Tutorial: Configurar o Tableau Cloud para provisionamento automático de usuários
Este tutorial descreve as etapas necessárias no Tableau Cloud e no Microsoft Entra ID para configurar o provisionamento automático de usuários. Quando configurado, o Microsoft Entra ID provisiona e desprovisiona automaticamente usuários e grupos para o Tableau Cloud usando o serviço de provisionamento do Microsoft Entra. Para obter detalhes importantes sobre o que esse serviço faz, como funciona e perguntas frequentes, consulte Automatizar o provisionamento e o desprovisionamento de usuários para aplicativos SaaS com o Microsoft Entra ID.
Capacidades suportadas
- Crie usuários no Tableau Cloud.
- Remova os usuários do Tableau Cloud quando eles não precisarem mais de acesso.
- Mantenha os atributos do usuário sincronizados entre o Microsoft Entra ID e o Tableau Cloud.
- Provisione grupos e associações de grupos no Tableau Cloud.
- Logon único no Tableau Cloud (recomendado).
Pré-requisitos
O cenário descrito neste tutorial pressupõe que você já tenha os seguintes pré-requisitos:
- Um locatário do Microsoft Entra
- Uma das seguintes funções: Administrador de Aplicativos, Administrador de Aplicativos na Nuvem ou Proprietário de Aplicativos.
- Um locatário do Tableau Cloud.
- Uma conta de usuário no Tableau Cloud com permissão de administrador
Observação
A integração de provisionamento do Microsoft Entra depende da API REST do Tableau Cloud. Essa API está disponível para desenvolvedores do Tableau Cloud.
Etapa 1: Planejar a implantação do provisionamento
- Saiba mais sobre como funciona o serviço de provisionamento.
- Determine quem estará no escopo do provisionamento.
- Determine quais dados mapear entre o Microsoft Entra ID e o Tableau Cloud.
Etapa 2: configurar o Tableau Cloud para dar suporte ao provisionamento com o Microsoft Entra ID
Use as seguintes etapas para habilitar o suporte a SCIM com o Microsoft Entra ID:
A funcionalidade SCIM requer que você configure seu site para oferecer suporte ao logon único SAML. Se você ainda não fez isso, preencha as seguintes seções em Configurar SAML com o Microsoft Entra ID:
- Etapa 1: abra as configurações SAML do Tableau Cloud.
- Etapa 2: adicionar o Tableau Cloud aos seus aplicativos Microsoft Entra.
Observação
Se você não configurar o logon único SAML, o usuário não poderá fazer login no Tableau Cloud depois de provisionado, a menos que você altere manualmente o método de autenticação do usuário de SAML para Tableau ou Tableau MFA no Tableau Cloud.
No Tableau Cloud, navegue até a página Autenticação de configurações > e, em SCIM, em Provisionamento automático e sincronização de grupo (SCIM), marque a caixa de seleção Habilitar SCIM. Isso preenche as caixas URL Base e Segredo com valores que você usa na configuração SCIM do seu IdP.
Observação
O token secreto é exibido apenas imediatamente após ser gerado. Se você perdê-lo antes de aplicá-lo ao Microsoft Entra ID, você pode selecionar Gerar Novo Segredo. Além disso, o token secreto está vinculado à conta de usuário do Tableau Cloud do administrador do site que habilita o suporte ao SCIM. Se a função de site desse usuário for alterada ou o usuário for removido do site, o token secreto se tornará inválido e outro administrador do site deverá gerar um novo token secreto e aplicá-lo à ID do Microsoft Entra.
Etapa 3: adicionar o Tableau Cloud da galeria de aplicativos do Microsoft Entra
Adicione o Tableau Cloud na galeria de aplicativos do Microsoft Entra para começar a gerenciar o provisionamento no Tableau Cloud. Se você configurou anteriormente o Tableau Cloud para SSO, poderá usar o mesmo aplicativo. No entanto, é recomendável que você crie um aplicativo separado ao testar a integração inicialmente. Saiba mais sobre como adicionar um aplicativo da galeria aqui.
Etapa 4: Definir quem estará no escopo do provisionamento
O serviço de provisionamento do Microsoft Entra permite definir o escopo de quem será provisionado com base na atribuição ao aplicativo e/ou com base nos atributos do usuário e do grupo. Se você optar por definir o escopo de quem será provisionado para seu aplicativo com base na atribuição, poderá usar as etapas a seguir para atribuir usuários e grupos ao aplicativo. Se você optar por definir o escopo de quem será provisionado com base apenas nos atributos do usuário ou grupo, poderá usar um filtro de escopo conforme descrito aqui.
Comece pequeno. Teste com um pequeno conjunto de usuários e grupos antes de distribuir para todos. Quando o escopo para provisionamento é definido como usuários e grupos atribuídos, você pode controlar isso atribuindo um ou dois usuários ou grupos ao aplicativo. Quando o escopo é definido para todos os usuários e grupos, você pode especificar um filtro de escopo baseado em atributo.
Se precisar de mais funções, você pode atualizar o manifesto do aplicativo para adicionar novas funções.
Recomendações
O Tableau Cloud armazenará apenas a função com maior privilégio atribuída a um usuário. Em outras palavras, se um usuário for atribuído a dois grupos, a função do usuário refletirá a função privilegiada mais alta.
Para acompanhar as atribuições de função, você pode criar dois grupos específicos para atribuições de função. Por exemplo, você pode criar grupos como Tableau – Creator e Tableau – Explorer, e assim por diante. A atribuição seria então semelhante a:
- Tableau – Criador: criador
- Tableau – Explorer: Explorer
- E assim por diante.
Depois que o provisionamento estiver configurado, você deseja editar as alterações de função diretamente no ID do Microsoft Entra. Caso contrário, você pode acabar com inconsistências de função entre o Tableau Cloud e o Microsoft Entra ID.
Valores de função de site válidos do Tableau
Na página Selecionar uma Função no portal do Azure, os valores de Função de Site do Tableau válidos incluem o seguinte: Creator, SiteAdministratorCreator, Explorer, SiteAdministratorExplorer, ExplorerCanPublish, Viewer ou Unlicensed.
Se você selecionar uma função que não esteja na lista acima, como uma função herdada (pré-v2018.1), ocorrerá um erro.
Etapa 5: configurar o provisionamento automático de usuários para o Tableau Cloud
Esta seção orienta você pelas etapas para configurar o serviço de provisionamento do Microsoft Entra para criar, atualizar e desabilitar usuários e grupos no Tableau Cloud com base nas atribuições de usuários e grupos na ID do Microsoft Entra.
Dica
Você deve habilitar o logon único baseado em SAML para o Tableau Cloud. Siga as instruções no tutorial de logon único do Tableau Cloud. Se o SAML não estiver habilitado, o usuário provisionado não poderá entrar.
Para configurar o provisionamento automático de usuários para o Tableau Cloud no Microsoft Entra ID:
Entre no centro de administração do Microsoft Entra como pelo menos um administrador de aplicativos na nuvem.
Navegue até Aplicativos de identidade>>Aplicativos corporativos
Na lista de aplicativos, selecione Tableau Cloud.
Selecione a guia Provisionamento .
Defina o Modo de provisionamento como Automático.
Na seção Credenciais de administrador, insira o URL do locatário do Tableau Cloud e o token secreto. Clique em Testar conexão para garantir que o Microsoft Entra ID possa se conectar ao Tableau Cloud. Se a conexão falhar, verifique se sua conta do Tableau Cloud tem permissões de administrador e tente novamente.
Observação
Você terá 2 opções para o seu Método de Autenticação: Autenticação do Portador e Autenticação Básica. Certifique-se de selecionar Autenticação ao portador. A autenticação básica não funcionará para o ponto de extremidade SCIM 2.0.
No campo Email de notificação, digite o endereço de e-mail de uma pessoa ou grupo que deve receber as notificações de erro de provisionamento e marque a caixa de seleção Enviar uma notificação por email quando ocorrer uma falha.
Selecione Salvar.
Na seção Mapeamentos, selecione Sincronizar usuários do Microsoft Entra com o Tableau Cloud.
Analise os atributos de usuário sincronizados do ID do Microsoft Entra para o Tableau Cloud na seção Mapeamento de atributos. Os atributos selecionados como Propriedades correspondentes são usados para corresponder às contas de usuário no Tableau Cloud para operações de atualização. Se você optar por alterar o atributo de destino correspondente, precisará garantir que a API do Tableau Cloud ofereça suporte à filtragem de usuários com base nesse atributo. Selecione o botão Salvar para confirmar as alterações.
Atributo Tipo Suportado para filtragem Exigido pelo Tableau Cloud nome de utilizador String ✓ ✓ ativo Booleano funções String Na seção Mapeamentos, selecione Sincronizar grupos do Microsoft Entra com o Tableau Cloud.
Analise os atributos de grupo sincronizados do ID do Microsoft Entra para o Tableau Cloud na seção Mapeamento de atributos. Os atributos selecionados como Propriedades correspondentes são usados para corresponder aos grupos no Tableau Cloud para operações de atualização. Selecione o botão Salvar para confirmar as alterações.
Atributo Tipo Suportado para filtragem Exigido pelo Tableau Cloud displayName String ✓ Membros Referência Para configurar filtros de escopo, consulte as instruções a seguir fornecidas no tutorial Filtro de escopo.
Para habilitar o serviço de provisionamento Microsoft Entra para o Tableau Cloud, altere o Status de provisionamento para Ativado na seção Configurações.
Defina os usuários e grupos que você deseja provisionar para o Tableau Cloud escolhendo os valores desejados em Escopo na seção Configurações.
Quando estiver pronto para provisionar, clique em Salvar.
Esta operação inicia o ciclo de sincronização inicial de todos os usuários e grupos definidos em Escopo na seção Configurações. O ciclo inicial leva mais tempo para ser concluído do que os ciclos seguintes, que ocorrem aproximadamente a cada 40 minutos, enquanto o serviço de provisionamento do Microsoft Entra estiver em execução.
Atualizar um aplicativo do Tableau Cloud para usar o ponto de extremidade SCIM 2.0 do Tableau Cloud
Em junho de 2022, o Tableau lançou um conector SCIM 2.0. A conclusão das etapas abaixo atualizará os aplicativos configurados para usar o ponto de extremidade da API do Tableau para o uso do ponto de extremidade SCIM 2.0. Essas etapas removem todas as personalizações feitas anteriormente no aplicativo Tableau Cloud, incluindo:
- Detalhes de autenticação (credenciais usadas para provisionamento, NÃO as credenciais usadas para SSO)
- Filtros de escopo
- Mapeamentos de atributos personalizados
Observação
Certifique-se de anotar todas as alterações que foram feitas nas configurações listadas acima antes de concluir as etapas abaixo. Se isso não for feito, haverá a perda de configurações personalizadas.
Entre no centro de administração do Microsoft Entra como pelo menos um administrador de aplicativos na nuvem.
Navegue até Aplicativos de identidade>>, aplicativos corporativos>, Tableau Cloud.
Na seção Propriedades do seu novo aplicativo personalizado, copie a ID do objeto.
Em uma nova janela do navegador da Web, navegue e
https://developer.microsoft.com/graph/graph-explorerentre como administrador do locatário do Microsoft Entra onde seu aplicativo foi adicionado.
Verifique se a conta está sendo usada com as permissões corretas. A permissão Directory.ReadWrite.All é necessária para fazer essa alteração.
Usando o ObjectID selecionado do aplicativo anteriormente, execute o seguinte comando:
GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/Tomando o valor "id" do corpo de resposta da solicitação GET de cima, execute o comando abaixo, substituindo "[job-id]" pelo valor id da solicitação GET. O valor deve ter o formato "Tableau.xxxxxxxxxxxxxxx.xxxxxxxxxxxxxxx":
DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]No Graph Explorer, execute o comando abaixo. Substitua "[object-id]" pelo ID da entidade de serviço (ID do objeto) copiado da terceira etapa.
POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "TableauOnlineSCIM" }
Retorne à primeira janela do navegador da Web e selecione a guia Provisionamento para seu aplicativo. A sua configuração terá sido reposta. Você pode confirmar que a atualização ocorreu confirmando que o ID do trabalho começa com o TableauOnlineSCIM.
Na seção Credenciais do administrador, selecione "Autenticação do portador" como o método de autenticação e insira a URL do locatário e o token secreto da instância do Tableau para a qual você deseja provisionar.
Restaure quaisquer alterações anteriores feitas no aplicativo (detalhes de autenticação, filtros de escopo, mapeamentos de atributos personalizados) e reative o provisionamento.
Observação
A falha ao restaurar as configurações anteriores pode resultar na atualização de atributos (nome.formatted, por exemplo) no Workplace inesperadamente. Certifique-se de verificar a configuração antes de habilitar o provisionamento
Etapa 6: Monitorar sua implantação
Depois de configurar o provisionamento, use os seguintes recursos para monitorar sua implantação:
- Use os logs de provisionamento para determinar quais usuários foram provisionados com êxito ou sem êxito
- Verifique a barra de progresso para ver o status do ciclo de provisionamento e quão perto ele está da conclusão
- Se a configuração de provisionamento parecer estar em um estado não íntegro, o aplicativo entrará em quarentena. Saiba mais sobre os estados de quarentena aqui.
Registo de alterações
- 30/09/2020 - Adicionado suporte para o atributo "authSetting" para Usuários.
- 24/06/2022 - Atualizado o aplicativo para ser compatível com SCIM 2.0.
Mais recursos
- Gerenciando o provisionamento de contas de usuário para aplicativos corporativos
- O que é acesso ao aplicativo e logon único com o Microsoft Entra ID?