Azure AD:n määrittäminen integrointia varten

Tässä oppaassa kuvataan, miten Microsoft Azure Active Directory (AD) valmistellaan eAdm tai eFeide varten. Prosessiin kuuluu sovelluksen rekisteröinnin luominen ja sen jälkeen tarvittavien käyttöoikeuksien määrittäminen.

Voit huoletta jättää huomiotta edistynyttä konfigurointia koskevan osion, ellei Identum ole erikseen ohjeistanut sinua.

Osa 1: Luo Azure AD -sovelluksen rekisteröinti

1. Kirjaudu sisään Azure-portaaliin järjestelmänvalvojan tilillä.

2. Siirry Azure Active Directoryyn.

3. Valitse vasemmanpuoleisesta valikosta Sovellusrekisteröinnit ja valitse sitten + Uusi rekisteröinti.

4. Määritä seuraavat asetukset "Rekisteröi sovellus" -sivulla:

   • Nimi: Anna sovellukselle kuvaava nimi. Esimerkiksi: Identum eAdm Käyttäjien ja ryhmien hallinta.

   • Tuetut tilityypit: Valitse Accounts in this organizational directory only (Single tenant).

   • Ohjaa URI uudelleen: Jätä tämä kenttä tyhjäksi.

5. Luo sovellus valitsemalla Rekisteröi.

6. Kun sovellus on luotu, kopioi sovelluksen (asiakkaan) tunnus ja hakemiston (vuokralaisen) tunnus sovelluksen "Yleiskatsaus"-sivulta. Tallenna nämä arvot myöhempää käyttöä varten.

Varoitus: Älä käytä sovelluksen nimessä vinoviivaa (/), sillä se voi aiheuttaa ongelmia Azure AD:ssä.

Osa 2: API-oikeuksien määrittäminen

Seuraavaksi sovellukselle on annettava tarvittavat API-oikeudet käyttäjien ja ryhmien hallintaan.

1. Siirry uuden sovelluksen rekisteröinnissä vasemmanpuoleisessa valikossa kohtaan API-oikeudet.

2. Napsauta + Lisää käyttöoikeus.

3. Valitse Microsoft Graph.

4. Valitse Sovelluksen käyttöoikeudet.

5. Lisää seuraavat oikeudet:

   • Directory.Read.All

   • Directory.ReadWrite.All

   • Group.Create

   • Group.Read.All

   • Group.ReadWrite.All

   • GroupMember.ReadWrite.All

   • User.Read.All

   • User.ReadWrite.All

   • Käyttäjä.EnableDisableAccount.All

6. Lisää myös seuraavat käyttöoikeudet, jos ne ovat merkityksellisiä erityistarpeidesi kannalta:

   • AuditLog.Read.All: Tarvitaan, jos haluat synkronoida lastLogonTimeStamp attribuutti eAdm.

   • UserAuthenticationMethod.ReadWrite.All Käyttäjätunnistusmenetelmä.ReadWrite.All: Tarvitaan, jos eAdm hallinnoi käyttäjien MFA-menetelmiä.

   • Team.Create: Tarvitaan, jos eAdm luo uusia tiimejä.

   • Team.ReadBasic.All: Tarvitaan, jos eAdm lukee ryhmän perustiedot.

   • Teamwork.Migrate.All: Vaaditaan tietyissä siirtymisskenaarioissa.

   • TeamTemplates.ReadAll: Vaaditaan, jos eAdm käyttää tiimipohjia.

7. Kun olet lisännyt käyttöoikeudet, valitse Lisää käyttöoikeudet.

8. Napsauta API-oikeudet-näytössä Grant admin consent for [Your Tenant Name] (Anna ylläpitäjän suostumus [vuokralaisen nimi] ) ja vahvista pyydettäessä.

Huomautus: Lihavoidut käyttöoikeudet ovat pakollisia perusintegroinnissa. Muut vaaditaan tiettyjä yleisiä skenaarioita varten.

Osa 3: Luo asiakassalaisuus

Asiakassalaisuus on salasana, jota sovellus käyttää tunnistautuakseen.

1. Siirry vasemmanpuoleisessa valikossa kohtaan Varmenteet ja salaisuudet.

2. Napsauta + Uusi asiakassalaisuus.

3. Kirjoita salaisuuden kuvaus ja aseta voimassaoloajaksi 24 kuukautta.

4. Napsauta Lisää.

5. Kopioi välittömästi uuden asiakassalaisuuden arvo Arvo-kentästä.

Varoitus: Asiakassalaisuuden arvo näytetään kokonaisuudessaan vain heti luomisen jälkeen. Jos et kopioi sitä nyt, sinun on luotava uusi. Säilytä tämä arvo turvallisesti.

Huomautus: Jos Privileged Identity Management (PIM) on aktiivinen ympäristössäsi, et ehkä voi asettaa kiinteää voimassaolon päättymispäivää.

Osa 4: Määritä järjestelmänvalvojan rooli

Jotta sovellus voi suorittaa arkaluonteisia toimintoja, kuten salasanojen muuttamista tai käyttäjien puhelinnumeroiden päivittämistä, se tarvitsee järjestelmänvalvojan roolin.

1. Siirry Azure-portaalissa kohtaan Azure Active Directory.

2. Valitse Roolit ja ylläpitäjät.

3. Etsi ja valitse User Administrator -rooli.

4. Napsauta Lisää toimeksiantoja.

5. Etsi ja valitse aiemmin luomasi sovellus (esim, Identum eAdm Käyttäjien ja ryhmien hallinta).

6. Aseta seuraavassa näytössä Määritystyypiksi Aktiivinen ja anna perustelu, kuten "Tarvitaan eFeide varten käyttäjien salasanojen hallintaan".

7. Suorita roolin määritys loppuun napsauttamalla Assign (Määritä ).

Huomautus: Jos käytät rooliin määritettäviä ryhmiä eFeide tai eAdm hallinnoimille käyttäjille, sovellus vaatii sen sijaan Privileged Authentication Administrator -roolin. Katso: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions

Osa 5: Lähetä tiedot Identumille

Kun konfigurointi on valmis, sinun on lähetettävä Identumille seuraavat tiedot, jotta asennus voidaan viimeistellä:

• Vuokralaisen nimi (esim, yourcompany.onmicrosoft.com)

• Hakemiston (vuokralaisen) tunnus

• Sovelluksen (asiakkaan) tunnus

• Asiakassalaisuus

Varoitus: Lähetä asiakassalaisuus turvallisuussyistä erillään muista tiedoista (esim. tekstiviestillä tai muulla suojatulla kanavalla).

Edistynyt konfigurointi

Varoitus: Älä suorita seuraavia vaiheita, ellei Identum ole nimenomaisesti ohjeistanut sinua tekemään niin tai jos et ole asiantuntija.

Käyttöoikeuksien määrittäminen Exchange Online -palvelussa

Näitä oikeuksia tarvitaan vain, jos eAdm tai eFeide hallinnoi suoraan Exchange Online -ominaisuuksia, kuten jakeluryhmiä tai sähköpostin suojausryhmiä.

1. Siirry sovelluksen rekisteröinnissä kohtaan API-oikeudet ja napsauta + Lisää oikeus.

2. Siirry Organisaationi käyttämät sovellusrajapinnat-välilehdelle.

3. Etsi "Office" ja valitse Office 365 Exchange Online.

4. Valitse Sovelluksen käyttöoikeudet.

5. Valitse Exchange.ManageAsApp lupa ja klikkaa Lisää käyttöoikeuksia.

6. Myönnä ylläpitäjän suostumus uudelle luvalle.

7. Määritä sovellukselle Exchange Recipient Administrator -rooli Azure AD:n Roles and administrators -paneelin kautta. Näin se voi hallita Exchange-objekteja.

Varmenteeseen perustuva todennus

Tämä vaihe on tarpeen vain, jos Identumin on ajettava mukautettuja skriptejä Exchange Online- tai Azure AD -ympäristössäsi. Tätä käytetään yleensä edistyneissä integraatioissa, ja siitä sovitaan suoraan kanssasi.

1. Luodaan itse allekirjoitettu varmenne. Saat ohjeet, miten tämä tehdään.

2. Siirry hakemuksen rekisteröinnissä kohtaan Varmenteet ja salaisuudet.

3. Valitse Varmenteet-välilehti ja valitse Lataa varmenne.

4. Lataa julkisen avaimen tiedosto (.cer, .pem, tai .crt), jotka on toimitettu sinulle.

Liite: Tarvittavien lupien tarkastelu

Seuraavassa taulukossa on lueteltu Microsoft Graph API -oikeudet ja syy, miksi niitä tarvitaan.