Поделиться через

Настроить Amazon Business для автоматического предоставления пользователей с помощью службы идентификации Microsoft Entra ID.

В этой статье описаны шаги, которые необходимо выполнить как в Amazon Business, так и в идентификаторе Microsoft Entra для настройки автоматической подготовки пользователей. При настройке Microsoft Entra ID автоматически создаёт и удаляет пользователей и группы в Amazon Business с помощью службы управления подготовкой Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает и часто задаваемые вопросы, см. статью Автоматизация подготовки и снятие подготовки пользователей для приложений SaaS с Microsoft Entra ID.

Поддерживаемые возможности

  • Создание пользователей в Amazon Business.
  • Удалите пользователей в Amazon Business, если они больше не требуют доступа.
  • Назначение ролей Amazon Business пользователю.
  • Синхронизация атрибутов пользователей между идентификатором Microsoft Entra и Amazon Business.
  • Подготовка групп и членства в группах в Amazon Business.
  • Единый вход в Amazon Business (рекомендуется).

Необходимые компоненты

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие условия:

Шаг 1. Планирование развертывания подготовки

  1. Узнайте, как работает служба развертывания.
  2. Определите, кто находится в области подготовки.
  3. Определите, какие данные необходимо сопоставить между идентификатором Microsoft Entra и Amazon Business.

Шаг 2. Настройка Amazon Business для поддержки подготовки с помощью идентификатора Microsoft Entra

Перед настройкой и включением службы подготовки необходимо определить группу по умолчанию для пользователей и групп. Мы рекомендуем сделать следующее:

  • Следуйте принципу наименьших привилегий, имея только разрешения REQUISITIONER для группы пользователей по умолчанию.
  • Выполните соглашение об именовании групп, указанное в следующем разделе, чтобы упростить ссылки на группы в этом документе.
    • Родительская группа SCIM по умолчанию
      • Это корневой каталог SCIM в AmazonBusiness. Все группы SCIM помещаются непосредственно в эту группу по умолчанию. Вы можете выбрать существующую группу в качестве родительской группы SCIM по умолчанию.
    • Группа пользователей SCIM по умолчанию
      • Пользователи, которым назначено ваше приложение Amazon Business, по умолчанию помещаются в эту группу с ролью Requisitioner. Рекомендуется использовать эту группу на том же уровне, что и родительская группа SCIM по умолчанию.
      • Если пользователь создан без назначения в группу, он будет помещен в эту группу по умолчанию с ролью заявителя.
      • Любой деактивированный пользователь остается в этой группе. Поэтому рекомендуется не использовать какую-либо роль, кроме роли "Requisitioner" для этой группы.

Примечание.

  • Родительская группа SCIM по умолчанию может совпадать с группой по умолчанию, выбранной для конфигурации единого входа.
  • Родительская группа SCIM по умолчанию может быть группой юридических лиц. Выбор юридической сущности в качестве группы по умолчанию рекомендуется, если в учетной записи AB настроены разные шаблоны выставления счетов.
  • В настоящее время мы поддерживаем включение SCIM только для одной юридической сущности в учетной записи Amazon Business.

После того, как ваши группы SCIM по умолчанию будут определены, перейдите на страницу > "Настройки бизнеса" > "Управление удостоверением (SCIM)" для учетной записи Amazon Business, введите сведения и выберите "Активировать". Прежде чем перейти к следующему шагу, необходимо выполнить этот шаг.

Добавьте Amazon Business из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в Amazon Business. Если вы ранее настроили Amazon Business для единого входа, можно использовать то же приложение. Но мы рекомендуем создать отдельное приложение для исходной проверки интеграции. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 4. Определение того, кто подлежит обеспечению

Служба подготовки Microsoft Entra позволяет определить, кто подготовлен на основе назначения приложению или на основе атрибутов пользователя или группы. Если вы решите определять, кто предоставлен вашему приложению на основе назначения, можно использовать шаги, чтобы назначить пользователей и группы приложению. Если вы решаете, кто будет предоставлен, опираясь исключительно на атрибуты пользователя или группы, можно использовать фильтр области.

  • Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем выполнять развертывание для всех. Если в область подготовки включены назначенные пользователи и группы, проверьте этот механизм, назначив приложению одного или двух пользователей либо одну или две группы. Если область задана для всех пользователей и групп, можно указать фильтр области на основе атрибутов.

  • Если вам нужны дополнительные роли, можно обновить манифест приложения , чтобы добавить новые роли.

Шаг 5. Настройка автоматической подготовки пользователей в Amazon Business

В этом разделе описаны инструкции по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей и (или) групп в Amazon Business на основе назначений пользователей и (или) групп в идентификаторе Microsoft Entra.

Чтобы настроить автоматическую подготовку пользователей для Amazon Business в идентификаторе Microsoft Entra, выполните следующие действия.

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

  2. Перейдите к Entra ID>приложениям для предприятий

    Снимок экрана: вкладка

  3. В списке приложений выберите Amazon Business.

    Снимок экрана: ссылка Amazon Business в списке приложений.

  4. Перейдите на вкладку "Подготовка ".

    Снимок экрана вкладки

  5. Установите режим подготовки в значение Автоматический.

    Автоматический снимок экрана вкладки

  6. В разделе "Учетные данные администратора" введите URL-адрес клиента Amazon Business, конечную точку авторизации. Выберите "Проверить подключение", чтобы убедиться, что идентификатор Microsoft Entra может подключаться к Amazon Business. Если подключение завершается ошибкой, убедитесь, что у учетной записи Amazon Business есть разрешения администратора и повторите попытку.

    Снимок экрана: токен.

    Для значений url-адреса клиента и конечной точки авторизации используйте следующую таблицу.

    Страна или регион URL-адрес клиента Конечная точка авторизации
    Канада https://na.business-api.amazon.com/scim/v2/ https://www.amazon.ca/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Германия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.de/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Испания https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.es/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Франция https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.fr/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    ГБ/Великобритания https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.co.uk/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Индия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.in/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Италия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.it/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Япония https://jp.business-api.amazon.com/scim/v2/ https://www.amazon.co.jp/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Мексика https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com.mx/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    США https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3

  7. В поле "Электронная почта уведомления" введите адрес электронной почты пользователя или группы, которая должна получать уведомления об ошибках предоставления, и выберите Отправлять уведомление по электронной почте при возникновении сбоя.

    Снимок экрана: электронная почта уведомлений.

  8. Нажмите кнопку "Сохранить".

  9. В разделе "Сопоставления" выберите "Синхронизировать пользователей Microsoft Entra" с Amazon Business.

  10. Просмотрите атрибуты пользователя, синхронизированные с идентификатором Microsoft Entra в Amazon Business, в разделе "Сопоставление атрибутов ". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Amazon Business для операций обновления. Если вы решили изменить соответствующий целевой атрибут, необходимо убедиться, что API Amazon Business поддерживает фильтрацию пользователей на основе этого атрибута. Нажмите кнопку "Сохранить ", чтобы зафиксировать любые изменения.

    Атрибут Тип Поддерживается для фильтрации Требуется Amazon Business
    userName Строка ✓ ✓
    активный Логический
    Электронные письма[тип eq "работа"].значение Строка
    имя.имяОтчество Строка
    имя_фамилия Строка
    externalId (внешний идентификатор) Строка
    роли Список приложений AppRoleAssignments [appRoleAssignments]

  11. В разделе "Сопоставления" выберите "Синхронизировать группы Microsoft Entra" с Amazon Business.

  12. Просмотрите атрибуты группы, синхронизированные с идентификатором Microsoft Entra в Amazon Business, в разделе "Сопоставление атрибутов ". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления групп в Amazon Business для операций обновления. Нажмите кнопку "Сохранить ", чтобы зафиксировать любые изменения.

    Атрибут Тип Поддерживается для фильтрации Требуется Amazon Business
    отображаемое имя Строка ✓ ✓
    члены Справочные материалы

  13. Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, приведенными в статье о фильтре области.

  14. Чтобы включить службу подготовки Microsoft Entra для Amazon Business, измените состояние подготовки на "Вкл ." в разделе "Параметры ".

    Снимок экрана с включенным состоянием подготовки.

  15. Определите пользователей и (или) группы, которым вы хотите предоставить доступ к Amazon Business, выбрав нужные значения в разделе Объём в Параметры.

    Снимок экрана области настройки.

  16. Когда вы будете готовы к настройке, выберите Сохранить.

    Снимок экрана сохранения конфигурации выделения.

Эта операция запускает начальный цикл синхронизации всех пользователей и групп, определенных в области в разделе "Параметры ". Начальный цикл занимает больше времени, чем последующие циклы, которые происходят примерно каждые 40 минут до запуска службы подготовки Microsoft Entra.

Шаг 6. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания:

  1. Используйте журналы подготовки для определения успешной или неудачной подготовки пользователей.
  2. Проверьте индикатор хода выполнения, чтобы оценить состояние цикла подготовки и насколько он близок к завершению.
  3. Если конфигурация подготовки находится в неработоспособном состоянии, приложение перейдет в режим карантина. Узнайте больше о состоянии карантина из статьи о состоянии карантина подготовки приложений .

Ограничения функции

  • Неструктурированная структура создается в учетной записи Amazon Business, то есть все отправленные группы находятся на одном уровне в группе SCIM по умолчанию. Вложенные структуры или иерархии не поддерживаются.
  • Имена групп одинаковы в учетной записи Azure и Amazon Business.
  • Так как новые группы создаются в учетной записи Amazon Business, администраторы должны перенастроить бизнес-параметры (например, включить покупку, обновить общие параметры, добавить политики интерактивной покупки и т. д.) для новых групп по мере необходимости.
  • Удаление старых групп / удаление пользователей из старых групп в Amazon Business приводит к потере возможности отслеживания заказов, сделанных этой старой группой, поэтому рекомендуется
    • Не удаляйте старые группы и назначения и
    • Отключите покупку для старых групп.
  • Электронная почта или обновление имени пользователя— обновление электронной почты и /или имени пользователя с помощью SCIM в настоящее время не поддерживается.
  • Синхронизация паролей — синхронизация паролей не поддерживается.
  • Требование единого входа. Хотя приложение Amazon Business позволяет активировать подготовку SCIM без единого входа, подготовленные пользователи требуют проверки подлинности единого входа для доступа к Amazon Business.
  • Учетные записи нескольких юридических лиц (MLE) — в настоящее время мы не поддерживаем включение SCIM для нескольких юридических лиц в учетной записи Amazon Business Account.
  • При подготовке группы с тем же именем, что и в Amazon Business, эти группы автоматически связываются (новая группа создается в Amazon Business).

Советы по устранению неполадок

  • Если администраторы Amazon Business вошли только с помощью единого входа или не знают свои пароли, они могут использовать поток забыли пароль для сброса пароля, а затем войдите в Amazon Business.
  • Если роли администратора и сотрудника, занимающегося закупками, уже назначены клиенту в группе, то назначение ролей финансового специалиста или технического специалиста не приведет к обновлению на стороне Amazon Business.
  • Клиенты с учетными записями MASE (несколько учетных записей одной и той же электронной почты), которые удаляют одну из своих учетных записей, могут видеть ошибки, которые не существуют при подготовке новых пользователей в течение короткого времени (24–48 часов).
  • Клиенты не могут быть немедленно удалены с помощью предоставления по запросу. Подготовка должна быть включена, и удаление происходит через 40 минут после выполнения действия.

Дополнительные ресурсы

Связанный контент