Microsoft Identity Manager-anslutningsprogram för Microsoft Graph

Sammanfattning

Microsoft Identity Manager-anslutningsappen för Microsoft Graph möjliggör ytterligare integreringsscenarier för Microsoft Entra ID P1- eller P2-kunder. Den visas i MIM-synkroniseringens metaversum ytterligare objekt som hämtats från Microsoft Graph API v1 och beta.

Scenarier som omfattas

Livscykelhantering för B2B-konto

Det första scenariot för Microsoft Identity Manager-anslutningsappen för Microsoft Graph är som en anslutningsapp för att automatisera livscykelhanteringen för AD DS-konton för externa användare. I det här scenariot synkroniserar en organisation anställda för att Microsoft Entra ID från AD DS med hjälp av Microsoft Entra Connect och har även bjudit in gäster till deras Microsoft Entra katalog. Att bjuda in en gäst resulterar i att ett externt användarobjekt finns i organisationens Microsoft Entra katalog, som inte finns i organisationens AD DS. Sedan vill organisationen ge dessa gäster åtkomst till lokal Windows-integrerad autentisering eller Kerberos-baserade program, via Microsoft Entra programproxy eller andra gatewaymekanismer. Den Microsoft Entra programproxyn kräver att varje användare har ett eget AD DS-konto i identifierings- och delegeringssyfte.

Om du vill lära dig hur du konfigurerar MIM-synkronisering för att automatiskt skapa och underhålla AD DS-konton för gäster fortsätter du att läsa i artikeln Microsoft Entra B2B-samarbete (business-to-business) med MIM 2016 och Microsoft Entra programproxy. Den här artikeln illustrerar de synkroniseringsregler som behövs för anslutningsappen.

Andra scenarier för identitetshantering

Anslutningsappen kan användas för andra specifika scenarier för identitetshantering som omfattar att skapa, läsa, uppdatera och ta bort användar-, grupp- och kontaktobjekt i Microsoft Entra ID, utöver användar- och gruppsynkronisering till Microsoft Entra ID. När du utvärderar potentiella scenarier bör du tänka på följande: Den här anslutningsappen kan inte användas i ett scenario, vilket skulle resultera i överlappande dataflöden, faktisk eller potentiell synkroniseringskonflikt med en Microsoft Entra Connect-distribution. Microsoft Entra Connect är den rekommenderade metoden för att integrera lokala kataloger med Microsoft Entra ID genom att synkronisera användare och grupper från lokala kataloger till Microsoft Entra ID. Microsoft Entra Connect har många fler synkroniseringsfunktioner och möjliggör scenarier som lösenord och tillbakaskrivning av enheter, vilket inte är möjligt för objekt som skapats av MIM. Om data till exempel tas med i AD DS ser du till att de undantas från Microsoft Entra Connect som försöker matcha objekten tillbaka till Microsoft Entra-katalogen. Den här anslutningsappen kan inte heller användas för att göra ändringar i Microsoft Entra objekt som skapades av Microsoft Entra Connect.

Förbereder användning av anslutningsappen för Microsoft Graph

Auktorisera anslutningsappen för att hämta eller hantera objekt i din Microsoft Entra katalog

1. Anslutningsappen kräver att en webbapp/API-app skapas i Microsoft Entra ID, så att den kan auktoriseras med lämpliga behörigheter för att fungera på Microsoft Entra objekt via Microsoft Graph.

   

   Bild 1. Ny programregistrering

2. Öppna det skapade programmet i Azure Portal och spara program-ID:t som ett klient-ID som ska användas senare på ma-anslutningssidan:

   

   Bild 2. Program-ID:t

3. Generera ny klienthemlighet genom att öppna certifikat & hemligheter. Ange en nyckelbeskrivning och välj den maximala varaktigheten. Spara ändringar och hämta klienthemligheten. Klienthemlighetsvärdet är inte tillgängligt att visa igen när du har lämnat sidan.

   

   Bild 3. Ny klienthemlighet

4. Bevilja rätt Microsoft Graph-behörigheter till programmet genom att öppna "API-behörigheter"

   Bild 4. Lägga till ett nytt API

   Välj Programbehörigheter för Microsoft Graph.

   Återkalla alla behörigheter som inte behövs.

   

   Följande behörighet bör läggas till i programmet så att den kan använda "Microsoft Graph API", beroende på scenariot:

   Åtgärd med objekt	Behörighet krävs	Behörighetstyp
   Schemaidentifiering	Application.Read.All	Program
   Importera grupp	Group.Read.All eller Group.ReadWrite.All	Program
   Importera användare	User.Read.All, User.ReadWrite.Alleller Directory.Read.AllDirectory.ReadWrite.All	Program

   Mer information om nödvändiga behörigheter finns i behörighetsreferensen.

5. Bevilja administratörsmedgivande för valda behörigheter.

Installera anslutningsappen

6. Innan du installerar anslutningsappen kontrollerar du att du har följande på synkroniseringsservern:

• Microsoft .NET 4.6.2 Framework eller senare
• Microsoft Identity Manager 2016 SP2 och måste använda snabbkorrigering 4.4.1642.0 KB4021562 eller senare.

7. Anslutningsappen för Microsoft Graph, förutom andra anslutningsappar för Microsoft Identity Manager 2016 SP2, är tillgänglig som en nedladdning från Microsoft Download Center.

8. Starta om MIM-synkroniseringstjänsten.

Konfiguration av anslutningsapp

9. I användargränssnittet för synkronisering Service Manager väljer du Anslutningsappar och Skapa. Välj Graph (Microsoft), skapa en anslutningsapp och ge den ett beskrivande namn.

10. I användargränssnittet för MIM-synkroniseringstjänsten anger du program-ID och genererad klienthemlighet. Varje hanteringsagent som konfigurerats i MIM Sync bör ha ett eget program i Microsoft Entra ID för att undvika att köra import parallellt för samma program.

Bild 5. Anslutningssida

Anslutningssidan (bild 5) innehåller den Graph API version som används och klientorganisationens namn. Klient-ID och klienthemlighet representerar program-ID och nyckelvärde för programmet som skapades tidigare i Microsoft Entra ID.

Anslutningsappen är som standard v1.0 och inloggnings- och grafslutpunkterna för den globala Microsoft Graph-tjänsten. Om din klientorganisation finns i ett nationellt moln måste du ändra konfigurationen för att använda slutpunkterna för det nationella molnet. Observera att vissa funktioner i Graph som finns i den globala tjänsten kanske inte är tillgängliga i alla nationella moln.

11. Gör nödvändiga ändringar på sidan Globala parametrar:

Bild 6. Sidan Globala parametrar

Sidan Globala parametrar innehåller följande inställningar:

• DateTime-format – format som används för alla attribut med typen Edm.DateTimeOffset. Alla datum konverteras till sträng med det formatet under importen. Ange format används för alla attribut, vilket sparar datum.

• HTTP-timeout (sekunder) – tidsgräns i sekunder som ska användas under varje HTTP-anrop till Graph.

• Framtvinga ändringslösenord för den skapade användaren vid nästa tecken – det här alternativet används för nya användare som skapas under exporten. Om alternativet är aktiverat anges egenskapen forceChangePasswordNextSignIn till true, annars är det falskt.

Konfigurera anslutningsprogrammets schema och åtgärder

12. Konfigurera schemat. Anslutningsappen stöder följande lista över objekttyper när den används med Graph v1.0-slutpunkten:

• Användare

  • Fullständig/deltaimport

  • Exportera (lägg till, uppdatera, ta bort)

• Group

  • Fullständig/deltaimport

  • Exportera (lägg till, uppdatera, ta bort)

Ytterligare objekttyper kan visas när du konfigurerar anslutningsappen så att den använder Graph Beta-slutpunkten.

Listan över attributtyper som stöds:

• Edm.Boolean

• Edm.String

• Edm.DateTimeOffset (sträng i kopplingsutrymme)

• microsoft.graph.directoryObject (referens i anslutningsplatsen till något av de objekt som stöds)

• microsoft.graph.contact

Flervärdesattribut (samling) stöds också för alla typer i listan ovan.

Anslutningsappen använder attributet "id" för fästpunkt och DN för alla objekt. Därför behövs inte namnbyte eftersom Graph API inte tillåter att ett objekt ändrar dess id attribut.

Livslängd för åtkomsttoken

Ett Graph-program kräver en åtkomsttoken för åtkomst till Graph API. En anslutningsapp begär en ny åtkomsttoken för varje importiteration (importiterationen beror på sidstorleken). Exempel:

• Microsoft Entra ID innehåller 10 000 objekt

• Sidstorleken som konfigurerats i anslutningsappen är 5 000

I det här fallet kommer det att finnas två iterationer under importen. Var och en av dem returnerar 5 000 objekt till Sync. Därför kommer en ny åtkomsttoken att begäras två gånger.

Under exporten begärs en ny åtkomsttoken för varje objekt som måste läggas till/uppdateras/tas bort.

Frågefilter

Graph API slutpunkter ger dig möjlighet att begränsa mängden objekt som returneras av GET-frågor genom att introducera $filter parameter.

Om du vill aktivera användning av frågefilter för att förbättra prestandacykeln för fullständig import aktiverar du kryssrutan Lägg till objektfilter på sidan Schema 1 för anslutningsegenskaper.

Därefter skriver du ett uttryck som ska användas för att filtrera användare, grupper, kontakter eller tjänstens huvudnamn på sidan Schema 2 .

På skärmbilden ovan är filtret startsWith(displayName,'J') inställt på skrivskyddade användare vars displayName-attributvärde börjar med "J".

Kontrollera att attributet som används i filteruttrycket är markerat i egenskaper för anslutningsappen.

Mer information om $filter användning av frågeparametrar finns i den här artikeln: Använda frågeparametrar för att anpassa svar.

Felsökning

Aktivera loggar

Om det finns några problem i Graph kan loggar användas för att lokalisera problemet. Det innebär att spårningar kan aktiveras på samma sätt som för allmänna anslutningsappar. Eller bara genom att lägga till följande i miiserver.exe.config (inuti system.diagnostics/sources avsnittet):

<source name="ConnectorsLog" switchValue="Verbose">
<listeners>
<add initializeData="ConnectorsLog"
type="System.Diagnostics.EventLogTraceListener, System, Version=4.0.0.0,
Culture=neutral, PublicKeyToken=b77a5c561934e089"
name="ConnectorsLogListener" traceOutputOptions="LogicalOperationStack,
DateTime, Timestamp, Callstack" />
<remove name="Default" />
</listeners>
</source>

Fel om att åtkomsttoken har upphört att gälla

Anslutningsappen kan returnera HTTP-fel 401 Obehörig, meddelandet "Åtkomsttoken har upphört att gälla":

Bild 7. "Åtkomsttoken har upphört att gälla." Fel

Orsaken till det här problemet kan vara konfigurationen av åtkomsttokens livslängd från Azure-sidan. Som standard upphör åtkomsttoken att gälla efter 1 timme. Information om hur du ökar förfallotiden finns i den här artikeln.

Exempel på detta med Azure AD version av den allmänt tillgängliga förhandsversionen av PowerShell-modulen

New-AzureADPolicy -Definition @('{"TokenLifetimePolicy":{"Version":1, "AccessTokenLifetime":"5:00:00"}}') -DisplayName "OrganizationDefaultPolicyScenario" -IsOrganizationDefault $true -Type "TokenLifetimePolicy"

Nästa steg

• Graph Explorer, perfekt för felsökning av PROBLEM med HTTP-anrop
• Principer för versionshantering, support och icke-bakåtkompatibla ändringar för Microsoft Graph
• Nationella molndistributioner av Microsoft Graph
• Ladda ned Microsoft Identity Manager-anslutningsappen för Microsoft GraphMIM B2B slutpunkt till slutpunkt-distribution