Tutorial: Configurar o Concur para provisionamento automático de usuários
O objetivo deste tutorial é mostrar as etapas que você precisa executar no Concur e no Microsoft Entra ID para provisionar e desprovisionar automaticamente contas de usuário do Microsoft Entra ID diretamente para o Concur.
Aviso
Essa integração de provisionamento não é mais suportada e a funcionalidade de provisionamento direto do aplicativo SAP Concur na Microsoft Entra Enterprise App Gallery está sendo removida. A funcionalidade SSO do aplicativo permanecerá intacta. Em vez disso, os clientes devem provisionar o SAP Concur por meio do SAP Cloud Identity Services. Para obter mais informações, consulte como configurar o provisionamento de usuários do Microsoft Entra ID para o SAP Cloud Identity Services e como configurar o provisionamento de usuários do SAP Cloud Identity Services para o SAP Concur.
Pré-requisitos
O cenário descrito neste tutorial pressupõe que já tem os seguintes itens:
- Um locatário do Microsoft Entra.
- Uma assinatura habilitada para logon único Concur.
- Uma conta de usuário em Concur com permissões de administrador de equipe.
Atribuindo usuários ao Concur
O Microsoft Entra ID usa um conceito chamado "atribuições" para determinar quais usuários devem receber acesso a aplicativos selecionados. No contexto do provisionamento automático de conta de usuário, somente os usuários e grupos que são "atribuídos" a um aplicativo no Microsoft Entra ID são sincronizados.
Antes de configurar e habilitar o serviço de provisionamento, você precisa decidir quais usuários e/ou grupos na ID do Microsoft Entra representam os usuários que precisam acessar seu aplicativo Concur. Uma vez decidido, você pode atribuir esses usuários ao seu aplicativo Concur seguindo as instruções aqui:
Atribua um usuário ou grupo a um aplicativo empresarial.
Dicas importantes para atribuir usuários ao Concur
É recomendável que um único usuário do Microsoft Entra seja atribuído ao Concur para testar a configuração de provisionamento. Usuários e/ou grupos adicionais podem ser atribuídos posteriormente.
Ao atribuir um usuário ao Concur, você deve selecionar uma função de usuário válida. A função "Acesso padrão" não funciona para provisionamento.
Habilitar o provisionamento de usuários
Esta seção o orienta na conexão de sua ID do Microsoft Entra à API de provisionamento de conta de usuário do Concur e na configuração do serviço de provisionamento para criar, atualizar e desabilitar contas de usuário atribuídas no Concur com base na atribuição de usuário e grupo na ID do Microsoft Entra.
Gorjeta
Você também pode optar por habilitar o Logon Único baseado em SAML para Concur, seguindo as instruções fornecidas no portal do Azure. O logon único pode ser configurado independentemente do provisionamento automático, embora esses dois recursos se complementem.
Para configurar o provisionamento de conta de usuário:
O objetivo desta seção é descrever como habilitar o provisionamento de contas de usuário do Ative Directory para Concur.
Para habilitar aplicativos no Serviço de Despesas, deve haver uma configuração e uso adequados de um perfil de Administrador de Serviço Web. Não adicione a função de administrador do WS ao seu perfil de administrador existente que você usa para funções administrativas de T&E.
Os Consultores Concur ou o administrador do cliente devem criar um perfil distinto de Administrador de Serviços Web e o administrador do Cliente deve usar esse perfil para as funções de Administrador de Serviços Web (por exemplo, habilitar aplicativos). Esses perfis devem ser mantidos separados do perfil de administrador diário de T&E do administrador do cliente (o perfil de administrador de T&E não deve ter a função WSAdmin atribuída).
Ao criar o perfil a ser usado para habilitar o aplicativo, insira o nome do administrador do cliente nos campos de perfil de usuário. Isso atribui propriedade ao perfil. Depois que um ou mais perfis são criados, o cliente deve fazer login com esse perfil para clicar no botão "Ativar" para um aplicativo parceiro no menu Serviços Web.
Pelas seguintes razões, esta ação não deve ser feita com o perfil que eles usam para a administração normal de T&E.
O cliente deve ser aquele que clica em "Sim" na janela de diálogo que é exibida depois que um aplicativo é ativado. Este clique reconhece que o cliente está disposto a que a aplicação do Parceiro aceda aos seus dados, pelo que você ou o Parceiro não pode clicar nesse botão Sim.
Se um administrador de cliente que habilitou um aplicativo usando o perfil de administrador T&E sair da empresa (resultando na inativação do perfil), todos os aplicativos habilitados usando esse perfil não funcionarão até que o aplicativo seja habilitado com outro perfil de administrador WS ativo. É por isso que você deve criar perfis distintos de administrador do WS.
Se um administrador sair da empresa, o nome associado ao perfil de administrador do WS pode ser alterado para administrador substituto, se desejado, sem afetar o aplicativo habilitado, pois esse perfil não precisa ser inativado.
Para configurar o provisionamento de usuários, execute as seguintes etapas:
Faça logon no locatário do Concur.
No menu Administração, selecione Serviços Web.
No lado esquerdo, no painel Serviços Web, selecione Habilitar Aplicativo de Parceiro.
Na lista Habilitar Aplicativo, selecione ID do Microsoft Entra e clique em Habilitar.
Clique em Sim para fechar a caixa de diálogo Confirmar ação .
Entre no centro de administração do Microsoft Entra como pelo menos um administrador de aplicativos na nuvem.
Navegue até Aplicativos de identidade>>Aplicativos corporativos.
Se você já configurou Concur para logon único, procure sua instância de Concur usando o campo de pesquisa. Caso contrário, selecione Adicionar e procure Concur na galeria de aplicativos. Selecione Concordar nos resultados da pesquisa e adicione-o à sua lista de aplicativos.
Selecione sua instância de Concur e, em seguida, selecione a guia Provisionamento .
Defina o Modo de Aprovisionamento como Automático.
Na seção Credenciais de administrador, digite o nome de usuário e a senha do administrador do Concur.
Selecione Testar conexão para garantir que o Microsoft Entra ID possa se conectar ao seu aplicativo Concur. Se a conexão falhar, verifique se sua conta Concur tem permissões de administrador de equipe.
Digite o endereço de e-mail de uma pessoa ou grupo que deve receber notificações de erro de provisionamento no campo Email de notificação e marque a caixa de seleção.
Clique em Guardar.
Na seção Mapeamentos, selecione Sincronizar usuários do Microsoft Entra para concordar.
Na seção Mapeamentos de Atributos, examine os atributos de usuário sincronizados do Microsoft Entra ID para o Concur. Os atributos selecionados como propriedades correspondentes são usados para corresponder às contas de usuário em Concur para operações de atualização. Selecione o botão Guardar para confirmar as alterações.
Para habilitar o serviço de provisionamento do Microsoft Entra para Concur, altere o Status de provisionamento para Ativado na seção Configurações
Clique em Guardar.
Agora você pode criar uma conta de teste. Aguarde até 20 minutos para verificar se a conta foi sincronizada com o Concur.