共用方式為

使用 Microsoft Entra ID 來設定 Amazon Business，以自動布建使用者

本文說明您需要在 Amazon Business 和 Microsoft Entra ID 中執行的步驟，以設定自動使用者布建。 設定時，Microsoft Entra ID 會自動使用 Microsoft Entra 佈建服務來將使用者和群組佈建和取消佈建至 Amazon Business。 如需有關此服務運作的詳細資訊，包括執行方式和常見問題，請參閱 使用 Microsoft Entra ID 將使用者佈建和取消佈建至 SaaS 應用程式。

支援的功能

  • 在 Amazon Business 中建立使用者。
  • 當使用者不再需要存取權時，請移除 Amazon Business 中的使用者。
  • 將 Amazon Business 角色指派給使用者。
  • 讓使用者屬性在 Microsoft Entra ID 與 Amazon Business 之間保持同步。
  • 在 Amazon Business 中配置群組和群組成員資格。
  • Amazon Business 的單一登入 (建議)。

必要條件

本文中所述的案例假設您已經具備下列必要條件：

步驟 1：規劃佈建部署

  1. 了解配置服務的運作方式。
  2. 定義在佈建範圍內的人員。
  3. 確定要在 Microsoft Entra ID 與 Amazon Business 之間對應哪些資料。

步驟 2：設定 Amazon Business 以支援使用 Microsoft Entra ID 進行佈建

設定並啟用佈建服務之前，您必須識別使用者和群組的預設群組。 我們建議您

  • 請遵循最低權限原則，只擁有預設使用者群組的 REQUISITIONER 權限。
  • 請遵循下一節所參考的群組命名慣例，以輕鬆參考整個檔內的群組。
    • 預設 SCIM 父群組
      • 這是 AmazonBusiness 中 SCIM 目錄的根目錄。 所有 SCIM 群組都直接置於此預設群組之下。 您可以選取現有的群組作為預設 SCIM 父群組。
    • 預設 SCIM 使用者群組
      • 指派給您 Amazon Business 應用程式的用戶預設會以「徵用者」角色放入此群組中。 建議讓此群組位於與預設 SCIM 父群組相同的層級。
      • 如果將使用者配置時沒有群組指派，則預設會以「徵用者」角色將其放入此群組中。
      • 任何停用的用戶都會保留在此群組中。 因此，建議不要使用此群組的「徵用者」以外的任何角色。

注意

  • 預設 SCIM 父群組可以和針對 SSO 組態選取的預設群組相同。
  • 預設的 SCIM 父群組可以是法律實體群組。 如果您有針對 AB 帳戶中不同群組設定的不同發票範本，建議選擇 [法律實體] 作為預設群組。
  • 我們目前僅支援為 Amazon Business 帳戶中的一個法律實體啟用 SCIM。

識別出您的預設 SCIM 群組之後，請移至您的 Amazon Business 帳戶 > 商務設定 > 身分識別管理 （SCIM） 頁面，輸入詳細數據並選取 [啟用]。 在繼續進行下一個步驟之前，必須先完成此步驟。

從 Microsoft Entra 應用程式庫新增 Amazon Business，以開始管理對 Amazon Business 的佈建。 如果您先前已設定 Amazon Business 進行 SSO，您可以使用相同的應用程式。 不過，建議您在一開始測試整合時，建立個別的應用程式。 在此了解更多關於從應用程式庫新增應用程式。

步驟 4：定義布建範圍中的人員

Microsoft Entra 布建服務可讓您根據指派給應用程式，或根據使用者或群組的屬性來設定布建的人員範圍。 如果您選擇根據指派來設定布建至應用程式的人員範圍，您可以使用 步驟將使用者和群組指派給應用程式。 如果您選擇僅依據使用者或群組的屬性來設定布建範圍，則可以 使用範圍篩選。

  • 從小規模開始。 在推出給所有人之前，先使用一小部分的使用者和群組進行測試。 當佈建範圍設為已指派的使用者和群組時，您可將一或兩個使用者或群組指派給應用程式來控制這點。 當範圍設為所有使用者和群組時，您可指定以屬性為基礎的範圍篩選條件。

  • 如果您需要額外的角色，您可以 更新應用程式指令清單 以新增角色。

步驟 5：設定自動使用者佈建至 Amazon Business

本節將引導您逐步設定 Microsoft Entra 佈建服務，以根據 Microsoft Entra ID 中的使用者及/或群組指派，在 Amazon Business 中建立、更新和停用使用者及/或群組。

若要在 Microsoft Entra ID 中設定 Amazon Business 的自動使用者佈建：

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

  2. 導覽至 Entra ID>企業應用程式

    [企業應用程式] 功能窗格的螢幕擷取畫面。

  3. 在應用程式清單中，選取 [Amazon Business]。

    應用程式清單中 Amazon Business 連結的螢幕擷取畫面。

  4. 選取 設定 索引標籤。

    [佈建] 索引標籤的螢幕擷取畫面。

  5. 將 [佈建模式] 設定為 [自動]。

    配置標籤頁自動的螢幕擷取畫面。

  6. 在 [系統管理員認證] 區段下，輸入您的 Amazon Business 租用戶 URL、授權端點。 選取 [測試連線 ]，以確保Microsoft Entra ID 可以連線到 Amazon Business。 如果連線失敗，請確定您的 Amazon Business 帳戶具有系統管理員權限，然後再試一次。

    代幣的螢幕擷取畫面。

    針對 租使用者 URL 和 授權端點 值，請使用下表。

    國家/地區 租戶 URL 授權端點
    加拿大 https://na.business-api.amazon.com/scim/v2/ https://www.amazon.ca/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    德國 https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.de/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    西班牙 https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.es/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    法國 https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.fr/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    GB/UK https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.co.uk/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    印度 https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.in/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    義大利 https://eu.business-api.amazon.com/scim/v2/ https://www.amazon.it/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    日本 https://jp.business-api.amazon.com/scim/v2/ https://www.amazon.co.jp/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    墨西哥 https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com.mx/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
    美國 https://na.business-api.amazon.com/scim/v2/ https://www.amazon.com/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3

  7. 在 [通知電子郵件] 欄位中，輸入應該收到佈建錯誤通知的個人或群組電子郵件地址，然後選取 [發生失敗時傳送電子郵件通知] 核取方塊。

    通知電子郵件的螢幕擷取畫面。

  8. 選擇 [儲存]。

  9. 在 [對應] 區段中，選取 [將 Microsoft Entra 使用者同步至 Amazon Business]。

  10. 在 [屬性對應] 區段中，檢查從 Microsoft Entra ID 同步到 Amazon Business 的使用者屬性。 選取為 [比對] 屬性的屬性會用來比對 Amazon Business 中的使用者帳戶以進行更新作業。 如果您選擇變更 比對目標屬性，您必須確定 Amazon Business API 支援根據該屬性篩選使用者。 選取 [儲存] 按鈕以認可所有變更。

    屬性 類型 支援篩選 Amazon Business 的必要項目
    使用者名稱 字串 ✓ ✓
    啟動中 布林值
    emails[type eq "work"].value (電子郵件[類型等於"工作"].值) 字串
    名字.姓 字串
    名稱.姓 字串
    外部識別碼 字串
    角色 應用角色分配清單 [appRoleAssignments]

  11. 在 對應 區段下方，選取 同步 Microsoft Entra 群組到 Amazon Business。

  12. 在 [屬性對應] 區段中，檢閱從 Microsoft Entra ID 同步處理至 Amazon Business 的群組屬性。 選取為 [比對] 屬性的屬性會用來比對 Amazon Business 中的群組以進行更新作業。 選取 [儲存] 按鈕以認可所有變更。

    屬性 類型 支援篩選 Amazon Business 的必要項目
    顯示名稱 字串 ✓ ✓
    成員 參考

  13. 若要設定範圍篩選，請參閱 範圍篩選一文中提供的下列指示，。

  14. 若要啟用 Amazon Business Microsoft Entra 佈建服務，請將 [設定] 區段中的 [佈建狀態] 變更為 [開啟]。

    已切換至開啟狀態的佈建螢幕擷取畫面。

  15. 在 [設定] 區段中，選擇 [範圍] 中所需的值，以定義您想要佈建至 Amazon Business 的使用者及/或群組。

    佈建範圍的截圖。

  16. 當您準備好進行配置時，請選取 儲存。

    儲存佈建設定的螢幕擷取畫面。

此作業會對在 [設定] 區段的 [範圍] 中所定義所有使用者和群組啟動首次同步處理週期。 初始週期的執行時間比後續迴圈要長，只要 Microsoft Entra 佈建服務仍在執行，大約每 40 分鐘就會發生一次。

步驟 6：監視您的部署

設定佈建後，請使用下列資源來監視部署：

  1. 使用 佈建記錄 可以判斷使用者是否已順利完成佈建
  2. 檢查進度列來查看佈建週期的狀態，以及其接近完成的程度
  3. 如果佈建設定似乎處於狀況不良的狀態，則應用程式將會進入隔離狀態。 深入瞭解 應用程式的布建隔離狀態，請參閱文章 №。

功能限制

  • 在 Amazon Business 帳戶上建立扁平結構，也就是說，所有推送的群組都位於預設 SCIM 群組底下的相同層級。 不支援巢狀結構/階層。
  • Azure 和 Amazon Business 帳戶中的組名相同。
  • 在 Amazon Business Account 上建立新群組時，系統管理員必須視需要重新設定商務設定（例如，開啟購買、更新共用設定、新增引導式購買原則等等）。
  • 刪除舊群組或從 Amazon Business 中的舊群組移除使用者可能會導致喪失對該舊群組所下訂單可見性的問題，因此建議謹慎處理。
    • 不要刪除舊的群組/指派。
    • 關閉舊群組的購買功能。
  • 電子郵件/用戶名稱更新 - 目前不支援透過SCIM更新電子郵件和/或用戶名稱。
  • 密碼同步 - 不支援密碼同步處理。
  • SSO 需求 - 雖然 Amazon Business 應用程式允許在沒有 SSO 的情況下啟用 SCIM 布建，但布建的使用者需要 SSO 驗證才能存取 Amazon Business。
  • 多重法律實體 （MLE） 帳戶 - 我們目前不支援為 Amazon Business 帳戶中的多個法律實體啟用 SCIM。
  • 布建與 Amazon Business 中現有群組同名的群組時，這些群組會自動連結（Amazon Business 中會建立新的群組）。

疑難排解秘訣

  • 如果 Amazon Business 系統管理員只使用 SSO 登入或不知道其密碼，他們可以使用忘記密碼流程來重設其密碼，然後登入 Amazon Business。
  • 如果已將系統管理員和徵用者角色套用至群組中的客戶，指派財務或技術角色將不會產生 Amazon Business 端的更新。
  • 具有 MASE 帳戶 (多個帳戶相同電子郵件) 的客戶在刪除其中一個帳戶後，在佈建新使用者的短時間內 (24-48 小時)，可能會看到帳戶不存在的錯誤。
  • 客戶無法透過隨需供應模式即時移除。 佈建必須啟用，操作後 40 分鐘將開始移除。

更多資源

相關內容