Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo descreve as etapas que você precisa executar no Workplace do Meta e no Microsoft Entra ID para configurar o provisionamento automático de usuário. Quando configurada, a ID do Microsoft Entra provisiona e desprovisiona automaticamente os usuários para o Workplace do Meta usando o serviço de provisionamento do Microsoft Entra. Para obter detalhes importantes sobre o que esse serviço faz, como ele funciona e perguntas frequentes, consulte Automatizar o provisionamento e o desprovisionamento de usuários em aplicativos SaaS com a ID do Microsoft Entra.
Capacidades suportadas
- Criar usuários no Workplace a partir do Meta
- Remover usuários no Workplace do Meta quando eles não precisarem mais de acesso
- Manter os atributos de usuário sincronizados entre a ID do Microsoft Entra e o Workplace do Meta
- Logon único no Workplace do Meta (recomendado)
Pré-requisitos
O cenário descrito neste artigo pressupõe que você já tenha os seguintes pré-requisitos:
- Um inquilino do Microsoft Entra
- Uma das seguintes funções: Administrador de Aplicativos, Administrador de Aplicativos na Nuvem ou Proprietário do Aplicativo.
- Uma assinatura habilitada para logon único do Workplace from Meta
Observação
Para testar as etapas neste artigo, não recomendamos o uso de um ambiente de produção.
Observação
Essa integração também está disponível para uso no ambiente de nuvem do Microsoft Entra US Government. Você pode encontrar esse aplicativo na Galeria de Aplicativos de Nuvem do Microsoft Entra US Government e configurá-lo da mesma maneira que você faz na nuvem pública.
Para testar as etapas neste artigo, siga estas recomendações:
- Não use seu ambiente de produção, a menos que seja necessário.
- Se você não tiver um ambiente de avaliação do Microsoft Entra, poderá obter uma avaliação de um mês aqui.
Etapa 1: Planeje seu desdobramento de provisionamento
- Saiba mais sobre como o serviço de provisionamento funciona.
- Determine quem está no escopo do provisionamento.
- Determine quais são os dados a serem mapeados entre o Microsoft Entra ID e o Workplace da Meta.
Etapa 2: Configurar o Workplace from Meta para dar suporte ao provisionamento com a ID do Microsoft Entra
Antes de configurar e habilitar o serviço de provisionamento, você precisa decidir quais usuários no Microsoft Entra ID representam os usuários que precisam de acesso ao seu aplicativo Workplace from Meta. Depois de decidir, você pode atribuir esses usuários ao seu aplicativo Workplace from Meta seguindo as instruções aqui:
Recomendamos que um único usuário do Microsoft Entra seja atribuído ao Workplace from Meta para testar a configuração de provisionamento. Mais usuários podem ser atribuídos posteriormente.
Ao atribuir um usuário ao Workplace do Meta, você deve selecionar uma função de usuário válida. A função de "Acesso Padrão" não funciona para provisionamento.
Etapa 3: Adicionar Workplace da Meta na galeria de aplicativos do Microsoft Entra
Adicione o Workplace da Meta por meio da galeria de aplicativos do Microsoft Entra para começar a gerenciar o provisionamento no Workplace da Meta. Se você já tiver configurado o Workplace do Meta para logon único (SSO), poderá usar o mesmo aplicativo. No entanto, recomendamos que você crie um aplicativo separado ao testar a integração inicialmente. Saiba mais sobre como adicionar um aplicativo por meio da galeria aqui.
Etapa 4: Definir quem está no escopo de provisionamento
O serviço de provisionamento do Microsoft Entra permite definir o escopo de quem é provisionado com base na atribuição ao aplicativo ou com base em atributos do usuário ou do grupo. Se você optar por determinar quem será provisionado para seu aplicativo com base em atribuições, poderá seguir as etapas para atribuir usuários e grupos ao aplicativo. Se você optar por definir o escopo de quem é provisionado com base apenas em atributos do usuário ou grupo, poderá usar um filtro de escopo.
Comece pequeno. Teste com um pequeno conjunto de usuários e grupos antes de distribuir para todos. Quando o escopo do provisionamento é definido para usuários e grupos atribuídos, você pode controlar isso atribuindo um ou dois usuários ou grupos ao aplicativo. Quando o escopo é definido para todos os usuários e grupos, você pode especificar um filtro de escopo baseado em atributo .
Se precisar de funções extras, você poderá atualizar o manifesto do aplicativo para adicionar novas funções.
Etapa 5: Configurar o provisionamento automático de usuário para o Workplace do Meta
Esta seção orienta você pelas etapas para configurar o serviço de provisionamento do Microsoft Entra para criar, atualizar e desabilitar usuários no Workplace do Meta App com base em atribuições de usuário na ID do Microsoft Entra.
Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Aplicativos na Nuvem.
Procurar em Entra ID>aplicativos empresariais
Na lista de aplicativos, selecione Workplace do Meta.
Selecione a guia Provisionamento .
Defina o modo de provisionamento como Automático.
Verifique se a seção "URL do Locatário" está preenchida com o endpoint correto: https://scim.workplace.com/. Na seção Credenciais de Administrador , selecione Autorizar. Você é redirecionado a partir da página de autorização do Meta para o Workplace. Insira seu nome de usuário do Workplace do Meta e selecione o botão Continuar. Selecione Testar Conexão para garantir que o Microsoft Entra ID possa se conectar ao Workplace do Meta. Se a conexão falhar, verifique se sua conta do Workplace from Meta tem permissões de administrador e tente novamente.
Observação
Falha ao alterar a URL para https://scim.workplace.com/ resulta em falha ao tentar salvar a configuração.
No campo Email de Notificação, insira o endereço de email de uma pessoa ou grupo que deve receber as notificações de erro de provisionamento e marque a caixa de seleção Enviar uma notificação por email quando ocorrer uma falha.
Selecione Salvar.
Na seção Mapeamentos , selecione Sincronizar usuários do Microsoft Entra com o Workplace do Meta.
Revise os atributos de usuário sincronizados do Microsoft Entra ID ao Workplace do Meta na seção Mapeamento de Atributos. Os atributos selecionados como propriedades correspondentes são usados para corresponder às contas de usuário no Workplace da Meta para operações de atualização. Se você optar por alterar o atributo de destino correspondente, precisará garantir que o Workplace da Meta API dê suporte à filtragem de usuários com base nesse atributo. Selecione o botão Salvar para confirmar as alterações.
Atributo Tipo userName fio nome de exibição fio ativo Booliano título Booliano emails[tipo eq "trabalho"].valor fio nome.nomeDado fio nome.sobrenome fio nome.formatado fio endereços[tipo eq "trabalho"].formatado fio endereços[tipo igual a "trabalho"].endereço fio addresses[type eq "trabalho"].locality fio endereços[tipo eq "trabalho"].região fio endereços[tipo eq "trabalho"].país fio endereços[tipo eq "trabalho"].códigoPostal fio endereços[type eq "outro"].formatted fio phoneNumbers[tipo eq "trabalho"].value fio númerosDeTelefone[tipo eq "móvel"].valor fio phoneNumbers[tipo igual a "fax"].valor fio ID externo fio idiomaPreferido fio urn:scim:schemas:extension:enterprise:1.0.manager fio urn:scim:schemas:extension:enterprise:1.0.department fio urn:scim:schemas:extension:enterprise:1.0.division fio urn:scim:schemas:extension:enterprise:1.0.organization fio urn:scim:schemas:extension:enterprise:1.0.costCenter fio urn:scim:schemas:extension:enterprise:1.0.númeroDoEmpregado fio urn:scim:schemas:extension:facebook:auth_method:1.0:auth_method fio urn:scim:schemas:extension:facebook:frontline:1.0.is_frontline Booliano urn:scim:schemas:extension:facebook:starttermdates:1.0.startDate Número Inteiro Para configurar filtros de escopo, consulte as instruções a seguir fornecidas no artigo de filtro de escopo .
Para habilitar o serviço de provisionamento do Microsoft Entra para o Workplace do Meta, altere o Status de Provisionamento para Ativado na seção Configurações .
Defina os usuários que você deseja provisionar no Workplace do Meta escolhendo os valores apropriados no Escopo na seção Configurações .
Quando estiver pronto para provisionar, selecione Salvar.
Esta operação inicia o ciclo de sincronização inicial de todos os usuários definidos no Escopo na seção Configurações . O ciclo inicial leva mais tempo para ser executado do que os ciclos subsequentes, que ocorrem aproximadamente a cada 40 minutos, desde que o serviço de provisionamento do Microsoft Entra esteja em execução.
Etapa 6: Monitorar sua implantação
Depois de configurar o provisionamento, use os seguintes recursos para monitorar sua implantação:
- Utilize os logs de provisionamento para determinar quais usuários foram provisionados com sucesso ou sem sucesso.
- Verifique a barra de progresso para ver o status do ciclo de provisionamento e o quão perto está da conclusão
- Se a configuração de provisionamento parecer estar em um estado não íntegro, o aplicativo entrará em quarentena. Saiba mais sobre os estados de quarentena no artigo sobre status de quarentena de provisionamento de aplicativos.
Dicas de solução de problemas
- Se você vir um usuário criado sem sucesso e houver um evento de log de auditoria com o código "1789003", significa que o usuário é de um domínio não verificado.
- Há casos em que os usuários recebem um erro "ERRO: campo de email ausente. Você deve fornecer um email. Erro retornado do Facebook: o processamento da solicitação HTTP resultou em uma exceção. Confira a resposta HTTP retornada pela propriedade "Response" dessa exceção para obter detalhes. Esta operação foi repetida zero vezes. A operação será repetida novamente após esta data. Esse erro ocorre devido ao mapeamento de email feito pelos clientes, em vez do mapeamento de userPrincipalName, para o email do Facebook. No entanto, alguns usuários não têm um atributo de email. Para evitar os erros e provisionar com sucesso os usuários com falha no Workplace from Facebook, modifique o mapeamento de atributo para o atributo de email do Workplace from Facebook para fins de adesão ([email], [userPrincipalName]), desatribua o usuário do Workplace from Facebook ou provisione um endereço de email para ele.
- Há uma opção no Workplace, que permite a existência de usuários sem endereços de email. Se essa configuração estiver alternada no lado do Local de Trabalho, o provisionamento no lado do Azure deverá ser reiniciado para que os usuários sem emails sejam criados com êxito no Workplace.
Atualizar um aplicativo Workplace do Meta para usar o endpoint SCIM 2.0 do Workplace do Meta
Em dezembro de 2021, o Facebook lançou um conector SCIM 2.0. Ao concluir as etapas fornecidas, os aplicativos configurados para usar o ponto de extremidade SCIM 1.0 são atualizados para utilizar o ponto de extremidade SCIM 2.0. Estas etapas removem as personalizações feitas anteriormente no Workplace do aplicativo Meta, incluindo:
- Detalhes de autenticação
- Filtros de escopo
- Mapeamentos de atributos personalizados
Observação
Observe todas as alterações feitas nas configurações listadas na seção anterior antes de concluir as etapas a seguir. A falha ao fazer isso resulta na perda de configurações personalizadas.
Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Aplicativos na Nuvem.
Navegue até o Entra ID>Aplicativos Empresariais>Workplace da Meta.
Na seção propriedades do seu novo aplicativo personalizado, copie a ID de objeto.
Em uma nova janela do navegador da Web, acesse https://developer.microsoft.com/graph/graph-explorer e entre como o administrador do locatário do Microsoft Entra o qual o aplicativo foi adicionado.
Verifique se a conta que está sendo usada tem as permissões corretas. A permissão "Directory. ReadWrite. All" é necessária para fazer essa alteração.
Usando o ObjectID selecionado anteriormente no aplicativo, execute o seguinte comando:
GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/Usando o valor "id" do corpo da resposta da
GETsolicitação do exemplo anterior, execute o comando a seguir, substituindo "[id do trabalho]" pelo valor da ID da solicitaçãoGET. O valor deve ter o formato "FacebookAtWorkOutDelta. xxxxxxxxxxxxxxx. xxxxxxxxxxxxxxx":DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]No Microsoft Graph Explorer, execute o comando a seguir. Substitua "[object-id]" pelo serviço de ID da entidade (ID de objeto) copiado da terceira etapa.
POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "FacebookWorkplace" }
Volte para a primeira janela do navegador da web e selecione a guia Provisionamento para o seu aplicativo. Sua configuração é redefinida. Você pode confirmar se a atualização foi bem-sucedida confirmando que a ID do trabalho começa com "FacebookWorkplace".
Atualize a URL do locatário na seção Credenciais de Administrador para a seguinte URL: https://scim.workplace.com/
Restaure as alterações anteriores feitas no aplicativo (detalhes de autenticação, filtros de escopo, mapeamentos de atributo personalizados) e habilite o provisionamento novamente.
Observação
A falha ao restaurar as configurações anteriores pode resultar na atualização inesperada de atributos (name.formatted, por exemplo) no Workplace. Verifique a configuração antes de habilitar o provisionamento
Log de alterações
- 10/09/2020 – Adicionado suporte para atributos empresariais "division", "organization", "costCenter" e "employeeNumber". Adicionado suporte para atributos personalizados "startDate", "auth_method" e "frontline".
- 22/07/2021 – Atualizadas as dicas de solução de problemas para clientes que têm mapeamento de email para email do Facebook, mas alguns usuários não têm o atributo de email.
Mais recursos
- Gerenciando o provisionamento de conta de usuário para Aplicativos Empresariais
- O que é o acesso ao aplicativo e o logon único com a ID do Microsoft Entra?