教程：配置从 SAP SuccessFactors 到 Microsoft Entra 的用户预配

  • 项目

本教程旨在说明需要执行哪些步骤才能将工作人员数据从 SuccessFactors Employee Central 预配到 Microsoft Entra ID，以及选择性地将电子邮件地址写回到 SuccessFactors。

注意

如果你想要从 SuccessFactors 预配的用户仅限云且不需要本地 AD 帐户，请使用此教程。 如果用户仅需要本地 AD 帐户，或者同时需要 AD 和 Microsoft Entra 帐户，请参阅有关配置 SAP SuccessFactors 到 Active Directory 的用户预配的教程。

以下视频简要概述了规划预配与 SAP SuccessFactors 的集成时所涉及的步骤。

概述

Microsoft Entra 用户预配服务与 SuccessFactors Employee Central 集成，便于管理用户的标识生命周期。

Microsoft Entra 用户预配服务支持的 SuccessFactors 用户预配工作流可将以下人力资源和标识生命周期管理方案自动化：

  • 招聘新员工 - 将新员工添加到 SuccessFactors 后，Microsoft Entra ID 中会自动创建一个用户帐户，并将电子邮件地址写回到 SuccessFactors，而 Microsoft 365 和 Microsoft Entra ID 支持的其他 SaaS 应用程序中会选择性地执行这些操作。

  • 员工特性和个人资料更新 - 在 SuccessFactors 中更新员工记录（例如其姓名、职称或上司）后，Microsoft Entra ID 中会自动更新相应员工的用户帐户，Microsoft 365 和 Microsoft Entra ID 支持的其他 SaaS 应用程序中会选择性地自动更新。

  • 员工离职 - 当某个员工从 SuccessFactors 离职时，Microsoft Entra ID 会自动禁用其用户帐户，Microsoft 365 和 Microsoft Entra ID 支持的其他 SaaS 应用程序中会选择性地自动禁用。

  • 员工返聘 - 当 SuccessFactors 返聘某位员工时，该员工的旧帐户可自动重新激活或重新预配到 Microsoft Entra ID、Microsoft 365 和 Microsoft Entra ID 支持的其他 SaaS 应用程序（其中，具体操作由你的偏好而定，且后两类应用可选配）。

此用户预配解决方案最适合哪些对象？

此 SuccessFactors 到 Microsoft Entra 的用户预配解决方案非常适合以下对象：

  • 需要使用预建的、基于云的解决方案进行 SuccessFactors 用户预配的组织

  • 需要将用户预配从 SuccessFactors 定向到 Microsoft Entra ID 的组织

  • 要求使用从 SuccessFactors Employee Central (EC) 获取的数据预配用户的组织

  • 使用 Microsoft 365 收发电子邮件的组织

解决方案体系结构

本部分介绍端到端用户预配解决方案体系结构，它适用于仅限云的用户。 有两个相关的流：

  • 权威 HR 数据流 从 SuccessFactors 到 Microsoft Entra ID：在此流中，工作人员事件（如新雇员、换岗、离职等）首先发生在云 SuccessFactors Employee Central 中，然后事件数据流入 Microsoft Entra ID。 根据事件的不同，可能会导致在 Microsoft Entra ID 中执行创建/更新/启用/禁用操作。

  • 电子邮件写回流 - 从 Microsoft Entra ID 到 SuccessFactors：在 Microsoft Entra ID 中完成帐户创建后，在 Microsoft Entra ID 中生成的电子邮件属性值和 UPN 可写回到 SuccessFactors。

    概述

端到端用户数据流

  1. HR 团队在 SuccessFactors Employee Central 中执行工作人员事务（入职者/换岗者/离职者或新雇员/换岗/离职）
  2. Microsoft Entra 预配服务运行来自 SuccessFactors EC 的标识的计划同步，并确定需要进行处理以便与 Microsoft Entra ID 同步的更改。
  3. Microsoft Entra 预配服务确定更改并在 Microsoft Entra ID 中为用户调用创建/更新/启用/禁用操作。
  4. 如果配置了 SuccessFactors 写回应用，则会从 Microsoft Entra ID 检索用户的电子邮件地址。
  5. Microsoft Entra ID 预配服务会基于所使用的匹配特性将电子邮件特性写回到 SuccessFactors。

计划部署

若要将 Cloud HR 驱动的用户预配从 SuccessFactors 配置到 Microsoft Entra ID，需要涵盖不同方面的重要规划，例如：

  • 确定匹配 ID
  • 属性映射
  • 特性转换
  • 范围筛选器

有关这些主题的全面指导，请参阅云 HR 部署计划。 若要了解支持的实体、处理详细信息，以及为不同 HR 场景自定义集成的方式，请参阅 SAP SuccessFactors 集成参考。

为集成配置 SuccessFactors

所有 SuccessFactors 预配连接器的一个常见要求是，它们需要具有适当权限的 SuccessFactors 帐户的凭据才能调用 SuccessFactors OData API。 本部分介绍了在 SuccessFactors 中创建服务帐户并授予适当权限的步骤。

在 SuccessFactors 中创建/识别 API 用户帐户

与 SuccessFactors 管理团队或实施合作伙伴进行合作，在 SuccessFactors 中创建和标识将用于调用 OData API 的用户帐户。 在 Microsoft Entra ID 中配置预配应用时，需要此帐户的用户名和密码凭据。

创建 API 权限角色

  1. 使用有权访问管理中心的用户帐户登录 SAP SuccessFactors。

  2. 搜索“管理权限角色”，然后从搜索结果中选择“管理权限角色”。 管理权限角色

  3. 从权限角色列表中，单击“新建”。

    创建新的权限角色

  4. 为新的权限角色添加角色名称和说明 。 名称和说明应指出该角色针对的是 API 使用权限。

    权限角色详细信息

  5. 在“权限设置”下，单击“权限…”，然后向下滚动权限列表，并单击“管理集成工具” 。 选中“允许管理员通过基本身份验证访问 OData API”框。

    管理集成工具

  6. 还是在该框中向下滚动，然后选择“Employee Central API”。 如下所示添加权限，以使用 ODATA API 进行读取和编辑。 如果计划为“写回到 SuccessFactors”场景使用同一帐户，请选择“编辑”选项。

    读写权限

  7. 在相同的权限框中，转到“用户权限”->“员工数据”，并查看服务帐户可从 SuccessFactors 租户读取的属性。 例如，若要从 SuccessFactors 检索“用户名”属性，请确保针对此属性授予“查看”权限。 同样，查看每个属性的“查看”权限。

    员工数据权限

    注意

    有关此预配应用检索到的特性的完整列表，请参阅 SuccessFactors 特性参考

  8. 单击“完成”。 单击 “保存更改” 。

为 API 用户创建权限组

  1. 在 SuccessFactors 管理中心，搜索“管理权限组”，然后从搜索结果中选择“管理权限组”。

    管理权限组

  2. 从“管理权限组”窗口中，单击“新建”。

    添加新组

  3. 为新组添加一个组名。 组名应指出该组用于 API 用户。

    权限组名称

  4. 向组添加成员。 例如，可从“人员池”下拉菜单中选择“用户名”，然后输入将用于集成的 API 帐户的用户名。

    添加组成员

  5. 单击“完成”来完成权限组的创建。

向权限组授予权限角色

  1. 在 SuccessFactors 管理中心，搜索“管理权限角色”，然后从搜索结果中选择“管理权限角色”。
  2. 从“权限角色列表”中，选择为 API 使用权限创建的角色。
  3. 在“将此角色授予…”中，单击“添加…”按钮 。
  4. 从下拉菜单中选择“权限组…”，然后单击“选择…”，打开“组”窗口进行搜索并选择上面创建的组 。

    添加权限组

  5. 查看“向权限组授予权限角色”。

    权限角色和组详细信息

  6. 单击 “保存更改” 。

配置从 SuccessFactors 到 Microsoft Entra ID 的用户预配

此部分提供将用户帐户从 SuccessFactors 预配到 Microsoft Entra ID 的步骤。

第 1 部分：添加预配连接器应用并配置与 SuccessFactors 的连接

配置 SAP SuccessFactors 到 Microsoft Entra 的预配：

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。

  3. 搜索“SuccessFactors 到 Microsoft Entra 的用户预配”，然后从库中添加该应用。

  4. 添加应用并显示应用详细信息屏幕后，请选择“预配”

  5. 将“预配模式”更改为“自动”

  6. 按如下所述完成“管理员凭据”部分：

    • 管理员用户名 - 输入 SuccessFactors API 用户帐户的用户名，并追加公司 ID。 它采用以下格式：username@companyID

    • 管理员密码 - 输入 SuccessFactors API 用户帐户的密码。

    • 租户 URL - 输入 SuccessFactors OData API 服务终结点的名称。 仅输入不带 http 和 https 的服务器的主机名。 该值应如下所示：api-server-name.successfactors.com。

    • 通知电子邮件 - 输入电子邮件地址，然后选中“如果失败，则发送电子邮件”复选框。

    注意

    如果预配作业进入隔离状态，Microsoft Entra 预配服务将发送电子邮件通知。

    • 单击“测试连接”按钮。 如果连接测试成功，请单击顶部的“保存”按钮。 如果失败，请仔细检查 SuccessFactors 凭据和 URL 是否有效。

    Azure 门户

    • 凭据成功保存后，“映射”部分将显示名为“将 SuccessFactors 用户同步到 Microsoft Entra ID”的默认映射

第 2 部分：配置属性映射

在本部分，将配置用户数据如何从 SuccessFactors 流入 Microsoft Entra ID。

  1. 在“预配”选项卡的“映射”下，单击“将 SuccessFactors 用户同步到 Microsoft Entra ID”。

  2. 在“源对象范围”字段中，可通过定义一组基于属性的筛选器，选择 SuccessFactors 中要预配到 Microsoft Entra ID 的用户集范围。 默认范围是“SuccessFactors 中的所有用户”。 示例筛选器：

    • 示例：将范围限定为 personIdExternal 为 1000000 到 2000000 的用户（不包括 2000000）

      • 特性：personIdExternal

      • 运算符：REGEX Match

      • 值：(1[0-9][0-9][0-9][0-9][0-9][0-9])

    • 示例：仅限员工和非临时工

      • 属性：EmployeeID

      • 运算符：IS NOT NULL

    提示

    首次配置预配应用时，需要测试和验证属性映射和表达式，以确保它提供所需的结果。 Microsoft 建议使用“源对象范围”下的范围筛选器来测试 SuccessFactors 中少量测试用户的映射。 验证确保映射正常工作后，可删除筛选器，也可逐渐扩大范围以包含更多用户。

    注意

    预配引擎的默认行为是禁用/删除超出范围的用户。 这可能不适合于 SuccessFactors 到 Microsoft Entra 的集成。 若要替代此默认行为，请参阅跳过删除超出范围的用户帐户

  3. 在“目标对象操作”字段中，可全局筛选在 Microsoft Entra ID 中执行的操作。 “创建”和“更新”是最常见的操作。

  4. 在“属性映射”部分中，可以定义将单个 SuccessFactors 属性映射到 Microsoft Entra 属性的方式。

    注意

    有关此应用程序支持的 SuccessFactors 属性的完整列表，请参阅 SuccessFactors 属性参考

  5. 单击现有的属性映射可将其更新，单击屏幕底部的“添加新映射”可添加新的映射。 单个属性映射支持以下属性：

    • 映射类型

      • 直接映射 - 将 SuccessFactors 属性的值按原样写入 Microsoft Entra 属性

      • 常量映射 - 将静态常量字符串值写入 Microsoft Entra 属性

      • 表达式映射 - 可基于一个或多个 SuccessFactors 属性将自定义值写入 Microsoft Entra 属性。 有关详细信息，请参阅这篇有关表达式的文章。

    • 源属性 - SuccessFactors 中的用户属性

    • 默认值 – 可选。 如果源属性的值为空，映射将改为写入此值。 最常见的配置是将此项留空。

    • 目标属性 – Microsoft Entra ID 中的用户属性。

    • 使用此属性匹配对象 - 是否应使用此映射来唯一地标识 SuccessFactors 与 Microsoft Entra ID 之间的用户。 该值通常是在 SuccessFactors 的“工作人员 ID”字段中设置的，它通常映射到 Microsoft Entra ID 中的某个“员工 ID”属性。

    • 匹配优先级 – 可设置多个匹配属性。 当存在匹配时，会按照此字段定义的顺序进行评估。 一旦找到匹配，就不会进一步评估其他匹配属性。

    • 应用此映射

      • 始终 – 对用户创建和更新操作均应用此映射

      • 仅创建期间 - 仅对用户创建操作应用此映射

  6. 若要保存映射，请单击“属性映射”部分顶部的“保存”。

属性映射配置完成后，即可启用并启动用户预配服务。

启用并启动用户预配

你可在 SuccessFactors 预配应用配置完成后启用预配服务。

提示

默认情况下，启用预配服务时，它会为范围中的所有用户启动预配操作。 如果映射出错或存在 SuccessFactors 数据问题，则预配作业可能会失败并转入隔离状态。 要避免这种情况，最佳做法是先配置“源对象范围”筛选器并使用少量测试用户来测试属性映射，然后再为所有用户启动完全同步。 验证确保映射正常工作且获得所需结果后，可删除筛选器或逐渐扩大范围以包含更多用户。

  1. 在“预配”选项卡中，将“预配状态”设置为“打开”。

  2. 单击“ 保存”。

  3. 此操作将启动初始同步；该过程会耗时数小时，具体时间取决于 SuccessFactors 租户中的用户数。 可检查进度条来跟踪同步周期的进度。

  4. 无论何时，检查 Azure 门户中的“审核日志”选项卡都可以查看预配服务执行的操作。 审核日志列出预配服务执行的所有同步事件（例如正在从 SuccessFactors 中读出哪些用户），随后将其添加或更新到 Microsoft Entra ID。

  5. 完成初始同步后，系统会在“预配”选项卡中写入一份审核摘要报告，如下所示。

    预配进度条

后续步骤