Поделиться через

Настройка Kronos Workforce Dimensions для единого входа в систему с Microsoft Entra ID

В этой статье вы узнаете, как интегрировать Kronos Workforce Dimensions с идентификатором Microsoft Entra ID. Интеграция Kronos Workforce Dimensions с идентификатором Microsoft Entra позволяет:

  • Контроль над тем, кто имеет доступ к Kronos Workforce Dimensions через Microsoft Entra ID.
  • Включите автоматический вход пользователей в Kronos Workforce Dimensions с помощью учетных записей Microsoft Entra.
  • Управляйте своими учетными записями в одном центральном месте.

Предварительные требования

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

  • Подписка Kronos Workforce Dimensions с функцией единого входа (SSO) активирована.

Примечание.

Эта интеграция также доступна для использования из облачной среды Microsoft Entra для государственных организаций США. Это приложение можно найти в коллекции облачных приложений Microsoft Entra для государственных организаций США и настроить его так же, как и в общедоступном облаке.

Описание сценария

В этой статье описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

  • Kronos Workforce Dimensions поддерживает единый вход, инициированный поставщиком службы.

Чтобы настроить интеграцию Kronos Workforce Dimensions с идентификатором Microsoft Entra ID, необходимо добавить Kronos Workforce Dimensions из коллекции в список управляемых приложений SaaS.

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.
  2. Перейдите к Entra ID>Корпоративные приложения>Новое приложение.
  3. В разделе "Добавление из коллекции " введите Kronos Workforce Dimensions в поле поиска.
  4. Выберите Kronos Workforce Dimensions на панели результатов и добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш тенант.

Кроме того, можно использовать мастер настройки корпоративных приложений. В этом мастере настройки вы можете добавить приложение в домен клиента, добавить пользователей и группы в приложение, назначить роли и также выполнить настройку единой аутентификации (SSO). Дополнительные сведения о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Kronos Workforce Dimensions

Настройте и проверьте единый вход Microsoft Entra в Kronos Workforce Dimensions с помощью тестового пользователя B.Simon. Для обеспечения работы единого входа (SSO) необходимо установить связующую взаимосвязь между пользователем Microsoft Entra и соответствующим пользователем в Kronos Workforce Dimensions.

Чтобы настроить и протестировать Microsoft Entra SSO с Kronos Workforce Dimensions, выполните следующие действия:

  1. Настройте единый вход Microsoft Entra , чтобы пользователи могли использовать эту функцию.
    1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra с помощью B.Simon.
    2. Назначьте тестового пользователя Microsoft Entra , чтобы разрешить B.Simon использовать единый вход Microsoft Entra.
  2. Настройте SSO для Kronos Workforce Dimensions - чтобы настроить параметры единого входа в приложении.
    1. Создайте тестового пользователя в Kronos Workforce Dimensions, чтобы в Kronos Workforce Dimensions был создан аналог пользователя B.Simon, связанный с представлением пользователя в Microsoft Entra.
  3. Тест SSO - чтобы проверить, работает ли конфигурация.

Microsoft Entra: настройка единого входа (SSO)

Выполните следующие действия, чтобы включить SSO для Microsoft Entra.

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

  2. Перейдите к Entra ID>корпоративным приложениям>Kronos Workforce Dimensions>с единым входом.

  3. На странице "Выбор метода единого входа" выберите SAML.

  4. На странице "Настройка единого входа" на странице SAML выберите значок карандаша для базовой конфигурации SAML , чтобы изменить параметры.

    Снимок экрана: изменение базовой конфигурации SAML.

  5. В разделе "Базовая конфигурация SAML" выполните следующие действия.

    a. В текстовом поле "Идентификатор сущности" введите URL-адрес, используя следующий шаблон: https://<SUBDOMAIN>.<ENVIRONMENT>.mykronos.com/authn/<TENANT_ID/hsp/<TENANT_NUMBER>

    б. В текстовом поле URL-адреса для входа введите URL-адрес, используя один из следующих шаблонов:

    URL-адрес для входа
    https://<CUSTOMER>-<ENVIRONMENT>-sso.<ENVIRONMENT>.mykronos.com/
    https://<CUSTOMER>-sso.<ENVIRONMENT>.mykronos.com/

    Примечание.

    Эти значения не являются реальными. Замените эти значения фактическим идентификатором и URL-адресом единого входа. Чтобы получить эти значения, обратитесь в службу поддержки клиентов Kronos Workforce Dimensions . Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML ".

  6. На странице "Настройка единого входа с помощью SAML " в разделе "Сертификат подписи SAML " нажмите кнопку "Копировать", чтобы скопировать URL-адрес метаданных федерации приложений и сохранить его на компьютере.

    Снимок экрана: ссылка на скачивание сертификата.

Создание и назначение тестового пользователя Microsoft Entra

Следуйте инструкциям в руководстве по быстрому началу создания и назначения учетной записи пользователя, чтобы создать тестовую учетную запись B.Simon.

Настройка Единого Входа (SSO) в Kronos Workforce Dimensions

Чтобы настроить единый вход на стороне Kronos Workforce Dimensions , необходимо отправить URL-адрес метаданных федерации приложенийв службу поддержки Kronos Workforce Dimensions. Они устанавливают эту настройку, чтобы правильно настроить подключение SAML SSO с обеих сторон.

Создание тестового пользователя Kronos Workforce Dimensions

В этом разделе описано, как создать пользователя Britta Simon в приложении Kronos Workforce Dimensions. Обратитесь к группе поддержки Kronos Workforce Dimensions , чтобы добавить пользователей на платформу Kronos Workforce Dimensions. Перед использованием единого входа необходимо создать и активировать пользователей.

Примечание.

Исходная документация Майкрософт рекомендует обратиться в службу поддержки UKG по электронной почте, чтобы создать пользователей Microsoft Entra. Пока эта возможность доступна, рассмотрите следующие варианты самостоятельного обслуживания.

Ручной процесс

Существует два способа вручную создать пользователей Microsoft Entra в WFD. Вы можете выбрать существующего пользователя, дублировать их, а затем обновить необходимые поля, чтобы сделать этого пользователя уникальным. Этот процесс может занять много времени и требует знаний о пользовательском интерфейсе WFD. Альтернативой является создание пользователя с помощью API WFD, который гораздо быстрее. Для этого параметра требуются знания об использовании инструментов API, таких как Postman, для отправки запросов в API. Следующие инструкции помогут импортировать предварительно созданный пример в средство API Postman.

Настройка

  1. Откройте средство Postman и импортируйте следующие файлы:

    a. Измерения рабочей силы — создание User.postman_collection.json

    б. Идентификатор Microsoft Entra для WFD Env Variables.json

  2. В левой области нажмите кнопку "Среды ".

  3. Выберите AAD_to_WFD_Env_Variables и добавьте значения, предоставленные службой поддержки UKG, касающиеся вашего экземпляра WFD.

    Примечание.

    access_token и refresh_token должны быть пустыми, так как они автоматически заполнятся в результате HTTP-запроса для получения маркера доступа.

  4. Откройте HTTP-запрос Create Microsoft Entra user в WFD и обновите выделенные свойства в полезных данных JSON:

    { 

"personInformation": { 

   "accessAssignment": { 

      "accessProfileName": "accessProfileName", 

      "notificationProfileName": "All" 

    }, 

    "emailAddresses": [ 

      { 

        "address": "address” 

        "contactTypeName": "Work" 

      } 

    ], 

    "employmentStatusList": [ 

      { 

        "effectiveDate": "2019-08-15", 

        "employmentStatusName": "Active", 

        "expirationDate": "3000-01-01" 

      } 

    ], 

    "person": { 

      "personNumber": "personNumber", 

      "firstName": "firstName", 

      "lastName": "lastName", 

      "fullName": "fullName", 

      "hireDate": "2019-08-15", 

      "shortName": "shortName" 

    }, 

    "personAuthenticationTypes": [ 

      { 

        "activeFlag": true, 

        "authenticationTypeName": "Federated" 

      } 

    ], 

    "personLicenseTypes": [ 

      { 

        "activeFlag": true, 

        "licenseTypeName": "Employee" 

      }, 

      { 

        "activeFlag": true, 

        "licenseTypeName": "Absence" 

      }, 

      { 

        "activeFlag": true, 

        "licenseTypeName": "Hourly Timekeeping" 

      }, 

      { 

        "activeFlag": true, 

        "licenseTypeName": "Scheduling" 

      } 

    ], 

    "userAccountStatusList": [ 

      { 

        "effectiveDate": "2019-08-15", 

        "expirationDate": "3000-01-01", 

        "userAccountStatusName": "Active" 

      } 

    ] 

  }, 

  "jobAssignment": { 

    "baseWageRates": [ 

      { 

        "effectiveDate": "2019-01-01", 

        "expirationDate": "3000-01-01", 

        "hourlyRate": 20.15 

      } 

    ], 

    "jobAssignmentDetails": { 

      "payRuleName": "payRuleName", 

      "timeZoneName": "timeZoneName" 

    }, 

    "primaryLaborAccounts": [ 

      { 

        "effectiveDate": "2019-08-15", 

        "expirationDate": "3000-01-01", 

        "organizationPath": "organizationPath" 

      } 

    ] 

  }, 

  "user": { 

    "userAccount": { 

      "logonProfileName": "Default", 

      "userName": "userName" 

    } 

  } 

}

    Примечание.

    PersonInformation.emailAddress.address и user.userAccount.userName должны совпадать с целевым пользователем Microsoft Entra, который вы пытаетесь создать в WFD.

  5. В правом верхнем углу выберите раскрывающийся список "Среды " и выберите AAD_to_WFD_Env_Variables.

  6. После обновления полезных данных JSON и выбора правильных переменных среды выберите HTTP-запрос Получить токен доступа и нажмите кнопку Отправить. Это позволит использовать обновленные переменные среды для аутентификации в экземпляре WFD, а затем кэшировать токен доступа в переменных среды для вызова метода создания пользователя.

  7. Если вызов проверки подлинности выполнен успешно, вы увидите ответ 200 с возвращенным маркером доступа. Этот маркер доступа теперь будет отображаться в столбце CURRENT VALUE в переменных среды для записи access_token .

    Примечание.

    Если access_token не получен, убедитесь, что все переменные среды верны. Учетные данные пользователя должны быть учетной записью суперпользователя.

  8. После получения access_token выберите AAD_to_WFD_Env_Variables HTTP-запрос и нажмите кнопку "Отправить ". Если запрос выполнен успешно, вы получите состояние HTTP 200.

  9. Войдите в WFD через учетную запись суперпользователя и убедитесь, что новый пользователь Microsoft Entra был создан на платформе WFD.

Автоматизированный процесс

Автоматизированный процесс состоит из плоского файла в формате CSV, который позволяет пользователю предварительно определить выделенные значения в полезной нагрузке из приведенного выше процесса API вручную. Неструктурированный файл используется сопровождающим скриптом PowerShell, который создает новых пользователей WFD в массовом режиме. Скрипт обрабатывает создание новых пользователей пакетами по 70 (по умолчанию), которые можно настроить для оптимальной производительности. Ниже приведены инструкции по настройке и выполнению скрипта.

  1. Сохраните файлыAAD_To_WFD.csv и AAD_To_WFD.ps1 локально на компьютере.

  2. Откройте файлAAD_To_WFD.csv и заполните столбцы.

    • personInformation.accessAssignment.accessProfileName: конкретное имя профиля доступа из экземпляра WFD.

    • personInformation.emailAddresses.address: должно соответствовать Имени основного пользователя в Microsoft Entra ID.

    • personInformation.personNumber: должен быть уникальным в экземпляре WFD.

    • personInformation.firstName: имя пользователя.

    • personInformation.lastName: фамилия пользователя.

    • jobAssignment.jobAssignmentDetails.payRuleName: Название специфического правила оплаты из WFD.

    • jobAssignment.jobAssignmentDetails.timeZoneName: Формат часового пояса должен соответствовать экземпляру WFD (то есть (GMT -08:00) Pacific Time).

    • jobAssignment.primaryLaborAccounts.organizationPath: Путь организации конкретной бизнес-структуры в экземпляре WFD.

  3. Сохраните файл .csv.

  4. Right-Select скрипт AAD_To_WFD.ps1 и выберите Изменить, чтобы изменить его.

  5. Убедитесь, что путь, указанный в строке 15, является правильным именем или путем к файлу AAD_To_WFD.csv .

  6. Обновите следующие строки значениями, предоставленными службой поддержки UKG для вашего экземпляра WFD.

    • Строка 33: vanityUrl

    • Строка 43: appKey

    • Строка 48: client_id

    • Строка 49: client_secret

  7. Сохраните и выполните скрипт.

  8. При появлении запроса укажите учетные данные суперпользовательского пользователя WFD.

  9. После завершения скрипт вернет список всех пользователей, которые не удалось создать.

Примечание.

Не забудьте проверить значения, указанные в файле AAD_To_WFD.csv, если он был возвращён в результате опечаток или несоответствия полей в инстанции WFD. Ошибка также может быть возвращена системой API WFD, если все пользователи в пакете уже существуют в этой системе.

Проверка единого входа

В этом разделе вы тестируете конфигурацию единого входа Microsoft Entra с использованием следующих параметров.

  • Выберите Протестировать это приложение, этот параметр перенаправляет на URL-адрес входа в Kronos Workforce Dimensions, где можно инициировать поток входа.

  • Перейдите на страницу входа в Kronos Workforce Dimensions непосредственно по URL-адресу и начните процесс входа.

  • Вы можете использовать портал "Мои приложения" корпорации Майкрософт. При выборе плитки Kronos Workforce Dimensions в разделе "Мои приложения" этот параметр перенаправляется по URL-адресу входа в Kronos Workforce Dimensions. Дополнительные сведения о моих приложениях см. в разделе "Общие сведения о моих приложениях".

Связанный контент

После настройки Kronos Workforce Dimensions можно применить управление сеансами, которое защищает от хищения конфиденциальных данных вашей организации и несанкционированного доступа к ним в реальном времени. Управление сеансом является расширением функции условного доступа. Узнайте, как применить управление сеансом с помощью Microsoft Defender для облачных приложений.