Tutorial: configurar o Salesforce para provisionamento automático de usuário

Artigo
10/29/2023

O objetivo deste tutorial é mostrar as etapas que precisam ser executadas no Salesforce e no Microsoft Entra ID para provisionar e desprovisionar automaticamente as contas de usuário do Microsoft Entra ID no Salesforce.

Pré-requisitos

O cenário descrito neste tutorial pressupõe que você já tem os seguintes itens:

Um locatário do Microsoft Entra
Locatário de Salesforce.com

Observação

As funções não devem ser editadas manualmente no Microsoft Entra ID ao fazer importações de funções.

Importante

Se você estiver usando uma conta Salesforce.com de avaliação, não será possível configurar o provisionamento automatizado de usuários. Contas de avaliação não têm o acesso à API necessária habilitado até que sejam compradas. Você pode contornar essa limitação usando uma conta de desenvolvedor gratuita para concluir este tutorial.

Se você estiver usando um ambiente de área restrita do Salesforce, confira o Tutorial de integração de área restrita do Salesforce.

Como atribuir usuários ao Salesforce

A ID do Microsoft Entra usa um conceito chamado “atribuições” para determinar os usuários que devem receber acesso aos aplicativos selecionados. No contexto do provisionamento automático da conta de usuário, somente os usuários e grupos "atribuídos" a um aplicativo no Microsoft Entra ID são sincronizados.

Antes de configurar e habilitar o serviço de provisionamento, você precisa decidir quais usuários ou grupos no Microsoft Entra ID precisam de acesso ao aplicativo Salesforce. Você pode atribuir esses usuários ao aplicativo Salesforce seguindo as instruções em Atribuir um usuário ou grupo a um aplicativo empresarial

Dicas importantes para atribuir usuários ao Salesforce

Recomendamos a atribuição de um único usuário do Microsoft Entra ao Salesforce para testar a configuração de provisionamento. Outros usuários e/ou grupos podem ser atribuídos mais tarde.
Ao atribuir um usuário ao Salesforce, você deve selecionar uma função de usuário válida. A função de "Acesso Padrão" não funciona para provisionamento

Observação

Este aplicativo importa perfis do Salesforce como parte do processo de provisionamento, que o cliente deve desejar selecionar durante a atribuição de usuários no Microsoft Entra ID. Observe que os perfis que são importados do Salesforce aparecem como Funções no Microsoft Entra ID.

Habilitar o provisionamento automatizado de usuários

Esta seção explica como conectar o Microsoft Entra ID à API de provisionamento da conta de usuário do Salesforce - v40

Dica

Você também pode optar por habilitar o Logon Único baseado em SAML para o Salesforce, seguindo as instruções fornecidas no portal do Azure. O logon único pode ser configurado independentemente do provisionamento automático, embora esses dois recursos sejam complementares.

Configurar o provisionamento automático de conta de usuário

O objetivo desta seção é descrever como habilitar o provisionamento de contas de usuário do Active Directory no Salesforce.

Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Acesso Condicional.
Navegue até Identidade>Aplicativos>Aplicativos Empresariais.
Se você tiver configurado o Salesforce para logon único, pesquise sua instância do Salesforce usando o campo de pesquisa. Caso contrário, selecione Adicionar e pesquise Salesforce na galeria de aplicativos. Selecione o Salesforce nos resultados da pesquisa e adicione-o à lista de aplicativos.
Selecione sua instância do Salesforce e selecione a guia Provisionamento.
Defina o Modo de Provisionamento como Automático.
Na seção Credenciais de Administrador, forneça as seguintes definições de configuração:
1. Na caixa de texto Nome de Usuário Administrador, digite o nome da conta do Salesforce com o perfil Administrador do Sistema no Salesforce.com atribuído.
2. Na caixa de texto Senha do Administrador, digite a senha dessa conta.
Para obter o token de segurança do Salesforce, abra uma nova guia e entre na mesma conta de administrador do Salesforce. No canto superior direito da página, clique em seu nome e em Configurações.
No painel de navegação esquerdo, clique em Minhas Informações Pessoais para expandir a seção correspondente e clique em Redefinir Meu Token de Segurança.
Na página Redefinir Token de Segurança, clique no botão Redefinir Token de Segurança.
Marque a caixa de entrada de email associada a essa conta de administrador. Procure um email do Salesforce.com que contenha o novo token de segurança.
Copie o token, vá até a janela do Microsoft Entra e cole-o no campo Token Secreto.
A URL do locatário deve ser inserida se a instância do Salesforce está na Salesforce Government Cloud. Caso contrário, ela é opcional. Insira a URL do locatário usando o formato "https://<sua-instância>.my.salesforce.com", substituindo <sua-instância> pelo nome de sua instância do Salesforce.
Selecione Testar Conexão para garantir que o Microsoft Entra ID possa se conectar ao aplicativo Salesforce.
Insira o endereço de email de uma pessoa ou grupo que deve receber notificações de erro de provisionamento no campo Email de Notificação e marque a caixa de seleção abaixo.
Clique em Save (Salvar).
Na seção Mapeamentos, selecione Sincronizar usuários do Microsoft Entra com o Salesforce.
Na seção Mapeamento de Atributos, examine os atributos de usuário que serão sincronizados do Microsoft Entra ID com o Salesforce. Observe que os atributos selecionados como propriedades Correspondentes serão usados para corresponder as contas de usuário no Salesforce para operações de atualização. Selecione o botão Salvar para confirmar as alterações.
Para habilitar o serviço de provisionamento do Microsoft Entra para o Salesforce, altere o Status de Provisionamento para Ativado na seção Configurações
Clique em Save (Salvar).

Observação

Após os usuários serem provisionados no aplicativo Salesforce, o administrador precisará definir as configurações específicas de idioma para eles. Confira este artigo para obter mais detalhes sobre a configuração de idioma.

Isso iniciará a sincronização inicial de todos os usuários e/ou grupos atribuídos ao Salesforce na seção Usuários e Grupos. Observe que a sincronização inicial levará mais tempo do que as sincronizações subsequentes, que ocorrem aproximadamente a cada 40 minutos, desde que o serviço esteja em execução. Use a seção Detalhes de Sincronização para monitorar o progresso e siga os links para os logs de atividade de provisionamento, que descrevem todas as ações executadas pelo serviço de provisionamento em seu aplicativo Salesforce.

Para obter mais informações sobre como ler os logs de provisionamento do Microsoft Entra, confira Relatórios sobre o provisionamento automático de contas de usuário.

Problemas comuns

Se você tiver problemas para autorizar o acesso ao Salesforce, verifique o seguinte:
- As credenciais usadas têm acesso de administrador ao Salesforce.
- A versão do Salesforce que você está usando dá suporte ao Acesso via Web (por exemplo, as edições Developer, Enterprise, Sandbox e Unlimited do Salesforce.)
- O acesso à API Web está habilitado para o usuário.
O serviço de provisionamento do Microsoft Entra dá suporte ao provisionamento de linguagem, localidade e fuso horário para um usuário. Esses atributos estão nos mapeamentos de atributos padrão, mas não têm um atributo de origem padrão. Verifique se você selecionou o atributo de origem padrão e se o atributo de origem está no formato esperado pelo SalesForce. Por exemplo, a localeSidKey para english(UnitedStates) é en_US. Examine as diretrizes fornecidas aqui para determinar o formato de localeSidKey apropriado. Os formatos de languageLocaleKey podem ser encontrados aqui. Além de garantir que o formato esteja correto, talvez seja necessário garantir que o idioma esteja habilitado para seus usuários, conforme descrito aqui.
SalesforceLicenseLimitExceeded: não foi possível criar o usuário no aplicativo de destino porque não há licenças disponíveis para esse usuário. Adquira licenças adicionais para o aplicativo de destino ou examine as atribuições de usuário e a configuração de mapeamento de atributos para garantir que os atributos corretos estejam atribuídos ais usuários corretos.
SalesforceDuplicateUserName: o usuário não pode ser provisionado porque tem um 'Nome de usuário' do Salesforce.com que está duplicado em outro locatário do Salesforce.com.  No Salesforce.com, os valores para o atributo 'Nome de usuário' devem ser exclusivos em todos os locatários do Salesforce.com.  Por padrão, o userPrincipalName de um usuário no Microsoft Entra ID se torna seu "Nome de usuário" no Salesforce.com.  Você tem duas opções.  Uma opção é localizar e renomear o usuário com o 'Nome de usuário' duplicado no outro locatário do Salesforce.com se você também administra esse outro locatário.  A outra opção é remover o acesso do usuário do Microsoft Entra ao locatário do Salesforce.com com o qual seu diretório está integrado. Tentaremos novamente essa operação na próxima tentativa de sincronização.
SalesforceRequiredFieldMissing: o Salesforce requer que determinados atributos estejam presentes no usuário para criar ou atualizar o usuário com êxito. Esse usuário não tem um dos atributos necessários. Certifique-se de que atributos como email e alias estejam preenchidos em todos os usuários que você deseja que sejam provisionados no Salesforce. Você pode definir o escopo dos usuários que não têm esses atributos usando filtros de escopo baseados em atributo.
O mapeamento de atributos padrão para provisionamento no Salesforce inclui a expressão SingleAppRoleAssignments para mapear appRoleAssignments no Microsoft Entra ID para ProfileName no Salesforce. Verifique se os usuários não têm várias atribuições de função de aplicativo no Microsoft Entra ID, pois o mapeamento de atributos dá suporte ao provisionamento de somente uma função.
O Salesforce exige que as atualizações de email sejam aprovadas manualmente antes de serem alteradas. Como resultado, você poderá ver várias entradas nos logs de provisionamento para atualizar o email do usuário (até que a alteração de email tenha sido aprovada).