Conceitos de provisionamento de entrada orientados por API

Este documento fornece uma visão geral conceitual do provisionamento de usuário de entrada orientado pela API do Microsoft Entra.

Introduction

Hoje em dia, as empresas dispõem de vários sistemas de registo autorizados. Para estabelecer o ciclo de vida de identidade de ponta a ponta, fortalecer a postura de segurança e permanecer em conformidade com as regulamentações, os dados de identidade no Microsoft Entra ID devem ser mantidos em sincronia com os dados da força de trabalho gerenciados nesses sistemas de registro. O sistema de registro pode ser um aplicativo de RH, um aplicativo de folha de pagamento, uma planilha ou tabelas SQL em um banco de dados hospedado no local ou na nuvem.

With API-driven inbound provisioning, the Microsoft Entra provisioning service now supports integration with any system of record. Customers and partners can use any automation tool of their choice to retrieve workforce data from the system of record and ingest it into Microsoft Entra ID. O administrador de TI tem controle total sobre como os dados são processados e transformados com mapeamentos de atributos. Once the workforce data is available in Microsoft Entra ID, the IT admin can configure appropriate joiner-mover-leaver business processes using Lifecycle Workflows.

Supported scenarios

Vários cenários de provisionamento de usuário de entrada são habilitados usando o provisionamento de entrada controlado por API. Este diagrama demonstra os cenários mais comuns.

Cenário 1: Permitir que as equipes de TI importem extrações de dados de RH usando qualquer ferramenta de automação

Arquivos simples, arquivos CSV e tabelas de preparo SQL são comumente usados em cenários de integração empresarial. As informações de funcionários, contratantes e fornecedores são exportadas periodicamente para um desses formatos e uma ferramenta de automação é usada para sincronizar esses dados com diretórios de identidade corporativa. Com o provisionamento de entrada orientado por API, as equipes de TI podem usar qualquer ferramenta de automação de sua escolha (por exemplo: scripts do PowerShell ou Aplicativos Lógicos do Azure) para modernizar e simplificar essa integração.

Cenário 2: Habilitar ISVs para criar integração direta com o Microsoft Entra ID

Com o provisionamento de entrada orientado por API, os ISVs de RH podem enviar experiências de sincronização nativas para que as alterações no sistema de RH fluam automaticamente para o ID do Microsoft Entra e para domínios do Ative Directory locais conectados. Por exemplo, um aplicativo de RH ou um aplicativo de sistemas de informações para estudantes pode enviar dados para o Microsoft Entra ID assim que uma transação for concluída ou como atualização em massa no final do dia.

Cenário 3: Permitir que os integradores de sistemas criem mais conectores para sistemas de registro

Os parceiros podem criar conectores de RH personalizados para atender a diferentes requisitos de integração em torno do fluxo de dados de sistemas de registro para o Microsoft Entra ID.

Em todos os cenários acima, a integração é simplificada à medida que o serviço de provisionamento do Microsoft Entra assume a responsabilidade de executar a comparação de perfil de identidade, restringir a sincronização de dados à lógica de escopo configurada pelo administrador de TI e executar o fluxo de atributos baseado em regras e a transformação gerenciada no centro de administração do Microsoft Entra.

End-to-end flow

Etapas do fluxo de trabalho

1. O administrador de TI configura um aplicativo de provisionamento de usuário de entrada orientado por API na galeria do Microsoft Entra Enterprise App.
2. O administrador de TI concede permissões de acesso e fornece detalhes de acesso ao endpoint para o desenvolvedor/parceiro/integrador de sistemas da API.
3. O desenvolvedor/parceiro/integrador de sistema da API cria um cliente de API para enviar dados de identidade autoritativos para o ID do Microsoft Entra.
4. O cliente de API lê dados de identidade da fonte autorizada.
5. The API client sends a POST request to provisioning /bulkUpload API endpoint associated with the provisioning app.

   Note

   O cliente de API não precisa realizar comparações entre os atributos de origem e os valores de atributo de destino para determinar qual operação (criar/atualizar/habilitar/desabilitar) invocar. Isso é tratado automaticamente pelo serviço de provisionamento. O cliente de API simplesmente carrega os dados de identidade lidos do sistema de origem, empacotando-os como solicitação em massa usando construções de esquema SCIM.

6. Se for bem-sucedido, um Accepted 202 Status será retornado.
7. O serviço de provisionamento do Microsoft Entra processa os dados recebidos, aplica as regras de mapeamento de atributos e conclui o provisionamento do usuário.
8. Dependendo do aplicativo de provisionamento configurado, o usuário é provisionado no Ative Directory local (para usuários híbridos) ou no Microsoft Entra ID (para usuários somente na nuvem).
9. Em seguida, o Cliente de API consulta o ponto de extremidade da API de logs de provisionamento para obter o status de cada registro enviado.
10. Se o processamento de qualquer registro falhar, o cliente de API poderá verificar os detalhes do erro e incluir registros correspondentes às operações com falha na próxima solicitação em massa (etapa 5).
11. A qualquer momento, o administrador de TI pode verificar o status do trabalho de provisionamento e exibir eventos nos logs de provisionamento.

Principais recursos do provisionamento de usuário de entrada orientado por API

• Available as a provisioning app that exposes an asynchronous Microsoft Graph provisioning /bulkUpload API endpoint accessed using valid OAuth token.
• Os administradores de locatários devem conceder aos clientes de API que interagem com esse aplicativo de provisionamento as permissões SynchronizationData-User.UploadGraph , SynchronizationData-User.Upload.OwnedBy (para ISVs) e ProvisioningLog.Read.All.
• O ponto de extremidade da API do Graph aceita cargas úteis de solicitação em massa válidas usando construções de esquema SCIM.
• Com as extensões de esquema SCIM, você pode enviar qualquer atributo na carga útil de solicitação em massa.
• O /bulkUpload ponto de extremidade da API impõe os seguintes limites de limitação:
  • Há um limite de 40 chamadas de API em qualquer janela de 5 segundos. Se esse limite for excedido, o serviço retornará uma resposta HTTP 429 (muitas solicitações). Para evitar a limitação, implemente a lógica de ritmo no cliente para espaçar as solicitações, como adicionar atrasos ou manipulação de limite de taxa entre envios.
  • Há um limite de nível de locatário de 2.000 chamadas de API por período de 24 horas sob a licença Entra ID P1/P2 e 6.000 chamadas de API sob a licença Entra ID Governance. Exceder esses limites resulta em uma resposta HTTP 429 (muitas solicitações). Para permanecer dentro da cota, certifique-se de que suas cargas úteis em massa SCIM sejam otimizadas para incluir até 50 operações por chamada de API.
• Cada ponto de extremidade da API está associado a um aplicativo de provisionamento específico na ID do Microsoft Entra. Você pode integrar várias fontes de dados criando um aplicativo de provisionamento para cada fonte de dados.
• As cargas úteis recebidas em massa são processadas quase em tempo real.
• Admins can check provisioning progress by viewing the provisioning logs.
• Os clientes de API podem acompanhar o progresso consultando a API de logs de provisionamento.

License requirements

Este recurso está disponível com as licenças Microsoft Entra ID P1, P2 e Microsoft Entra ID Governance. Para encontrar a licença certa para seus requisitos, consulte Fundamentos de licenciamento do Microsoft Entra ID Governance.

Diretrizes de uso da API

O /bulkUpload ponto de extremidade da API expande o número de maneiras que você pode gerenciar usuários no Microsoft Entra ID. Para ajudá-lo a determinar se o ponto de extremidade da /bulkUpload API é adequado para o seu cenário de integração, consulte esta tabela que o compara com outras opções de integração baseadas em API.

Percurso de aprendizagem recomendado

Recursos de aprendizagem externos

O conteúdo a seguir, criado por nossos parceiros e MVPs da Microsoft, oferece orientação extra sobre como implantar e configurar o provisionamento controlado por API para vários cenários de integração.

• Video tutorials

  • John Savill explica como funciona o provisionamento orientado por API
  • Nick Ross, MVP da Microsoft, explica como configurar o provisionamento controlado por API
  • Nick Ross, MVP da Microsoft, explica como obter dados de RH de um arquivo do Excel no SharePoint usando o Power Automate e o provisionamento orientado por API
  • Série de 4 partes do parceiro Microsoft IdentityXP sobre provisionamento controlado por API

• Entradas de blogue, apresentações e outras ligações úteis

  • Artigo do Microsoft MVP Pim Jacob explicando como executar o provisionamento orientado por API do Bamboo HR para o Ative Directory local
  • Apresentação do Microsoft MVP Pim Jacob sobre como configurar o processo de marceneiro e leaver usando provisionamento orientado por API e fluxos de trabalho de ciclo de vida
  • Artigo do Microsoft MVP Marius Solbakken explicando como originar dados do Excel usando script do PowerShell e provisionamento controlado por API
  • Artigo de Suryendu Bhattacharyya sobre como invocar o provisionamento de condução de API usando a ação personalizada do GitHub
  • Modelo Bicep do Microsoft MVP jan Vidar Elven para provisionamento controlado por API

Next steps

• Configurar aplicativo de provisionamento de entrada controlado por API
• Perguntas frequentes sobre o provisionamento de entrada orientado por API