Sprawdzanie stanu aprowizacji użytkowników

Usługa aprowizacji firmy Microsoft uruchamia początkowy cykl aprowizacji względem systemu źródłowego i systemu docelowego, a następnie okresowe cykle przyrostowe. Podczas konfigurowania aprowizacji dla aplikacji możesz sprawdzić bieżący stan usługi aprowizacji i sprawdzić, kiedy użytkownik może uzyskać dostęp do aplikacji.

Zobacz pasek postępu konfigurowania

Na stronie Aprowizowanie dla aplikacji możesz wyświetlić stan usługi aprowizacji Microsoft Entra. Sekcja Bieżący stan w dolnej części strony pokazuje, czy cykl aprowizacji rozpoczął aprowizowanie kont użytkowników. Możesz obejrzeć postęp cyklu, zobaczyć, ilu użytkowników i grup zostało aprowiowanych, i zobaczyć, ile ról zostało utworzonych.

Podczas pierwszej konfiguracji automatycznej aprowizacji sekcja Bieżący stan w dolnej części strony pokazuje stan początkowego cyklu aprowizacji. Ta sekcja jest aktualizowana za każdym razem, gdy jest uruchamiany cykl przyrostowy. Poniżej przedstawiono następujące szczegóły:

• Typ cyklu aprowizacji (początkowy lub przyrostowy), który jest aktualnie uruchomiony lub został ostatnio ukończony.
• Pasek postępu przedstawiający procent ukończonego cyklu aprowizacji. Wartość procentowa odzwierciedla liczbę zaaprowizowanych stron. Każda strona może zawierać wielu użytkowników lub grupy, więc procentowy wskaźnik nie jest bezpośrednio powiązany z liczbą użytkowników, grup lub ról udostępnionych.
• Przycisk Odśwież , którego można użyć, aby zachować aktualizację widoku.
• Liczba użytkowników i grup w repozytorium danych łącznika. Liczba zwiększa się za każdym razem, gdy obiekt zostanie dodany do zakresu aprowizacji. Licznik nie maleje, gdy użytkownik jest usunięty nietrwale lub trwale, ponieważ operacja nie usuwa obiektu z magazynu danych łącznika. Liczba jest ponownie obliczana podczas pierwszej synchronizacji po zresetowaniu usługi CDS
• Link Wyświetl dzienniki aprowizacji, który otwiera dzienniki aprowizacji Microsoft Entra. Aby dowiedzieć się więcej o operacjach uruchamianych przez usługę aprowizacji użytkowników, w tym o stanie aprowizacji poszczególnych użytkowników, zobacz Używanie dzienników aprowizacji w dalszej części artykułu.

Po zakończeniu cyklu udostępniania, sekcja Statystyki do chwili obecnej pokazuje skumulowaną liczbę użytkowników i grup, które zostały udostępnione do tej pory, wraz z datą zakończenia oraz czasem trwania ostatniego cyklu. Identyfikator działania jednoznacznie identyfikuje najnowszy cykl aprowizacji. Identyfikator zadania (Job ID) jest unikatowym identyfikatorem dla zadania aprowizacji i jest specyficzny dla aplikacji w dzierżawie.

Postęp aprowizacji jest wyświetlany w centrum administracyjnym Microsoft Entra w Entra ID>aplikacje korporacyjne> [nazwa aplikacji] >Aprowizowanie.

Możesz również użyć Microsoft Graph do programowego monitorowania stanu udostępniania aplikacji. Aby uzyskać więcej informacji, zobacz Monitorowanie aprowizacji.

Sprawdzanie stanu aprowizacji użytkownika przy użyciu dzienników aprowizacji

Aby wyświetlić stan aprowizacji wybranego użytkownika, zapoznaj się z dziennikami aprowizacji w identyfikatorze Entra firmy Microsoft. Wszystkie operacje wykonywane przez usługę aprowizacji użytkowników są rejestrowane w dziennikach aprowizacji Microsoft Entra. Dzienniki obejmują operacje odczytu i zapisu wykonywane w systemach źródłowych i docelowych. Skojarzone dane użytkownika związane z operacjami odczytu i zapisu również są rejestrowane.

Aby uzyskać dostęp do dzienników aprowizacji w centrum administracyjnym Microsoft Entra, wybierz pozycję Entra ID>Enterprise apps>Dzienniki aprowizacji w sekcji Działanie. Dane aprowizacji można przeszukiwać na podstawie nazwy użytkownika lub identyfikatora w systemie źródłowym lub systemie docelowym. Aby uzyskać szczegółowe informacje, zobacz Dzienniki aprowizacji.

Dzienniki aprowizacji rejestrują wszystkie operacje wykonywane przez usługę aprowizacji, w tym:

• Wykonywanie zapytań dotyczących identyfikatora Entra firmy Microsoft dla przypisanych użytkowników, którzy mają zakres aprowizacji
• Wykonywanie zapytań do aplikacji docelowej o istnienie tych użytkowników
• Porównywanie obiektów użytkownika między systemem
• Dodawanie, aktualizowanie lub wyłączanie konta użytkownika w systemie docelowym na podstawie porównania

Aby uzyskać więcej informacji na temat sposobu odczytywania dzienników aprowizacji w centrum administracyjnym firmy Microsoft Entra, zobacz przewodnik po raportowaniu aprowizacji.

Jak długo potrwa zapewnienie użytkowników?

Czas potrzebny na skonfigurowanie użytkownika, grupy lub członkostwa w grupie może się różnić w zależności od kilku czynników.

• Im więcej użytkowników, grup i członkostw w grupach podlega aprowizacji, tym dłużej potrwa ukończenie zadania synchronizacji. Na przykład zadanie synchronizacji z 10 grupami, z których każdy ma 20 000 członków, potrwa dłużej niż zadanie synchronizacji z 1 grupą 20 000 członków.
• Jeśli zakres synchronizacji jest ustawiony na "synchronizuj wszystkich użytkowników i grupy", aparat synchronizacji oceni każdego użytkownika i każdą grupę w dzierżawie podczas cyklu początkowego. Dzięki temu aparat synchronizacji może określić, które obiekty znajdują się w zakresie. W związku z tym łączna liczba użytkowników, grup i członków grupy znajdujących się w systemie źródłowym (np. Microsoft Entra ID) ma wpływ na wydajność.
• Liczba zmian w systemie źródłowym wpływa na czas dostarczania aktualizacji podczas cyklu inkrementalnego. Zmiany dotyczące użytkowników lub grup, które nie mieszczą się w zakresie przydzielania zasobów (np. nowi użytkownicy utworzeni w dzierżawie lub zaktualizowane członkostwa w grupach), mogą wpływać na wydajność, ponieważ usługa będzie musiała ocenić zmianę i ją pominąć. Jest to szczególnie ważne, gdy zakres to "synchronizowanie wszystkich użytkowników i grup"
• Niektóre systemy docelowe implementują limity szybkości żądań i ograniczanie przepustowości, co może mieć wpływ na wydajność podczas dużych operacji synchronizacji. W tych warunkach aplikacja, która odbiera zbyt wiele żądań, może spowolnić szybkość odpowiedzi lub zamknąć połączenie. Aplikacje z galerii są skonfigurowane tak, aby przestrzegały limitów szybkości ustawionych przez dewelopera aplikacji bez konieczności akcji wymaganej przez administratora podczas konfigurowania aprowizacji.
• Zadania synchronizacji, dla których wszyscy użytkownicy są tworzone po raz pierwszy, zajmują około dwa razy więcej czasu, gdy zadania synchronizacji, dla których wszyscy użytkownicy są dopasowywani do istniejących użytkowników.
• Liczba niepowodzeń, które usługa aprowizacji musi ponowić w danym cyklu synchronizacji, ma wpływ na wydajność. Sprawdź pasek postępu i dzienniki udostępniania pod kątem błędów i koryguj je.
• Aprowizowanie zadań w trybie kwarantanny jest uruchamiane z obniżoną częstotliwością. Przejrzyj przyczynę kwarantanny i zaradz ją, aby przywrócić typową częstotliwość wykonywania.

Tylko w przypadku konfiguracji Synchronizacja przypisanych użytkowników i grup można użyć następujących formuł w celu określenia przybliżonych minimalnych i maksymalnych oczekiwanych czasów cyklu początkowego :

• Minimalna liczba minut = 0,01 x [liczba przypisanych użytkowników, grup i członków grupy]
• Maksymalna liczba minut = 0,08 x [liczba przypisanych użytkowników, grup i członków grupy]

Zalecenia dotyczące skrócenia czasu aprowizacji użytkownika i /lub grupy:

1. Ustaw zakres aprowizacji, aby synchronizować assigned users and groups, a nie sync all users and groups.
2. Zminimalizuj liczbę użytkowników i grup w zakresie aprowizacji.
3. Utwórz wiele zadań aprowizacji przeznaczonych dla tego samego systemu. W takim przypadku każde zadanie synchronizacji będzie działać niezależnie, skracając czas przetwarzania zmian. Upewnij się, że zakres użytkowników różni się między tymi zadaniami aprowizacji, aby uniknąć sytuacji, w której zmiany w jednym zadaniu wpływają na inne.
4. Dodaj filtry zakresu, aby dodatkowo ograniczyć liczbę użytkowników i grup objętych prowizjonowaniem. Jeśli wydajność stanie się problemem i próbujesz dostosowywać większość użytkowników i grup w dzierżawcy, użyj filtrów zakresu. Filtry określania zakresu umożliwiają precyzyjne dostrojenie danych wyodrębnianych przez usługę aprowizacji z identyfikatora Entra firmy Microsoft przez odfiltrowanie użytkowników na podstawie określonych wartości atrybutów. Aby uzyskać więcej informacji na temat filtrów określania zakresu, zobacz Aprowizacja aplikacji oparta na atrybutach z filtrami określania zakresu.

Audyt zmian w konfiguracji prowizjonowania

Zmiany konfiguracji aprowizacji są rejestrowane w rejestrach audytów. Użytkownicy z niezbędnymi uprawnieniami, takimi jak Administrator aplikacji i Czytelnik raportów, mogą uzyskiwać dostęp do dzienników za pośrednictwem interfejsu użytkownika dzienników inspekcji, interfejsu API i programu PowerShell. Możesz użyć filtru aktywności w dziennikach inspekcji, aby zidentyfikować następujące akcje.

Następne kroki

Automatyzacja udostępniania i wycofywania dostępu użytkowników do aplikacji SaaS przy użyciu Microsoft Entra ID