Sincronizzazione degli utenti da Microsoft Entra ID con Microsoft Graph

L'integrazione di Microsoft Entra ID (precedentemente Azure AD) utilizza Microsoft Graph per sincronizzare gli utenti con MyQ. Prima di poter configurare la sincronizzazione, il servizio deve essere abilitato e configurato correttamente nel portale Microsoft Azure.

Prerequisito

Set Up Entra ID with Microsoft Graph API

Aggiungere Microsoft Entra ID come origine

Una volta stabilita la connessione a Microsoft Entra ID, andare su MyQ > Impostazioni > Sincronizzazione utenti. Fare clic su Aggiungi, quindi su Aggiungi sorgente Microsoft Entra ID.

Una volta stabilita la fonte, le opzioni di configurazione consentono di modificare le modalità di importazione degli utenti.

• Nella scheda Generale, è possibile configurare il server di autenticazione e la fonte di sincronizzazione, nonché abilitare o disabilitare la sincronizzazione.

• Nella scheda Utenti, è possibile definire quali utenti vengono importati in MyQ, configurarne le proprietà e impostare le opzioni correlate.

• Nella scheda Gruppi, è possibile definire come i gruppi dalla fonte vengono importati e creati in MyQ. Quando i gruppi vengono importati, MyQ crea le definizioni di gruppo corrispondenti e gli utenti vengono assegnati a questi gruppi in base alla loro appartenenza in Entra ID.

Scheda Generale

Questa scheda si apre per impostazione predefinita quando si seleziona Aggiungi origine Microsoft Entra ID. Sono disponibili le seguenti opzioni:

• Abilita: utilizzare questo pulsante per abilitare o disabilitare la sincronizzazione degli utenti.

• Server di autenticazione: selezionare il server di autenticazione da utilizzare. Se sono state stabilite più connessioni, è possibile selezionare quale utilizzare per questa sincronizzazione degli utenti.

• Origine di sincronizzazione: assegnare un nome per identificare facilmente l'origine di sincronizzazione. Ciò è utile per distinguere tra più tenant Entra ID.

Scheda Utenti

Questa scheda consente di selezionare gli utenti da importare, le loro proprietà e varie opzioni per la sincronizzazione degli utenti.

Utenti da importare

Qui è possibile selezionare gli utenti che si desidera importare dal proprio tenant Entra ID in MyQ.

Opzioni disponibili:

• Tutti gli utenti

• Utenti da gruppi selezionati: specifica i gruppi da cui importare gli utenti. Questa opzione importa un utente se è membro di almeno un gruppo selezionato.

• Utenti da gruppi contenenti una stringa: specifica una o più stringhe e importa solo i membri dei gruppi il cui nome contiene almeno una stringa. Inserisci ogni stringa su una nuova riga. La corrispondenza non distingue tra maiuscole e minuscole.

Attenzione!
La funzione "Utenti da gruppi contenenti una stringa" può rallentare la sincronizzazione.

Proprietà

Nella sezione Proprietà, è possibile mappare le informazioni utente da Microsoft Entra ID alle credenziali in MyQ. Viene fornita una selezione predefinita di valori consigliati. Se il valore predefinito non viene utilizzato, un attributo personalizzato digitato manualmente può sostituirlo e sincronizzare un attributo utente diverso da Entra ID.

Per la proprietà Alias, se viene utilizzato l'attributo onPremisesSamAccountName@onPremisesDomainName viene utilizzato, l'alias dell'utente dopo la sincronizzazione sarà una combinazione degli attributi Microsoft Entra ID dell'utente onPremisesSamAccountName e onPremisesDomainName nel formato, ad esempio, user@myq.cz.

Opzioni

• Disattiva utenti mancanti: questa opzione consente al sistema di disattivare automaticamente gli utenti in MyQ X che non sono più presenti nell'origine Microsoft Entra ID.

• Aggiungi nuovi utenti: quando abilitata, questa funzione aggiunge automaticamente a MyQ X i nuovi utenti trovati nella fonte Microsoft Entra ID.

• Usa come server di autenticazione: se si intende autenticare gli utenti su Azure utilizzando le credenziali di Active Directory e utilizzare l'opzione di Single Sign-On di Microsoft, selezionare l'opzione Usa come server di autenticazione e fare clic su Salva.

• Accoppia in base al numero personale: seleziona questa casella se desideri aggiornare gli utenti in base al loro numero personale. Se l'opzione del numero personale è selezionata, durante la risincronizzazione, il sistema cercherà l'utente in base al suo numero personale. Se viene trovata una corrispondenza, i dettagli dell'utente verranno aggiornati, altrimenti verrà creato un nuovo utente.

A partire da MyQ Print Server 10.2 RC 4, l'opzione Accoppia in base al numero personale è selezionata per impostazione predefinita per tutte le origini di sincronizzazione appena create e non può essere modificata. Le origini create nella versione 10.1 dopo la migrazione alla versione 10.2 consentono di modificare questa opzione. Si consiglia vivamente di accoppiare gli utenti in base al numero personale.

• Ignora origine di sincronizzazione: questa opzione offre la possibilità di ignorare in modo selettivo determinati aspetti o dati dall'origine Microsoft Entra ID durante la sincronizzazione.

• Crea alias normalizzato dal nome visualizzato: questa opzione comporta l'aggiunta di un alias aggiuntivo all'utente oltre a quelli configurati nella sezione degli attributi utente; tale alias assume la forma di AzureAD\concatedDisplayName. Consente il corretto riconoscimento degli utenti che stampano da dispositivi collegati a Entra ID.

Se due o più utenti hanno lo stesso nome completo sincronizzato da Entra ID, verrà creato un alias normalizzato solo per il primo utente. Non c'è modo di distinguere i proprietari dei Lavori di Stampa in questo caso nell'ambiente ADD poiché il driver della stampante fornisce solo il nome e il cognome dell'utente concatenati.

Scheda Gruppi

La scheda Gruppi non specifica quali gruppi di utenti importare, ma come devono essere organizzati all'interno di MyQ. Quali gruppi di utenti vengono importati è controllato in Utenti > Utenti da importare.

Sono disponibili le seguenti opzioni:

• Tipo di sincronizzazione: regola il livello di sincronizzazione nella scheda Gruppi. Scegli tra:

  • Sincronizzazione completa: sincronizza i gruppi 1:1 così come sono nella fonte, il che significa che gli utenti vengono aggiunti e rimossi dai gruppi come nella fonte.

  • Sincronizza se non vuoto: lascia un utente in almeno un gruppo anche dopo che ha perso tutte le appartenenze nella directory.

  • Aggiungi nuovo: assicura che una volta che un utente è stato assegnato a un gruppo in MyQ, non perda questa appartenenza anche dopo essere stato rimosso da un gruppo nella directory di origine.

• Seleziona gruppi: consente di selezionare i gruppi esistenti nella propria istanza di Entra ID che si desidera includere come gruppi all'interno di MyQ.

• Seleziona gruppi contenenti stringa: consente di selezionare i gruppi Entra ID in base a un filtro di stringa; tali gruppi verranno creati in MyQ. Se questa opzione è combinata con Seleziona gruppi, verranno creati solo i gruppi che soddisfano entrambe le condizioni.

• Importa gruppi sotto questo gruppo: consente di selezionare un gruppo di utenti esistente in MyQ da utilizzare come gruppo padre per qualsiasi gruppo sincronizzato da questa origine.

• Ignora gruppi: seleziona i gruppi Active Directory che non desideri utilizzare in questa sincronizzazione.

• Ignora gruppi contenenti stringa: svolge la stessa funzione di Ignora gruppi, consentendo di specificare i gruppi da ignorare in base a una stringa in essi contenuta.

Sincronizzazione dei gruppi - Scenario di esempio

Gli amministratori hanno un maggiore controllo sulle appartenenze ai gruppi durante la sincronizzazione degli utenti Entra ID. Con l'opzione del filtro Seleziona gruppi nelle impostazioni della sorgente Sincronizzazione utenti Entra ID, è possibile specificare quali appartenenze ai gruppi vengono importate in MyQ senza influire sul processo complessivo di sincronizzazione degli utenti.

Esempio:

La struttura dei gruppi di Entra ID è la seguente:

• Tutti gli studenti: 1.500 utenti

• Classe1A: 1.000 utenti

• Classe1B: 500 utenti

Impostazioni MyQ:

• Nella scheda Utenti, sotto Utenti da importare, selezionare Utenti dai gruppi selezionati e specificare il gruppo Tutti gli studenti per sincronizzare tutti i 1.500 utenti.

• Nella scheda Gruppi, sotto Seleziona gruppi, seleziona solo Classe1B.

Risultato:

• Tutti i 1.500 utenti vengono sincronizzati su MyQ.

• Solo ai 500 utenti della Classe1B viene applicata l'appartenenza al gruppo in MyQ.

• I restanti 1.000 utenti vengono importati senza alcuna appartenenza a un gruppo.

• Agli utenti che sono anche membri di Class1A non viene applicata questa appartenenza in MyQ.

Sincronizza ora

È ora possibile sincronizzare gli utenti selezionando la fonte Microsoft Entra ID dall'elenco e facendo clic su Sincronizza ora. È inoltre possibile pianificare la sincronizzazione degli utenti utilizzando l'utilità di pianificazione.

Per visualizzare i dettagli di un'esecuzione di sincronizzazione, controllare il registro di sincronizzazione.

Sincronizzazione e autenticazione multi-tenant

Ora è possibile utilizzare più tenant Entra ID negli ambienti MyQ per sincronizzare e autenticare gli utenti. Ciò è particolarmente utile in contesti di infrastrutture di stampa condivise, come quelli del settore pubblico, in cui più organizzazioni gestiscono le stampanti da un'unica sede, mentre ciascuna utilizza il proprio Entra ID.

Seguire la procedura descritta di seguito, ma ripeterla per configurare più istanze. Assicurarsi di assegnare a ciascun tenant un nome chiaro e univoco, che consentirà agli utenti di identificare quale sia rilevante per il loro utilizzo.

Identità on-premise per utenti Entra ID ibridi

Negli ambienti Entra ID ibridi, in cui gli utenti sono gestiti con Entra ID Connect e dispongono di account Active Directory corrispondenti, MyQ importa automaticamente due attributi aggiuntivi durante la sincronizzazione degli utenti:

• onPremisesSamAccountName → memorizzato come nome utente locale

• onPremisesDomainName → memorizzato come dominio locale

Questi attributi vengono sincronizzati automaticamente ogni volta che sono presenti in Entra ID. Non è richiesta alcuna configurazione aggiuntiva della fonte di sincronizzazione. Il registro di sincronizzazione registra, per ogni utente, se ciascun attributo è stato trovato e importato; se un attributo è assente in Entra ID per un determinato utente, viene registrato un avviso.

I campi Nome utente locale e Dominio locale sono visibili nel profilo dell'utente nella sezione Avanzate. Entrambi i campi possono essere modificati manualmente, ad esempio a scopo di test, ma qualsiasi valore inserito manualmente verrà sovrascritto alla successiva sincronizzazione di Entra ID.

Derivazione del dominio NETBIOS

Quando MyQ costruisce l'identità locale per le operazioni del file system, il nome di dominio NETBIOS viene derivato dal valore "Dominio locale" prendendo la sua prima etichetta DNS:

Utilizzo durante le operazioni sul file system

Per gli utenti Entra ID ibridi con entrambi gli attributi locali compilati, MyQ utilizza l' NETBIOS\username identità anziché l'UPN di Entra ID durante l'autenticazione alle destinazioni del file system locale.

MyQ utilizza l' NETBIOS\username identità per Easy Scan to Folder, Easy Scan to User Storage ed Easy Print from User Storage quando è configurato Connetti come: Utente connesso, oppure quando Connetti come: Servizio MyQ è utilizzato insieme a Rendi proprietario del file l'utente che ha eseguito la scansione.

Comportamento di fallback

Se gli attributi locali non possono essere utilizzati per costruire l'identità, MyQ ricorre al seguente comportamento di fallback:

• Dominio locale assente: MyQ ricorre alla risoluzione del dominio del server di autenticazione; viene scritto un avviso nel log.

• Nome utente locale assente: MyQ ricorre al nome utente MyQ dell'utente; viene registrato un avviso nel log.

Gli utenti senza attributi locali in Entra ID non sono interessati da questa funzionalità.