При удалении пользователя из приложения PowerDMARC в Microsoft Entra ID механизм SCIM должен деактивировать этого пользователя и в PowerDMARC. В данной статье описано, как настроить сопоставление атрибутов , чтобы пользователи, которые были отвязаны от приложения или удалены в Entra ID, деактивировались (подвергались «мягкому удалению») в PowerDMARC.
Почему это важно: без такого сопоставления пользователи, которых вы удаляете из Entra ID, могут оставаться активными в PowerDMARC и сохранять доступ к вашей учетной записи.
Прежде чем начать
- Между Microsoft Entra ID и PowerDMARC уже должна быть настроена синхронизация SCIM. Если это не так, следуйте инструкциям из руководство по настройке SCIM для Microsoft Entra ID .
- В системе Entra ID вам потребуется роль, позволяющая редактировать настройки развертывания корпоративных приложений, например «Администратор приложений » или «Администратор облачных приложений».
Как происходит отмена прав доступа
| Действия в Microsoft Entra ID | Результат в PowerDMARC |
|---|---|
| Пользователь отвязан от приложения PowerDMARC | Пользователь деактивирован (удален с возможностью восстановления) |
| Пользователь удален в Entra ID | Пользователь деактивирован (удален с возможностью восстановления) |
| Пользователь вновь привязан к приложению | Пользователь восстановлен |
Изменения вступают в силу в следующем цикле настройки, который обычно запускается каждые 40 минут. Чтобы применить изменение немедленно, воспользуйтесь функцией «Настройка по запросу» (см. Проверка конфигурации)».
Настройка активного сопоставления
- Откройте приложение
. В центре администрирования Microsoft Entra перейдите в раздел «Приложения» > «Корпоративные приложения» > «Все приложения» и выберите свое приложение PowerDMARC. - Откройте настройки сопоставления атрибутов пользователей
. Перейдите в раздел «Provisioning» > «Attribute mapping», затем выберите «Provision Microsoft Entra ID Users». - Изменить или добавить активное сопоставление
- Если «active» уже указан в атрибуте «customappsso», нажмите кнопку «Изменить» рядом с ним.
- Если нет, нажмите «Добавить новое сопоставление».
- Введите следующие настройки
Поле Значение Тип карты Выражение Выражение Не([IsSoftDeleted]) Значение по умолчанию, если значение равно null Оставить пустым Атрибут «Target» активная Сопоставить объекты по этому атрибуту Нет Применить это сопоставление Всегда - Сохраните изменения: «
». Нажмите «ОК», а затем нажмите «Сохранить» в верхней части страницы «Сопоставление атрибутов ».
| ПРЕДУПРЕЖДЕНИЕ | Каждый целевой атрибут может иметь только одно сопоставление. Если в данный момент атрибут «active» сопоставлен атрибуту «accountEnabled», отредактируйте это сопоставление и замените его. Не добавляйте второе сопоставление. |
|---|
Ваше окончательное сопоставление атрибутов пользователей должно выглядеть следующим образом:
| Атрибут customappsso | Атрибут Microsoft Entra ID | Соответствие приоритетов |
|---|---|---|
| userName | почта | 1 |
| активная | Не([IsSoftDeleted]) | |
| displayName | displayName | |
| тип пользователя | SingleAppRoleAssignment([appRoleAssignments]) |
Проверьте настройки
Прежде чем применять эту схему для всей организации, протестируйте её с участием одного пользователя.
- Назначьте тестового пользователя для приложения PowerDMARC в Entra ID.
- Перейдите в раздел «Провижининг» > «Провижининг по запросу», найдите тестового пользователя и нажмите «Провижининг».
- Убедитесь, что пользователь отображается как активный в PowerDMARC в разделе «Настройки» > «Пользователи».
- В Entra ID удалите тестового пользователя из приложения в разделе «Пользователи и группы».
- Снова запустите функцию «Provision on demand» для тестового пользователя.
- Убедитесь, что пользователь теперь деактивирован в PowerDMARC.
Что нужно иметь в виду
| ПРИМЕЧАНИЕ | Отключение возможности входа пользователя в Entra ID при том, что он по-прежнему назначен приложению, не приводит к его деактивации в PowerDMARC. Чтобы деактивировать пользователя, снимите с него назначение в приложении или удалите его в Entra ID. |
|---|
| ПРИМЕЧАНИЕ | Деактивированные пользователи удаляются временно, а не окончательно. Если вы вновь присвоите пользователю доступ к приложению, он будет повторно активирован в следующем цикле предоставления прав доступа. |
|---|
Похожие статьи
- Руководство по настройке SCIM для Microsoft Entra ID
- Сопоставление групп доменов SCIM: Azure Entra ID
Для получения дополнительной помощи посетите сайт support.powerdmarc.com или обратитесь к вашему менеджеру по работе с клиентами PowerDMARC.
Перед публикацией необходимо ещё проверить два оператора NOTE в этой статье:
- Отключение возможности входа для пользователя не приводит к его деактивации. По-моему, именно так и работает функция Not([IsSoftDeleted]), но никто это не проверял. Если в ходе быстрого тестирования выяснится, что отключение всё-таки приводит к деактивации пользователя, удалите эту заметку.
- Переназначение пользователя приводит к его повторной активации. Это стандартное поведение SCIM, но Джереми проверил только деактивацию. Для уверенности давайте проведем с нашей стороны быстрое тестирование переназначения.
Отключение пользователей, удаленных из Entra ID
Активное сопоставление, описанное в данном руководстве (accountEnabled), деактивирует пользователей в PowerDMARC, когда их учетная запись отключена в Microsoft Entra ID. Оно не деактивирует пользователей, которые не назначены приложению или удалены в Entra ID.
Если вы удаляете пользователей из приложения или удаляете их учетные записи, ознакомьтесь со статьей «Отключение доступа по протоколу SCIM с помощью Microsoft Entra ID: автоматическая деактивация удаленных пользователей».
| ПРИМЕЧАНИЕ | Каждый целевой атрибут может иметь только одно сопоставление. Выберите активное сопоставление, которое соответствует процедуре выхода пользователей из вашей организации. |
|---|
Внесены изменения в новую статью, чтобы эти две статьи читались как единое целое
- Вводный абзац. Добавьте следующее предложение в качестве второго: «Это заменяет сопоставление accountEnabled, описанное в Руководстве по настройке SCIM для Microsoft Entra ID, которое деактивирует только тех пользователей, чья учетная запись отключена».
- Сохраните ПРЕДУПРЕЖДЕНИЕ о замене сопоставления accountEnabled. Теперь это ключевой момент, поскольку у всех, кто перешел по ссылке из исходного руководства, это сопоставление уже будет.
- Измените первое ПРИМЕЧАНИЕ на следующее: «При данном сопоставлении отключение входа пользователя в Entra ID при том, что он по-прежнему назначен приложению, не приводит к его деактивации в PowerDMARC. Если вам требуется такое поведение, используйте сопоставление accountEnabled из Руководство по настройке SCIM ».
Сначала опубликуйте новую статью, чтобы у вас была ссылка на неё, а затем добавьте блок в исходную статью. Исправления опечаток в исходном руководстве и тип пользователя Изменение «Только при создании объекта», внесённое в предыдущую версию Google Doc, по-прежнему действует. Только активная Раздел «Картография» остаётся без изменений.