AutoProvisioning Utenti con Microsoft Entra SCIM

Guida su come attivare l'auto provisioning per il tuo ecosistema Microsoft e Skillsincloud così da poter creare/aggiornare/disattivare automaticamente i tuoi utenti in SkillsInCloud da Microsoft Entra ID via SCIM.

Step 1: Ottenere chiavi necessarie da SkillsInCloud

- Ottenere l'URL SCIM base: es. `https://<tua-istanza>/scim/v2` (esempio: demo.skillsincloud.com/scim/v2).
- Token SCIM: genera un token “Bearer” dall’area "Personalizza > Impostazioni" di SkillsInCloud.

Step 2: Creare un "enterprise app" nel tuo Microsoft Entra

1. Vai a Microsoft Entra admin center > Apri nel menù a tendina a sinistra la voce "Entra ID" > Seleziona la voce "Enterprise applications"
2. Clicca crea "New Application" > e subito dopo "Create your own application", dove ti chiederanno il nome dell'app + selezionare cosa intendi cosa fare con la tua app, seleziona "Integrate any other application you don't find in the gallery (Non-gallery)"
3. Infine clicca "crea" e hai creato la tua enterprise app che si connetterà con Skillsincloud!

Step 3: Attivare il provisioning nella tua nuova enterprise app

1. Dopo aver creato l'app dovresti già essere dentro ad essa, se non fosse così aprila cliccando sul suo nome nella lista delle tue enterprise apps in Entra
2. Una volta nella pagina overview dell'app cerca nel menu a sinistra una voce “Provisioning”

3. Una volta in questa pagina cliccate su "Connect your application", come vedete nello screenshot qui sotto:

   

4. Verrà caricata questa pagina dove dovrete inserire tutti i dati che abbiamo raccolto prima dalla piattaforma Skillsincloud e cliccare su "Test Connection", se avete fatto tutto correttamente vi apparrirà un messaggio di conferma come nello screenshot sottostante

   

5. Una volta confermati i dati e la connessione all'app cliccate "Create"

Step 4: Impostare il mapping dei dati 

1. Prima di attivare il provisioning dobbiamo cambiare delle impostazioni di default impostate nel mapping del provisioning, come prima cosa nel menu a sinistra selezionare "Attribute mapping"
2. Una volta in questa pagina cliccare sopra "Provision Microsoft Entra ID Users"
3. Come prima cosa clicca il pulsante edit nella barra del "customappsso Attribute" equivalente a 'userName' ed una volta all'interno della sua pagina impostare "Matching precedence" al numero seguente: 2 (molto probabilmente non vi lascierà cancellare il numero 1 per poi metter il 2 quindi aggiungete il 2 e poi eliminate l'1)
4. Dopo aver cliccato ok per applicare questi cambiamenti, saremo reindirizzati alla lista di tutti gli attributi, rimaniamo in questa pagina senza salvare ancora nulla ed editiamo il mapping nominato: 'externalId'. Individua la riga con il attribute 'externalId' e clicca su edit.
5. In questa pagina modifica "source attribute" e impostalo su "objectId" ed abilita “Match objects using this attribute” cosi che puoi impostare il valore subito sotto nominato "Matching precedence" ad un numero: 1
6. Ora, dopo aver cliccato ok sull'ultimo edit possiamo salvare tutti i cambiamenti che abbiamo fatto e dovrebbe salvarsi tutto correttamente

Step 5: Avvio AutoProvisioning 

Tornando alla pagina overview del provisioning della tua enterprise app che hai creato dovresti vedere un pulsante chiamato "Start provisioning", una volta confermato avrai finito la tua implementazione.

Considerazioni

Frequenza di sincronizzazione

Gli utenti dovrebbero iniziare ad apparire nella pagina “Utenti”. Le sincronizzazioni successive vengono attivate ogni 40 minuti.

Utenti disabilitati

Se un utente era membro di un gruppo inviato alla piattaforma ma poi è stato rimosso da quel gruppo, durante la sincronizzazione successiva verrà impostato sul “Ruolo predefinito (per utenti SCIM senza gruppi)” impostato nella pagina impostazioni SCIM. Nella selezione del ruolo predefinito c'è anche la possibilità di disabilitare l'utente in caso non sia in nessun gruppo e la piattaforma lo rileverà e disabiliterà l'utente.

Blocco ruolo

Per bloccare gli utenti in un ruolo nella piattaforma (ad esempio, quelli che dovrebbero essere amministratori), è necessario inserire il ruolo desiderato per gli utenti di un specifico gruppo nella pagina impostazioni SCIM. Questo blocca l'utente nel ruolo di accesso del gruppo.

Consigli sulla sicurezza e limiti provisioning

• Alcune accademy non supportano ancora provisioning di gruppi; in quel caso limita alle persone/utenti singoli.
• Tieni il token SCIM segreto; ruotalo periodicamente (aggiorna ogni volta che lo fai anche Entra).

• Limita “Scope” agli utenti necessari.