SCIM-provisiointi Microsoft Entra ID:lle (Active Directory)

Yleiskatsaus

SCIM-provisiointi automatisoi käyttäjien ja ryhmien hallinnan Microsoft Entra ID:n ja ThingLinkin välillä.

SCIM-provisioinnin avulla Microsoft Entra ID voi luoda käyttäjiä ja poistaa niitä käytöstä, luoda ja poistaa ryhmiä sekä pitää ryhmäjäsenyydet ajan tasalla ThingLinkissä.

SCIM-provisiointi ei hallitse sitä, miten käyttäjät kirjautuvat. Käyttäjien tunnistautumisesta huolehtii erikseen Microsoft SSO, joka kannattaa määrittää ennen SCIM:n käyttöönottoa.

Sisällys:

• Miksi käyttää SCIM-provisiointia

• SCIM-provisioinnin käyttöönotto

• Miten provisiointi ja sen purkaminen toimivat

• Vianmääritys

• Rajoitukset & huomiot

Tällä hetkellä SCIM-provisiointi on käytettävissä vain Microsoft Entra ID:lle. Jos tarvitset SCIM-provisiointia toiselle identiteetintarjoajalle, ota yhteyttä tukeen tai ThingLink-asiakasvastaavaasi.

Miksi käyttää SCIM-provisiointia?

SCIM-provisioinnissa käyttäjien pääsyä hallitaan Entra ID:stä eikä manuaalisesti ThingLinkissä. Tämä vähentää tilien manuaalista hallintaa ja auttaa pitämään käyttöoikeudet ja ryhmäjäsenyydet ajan tasalla.

Jos hallitset käyttöoikeuksia Entra ID:n ryhmillä, voit myös käyttää provisioituja ThingLink-ryhmiä sisällön jakamiseen automaattisesti oikeille käyttäjille ja varmistaa, että oppijasi näkevät automaattisesti ryhmilleen osoitetun sisällön. Lisätietoja on tässä artikkelissa.

SCIM-provisioinnin käyttöönotto

Edellytykset

Varmista, että:

• Microsoft SSO on jo määritetty ThingLink-organisaatiollesi.

• sinulla on ylläpitäjätili ThingLinkissä.

• sinulla on Microsoft Entra ID -tili, jolla on oikeus hallita yrityssovelluksia.

Vaihe 1: Ota SCIM käyttöön ThingLinkissä

1. Siirry ThingLinkissä kohtaan Organisaatio > Integraatiot > SCIM-provisiointi.

2. Klikkaa Ota käyttöön ja määritä.

3. Kopioi Tenant URL ja Secret token. Tarvitset molempia Microsoft Entra ID:ssä.

Vaihe 2: Määritä provisiointi Microsoft Entra ID:ssä

Määritä uusi yrityssovellus

1. Siirry Microsoft Entra -hallintakeskuksessa kohtaan Enterprise applications.

2. Klikkaa New application.

3. Valitse Create your own application.

4. Valitse Integrate any other application you do not find in the gallery.

5. Anna sovellukselle nimi ja luo se.

Määritä provisiointi

1. Avaa sovellus ja siirry kohtaan Provisioning.

2. Luo uusi provisiointimääritys.

3. Aseta Authentication method -arvoksi Bearer authentication.

4. Kohdassa Tenant URL: liitä ThingLinkistä kopioimasi päätepisteen URL-osoite.

5. Kohdassa Secret token: liitä ThingLinkistä kopioimasi Secret token.

6. Klikkaa Test connection.

7. Jos yhteys toimii, klikkaa Create.

Tarkista provisioinnin määritykset

1. Kohdassa Attribute Mapping: avaa ryhmien määritys. Varmista, että Provision Microsoft Entra ID Groups on käytössä, ja säilytä oletusmääritys.

2. Kohdassa Attribute Mapping: avaa Provision Microsoft Entra ID Users

   1.  Säilytä vain seuraavat käyttäjäattribuutit:

      • userName

      • active

      • displayName

      • externalId

   2. Jätä muut asetukset ennalleen

   3. Varmista, että seuraavat kohdeobjektin toiminnot ovat käytössä:

      • Create

      • Update

      • Delete

Säädä provisioinnin laajuutta

Laajenna Provisioning -välilehdellä valikko Settings ja aseta Scope -arvoksi Sync only assigned users and groups.

Lopullisen määrityksen pitäisi näyttää tältä:

Määritä käyttäjät ja ryhmät

Kohdassa Users and groups: määritä käyttäjät ja ryhmät, jotka provisioidaan ThingLinkiin. 

Suosittelemme aloittamaan ensimmäisen synkronoinnin melko pienellä erällä.

Käynnistä provisiointi

1. Siirry kohtaan Yleiskatsaus

2. Klikkaa Käynnistä provisiointi käynnistääksesi ensimmäisen synkronoinnin.

3. Odota, kunnes ensimmäinen synkronointi on valmis, ja tarkista tulokset Yleiskatsaus-sivulla.

Miten provisiointi toimii

Käyttäjät

Tilin luominen

Kun käyttäjä määritetään sovellukseen Entra ID:ssä, ThingLink luo hänelle käyttäjätilin. Käyttäjä voi sen jälkeen kirjautua Microsoft SSO:lla.

Provisioidut tilit luodaan aina organisaatiosi alimmalla käyttöoikeustasolla: oppijana tai oppilaana organisaatiosi tyypin ja tilauksen mukaan. Eri roolien provisiointia ei tällä hetkellä tueta.

Tilin käytöstäpoisto

Jos käyttäjää ei enää ole määritetty sovellukseen suoraan tai ryhmän kautta, hänen ThingLink-tilinsä poistetaan käytöstä.

Tilejä ei poisteta kokonaan, jotta sisältöä tai tietoja ei menetetä. Jos haluat, että tilit poistetaan automaattisesti käytöstäpoiston jälkeen, harkitse tietojen säilytyskäytännön käyttöönottoa ThingLinkissä.

Ryhmät

ThingLink luo ryhmät määritetyille Entra ID -ryhmille ja pitää jäsenyydet ajan tasalla.

Jos ryhmän määritys poistetaan Entra ID:ssä, vastaava ThingLink-ryhmä poistetaan. Ryhmän kautta provisioidut käyttäjät poistetaan käytöstä, jos heitä ei ole määritetty sovellukseen muulla tavoin.

Olemassa olevat ThingLink-ryhmät yhdistetään nimen perusteella. Kun ThingLink-ryhmä on yhdistetty Entra ID -ryhmään, sitä hallitaan automaattisesti. Huomaa, että ryhmäjäsenyyksiä ei korvata: Entra ID:n kautta määritettyjen käyttäjien ryhmäjäsenyyttä hallitaan automaattisesti, mutta ryhmään manuaalisesti lisätyt käyttäjät, joita automaattinen provisiointi ei hallitse, pysyvät ryhmässä.

Vianmääritys

• Tarkista provisiointilokit Microsoft Entra ID:ssä. Löydät ne yrityssovelluksen kohdasta:
  Provisioning > Monitor > Provisioning logs

• Varaa aikaa sille, että provisioinnin muutokset tulevat näkyviin. Ensimmäisen synkronoinnin jälkeen Entra-provisiointi toimii toistuvina jaksoina eikä välittömästi. Voit tarkistaa provisiointivälin kohdasta Enterprise application you created > Provisioning > Overview > Provisioning details > Provisioning interval

• Jos kohtaat ongelmia, ota yhteyttä ThingLinkin tukitiimiin.

Rajoitukset ja huomiot

• Entra ID:ssä tehdyt muutokset eivät näy heti. Inkrementaaliset synkronoinnit suoritetaan yleensä noin 40 minuutin välein.

• Suuret synkronoinnit voivat kestää. Suosittelemme aluksi testaamaan alle 1 000 käyttäjällä.

• Varmista, että ThingLink-lisenssissäsi on riittävästi käyttäjäpaikkoja provisioitaville käyttäjille. Jos yrität provisioida enemmän käyttäjiä kuin lisenssisi sallii, ylimääräisiä tilejä ei luoda.

• Ryhmän määrittäminen ei koske sisäkkäisiä ryhmiä. Kun määrität ryhmän sovellukseen, pääsy on vain ryhmän suorilla jäsenillä.

• Jos käyttäjällä on jo itsenäinen ThingLink-tili, jota ei ole liitetty lisenssiisi, SCIM-provisiointi ei siirrä tiliä automaattisesti organisaatioosi. Käyttäjä on ensin lisättävä tai kutsuttava lisenssiisi manuaalisesti.