Esercitazione: Configurare il provisioning utenti di SAP SuccessFactors in Active Directory

  • Articolo

Questa esercitazione descrive i passaggi da eseguire per effettuare il provisioning degli utenti da SuccessFactors Employee Central in Active Directory (AD) e Microsoft Entra ID, con writeback facoltativo dell'indirizzo di posta elettronica in SuccessFactors.

Nota

Usare questa esercitazione se gli utenti di cui si vuole eseguire il provisioning da SuccessFactors necessitano di un account AD locale e facoltativamente di un account Microsoft Entra. Se gli utenti di SuccessFactors necessitano solo dell'account Microsoft Entra (utenti solo cloud), fare riferimento all'esercitazione sulla configurazione del provisioning utenti di SAP SuccessFactors in Microsoft Entra ID .

Il video seguente offre una rapida panoramica dei passaggi necessari per la pianificazione dell'integrazione del provisioning con SAP SuccessFactors.

Panoramica

Il servizio di provisioning utenti di Microsoft Entra si integra con SuccessFactors Employee Central per gestire il ciclo di vita delle identità degli utenti.

I flussi di lavoro di provisioning degli utenti di SuccessFactors supportati dal servizio di provisioning utenti di Microsoft Entra consentono l'automazione degli scenari di gestione del ciclo di vita delle risorse umane e delle identità seguenti:

  • Assunzione di nuovi dipendenti : quando un nuovo dipendente viene aggiunto a SuccessFactors, un account utente viene creato automaticamente in Active Directory, Microsoft Entra ID e, facoltativamente, Microsoft 365 e altre applicazioni SaaS supportate da Microsoft Entra ID, con writeback dell'indirizzo di posta elettronica in SuccessFactors.

  • Aggiornamenti dell'attributo e del profilo dei dipendenti: quando un record dei dipendenti viene aggiornato in SuccessFactors (ad esempio il nome, il titolo o il manager), il proprio account utente verrà aggiornato automaticamente in Active Directory, Microsoft Entra ID e, facoltativamente, in Microsoft 365 e in altre applicazioni SaaS supportate da Microsoft Entra ID.

  • Terminazioni dei dipendenti: quando un dipendente viene terminato in SuccessFactors, l'account utente viene disabilitato automaticamente in Active Directory, microsoft Entra ID e, facoltativamente, Microsoft 365 e altre applicazioni SaaS supportate da Microsoft Entra ID.

  • Rihires dei dipendenti: quando un dipendente viene riassunto in SuccessFactors, il vecchio account può essere riattivato o sottoposto nuovamente a provisioning (a seconda delle preferenze) in Active Directory, Microsoft Entra ID e facoltativamente Microsoft 365 e altre applicazioni SaaS supportate da Microsoft Entra ID.

Per chi è più adatta questa soluzione di provisioning utenti?

Questa soluzione di provisioning utenti da SuccessFactors ad Active Directory è idealmente la più appropriata per:

  • Organizzazioni che desiderano una soluzione predefinita basata sul cloud per il provisioning utenti SuccessFactors

  • Organizzazioni che richiedono il provisioning utenti diretto da SuccessFactors ad Active Directory

  • Organizzazioni che richiedono che il provisioning utenti venga effettuato tramite i dati ottenuti da SuccessFactors Employee Central (EC)

  • Organizzazioni che vogliono che le operazioni di aggiunta, spostamento ed eliminazione di utenti siano sincronizzate con uno o più domini, foreste o unità organizzative di Active Directory solo in base alle informazioni modificate rilevate in SuccessFactors Employee Central (EC)

  • Organizzazioni che usano Microsoft 365 per la posta elettronica

Architettura della soluzione

Questa sezione descrive l'architettura della soluzione end-to-end di provisioning degli utenti per ambienti ibridi comuni. Esistono due flussi correlati:

  • Flusso di dati HR autorevole: da SuccessFactors a Active Directory locale: in questo flusso di eventi di lavoro (ad esempio New Hires, Transfers, Terminations) si verificano prima nel cloud SuccessFactors Employee Central e quindi i dati dell'evento vengono trasmessi in Active Directory locale tramite Microsoft Entra ID e l'agente di provisioning. A seconda dell'evento, può determinare operazioni di creazione/aggiornamento/abilitazione o disabilitazione in Active Directory.

  • Flusso di writeback della posta elettronica: da Active Directory locale a SuccessFactors: una volta completata la creazione dell'account in Active Directory, viene sincronizzato con Microsoft Entra ID tramite Microsoft Entra Connessione l'attributo Sync and email può essere riscritto in SuccessFactors.

    Overview

Flusso di dati end-to-end dell'utente

  1. Il team delle risorse umane esegue transazioni relative ai lavoratori (nuovi ingressi/spostamenti/abbandoni oppure nuove assunzioni/trasferimenti/risoluzioni del rapporto) in SuccessFactors Employee Central
  2. Il servizio di provisioning Microsoft Entra esegue sincronizzazioni pianificate delle identità da SuccessFactors EC e identifica le modifiche che devono essere elaborate per la sincronizzazione con Active Directory locale.
  3. Il servizio di provisioning Microsoft Entra richiama l'istanza locale di Microsoft Entra Connessione Provisioning Agent con un payload di richiesta contenente operazioni di creazione/aggiornamento/abilitazione/disabilitazione dell'account AD.
  4. Microsoft Entra Connessione Provisioning Agent usa un account del servizio per aggiungere/aggiornare i dati dell'account AD.
  5. Il motore microsoft Entra Connessione Sync esegue la sincronizzazione differenziale per eseguire il pull degli aggiornamenti in AD.
  6. Gli aggiornamenti di Active Directory vengono sincronizzati con Microsoft Entra ID.
  7. Se l'app Writeback di SuccessFactors è configurata, esegue il writeback dell'attributo di posta elettronica in SuccessFactors in base all'attributo corrispondente usato.

Pianificazione della distribuzione

La configurazione del provisioning utenti basato su risorse umane nel cloud da SuccessFactors ad AD richiede una pianificazione considerevole che tenga conto di diversi aspetti, quali:

  • Installazione dell'agente di provisioning di Microsoft Entra Connessione
  • Numero di app di provisioning utenti da SuccessFactors ad AD da distribuire
  • Corrispondenza di ID, mapping degli attributi, trasformazione e filtri di ambito

Vedere il piano di distribuzione dell'app HR basata sul cloud per indicazioni complete su questi argomenti. Vedere la guida di riferimento all'integrazione di SAP SuccessFactors per informazioni sulle entità supportate, i dettagli di elaborazione e su come personalizzare l'integrazione per scenari HR diversi.

Configurazione di SuccessFactors per l'integrazione

Un requisito comune di tutti i connettori per il provisioning di SuccessFactors è che richiedano le credenziali di un account SuccessFactors con le autorizzazioni appropriate per richiamare le API OData di SuccessFactors. Questa sezione descrive la procedura da eseguire per creare l'account del servizio in SuccessFactors e concedere le autorizzazioni appropriate.

Creare/identificare l'account utente dell'API in SuccessFactors

Collaborare con il team di amministrazione di SuccessFactors o con il partner responsabile dell'implementazione per creare o identificare un account utente in SuccessFactors che verrà usato per richiamare le API OData. Le credenziali di nome utente e password di questo account saranno necessarie durante la configurazione delle app di provisioning in Microsoft Entra ID.

Creare un ruolo delle autorizzazioni API

  1. Accedere a SAP SuccessFactors con un account utente che ha accesso all'Interfaccia di amministrazione.

  2. Cercare Manage Permission Roles (Gestisci ruoli autorizzazione), quindi selezionare Manage Permission Roles dai risultati della ricerca. Manage Permission Roles

  3. In Permission Role List (Elenco ruoli autorizzazioni) fare clic su Create New (Crea nuovo).

    Create New Permission Role

  4. In Role Name e Description aggiungere rispettivamente un nome e una descrizione per il nuovo ruolo di autorizzazioni. Il nome e la descrizione devono indicare che il ruolo riguarda le autorizzazioni di utilizzo dell'API.

    Permission role detail

  5. In Permission settings (Impostazioni autorizzazione) fare clic su Permission (Autorizzazione), quindi scorrere l'elenco delle autorizzazioni verso il basso e fare clic su Manage Integration Tools (Gestione strumenti di integrazione). Selezionare la casella Allow Admin to Access to OData API through Basic Authentication (Consenti all'amministratore di accedere all'API OData tramite l'autenticazione di base).

    Manage integration tools

  6. Scorrere verso il basso nello stesso riquadro e selezionare Employee Central API (API Employee Central). Aggiungere le autorizzazioni di lettura e modifica dell'API ODATA, come illustrato di seguito. Selezionare l'opzione di modifica se si prevede di usare lo stesso account per lo scenario di writeback in SuccessFactors.

    Read write permissions

  7. Nella stessa casella delle autorizzazioni passare a Autorizzazioni utente -> Dati dipendenti ed esaminare gli attributi che l'account del servizio può leggere dal tenant di SuccessFactors. Ad esempio, per recuperare l'attributo Username da SuccessFactors, verificare che per questo attributo sia stata concessa l'autorizzazione di visualizzazione. Esaminare in modo analogo ogni attributo per verificare la presenza dell'autorizzazione di visualizzazione.

    Employee data permissions

    Nota

    Per l'elenco completo degli attributi recuperati da questa app di provisioning, vedere Informazioni di riferimento sugli attributi di SuccessFactors

  8. Fare clic su Done (Fine). Fare clic su Save Changes (Salva modifiche).

Creare un gruppo di autorizzazioni per l'utente dell'API

  1. Nell'interfaccia di amministrazione di SuccessFactors cercare Manage Permission Groups (Gestisci gruppi di autorizzazioni), quindi selezionare Manage Permission Groups dai risultati della ricerca.

    Manage permission groups

  2. Nella finestra Manage Permission Groups fare clic su Create New (Crea nuovo).

    Add new group

  3. Aggiungere un nome per il nuovo gruppo. Il nome del gruppo deve indicare che il gruppo è riservato agli utenti dell'API.

    Permission group name

  4. Aggiungere membri al gruppo. Ad esempio, si potrebbe selezionare Username (Nome utente) dal menu a discesa People Pool (Pool utenti) e quindi immettere il nome utente dell'account API che verrà usato per l'integrazione.

    Add group members

  5. Fare clic su Done (Fine) per completare la creazione del gruppo di autorizzazioni.

Concedere il ruolo delle autorizzazioni al gruppo di autorizzazioni

  1. Nell'interfaccia di amministrazione di SuccessFactors cercare Manage Permission Roles (Gestisci ruoli autorizzazioni), quindi selezionare Manage Permission Roles dai risultati della ricerca.
  2. In Permission Role List (Elenco ruoli autorizzazioni) selezionare il ruolo creato per le autorizzazioni di utilizzo dell'API.
  3. In Concedi questo ruolo a... fare clic sul pulsante Aggiungi.
  4. Selezionare Permission Group (Gruppo di autorizzazioni) dal menu a discesa, quindi fare clic su Select (Seleziona) per aprire la finestra Groups (Gruppi) per cercare e selezionare il gruppo creato in precedenza.

    Add permission group

  5. Verificare la concessione del ruolo delle autorizzazioni al gruppo di autorizzazioni.

    Permission Role and Group detail

  6. Fare clic su Save Changes (Salva modifiche).

Configurazione del provisioning utenti da SuccessFactors ad Active Directory

Questa sezione descrive la procedura per effettuare il provisioning degli account utente da SuccessFactors in ogni dominio di Active Directory nell'ambito dell'integrazione.

Parte 1: Aggiungere l'app connettore di provisioning e scaricare l'agente di provisioning

Per configurare il provisioning da SuccessFactors ad Active Directory:

  1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.

  2. Passare a Applicazioni di identità>Applicazioni>aziendali>Nuova applicazione.

  3. Cercare SuccessFactors to Active Directory User Provisioning (Provisioning utenti da SuccessFactors ad Active Directory) e aggiungere tale app dalla raccolta.

  4. Dopo avere aggiunto l'app e visualizzato la schermata dei dettagli dell'app, selezionare Provisioning

  5. Impostare Modalità diprovisioning su Automatico

  6. Fare clic sul banner di informazioni visualizzato per scaricare l'agente di provisioning.

    Download Agent

Parte 2: Installare e configurare gli agenti di provisioning locali

Per effettuare il provisioning in Active Directory locale, è necessario installare l'agente di provisioning in un server aggiunto al dominio e con accesso di rete ai domini di Active Directory richiesti.

Trasferire il programma di installazione dell'agente scaricato nell'host del server e seguire i passaggi indicati nella sezione Installare l'agente per completare la configurazione dell'agente.

Parte 3: Nell'app di provisioning configurare la connettività a SuccessFactors e Active Directory

In questo passaggio viene stabilita la connettività con SuccessFactors e Active Directory.

  1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.

  2. Passare a Applicazioni di identità>Applicazioni>aziendali> SuccessFactors in App di provisioning utenti active Directory creata nella parte 1

  3. Completare la sezione Credenziali amministratore come segue:

    • Nome utente amministratore: immettere il nome utente dell'account utente dell'API SuccessFactors, seguito dall'ID società. Ha il formato: username@companyID

    • Password amministratore: immettere la password dell'account utente dell'API SuccessFactors.

    • URL tenant: immettere il nome dell'endpoint di servizio dell'API OData di SuccessFactors. Immettere solo il nome host del server senza http o https. Questo valore dovrebbe essere simile al seguente: api-server-name.successfactors.com>.<

    • Foresta di Active Directory: il "nome" del dominio di Active Directory, così come registrato con l'agente. Usare l'elenco a discesa per selezionare il dominio di destinazione per il provisioning. In genere, il valore corrisponde a una stringa simile a: contoso.com

    • Contenitore di Active Directory: immettere il nome distinto del contenitore in cui l'agente deve creare gli account utente per impostazione predefinita. Esempio: OU=Users,DC=contoso,DC=com

      Nota

      Questa impostazione deve essere usata per la creazione degli account utente solo se l'attributo parentDistinguishedName non è configurato nel mapping degli attributi. Questa impostazione non viene usata per la ricerca di utenti o per le operazioni di aggiornamento. L'intero sottoalbero del dominio rientra nell'ambito dell'operazione di ricerca.

    • Messaggio di posta elettronica di notifica: immettere l'indirizzo di posta elettronica e selezionare la casella di controllo per inviare una notifica di posta elettronica in caso di errore.

      Nota

      Il servizio di provisioning Microsoft Entra invia una notifica tramite posta elettronica se il processo di provisioning entra in uno stato di quarantena .

    • Fare clic sul pulsante Test connessione. Se il test della connessione ha esito positivo, fare clic sul pulsante Salva nella parte superiore. Se il test non riesce, verificare che le credenziali di SuccessFactors e Active Directory configurate nel programma di installazione dell'agente siano valide.

      Azure portal

    • Dopo che le credenziali vengono salvate correttamente, la sezione Mapping mostrerà il mapping predefinito Synchronize SuccessFactors Users to On Premises (Sincronizza utenti di SuccessFactors in Active Directory locale)

Parte 4: Configurare i mapping degli attributi

In questa sezione verrà configurato il flusso dei dati utente da SuccessFactors ad Active Directory.

  1. Nella scheda Provisioning, in Mapping, fare clic su Synchronize SuccessFactors Users to On Premises Active Directory (Sincronizza utenti di SuccessFactors in Active Directory locale).

  2. Nel campo Ambito dell'oggetto di origine è possibile selezionare i gruppi di utenti in SuccessFactors da includere nell'ambito per il provisioning in AD, definendo un set di filtri basati su attributi. L'ambito predefinito è "tutti gli utenti in SuccessFactors". Filtri di esempio:

    • Esempio: Ambito per gli utenti con personIdExternal compreso tra 1000000 e 2000000 (escluso 2000000)

      • Attributo: personIdExternal

      • Operatore: Corrispondenza REGEX

      • Valore: (1[0-9][0-9][0-9][0-9][0-9][0-9])

    • Esempio: Solo i dipendenti, senza i lavoratori occasionali

      • Attributo: EmployeeID

      • Operatore: NON È NULL

    Suggerimento

    Quando si configura l'app di provisioning per la prima volta, è necessario testare e verificare i mapping degli attributi e le espressioni per assicurarsi che restituisca il risultato desiderato. Microsoft consiglia di usare i filtri di ambito in Ambito dell'oggetto di origine per testare il mapping con alcuni utenti test da SuccessFactors. Dopo avere verificato che i mapping funzionino è possibile rimuovere il filtro o espanderlo gradualmente in modo da includere altri utenti.

    Attenzione

    Il comportamento predefinito del motore di provisioning è disabilitare/eliminare gli utenti che non rientrano nell'ambito. Questo comportamento potrebbe essere indesiderato nell'integrazione da SuccessFactors ad Active Directory. Per eseguire l'override di questo comportamento predefinito, fare riferimento all'articolo Ignorare l'eliminazione di account utente che non rientrano nell'ambito

  3. Nel campo Target Object Actions (Azioni oggetto di destinazione) è possibile applicare un filtro a livello globale per le azioni che vengono eseguite in Active Directory. Create (Crea) e Update (Aggiorna) sono le più comuni.

  4. Nella sezione Mapping attributi è possibile definire il mapping dei singoli attributi di SuccessFactors agli attributi di Active Directory.

    Nota

    Per l'elenco completo degli attributi di SuccessFactors supportati dall'applicazione, vedere Informazioni di riferimento sugli attributi di SuccessFactors

  5. Fare clic su un mapping di attributi esistente per aggiornarlo oppure fare clic su Aggiungi nuovo mapping nella parte inferiore della schermata per aggiungere nuovi mapping. Il mapping di un singolo attributo supporta queste proprietà:

    • Tipo di mapping

      • Diretto: scrive il valore dell'attributo di SuccessFactors nell'attributo di AD, senza modifiche

      • Costant (Costante): scrive un valore stringa costante statico nell'attributo di AD

      • Espressione: consente di scrivere un valore personalizzato per l'attributo di Active Directory, in base a uno o più attributi di SuccessFactors. Per altre informazioni, vedere questo articolo sulle espressioni.

    • Attributo di origine: l'attributo utente di SuccessFactors.

    • Valore predefinito: facoltativo. Se l'attributo di origine ha un valore vuoto, il mapping eseguirà la scrittura di questo valore. Nella maggior parte delle configurazioni questo campo viene lasciato vuoto.

    • Attributo di destinazione: l'attributo utente in Active Directory.

    • Abbina gli oggetti in base a questo attributo: specifica se questo mapping deve essere usato o meno per l'identificazione univoca degli utenti tra SuccessFactors e Active Directory. In genere, è impostato sul campo dell'ID lavoratore di SuccessFactors, che solitamente è associato a uno degli attributi ID dipendente di Active Directory.

    • Precedenza abbinamento: è possibile impostare più attributi corrispondenti. Se sono presenti più attributi, vengono valutati nell'ordine definito da questo campo. Quando viene rilevata una corrispondenza la valutazione degli attributi corrispondenti termina.

    • Applica questo mapping

      • Sempre: applica il mapping sia all'azione di creazione che all'azione di aggiornamento dell'utente

      • Only during creation (Solo durante la creazione): applica il mapping solo alle azioni di creazione dell'utente

  6. Per salvare i mapping, fare clic su Save, Salva, nella parte superiore della sezione Attribute-Mapping, Mapping attributi.

Una volta completata la configurazione del mapping degli attributi, è possibile testare il provisioning per un singolo utente usando il provisioning su richiesta e quindi abilitare e avviare il servizio di provisioning utenti.

Abilitare e avviare il provisioning utenti

Dopo aver completato le configurazioni dell'app di provisioning di SuccessFactors e aver verificato il provisioning per un singolo utente con provisioning su richiesta, è possibile attivare il servizio di provisioning.

Suggerimento

Per impostazione predefinita quando si attiva il servizio di provisioning, verranno avviate le operazioni di provisioning per tutti gli utenti nell'ambito. Se sono presenti errori di mapping o problemi di dati in SuccessFactors, il processo di provisioning potrebbe non riuscire e passare allo stato di quarantena. Come procedura consigliata per evitare questo problema è consigliabile configurare il filtro Source Object Scope (Ambito dell'oggetto di origine) e il test di mapping degli attributi con alcuni utenti di test con il provisioning su richiesta prima di avviare la sincronizzazione completa per tutti gli utenti. Dopo avere verificato che i mapping funzionino e che restituiscano i risultati desiderati è possibile rimuovere il filtro o espanderlo gradualmente in modo da includere altri utenti.

  1. Passare al pannello Provisioning e fare clic su Start provisioning (Avvia provisioning).

  2. Questa operazione avvierà la sincronizzazione iniziale, che può richiedere un numero variabile di ore a seconda del numero di utenti nel tenant di SuccessFactors. È possibile controllare l'indicatore di stato per monitorare lo stato del ciclo di sincronizzazione.

  3. In qualsiasi momento è possibile controllare la scheda Log di controllo nel portale di Azure per vedere le azioni che sono state eseguite dal servizio di provisioning. I log di controllo elencano tutti i singoli eventi di sincronizzazione eseguiti dal servizio di provisioning, ad esempio quali utenti vengono letti da SuccessFactors e successivamente aggiunti o aggiornati in Active Directory.

  4. Al termine della sincronizzazione iniziale, verrà scritto un report di riepilogo di controllo nella scheda Provisioning, come illustrato di seguito.

    Provisioning progress bar

Passaggi successivi