Провизионинг SCIM с Entra ID (бывший Azure)

Эта статья объясняет, как использовать приложение Azure SCIM для автоматической синхронизации информации о пользователях и группах и предоставления пользователей и групп из Entra ID в ваш аккаунт Cato.

Поддерживаемые возможности

• Создавайте и отключайте пользователей в Приложении Управления Cato

• Синхронизируйте пользователей и атрибуты из Azure AD в Приложении Управления Cato

• Единый вход (SSO) в Azure

• Пользователи могут аутентифицироваться с помощью электронной почты или UPN, в зависимости от вашей конфигурации Azure (см. Вход с помощью адреса электронной почты или UPN, ниже)

Необходимые условия

Убедитесь, что эти элементы готовы перед созданием приложения Azure SCIM:

• Арендатор Entra ID

• Разрешения Entra ID для настройки предоставления пользователей

Ограничения услуг

• Удаление пользователя из приложения IdP отключает пользователя в Приложении Управления Cato (см. Удаление пользователей или групп пользователей из приложения SCIM. ниже)

• Для аккаунтов, использующих синхронизацию LDAP для пользователей, при включении провизионинга SCIM эта синхронизация отключается для вашего аккаунта

  • Синхронизация LDAP для Осведомленности Пользователя продолжает работать нормально и не затрагивается SCIM предоставлением

• Предоставление вложенных групп не поддерживается.

• Синхронизация SCIM заменяет существующие группы LDAP с тем же именем. Для получения дополнительной информации см. Как синхронизация SCIM заменяет существующие группы LDAP

• Пользователи, предоставленные SCIM, не идентифицируются с осведомленностью пользователя на основе WMI. Осведомленность пользователя с SCIM поддерживается с использованием Агент идентификации Cato.

• Предоставление по требованию не поддерживает назначение пользователей группе пользователей.

Планирование Синхронизации Пользователей

Этот раздел описывает, как планировать синхронизацию пользователей Entra ID с вашим аккаунтом Cato. Для получения дополнительной информации о планировании синхронизации пользователей между Azure и Cato, см. эти статьи Microsoft:

• Что такое автоматическое предоставление пользователей SaaS-приложения в Azure AD?

• Предоставление приложений на основе атрибута с фильтрами области действия

• Учебник - Настройка сопоставления атрибутов предоставления пользователей для SaaS-приложений в Azure Active Directory

Определение пользователей и групп для Синхронизации Пользователей

Entra ID позволяет вам определить пользователей, которые включены в синхронизацию пользователей с Cato, по одному из этих методов:

• Назначение пользователей приложению Entra ID

• Фильтрация пользователей на основе атрибутов для пользователей или групп

Как часть процесса планирования синхронизации пользователей с Cato, мы рекомендуем начать с небольшой группы пользователей. В зависимости от указанного выше метода, вы можете:

• Назначьте несколько пользователей приложению Entra ID

• Создание фильтра области действия на основе атрибутов, который соответствует только нескольким пользователям

Настройка автоматической синхронизации пользователей с Cato через приложение SCIM Cato

Вы можете подключить Entra ID к своему аккаунту Cato и синхронизировать пользователей между ними. Добавьте приложение SCIM Cato в галерею Azure в ваш аккаунт, а затем настройте настройки для подключения к вашему аккаунту Cato. Azure инициирует автоматическую синхронизацию пользователей каждые 40 минут.

Затем вы можете определить группы и пользователей Entra ID, которые синхронизируются, и включить автоматический провизионинг.

Статус пользователей в вашем Поставщике идентификационных данных (IdP) автоматически синхронизируется с вашей учетной записью Cato. Например, когда вы отключаете пользователей в IdP, они синхронизируются с вашей учетной записью Cato как отключенные.

Примечание: При сравнении общего количества пользователей в группе SCIM в Azure с группой CMA SCIM, обратите внимание, что у вас будет меньше пользователей в группе CMA SCIM. Это потому, что мы не учитываем отключенных пользователей, которые были либо синхронизированы, а затем отключены, либо всегда были отключены.

Настройка приложения SCIM Cato

Настройте Cato SCIM в галерее Azure и установите автоматическую синхронизацию пользователей с Cato.

В Приложение Управления Cato включите провизионинг SCIM и скопируйте URL и токен в раздел учетных данных администратора в приложении SCIM Cato.

Чтобы добавить новые атрибуты к вашему существующему приложению,обновите приложение SCIM.

Для подключения Приложения Управления Cato к приложению SCIM:

1. Из портала Azure, перейдите к Корпоративные приложения.

2. Перейдите к Новое приложение, найдите приложение предоставления Cato Networks и нажмите Создать.

3. В приложении управления Cato из навигационного меню выберите Доступ > Службы каталогов и нажмите вкладку SCIM.

   

4. Выберите Включить предоставление SCIM, чтобы установить вашу учетную запись для подключения к приложению SCIM.

5. Нажмите Сохранить.

6. Скопируйте и вставьте URL и токен SCIM в пустой текстовый файл.

   1. В Базовый URL, нажмите значок копирования, чтобы скопировать URL SCIM в буфер обмена, а затем вставьте его в текстовый файл.

   2. В Токене Bearer, нажмите значок копирования, чтобы скопировать уникальный токен учетной записи в буфер обмена, а затем вставьте его в текстовый файл.

7. В Azure, перейдите в раздел Предоставление для приложения SCIM и вставьте URL и токен SCIM.

   1. Вставьте URL в URL арендатора.

   2. Вставьте токен в Секретный токен.

   3. Нажмите Сохранить.

8. В Azure, нажмите Тест соединения, чтобы убедиться, что Azure AD может подключиться к приложению SCIM Cato.

9. Включите автоматическое предоставление в приложении.

   1. Из навигационного меню выберите Предоставление.

   2. На экране Предоставление нажмите Начать.

   3. В раскрывающемся меню Режим предоставления выберите Автоматически.

   4. Нажмите Сохранить.

10. Назначьте группы и пользователей приложению.

Предоставление пользователей вашей учетной записи Cato

После того как приложение SCIM Cato может подключиться к вашему аккаунту, включите автоматическое предоставление и выберите пользователей и группы, которые синхронизированы.

Для предоставления пользователей вашей учетной записи Cato:

1. В приложении SCIM Cato, перейдите в раздел Предоставление.

2. В Статус предоставления нажмите Начать предоставление.

   

   Начальная синхронизация между вашим Azure AD и аккаунтом Cato начинается.

Обновление существующего приложения SCIM

Используйте следующие шаги, чтобы обновить список атрибутов и отображение атрибутов для существующей SCIM приложения Microsoft Entra ID, чтобы дополнительные атрибуты пользователей были предоставлены Cato. Это необходимо для доступа к последним атрибутам, используемым Cato. Например, Должность и Отдел.

Заметка:

Примечание: Если приложение SCIM было создано до ноября 2025 года, вы должны создать новое приложение SCIM и настроить атрибуты, как описано ниже.

Обновите существующее приложение SCIM:

1. Из портала Azure, перейдите к Корпоративные приложения > Все приложения и выберите ваше приложение SCIM Cato.

2. Нажмите Предоставление и затем Сопоставление атрибутов.

3. На странице Сопоставление атрибутов выберите флажок Показать расширенные параметры и нажмите Редактировать список атрибутов для <appName>.

4. Добавьте атрибут и из раскрывающегося меню Тип выберите соответствующее значение.

   Повторите этот процесс для каждого атрибута, который вы хотите добавить.

5. Нажмите Сохранить.

6. На странице Сопоставление атрибутов нажмите Редактировать атрибут.

7. На странице Редактировать Атрибут выберите Источник атрибута и сопоставьте его с Целевой атрибут.

   Например, выберите jobTitle как источник, и сопоставьте его с title в цели.

   Повторите этот процесс для каждого атрибута, который вы добавляете.

8. Нажмите Сохранить.

9. Предоставление пользователей и групп учетной записи.

Обзор атрибутов предоставления SCIM

После настройки приложения SCIM Cato вы можете просмотреть соответствие атрибутов провизионинга SCIM между Entra ID и Приложение Управления Cato.

Вход с использованием адреса электронной почты или UPN.

По умолчанию Entra ID аутентифицирует пользователей только по User Principal Name (UPN), и приложение Cato SCIM сопоставляет только userPrincipalName с userName. Если вы хотите, чтобы пользователи входили в клиент Cato с использованием либо их адреса электронной почты, либо их UPN, настройте сопоставление атрибутов SCIM и Entra ID, как описано ниже.

Шаг 1: Сопоставьте атрибут имени пользователя с обоими идентификаторами.

Cato сопоставляет SSO вход пользователя с атрибутом userName в записи пользователя в приложении Cato Management. По умолчанию этот атрибут заполняется только из userPrincipalName, как показано в Просмотр атрибутов предоставления SCIM. Измените источник этого сопоставления на выражение, которое возвращает значение с адреса электронной почты на UPN, чтобы соответствие происходило независимо от того, какой идентификатор утверждает Entra ID при входе.

Чтобы обновить сопоставление атрибута имени пользователя:

1. Из портала Azure, перейдите к Корпоративные приложения > Все приложения и выберите ваше приложение SCIM Cato.

2. Нажмите Предоставление и затем Сопоставление атрибутов.

3. На странице Сопоставление атрибутов нажмите строку сопоставления, где Целевой атрибут равен userName.

4. Измените Тип сопоставления на Выражение.

5. В Выражение введите Coalesce([mail], [userPrincipalName]).

6. Подтвердите, что Целевой атрибут все еще установлен на userName, затем нажмите Ok.

7. Нажмите Сохранить.

Это выражение предпочитает атрибут mail и возвращает значение на userPrincipalName для любого пользователя, атрибут mail которого пуст в Entra ID.

Шаг 2: Подтвердите сопоставление атрибута электронной почты.

По умолчанию шаблон приложения Cato SCIM отдельно сопоставляет Coalesce([mail], [userPrincipalName]) с emails[type eq "work"].value, как показано в Просмотр атрибутов предоставления SCIM. Это сопоставление не связано с соответствием при входе и не требует изменений, но подтвердите его наличие, чтобы запись пользователя также отображала правильный адрес электронной почты.

Чтобы подтвердить наличие этого сопоставления для вашего приложения:

1. На той же странице Сопоставление атрибутов подтвердите, что сопоставление от Coalesce([mail], [userPrincipalName]) к emails[type eq "work"].value указано. Если ваше приложение SCIM было создано до ноября 2025 года, добавьте это сопоставление, как описано в Обновление существующего приложения SCIM.

Шаг 3: Включите электронную почту в качестве альтернативного идентификатора входа в систему в Entra ID.

Заполнение имени пользователя и атрибутов электронной почты в приложении Cato Management само по себе недостаточно. Также необходимо настроить собственный запрос входа в систему Entra ID, который появляется в процессе SSO из клиента Cato, чтобы он принимал адрес электронной почты как допустимое имя для входа.

Для настройки входа по электронной почте в Entra ID:

1. В административном центре Entra перейдите к Entra Connect > Connect Sync.

2. Включите Электронную почту в качестве альтернативного идентификатора входа.

Заметка:

Электронная почта в качестве альтернативного идентификатора входа - это настройка синхронизации Microsoft Entra Connect для гибридных идентификационных сред. Для точных шагов и для облачных арендаторов см. документацию Microsoft: Включение возможности входа пользователей с использованием электронного адреса как альтернативного идентификатора входа.

С атрибутом имени пользователя, сопоставленным обоим идентификаторам в SCIM и Электронной почтой в качестве альтернативного идентификатора входа, включенным в Entra ID, пользователь может вводить либо свой адрес электронной почты, либо свой UPN в клиенте Cato, и Entra ID обрабатывает соответствующий учетный запись для завершения SSO аутентификации.

Назначение лицензий SDP

В IdP определите группы и пользователей, синхронизированные с вашим аккаунтом Cato. После завершения начальной синхронизации все пользователи создаются в приложении управления Cato и видны на странице Справочник пользователей

Затем вы можете назначить лицензии SDP пользователям. Для получения дополнительной информации, см. Назначение лицензий ZTNA пользователям.

Удаление пользователей или групп пользователей из приложения SCIM

Важно:

Важно: Хотя пользователей можно удалить в CMA, мы рекомендуем удалять пользователей или группы пользователей, предоставленные приложением SCIM, напрямую из портала Azure.

Когда вы хотите удалить пользователей или группы пользователей, которые предоставлены в вашу учетную запись Cato с помощью приложения SCIM, отвяжите их в приложении. Пользователи и группы пользователей автоматически отключаются при следующей синхронизации приложения SCIM с вашей учетной записью.

Чтобы удалить пользователей или группы пользователей, которые синхронизируются с вашей учетной записью Cato:

1. В приложении Cato SCIM отвяжите пользователей или группы пользователей.

   Во время следующей синхронизации приложение SCIM отключит пользователей или группы пользователей в вашей учетной записи Cato.

2. (Необязательно) После отключения пользователей или групп вы можете удалить их из Приложения Управления Cato.

   Это может занять до 15 минут, прежде чем вы сможете вручную удалить пользователей или группы пользователей.

Понимание Событий для предоставления SCIM

Приложение управления Cato генерирует события, когда пользователи и группы блокируются, потому что они не соответствуют требованиям политики подключения клиента.

Каждый час приложение управления Cato отправляет электронные оповещения, которые суммируют действия предоставления SCIM (успех или неудача).

Следующая таблица объясняет различные события.

История изменений статьи