrator Identitas Hibrid untuk mengonfigurasi agen provisi dan peran Administrator Aplikasi atau Administrator Aplikasi Cloud untuk mengonfigurasi penyediaan di portal Azure.

• Pengguna Microsoft Entra yang akan diprovisikan ke aplikasi Anda harus sudah diisi dengan atribut apa pun yang diperlukan oleh aplikasi Anda.

Menginstal dan mengonfigurasi Microsoft Entra Connect Provisioning Agent

1. Masuk ke portal Azure.
2. Buka Aplikasi perusahaan dan pilih Aplikasi baru.
3. Cari aplikasi ECMA lokal, beri nama aplikasi, dan pilih Buat untuk menambahkannya ke penyewa Anda.
4. Dari menu, navigasikan ke halaman Penyediaan aplikasi Anda.
5. Pilih Mulai.
6. Di halaman Provisi, ubah mode menjadi Otomatis.

7. Di bawah Konektivitas On-premises, pilih Unduh dan instal, dan pilih Terima syarat & unduh.

8. Tinggalkan portal dan jalankan alat penginstal agen provisi, setujui ketentuan layanan, dan pilih Instal.

9. Tunggu hingga wizard konfigurasi agen provisi Microsoft Entra selesai, kemudian pilih Berikutnya.

10. Di langkah Pilih Ekstensi, pilih Provisi aplikasi lokal lalu pilih Berikutnya.

11. Agen provisi menggunakan peramban sistem operasi untuk menampilkan jendela popup agar Anda dapat mengautentikasi ke ID Microsoft Entra, dan berpotensi juga penyedia identitas dari organisasi Anda. Jika Anda menggunakan Internet Explorer sebagai browser di Windows Server, maka Anda mungkin perlu menambahkan situs web Microsoft ke daftar situs tepercaya browser Anda untuk mengizinkan JavaScript berjalan dengan benar.

12. Berikan kredensial untuk administrator Microsoft Entra saat Anda diminta untuk mengotorisasi. Pengguna diharuskan memiliki peran Administrator Identitas Hibrid setidaknya.

13. Pilih Konfirmasi untuk mengonfirmasi pengaturan. Setelah penginstalan berhasil, Anda dapat memilih Keluar, serta menutup penginstal Paket Agen Provisioning.

Mengonfigurasi aplikasi ECMA lokal

1. Di portal, pada bagian Konektivitas Lokal, pilih agen yang Anda sebarkan dan pilih Tetapkan Agen.

   

2. Biarkan jendela browser ini tetap terbuka, saat Anda menyelesaikan langkah konfigurasi berikutnya menggunakan wizard konfigurasi.

Konfigurasi sertifikat Host Konektor Microsoft Entra ECMA

1. Pada Windows Server tempat agen provisi diinstal, klik kanan Wizard Konfigurasi Microsoft ECMA2Host dari menu Start, dan jalankan dengan hak administrator. Menjalankan sebagai administrator Windows diperlukan agar wizard dapat membuat log peristiwa Windows yang diperlukan.

2. Setelah Konfigurasi Host Konektor ECMA dimulai, jika ini pertama kalinya Anda menjalankan wizard, ia meminta Anda untuk membuat sertifikat. Biarkan port default 8585 dan pilih Buat sertifikat untuk membuat sertifikat. Sertifikat yang dihasilkan secara otomatis ditandatangani oleh dirinya sendiri sebagai bagian dari akar tepercaya. Sertifikat SAN cocok dengan nama host.

   

3. Pilih Simpan.

Membuat templat konektor layanan web

Sebelum membuat konfigurasi konektor layanan web, Anda perlu membuat templat konektor layanan web dan menyesuaikan templat untuk memenuhi kebutuhan lingkungan spesifik Anda. Pastikan bahwa ServiceName, EndpointName, dan OperationName sudah benar.

Anda dapat menemukan contoh templat dan panduan tentang cara berintegrasi dengan aplikasi populer seperti SAP ECC 7.0 dan Oracle eBusiness Suite dalam paket unduhan konektor. Anda dapat mempelajari cara membuat proyek baru untuk sumber data Anda di Alat Konfigurasi Layanan Web menggunakan panduan alur kerja untuk SOAP.

Untuk informasi selengkapnya tentang cara mengonfigurasi templat untuk menyambungkan ke REST atau SOAP API aplikasi Anda sendiri, lihat Tinjauan Umum konektor Generic Web Service di pustaka dokumentasi MIM.

Mengonfigurasi konektor layanan web generik

Di bagian ini, Anda akan membuat konfigurasi konektor untuk aplikasi Anda.

Menyambungkan agen penyediaan ke aplikasi Anda

Untuk menyambungkan agen provisi Microsoft Entra dengan aplikasi Anda, ikuti langkah-langkah berikut:

1. Salin file templat konektor layanan web Anda .wsconfig ke dalam folder C:\Program Files\Microsoft ECMA2Host\Service\ECMA.

2. Buat token rahasia yang digunakan untuk mengautentikasi ID Microsoft Entra ke konektor. Harus minimal 12 karakter dan unik untuk setiap aplikasi.

3. Jika Anda belum melakukannya, luncurkan Microsoft ECMA2Host Configuration Wizard dari Menu Mulai Windows.

4. Pilih Konektor Baru.

   

5. Di halaman Properti, isi kotak dengan nilai yang ditentukan di tabel yang mengikuti gambar dan pilih Berikutnya.

   

   Properti	Nilai
   Nama	Nama yang Anda pilih untuk konektor harus unik di antara semua konektor dalam lingkungan Anda.
   Timer sinkronisasi otomatis (menit)	120
   Token Rahasia	Masukkan token rahasia yang Anda buat untuk konektor ini. Kunci harus minimal 12 karakter.
   DLL Ekstensi	Untuk konektor layanan web, pilih Microsoft.IdentityManagement.MA.WebServices.dll.

6. Di halaman Konektivitas, isi kotak dengan nilai yang ditentukan di tabel yang mengikuti gambar dan pilih Berikutnya.

   

   Properti	Deskripsi
   Proyek Layanan Web	Nama templat layanan web Anda.
   Tuan Rumah	Nama host titik akhir SOAP aplikasi Anda, seperti vhcalnplci.dummy.nodomain
   Pelabuhan	Nomor port titik akhir SOAP aplikasi Anda, seperti 8000

7. Pada halaman Kapabilitas , isi kotak dengan nilai yang ditentukan dalam tabel berikut dan pilih Berikutnya.

   Properti	Nilai
   Gaya Nama Khusus	Generik
   Jenis Ekspor	PenggantianObjek
   Normalisasi Data	Tidak
   Konfirmasi Objek	Normal
   Aktifkan Impor	Dicentang
   Diaktifkan Impor Delta	Tidak Dicentang
   Aktifkan Ekspor	Dicentang
   Aktifkan Ekspor Penuh	Tidak Dicentang
   Aktifkan Ekspor Kata Sandi di Pass Pertama	Dicentang
   Tidak Ada Nilai Referensi dalam Pass Ekspor Pertama	Tidak Dicentang
   Aktifkan Ganti Nama Objek	Tidak Dicentang
   Hapus-Tambahkan sebagai Ganti	Belum Dicentang

Catatan

Jika templat konektor layanan web Anda dibuka untuk pengeditan di Alat Konfigurasi Layanan Web, Anda akan mendapatkan kesalahan.

8. Pada halaman Global , isi kotak, dan pilih Berikutnya.

9. Di halaman Partisi, pilih Berikutnya.

10. Di halaman Jalankan Profil, biarkan kotak Ekspor tetap dipilih. Pilih kotak centang Impor lengkap, lalu pilih Berikutnya. Profil Ekspor digunakan saat host Konektor ECMA perlu mengirim perubahan dari ID Microsoft Entra ke aplikasi Anda untuk menyisipkan, memperbarui, dan menghapus catatan. Profil eksekusi Impor Penuh digunakan untuk membaca konten aplikasi Anda saat ini ketika layanan host Konektor ECMA dimulai.

    Properti	Nilai
    Ekspor	Jalankan profil yang mengekspor data ke aplikasi Anda Profil eksekusi ini diperlukan.
    Impor penuh	Jalankan profil yang mengimpor semua data dari aplikasi Anda.
    Delta impor	Jalankan profil yang hanya mengimpor perubahan dari aplikasi Anda sejak impor penuh atau delta terakhir.

11. Di halaman Jenis Objek, isi kotak lalu klik Berikutnya. Gunakan tabel yang mengikuti gambar untuk panduan pada kotak individual.

    • Jangkar : Nilai atribut ini harus unik untuk setiap objek dalam sistem target. Layanan provisi Microsoft Entra mengirim permintaan ke host konektor ECMA dengan menggunakan atribut ini setelah siklus awal. Nilai ini didefinisikan dalam templat konektor layanan web.

    • DN : Opsi Autogenerasi harus dipilih dalam banyak kasus. Jika tidak dipilih, pastikan bahwa atribut DN dipetakan ke atribut di MICROSOFT Entra ID yang menyimpan DN dalam format ini: CN = anchorValue, Object = objectType. Untuk informasi selengkapnya tentang jangkar dan DN lihat Tentang atribut jangkar dan nama khusus.

      Properti	Nilai
      Objek target	Pengguna
      Jangkar	userName
      DN	userName
      Dibuat secara otomatis	Dicentang

12. Host konektor ECMA menemukan atribut yang didukung oleh aplikasi Anda. Anda kemudian dapat memilih atribut mana yang ditemukan yang ingin Anda ekspos ke ID Microsoft Entra. Atribut ini kemudian dapat dikonfigurasi di portal Microsoft Azure untuk penyediaan. Di halaman Pilih Atribut, tambahkan semua atribut di menu drop-down satu per satu. Daftar dropdown Atribut menunjukkan atribut apa pun yang ditemukan di aplikasi Anda dan tidak dipilih di halaman Pilih Atribut sebelumnya. Setelah semua atribut yang relevan ditambahkan, pilih Berikutnya.

    

13. Di halaman Membatalkan penyediaan, di bawah Nonaktifkan alur, pilih Hapus. Atribut yang dipilih pada halaman sebelumnya tidak akan tersedia untuk dipilih pada halaman Pembatalan provisi. Pilih Selesai.

Catatan

Jika Anda menggunakan Set nilai atribut, pastikan bahwa hanya nilai boolean yang diizinkan.

Pada halaman Deprovisioning, di bawah Nonaktifkan aliran, pilih Tidak ada jika Anda akan mengontrol status akun pengguna dengan atribut seperti expirationTime. Pada bagian Hapus alur, pilih Tidak Ada jika Anda tidak ingin menghapus pengguna dari aplikasi Anda atau Hapus jika Anda ingin melakukannya. Pilih Selesai.

Pastikan layanan ECMA2Host berjalan

1. Di server yang menjalankan Host Konektor MICROSOFT Entra ECMA, pilih Mulai.

2. Masukkan run dan masukkan services.msc di kotak.

3. Dalam daftar Layanan, pastikan bahwa Microsoft ECMA2Host ada dan berjalan. Jika tidak, pilih Mulai.

   

4. Jika Anda baru saja memulai layanan, dan memiliki banyak objek pengguna di aplikasi Anda, maka tunggu beberapa menit hingga konektor membuat koneksi dengan aplikasi Anda dan melakukan impor penuh awal.

Mengonfigurasi koneksi aplikasi di portal Azure

1. Kembali ke jendela browser web tempat Anda mengonfigurasi provisi aplikasi.

   Catatan

   Jika jendela telah kedaluwarsa, maka Anda harus memilih ulang agen.

   1. Masuk ke portal Azure.
   2. Buka Aplikasi perusahaan, lalu pilih aplikasi aplikasi ECMA lokal.
   3. Pilih Penyediaan.
   4. Pilih Mulai lalu ubah mode menjadi Otomatis, pada bagian Konektivitas Lokal, pilih agen yang Anda sebarkan dan pilih Tetapkan Agen. Atau buka Edit Pengaturan Penyediaan.

2. Di bagian Informasi masuk Admin, masukkan URL berikut. Ganti porsi {connectorName} dengan nama konektor pada host konektor ECMA. Nama konektor peka huruf besar/kecil dan harus sama seperti yang dikonfigurasi dalam wizard. Anda juga dapat mengganti localhost dengan nama host komputer Anda.

   Properti	Nilai
   URL Penyewa	https://localhost:8585/ecma2host_APP1/scim

3. Masukkan nilai Token Rahasia yang Anda tentukan saat membuat konektor.

   Catatan

   Jika Anda baru saja menetapkan agen ke aplikasi, harap tunggu 10 menit hingga pendaftaran selesai. Pengujian konektivitas tidak akan dapat dilakukan sampai pendaftaran selesai. Memaksa pendaftaran agen selesai dengan menghidupkan ulang agen provisi di server Anda dapat mempercepat proses pendaftaran. Buka server Anda, cari layanan di bilah pencarian Windows, identifikasi Microsoft Entra Connect Provisioning Agent Service, pilih kanan layanan, dan mulai ulang.

4. Pilih Uji Koneksi, lalu tunggu satu menit.

5. Setelah pengujian koneksi berhasil dan menunjukkan bahwa kredensial yang disediakan diizinkan untuk mengaktifkan provisi, pilih Simpan.

   

Mengonfigurasi pemetaan atribut

Sekarang Anda akan memetakan atribut antara representasi pengguna di ID Microsoft Entra dan representasi pengguna di aplikasi Anda.

Anda akan menggunakan portal Azure untuk mengonfigurasi pemetaan antara atribut pengguna Microsoft Entra dan atribut yang sebelumnya Anda pilih di wizard konfigurasi Host ECMA.

1. Pastikan bahwa skema Microsoft Entra menyertakan atribut yang diperlukan oleh aplikasi Anda. Jika mengharuskan pengguna memiliki atribut, dan atribut tersebut belum menjadi bagian dari skema Microsoft Entra Anda untuk pengguna, maka Anda harus menggunakan fitur ekstensi direktori untuk menambahkan atribut tersebut sebagai ekstensi.

2. Di pusat admin Microsoft Entra, di bawah aplikasi perusahaan, pilih aplikasi ECMA di tempat, lalu halaman penyediaan.

3. Pilih Edit provisi, dan tunggu 10 detik.

4. Perluas Pemetaan dan pilih Provisikan pengguna Microsoft Entra. Jika ini pertama kalinya Anda mengonfigurasi pemetaan atribut untuk aplikasi ini, hanya akan ada satu pemetaan untuk placeholder.

   

5. Untuk mengonfirmasi bahwa skema aplikasi Anda tersedia di ID Microsoft Entra, pilih kotak centang Perlihatkan opsi tingkat lanjut dan pilih Edit daftar atribut untuk ScimOnPremises. Semua atribut yang dipilih dalam panduan konfigurasi harus dicantumkan. Jika tidak, tunggu beberapa menit hingga skema di-refresh, lalu muat ulang halaman. Setelah Anda melihat atribut yang tercantum, batalkan dari halaman ini untuk kembali ke daftar pemetaan.

6. Sekarang, pilih pada pemetaan userPrincipalName PLACEHOLDER. Pemetaan ini ditambahkan secara default saat Anda pertama kali mengonfigurasi provisi lokal.

Ubah nilai agar sesuai dengan yang berikut ini:

Jenis Pemetaan	Atribut sumber	Atribut Sasaran
Langsung	namaUtamaPengguna	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:userName

7. Sekarang pilih Tambahkan Pemetaan Baru, dan ulangi langkah berikutnya untuk setiap pemetaan.

8. Tentukan atribut sumber dan target untuk setiap atribut yang diperlukan aplikasi Anda. Contohnya,

   Atribut Microsoft Entra	Atribut ScimOnPremises	Prioritas pencocokan	Terapkan pemetaan ini
   ToUpper(Word([userPrincipalName], 1, "@"), )	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:userName	1	Hanya selama pembuatan objek
   Redaksi("Pass@w0rd1")	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:export_password		Hanya selama pembuatan objek
   kota	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:city		Selalu
   NamaPerusahaan	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:company		Selalu
   departemen	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:department		Selalu
   surat	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:email		Selalu
   Switch([IsSoftDeleted], , "False", "9999-12-31", "True", "1990-01-01")	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:expirationTime		Selalu
   givenName	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:firstName		Selalu
   surname	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:namaBelakang		Selalu
   nomor telepon	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:telephoneNumber		Selalu
   jabatan	urn:ietf:params:scim:schemas:extension:ECMA2Host:2.0:User:jobTitle		Selalu

9. Setelah semua pemetaan ditambahkan, pilih Simpan.

Menetapkan pengguna ke aplikasi

Sekarang setelah Anda memiliki Host Penghubung ECMA Microsoft Entra yang berkomunikasi dengan ID Microsoft Entra, dan pemetaan atribut dikonfigurasi, Anda dapat melanjutkan untuk mengonfigurasi siapa yang termasuk dalam cakupan penyediaan.

Penting

Jika Anda masuk menggunakan peran Administrator Identitas Hibrid, Anda perlu keluar dan masuk dengan akun yang memiliki setidaknya peran Administrator Aplikasi untuk bagian ini. Peran Administrator Identitas Hibrid tidak memiliki izin untuk menetapkan pengguna ke aplikasi.

Jika ada pengguna yang ada di aplikasi Anda, maka Anda harus membuat penetapan peran aplikasi untuk pengguna yang ada. Untuk mempelajari selengkapnya tentang cara membuat penetapan peran aplikasi secara massal, lihat mengatur pengguna aplikasi yang sudah ada di ID Microsoft Entra.

Jika tidak, jika tidak ada pengguna aplikasi saat ini, pilih pengguna uji dari Microsoft Entra yang akan diprovisikan ke aplikasi.

1. Pastikan bahwa pengguna yang Anda pilih memiliki semua properti yang akan dipetakan ke atribut aplikasi yang diperlukan.

2. Di portal Microsoft Azure, pilih Aplikasi Enterprise.

3. Pilih aplikasi apl ECMA lokal.

4. Di sebelah kiri, di bawah Kelola, pilih Pengguna dan grup.

5. Pilih Tambahkan pengguna/grup.

   

6. Di bawah Pengguna, pilih Tidak Ada yang Dipilih.

   

7. Pilih pengguna dari kanan dan pilih tombol Pilih.

   

8. Sekarang pilih Tetapkan.

   

Pengaturan pengujian

Sekarang setelah atribut Anda dipetakan dan pengguna ditetapkan, Anda dapat menguji penyediaan langsung dengan salah satu pengguna Anda.

1. Di portal Microsoft Azure, pilih Aplikasi Enterprise.

2. Pilih aplikasi apl ECMA lokal.

3. Di sebelah kiri, pilih Penyediaan.

4. Pilih Provisikan sesuai permintaan.

5. Cari salah satu pengguna uji Anda, lalu pilih Provisi.

   

6. Setelah beberapa detik, maka pesan Pengguna yang berhasil dibuat di sistem target muncul, dengan daftar atribut pengguna.

Memulai penyediaan pengguna

1. Setelah provisi sesuai permintaan berhasil, kembali ke halaman konfigurasi provisi. Pastikan cakupan diatur ke hanya pengguna dan grup yang ditetapkan, aktifkan provisi, lalu pilih Simpan.

   

2. Tunggu hingga 40 menit hingga layanan provisi dimulai. Setelah pekerjaan provisi selesai, seperti yang dijelaskan di bagian berikutnya, jika Anda selesai menguji, Anda dapat mengubah status provisi menjadi Nonaktif, dan pilih Simpan. Tindakan ini membuat layanan provisi tidak berjalan di masa yang akan datang.

Memecahkan masalah kesalahan penyediaan

Jika kesalahan muncul, pilih Lihat log provisi. Cari di log untuk baris di mana Status adalah Kegagalan, dan pilih pada baris tersebut.

Untuk informasi selengkapnya, ubah ke tab Pemecahan Masalah & Rekomendasi .

Langkah berikutnya

• Penyediaan aplikasi
• Konektor SQL generik Host Konektor ECMA
• Konektor LDAP Host Konektor ECMA