Поделиться через

Руководство по настройке Amazon Business для автоматической подготовки пользователей

  • Статья

В этом руководстве описаны действия, которые необходимо выполнить как в Amazon Business, так и в идентификаторе Microsoft Entra для настройки автоматической подготовки пользователей. При настройке идентификатор Microsoft Entra id автоматически подготавливает и отменяет подготовку пользователей и групп в Amazon Business с помощью службы подготовки Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает и часто задаваемые вопросы, см. в статье Автоматизации подготовки пользователей и отмены подготовки приложений SaaS с помощью идентификатора Microsoft Entra.

Поддерживаемые возможности

  • Создание пользователей в Amazon Business.
  • Удалите пользователей в Amazon Business, если они больше не требуют доступа.
  • Назначение ролей Amazon Business пользователю.
  • Синхронизация атрибутов пользователей между идентификатором Microsoft Entra и Amazon Business.
  • Подготовка групп и членства в группах в Amazon Business.
  • Единый вход в Amazon Business (рекомендуется).

Необходимые компоненты

В сценарии, описанном в этом руководстве, предполагается, что у вас уже имеется:

Шаг 1. Планирование развертывания подготовки

  1. Узнайте, как работает служба подготовки.
  2. Определите, кто будет находиться в области подготовки.
  3. Определите, какие данные необходимо сопоставить между идентификатором Microsoft Entra и Amazon Business.

Шаг 2. Настройка Amazon Business для поддержки подготовки с помощью идентификатора Microsoft Entra

Перед настройкой и включением службы подготовки необходимо определить группу по умолчанию для пользователей и групп. Мы рекомендуем сделать следующее:

  • Следуйте принципу наименьших привилегий, имея только разрешения REQUISITIONER для группы пользователей по умолчанию.
  • Следуйте приведенным ниже соглашениям об именовании групп, чтобы упростить ссылку на группы в этом документе.
    • Родительская группа SCIM по умолчанию
      • Это корневой каталог SCIM в AmazonBusiness. Все группы SCIM помещаются непосредственно в эту группу по умолчанию. Вы можете выбрать существующую группу в качестве родительской группы SCIM по умолчанию.
    • Группа пользователей SCIM по умолчанию
      • Пользователи, которым назначено ваше приложение Amazon Business, будут помещены в эту группу по умолчанию с ролью Requisitioner. Рекомендуется использовать эту группу на том же уровне, что и родительская группа SCIM по умолчанию.
      • Если пользователь подготовлен без назначения группы, он будет помещен в эту группу по умолчанию с ролью Requisitioner.
      • Любой пользователь, отменяющий активацию, останется в этой группе. Поэтому рекомендуется не использовать какую-либо роль, кроме Requisitioner для этой группы.

Примечание.

  • Родительская группа SCIM по умолчанию может совпадать с группой по умолчанию, выбранной для конфигурации единого входа.
  • Родительская группа SCIM по умолчанию может быть группой юридических лиц. Выбор юридической сущности в качестве группы по умолчанию рекомендуется, если в учетной записи AB настроены разные шаблоны выставления счетов.
  • В настоящее время мы поддерживаем включение SCIM только для одной юридической сущности в учетной записи Amazon Business.

После определения групп SCIM по умолчанию перейдите на страницу "Бизнес-учетная запись > Amazon Business" Параметры > управления удостоверениями (SCIM), введите сведения и нажмите кнопку "Активировать". Прежде чем перейти к следующему шагу, необходимо выполнить этот шаг.

Добавьте Amazon Business из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в Amazon Business. Если вы ранее настроили Amazon Business для единого входа, можно использовать то же приложение. Но мы рекомендуем создать отдельное приложение для исходной проверки интеграции. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 4. Определение того, кто будет находиться в область для подготовки

Служба подготовки Microsoft Entra позволяет область, которые будут подготовлены на основе назначения приложению и на основе атрибутов пользователя или группы. Если вы решили указать, кто именно будет подготовлен к работе в приложении, на основе назначения, можно выполнить следующие действия, чтобы назначить пользователей и группы приложению. Если вы решили определить пользователей только на основе атрибутов пользователя или группы, примените фильтр области, как описано здесь.

  • При назначении пользователей и групп в Amazon Business необходимо выбрать роль, отличной от доступа по умолчанию. Пользователи с ролью "Доступ по умолчанию" исключаются из подготовки и будут помечены в журналах подготовки как не назначенные явно. Если в приложении доступна только эта роль, измените манифест приложения, чтобы добавить другие роли.
  • Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем выполнять развертывание для всех. Если в область подготовки включены назначенные пользователи и группы, проверьте этот механизм, назначив приложению одного или двух пользователей либо одну или две группы. Если в область включены все пользователи и группы, можно указать фильтр области на основе атрибутов.
  • Манифест приложения можно обновить, добавив роли Amazon Business. Пользователь может иметь одну из следующих ролей:
    • Requisitioner (для размещения заказов или отправки запросов заказа на утверждение).
    • Администратор istrator (для управления людьми, группами, ролями и утверждениями. Просмотр заказов. Отчеты о заказе выполнения)
    • Финансы (для доступа к счетам, кредитным заметкам, аналитике и журналу заказов).
    • Технология (для настройки системных интеграции с программами, используемыми на работе).

Снимок экрана: список ролей приложения.

Шаг 5. Настройка автоматической подготовки пользователей в Amazon Business

В этом разделе описаны инструкции по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей и (или) групп в Amazon Business на основе назначений пользователей и (или) групп в идентификаторе Microsoft Entra.

Чтобы настроить автоматическую подготовку пользователей для Amazon Business в идентификаторе Microsoft Entra, выполните следующие действия.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

  2. Обзор корпоративных приложений>удостоверений>

    Снимок экрана: Колонка

  3. В списке приложений выберите Amazon Business.

    Снимок экрана: ссылка Amazon Business в списке приложений.

  4. Выберите вкладку Подготовка.

    Снимок экрана вкладка

  5. Для параметра Режим подготовки к работе выберите значение Automatic (Автоматически).

    Снимок экрана: параметр

  6. В разделе Администратор Учетные данные введите URL-адрес клиента Amazon Business, конечную точку авторизации. Нажмите кнопку "Тестировать Подключение", чтобы убедиться, что идентификатор Microsoft Entra может подключаться к Amazon Business. Если подключение завершается сбоем, убедитесь, что у вашей учетной записи Amazon Business есть Администратор разрешения и повторите попытку.

    Снимок экрана: токен.

    Для значений url-адреса клиента и конечной точки авторизации используйте следующую таблицу.

    Страна/регион URL-адрес клиента Конечная точка авторизации
    Канада https://na.business-api.amazon.com/scim/v2/ https://www.amazon.ca/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Германия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.de/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Испания https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.es/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Франция https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.fr/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    ГБ/Великобритания https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.co.uk/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Индия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.in/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Италия https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.it/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Япония https://jp.business-api.amazon.com/scim/v2/ https://www.amazon.co.jp/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    Мексика https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com.mx/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    US https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com/b2b/abws/oauth?state=1& redirect_uri=https://portal.azure.com/TokenAuthorize& applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3

  7. В поле Электронная почта для уведомлений введите адрес электронной почты пользователя или группы, которые должны получать уведомления об ошибках подготовки, а также установите флажок Отправить уведомление по электронной почте при сбое.

    Снимок экрана: сообщение электронной почты с уведомлением.

  8. Выберите Сохранить.

  9. В разделе "Сопоставления" выберите "Синхронизировать пользователей Microsoft Entra" с Amazon Business.

  10. Просмотрите атрибуты пользователя, синхронизированные с идентификатором Microsoft Entra в Amazon Business, в разделе "Сопоставление атрибутов". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Amazon Business для операций обновления. Если вы решили изменить соответствующий целевой атрибут, необходимо убедиться, что API Amazon Business поддерживает фильтрацию пользователей на основе этого атрибута. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут Тип Поддерживается для фильтрации Требуется Amazon Business
    userName Строка ✓ ✓
    active Логический
    emails[type eq "work"].value Строка
    name.givenName Строка
    name.familyName Строка
    externalId Строка
    роли Список приложений AppRoleAssignments [appRoleAssignments]

  11. В разделе "Сопоставления" выберите "Синхронизировать группы Microsoft Entra" с Amazon Business.

  12. Просмотрите атрибуты группы, синхронизированные с идентификатором Microsoft Entra в Amazon Business, в разделе "Сопоставление атрибутов". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления групп в Amazon Business для операций обновления. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут Тип Поддерживается для фильтрации Требуется Amazon Business
    displayName Строка ✓ ✓
    members Справочные материалы

  13. Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, предоставленными в руководстве по фильтрам области.

  14. Чтобы включить службу подготовки Microsoft Entra для Amazon Business, измените состояние подготовки на On в разделе Параметры.

    Снимок экрана: включенный переключатель состояния подготовки.

  15. Определите пользователей и (или) группы, которые вы хотите подготовить в Amazon Business, выбрав нужные значения в области в разделе Параметры.

    Снимок экрана: область подготовки.

  16. Когда будете готовы выполнить подготовку, нажмите кнопку Сохранить.

    Снимок экрана: сохранение конфигурации подготовки.

После этого начнется цикл начальной синхронизации всех пользователей и групп, определенных в поле Область в разделе Параметры. Начальный цикл занимает больше времени, чем последующие циклы, которые происходят примерно каждые 40 минут до запуска службы подготовки Microsoft Entra.

Шаг 6. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания.

  • Используйте журналы подготовки, чтобы определить, какие пользователи были подготовлены успешно или неудачно.
  • Используйте индикатор выполнения, чтобы узнать состояние цикла подготовки и приблизительное время до его завершения
  • Если конфигурация подготовки находится в неработоспособном состоянии, приложение перейдет в режим карантина. Дополнительные сведения о режимах карантина см. здесь.

Ограничения функций

  • Неструктурированная структура создается в учетной записи Amazon Business, то есть все отправленные группы находятся на одном уровне в группе SCIM по умолчанию. Вложенные структуры или иерархии не поддерживаются.
  • Имена групп будут одинаковыми в учетной записи Azure и Amazon Business.
  • Так как новые группы будут созданы в Учетной записи Amazon Business, Администратор необходимо повторно настроить параметры бизнеса (например, включить покупку, обновить общие параметры, добавить политики интерактивной покупки и т. д.) для новых групп по мере необходимости.
  • Удаление старых групп / удаление пользователей из старых групп в Amazon Business приводит к потере видимости заказов, размещенных с этой старой группой, поэтому рекомендуется
    • Не удаляйте старые группы и назначения и
    • Отключите покупку для старых групп.
  • Электронная почта или обновление имени пользователя— обновление электронной почты и /или имени пользователя с помощью SCIM в настоящее время не поддерживается.
  • Синхронизация паролей — синхронизация паролей не поддерживается.
  • Требование единого входа. Хотя приложение Amazon Business позволяет активировать подготовку SCIM без единого входа, подготовленным пользователям потребуется проверка подлинности единого входа для доступа к Amazon Business.
  • Учетные записи нескольких юридических лиц (MLE) — в настоящее время мы не поддерживаем включение SCIM для нескольких юридических лиц в учетной записи Amazon Business Account.
  • При подготовке группы с тем же именем, что и в Amazon Business, эти группы будут автоматически связаны (новая группа будет создана в Amazon Business).

Советы по устранению неполадок

  • Если администраторы Amazon Business вошли только с помощью единого входа или не знают свои пароли, они могут использовать поток забыли пароль для сброса пароля, а затем войдите в Amazon Business.
  • Если роли Администратор и Requisitioner уже применены к клиенту в группе, назначение ролей Finance или Tech не приведет к обновлению на стороне Amazon Business.
  • Клиенты с учетными записями MASE (несколько учетных записей одной и той же электронной почты), которые удаляют одну из своих учетных записей, могут видеть ошибки, которые не существуют при подготовке новых пользователей в течение короткого времени (24–48 часов).
  • Клиенты не могут быть удалены немедленно через подготовку по запросу. Подготовка должна быть включена, и удаление произойдет 40 минут после выполнения действия.

Дополнительные ресурсы

Следующие шаги