Come importare utenti e gruppi da Microsoft Entra ID

Questo articolo descrive il processo completo per configurare l'importazione e la sincronizzazione di utenti e gruppi da Microsoft Entra ID verso SMARTFENSE, inclusa la registrazione dell'applicazione in Azure, la configurazione delle autorizzazioni e le opzioni di filtraggio di utenti e raggruppamenti.

La configurazione si trova in Usuarios y grupos > Importación y sincronización > Desde Microsoft Entra ID.

Prerequisiti

• Un account con i permessi per registrare applicazioni in Microsoft Entra ID e concedere il consenso dell'amministratore.
• Accesso come amministratore all'istanza di SMARTFENSE.

Dati richiesti per SMARTFENSE

Per configurare la connessione, è necessario inserire i seguenti dati in SMARTFENSE:

• Dominio
• Id. de aplicación
• Clave secreta de aplicación

Passo 1 — Registrare l'applicazione in Microsoft Entra ID

1. Acceda a https://portal.azure.com/.
2. Selezioni Microsoft Entra ID dal menu laterale.
3. Vada a Gestisci > Nomi di dominio personalizzati.
4. Copi il nome del dominio e lo incolli in SMARTFENSE nel campo Dominio.

Se l'organizzazione dispone di più domini all'interno dello stesso tenant di Microsoft Entra ID e tutti devono appartenere alla piattaforma, inserisca il dominio radice, ovvero quello che termina con onmicrosoft.com. Ad esempio: miazienda.onmicrosoft.com.

5. Vada a Gestisci > Registrazioni app.
6. Faccia clic su Nuova registrazione.
7. Inserisca SMARTFENSE nel campo Nome.
8. Selezioni Account solo in questa directory organizzativa (Tenant singolo).
9. In URI di reindirizzamento (facoltativo), selezioni la piattaforma Web e inserisca https://www.smartfense.com.
10. Faccia clic su Registra.
11. Copi il valore del campo ID applicazione (client) e lo incolli in SMARTFENSE nel campo Id. de aplicación.

Passo 2 — Configurare l'URI di reindirizzamento di risposta

1. Dal menu Panoramica dell'applicazione appena creata, selezioni URI di reindirizzamento di risposta.
2. Aggiunga https://*.takesecurity.com/complete/azuread-oauth2/ come nuovo URL di risposta, sostituendo * con il sottodominio della propria istanza.

Per ottenere il valore esatto, acceda a SMARTFENSE in Usuarios y grupos > Importación y sincronización > Desde Microsoft Entra ID, faccia clic su Guardar e consulti il Instructivo de configuración disponibile in fondo alla pagina.

3. Faccia clic su Salva.

Passo 3 — Concedere le autorizzazioni API

1. Nel menu laterale, selezioni Autorizzazioni API.
2. Faccia clic su + Aggiungi un'autorizzazione.
3. Selezioni Microsoft Graph.
4. Configuri le seguenti autorizzazioni:

Autorizzazioni delegate:

• Directory.Read.All
• User.Read
• User.Read.All
• User.Read.Basic.All

Autorizzazioni applicazione:

• Directory.Read.All

5. Faccia clic su Aggiungi autorizzazioni.
6. Faccia clic su Concedi consenso amministratore e confermi cliccando su Sì.

Tutte le autorizzazioni devono mostrare l'indicatore verde di consenso concesso. Se qualcuna non lo mostra, ripeta il passaggio di concessione del consenso.

Passo 4 — Generare il segreto client

1. Nel menu laterale, selezioni Certificati e segreti.
2. Faccia clic su + Nuovo segreto client.
3. Inserisca SMARTFENSE nel campo Descrizione.
4. In Scade, selezioni il periodo più lungo disponibile (ad esempio, 730 giorni / 24 mesi).
5. Faccia clic su Aggiungi.
6. Copi il Valore generato e lo incolli in SMARTFENSE nel campo Clave secreta de aplicación.

Il valore del segreto viene mostrato una sola volta. Se chiude questa schermata senza copiarlo, dovrà generare un nuovo segreto.

Alla data di scadenza, la connessione smetterà di funzionare. Sarà necessario creare una nuova chiave e verificare nuovamente la connessione. Per le campagne in corso che richiedono l'autenticazione degli utenti, gli utenti non potranno accedere fino al completamento del processo.

Passo 5 — Verificare la connessione

1. In SMARTFENSE, faccia clic su Comprobar conexión.

Le estensioni di blocco degli annunci (come Ad-Block Plus) spesso interferiscono con questo test. Si consiglia di disattivarle prima di verificare la connettività.

Sincronizzazione periodica

Una volta salvata la configurazione, è possibile abilitare l'opzione Sincronizar periódicamente todos los días a la 01:00 AM (hora local). Quando attiva, SMARTFENSE eseguirà l'importazione automaticamente ogni giorno a quell'ora, senza necessità di intervento manuale.

Affinché le modifiche di stato e le eliminazioni nel directory vengano riflesse quotidianamente in modo automatico, questa opzione deve essere attiva.

Logica di identificazione degli utenti

Durante ogni sincronizzazione, SMARTFENSE segue questo ordine per determinare se un utente del directory esiste già nella piattaforma:

1. Ricerca per Object ID (identificatore univoco assegnato da Microsoft Entra ID).
2. Se non viene trovata corrispondenza, ricerca per email.
3. Se non viene trovata corrispondenza, ricerca per nome utente in base alla configurazione selezionata.
4. Se non viene trovata alcuna corrispondenza, viene creato un nuovo utente.

Una volta che un utente viene identificato per email o nome utente, gli viene assegnato il suo Object ID in SMARTFENSE. Nelle sincronizzazioni successive verrà identificato direttamente da quel valore.

Si consiglia di usare UPN completo come criterio per la creazione del nome utente, poiché garantisce l'unicità e riduce il rischio di conflitti tra utenti.

Configurazione Utenti

Una volta stabilita la connessione, configuri i criteri di importazione.

Utenti da importare

• Importa tutti gli utenti della directory: importa tutti gli utenti disponibili nel tenant.
• Importa solo gli utenti appartenenti a determinati gruppi: inserisca i nomi dei gruppi esattamente come appaiono in Entra ID, separati da virgola senza spazio e senza virgolette. Esempio: Gruppo1,Gruppo 2,Gruppo_3.

Questa opzione è compatibile con tutti i tipi di gruppi di Microsoft Entra ID: Sicurezza, Distribuzione e Microsoft 365.

Caricare i gruppi a cui appartengono gli utenti non crea quei gruppi in SMARTFENSE. Determina solo quali utenti vengono importati.

Utenti da escludere

• Non escludere: importa tutti gli utenti che soddisfano il criterio precedente.
• Escludi: selezioni i campi da valutare. Verranno importati solo gli utenti che hanno un valore definito in tutti i campi selezionati. Esempio: se seleziona ID Dipendente e Lingua, verranno importati solo gli utenti con entrambi i campi compilati nella directory.

Utenti senza email

• Non importare gli utenti che non hanno un'email definita in Microsoft Entra ID (comportamento predefinito).
• Importa gli utenti che non hanno un'email definita in Microsoft Entra ID.

Crea i nomi utente a partire da

Scelga una delle seguenti opzioni:

• Mail nickname
• Mail
• Prima parte dell'UPN fino alla chiocciola
• UPN completo

Stato degli utenti

• Utilizza lo stato definito in SMARTFENSE: i nuovi utenti vengono importati come attivi. Gli utenti già importati mantengono lo stato che hanno nella piattaforma, indipendentemente dal loro stato in Entra ID.
• Rifletti in SMARTFENSE lo stato degli utenti in Microsoft Entra ID: lo stato di ciascun utente è determinato dall'attributo accountEnabled di Entra ID.

Utenti eliminati in Entra ID

Definisce cosa fa SMARTFENSE quando un utente precedentemente importato viene eliminato in Entra ID:

• Mantieni invariato in SMARTFENSE: l'utente rimane tale nella piattaforma.
• Disattiva in SMARTFENSE: l'utente viene disattivato automaticamente.

Verranno disattivati in SMARTFENSE solo gli utenti eliminati in Microsoft Entra ID negli ultimi 30 giorni.

Per una sincronizzazione più autonoma, si consiglia di combinare l'opzione Rifletti in SMARTFENSE lo stato degli utenti in Microsoft Entra ID con Disattiva in SMARTFENSE. In questo modo, le modifiche di stato e le eliminazioni nella directory vengono riflesse automaticamente nella piattaforma senza intervento manuale.

Lingua predefinita

Si applica solo agli utenti che non hanno una lingua definita in Microsoft Entra ID.

Manager dell'utente

SMARTFENSE importa il manager direttamente superiore in base alla proprietà manager dell'Active Directory. Affinché l'assegnazione avvenga, il manager deve essere anche un utente attivo in SMARTFENSE.

Configurazione Raggruppamenti

In questa sezione, indichi a SMARTFENSE come desidera importare i gruppi a cui appartengono gli utenti in Microsoft Entra ID e quali campi della directory corrispondono alle Aree Funzionali e ai Livelli Gerarchici.

Gruppi da importare

Può scegliere tra:

• Importa i gruppi di Microsoft Entra ID per ciascun utente: selezionando questa opzione, dovrà scegliere il criterio di filtraggio:
  • Importa tutti i gruppi il cui nome inizia con la stringa di caratteri indicata: inserisca una stringa di testo e verranno importati tutti i gruppi il cui nome inizia con quel valore. Ad esempio, inserendo Direzione, verranno importati gruppi come Direzione Commerciale, Direzione IT, ecc.
  • Importa solo i gruppi il cui nome corrisponde esattamente alla stringa di caratteri inserita: inserisca il nome del gruppo esattamente come appare in Microsoft Entra ID.
• Non importare i gruppi di Microsoft Entra ID per ciascun utente.

Il filtro dei gruppi consente di importare solo i gruppi rilevanti per il programma di sensibilizzazione. Questa impostazione non influisce sugli utenti importati; determina solo quali gruppi della directory attiva verranno creati come gruppi in SMARTFENSE. Per gestire l'importazione degli utenti, consulti la sezione Configurazione Utenti.

Aree Funzionali

Indichi a SMARTFENSE il Campo di Microsoft Entra ID in cui sono rappresentate le Aree Funzionali dell'utente. È possibile selezionare un solo campo. Se quel campo contiene più di un valore per lo stesso utente (ad esempio, Marketing|Vendite), indichi il Carattere separatore utilizzato per distinguerli.

I campi disponibili sono proprietà di tipo string associate all'utente finale. Alcuni esempi: city, companyName, country, department, displayName, employeeType, tra gli altri.

Livelli Gerarchici

Indichi a SMARTFENSE il Campo di Microsoft Entra ID in cui sono rappresentati i Livelli Gerarchici dell'utente. È possibile selezionare un solo campo. Se quel campo contiene più di un valore per lo stesso utente, indichi il Carattere separatore utilizzato per distinguerli.

Come per le Aree Funzionali, i campi disponibili sono proprietà di tipo string dell'utente nella directory.

Campi sincronizzati da Microsoft Entra ID

SMARTFENSE legge i seguenti attributi dalla directory durante ogni sincronizzazione:

Per ulteriori informazioni su questi attributi, consulti la documentazione ufficiale di Microsoft: https://docs.microsoft.com/es-es/azure/active-directory-b2c/user-profile-attributes.

I campi utilizzati per le Aree Funzionali e i Livelli Gerarchici devono essere proprietà di tipo string associate all'utente finale in Microsoft Entra ID. Le proprietà di tipo relazione (oggetti) non sono supportate.

Sincronizzazione della lingua da Microsoft Entra ID

Il campo sincronizzato per impostazione predefinita per tutti gli utenti è preferredLanguage.

Se è necessario impostare la stessa lingua per tutti gli utenti della directory, l'amministratore di Entra ID può eseguire il seguente comando da PowerShell:

Get-ADUser -Filter * -Properties mail, PreferredLanguage |
  Where-Object { ($_.mail -ne $Null) -and ($_.PreferredLanguage -ne "es-AR") } |
  ForEach-Object { Set-ADUser $_.SAMAccountName -Replace @{PreferredLanguage="es-AR"} }

Questo esempio imposta il valore es-AR nel campo PreferredLanguage di tutti gli utenti con un indirizzo email definito e la cui lingua attuale non è es-AR.

Per ulteriori dettagli, consulti la documentazione ufficiale di Microsoft: https://learn.microsoft.com/es-es/microsoft-365/troubleshoot/access-management/set-language-and-region.

💡 Buone pratiche

• Documentare la data di scadenza del segreto client e impostare un promemoria in anticipo per evitare interruzioni del servizio.
• Se il tenant dispone di più domini, inserire sempre il dominio radice (onmicrosoft.com) nel campo Dominio per evitare errori di connessione.
• Disattivare le estensioni di blocco degli annunci prima di fare clic su Comprobar conexión.
• Utilizzare il filtro Utenti da importare per gruppi quando solo un sottoinsieme della directory partecipa al programma di sensibilizzazione.
• Configurare il filtro Gruppi da importare se è necessario che i gruppi della directory vengano creati anche come gruppi in SMARTFENSE; i gruppi non vengono creati automaticamente solo perché associati agli utenti importati.
• Testare l'importazione con un sottoinsieme ridotto di utenti prima di abilitare la sincronizzazione periodica completa.