Sincronización de usuarios de Microsoft Entra ID (Azure AD)

ServiceDesk Plus le permite importar usuarios desde Microsoft Entra ID (Azure AD) según ciertos criterios. Puede asignar los campos de usuario de Azure AD con los campos de ServiceDesk Plus para importar detalles específicos del usuario.

También puede sincronizar automáticamente los usuarios eliminados de Microsoft Entra ID con ServiceDesk Plus.

Rol requerido: Administrador de la organización para la configuración de ESM; SDAdmin para configuraciones que no sean ESM

Puede importar usuarios de varios tenants a la aplicación. Cada tenant debe tener un registro de aplicación independiente.

ServiceDesk Plus solo lee información de usuario desde Azure mediante API y no modifica datos en Azure.

Deshabilite la importación de AD para los dominios que tengan configurada la sincronización con Microsoft Entra ID

Requisitos previos

Configurar Microsoft Entra ID

Para obtener información de usuarios y grupos desde Azure AD, cree un registro de aplicación con los permisos requeridos. Siga los pasos a continuación para registrar la aplicación.

Rol requerido: Administrador global

Inicie sesión en Azure.
En el panel izquierdo, seleccione Microsoft Entra ID.
En la página de Microsoft Entra ID, seleccione Registros de aplicaciones en el panel izquierdo y haga clic en Nuevo registro.

Proporcione un nombre para la aplicación.
Seleccione los tipos de cuenta admitidos para la aplicación. Esto determina quién puede acceder a la aplicación.

Tenga en cuenta que debe seleccionarse únicamente la opción Cuentas en este directorio organizacional para sincronizar usuarios desde Entra ID.

Haga clic en Registrar para guardar la aplicación.

En la aplicación registrada, puede encontrar el ID de cliente y la URL del token para ServiceDesk Plus.
- ID de cliente: ID de la aplicación en la sección Información general.
- URL del token: Extremo del token OAuth 2.0 (v2) en Información general > Extremo.

Para obtener el Secreto del cliente, vaya a Certificados y secretos > Secreto del cliente > Nuevo secreto del cliente.
Proporcione una descripción del secreto del cliente y elija su vigencia.
Haga clic en Agregar.

Actualice los permisos requeridos para la sincronización de usuarios en la aplicación registrada:
- Vaya a Permisos de API y haga clic en Agregar un permiso.
- Seleccione Microsoft Graph > Permisos de aplicación
- Agregue los permisos User.Read.All y Group.Read.All
- Otorgue el consentimiento del administrador para los permisos agregados.

El permiso Group.Read.All es necesario para listar los grupos de usuarios de Azure al establecer criterios. Si no necesita criterios basados en grupos, este permiso no es necesario.

Configurar la sincronización de usuarios

Configure la integración de Microsoft Entra ID para la sincronización de usuarios en ESM Directory > User Management > Microsoft Entra ID (Azure AD) para implementaciones ESM.

Para implementaciones que no sean ESM, acceda a Microsoft Entra ID (Azure AD) en Admin > Users & Permissions.

Siga estos pasos para configurar la importación de usuarios desde Microsoft Entra ID:

Paso 1: Agregar dominios

Agregue dominios para sincronizar usuarios desde Microsoft Entra ID. Puede configurar varios dominios con diferentes asignaciones de campos y criterios para importar usuarios.

Vaya a la página de Microsoft Entra ID (Azure AD) en ServiceDesk Plus.
En Detalles del dominio, haga clic en Agregar nuevo dominio.
En la ventana emergente Agregar dominio, ingrese los siguientes detalles:
- Nombre del dominio: Nombre del dominio.
- ID de cliente: ID de la aplicación de Azure
- Secreto del cliente: Valor del secreto del cliente en Azure.
- URL del token: Enlace al extremo de Azure para obtener el token de acceso.
- Extremo de Graph: Especifique la URL de Microsoft Graph API utilizada. Más información.
Haga clic en Guardar y Probar conexión.

Consulte aquí para obtener el ID de cliente, el Secreto del cliente y la URL del token desde Azure.

Después de que la prueba de conexión sea exitosa, aparecerán las secciones Asignación de campos y Configuración de importación de usuarios en la ventana emergente Agregar dominio.

Paso 2: Asignación de campos

Asigne los campos de detalles del usuario para la sincronización desde Microsoft Entra ID en la ventana emergente Agregar dominio.

En los campos desplegables mostrados, seleccione los campos de ServiceDesk Plus y asígnelos a los campos de usuario correspondientes en Microsoft Entra ID.
Al seleccionar nombres de campo desde la columna de ServiceDesk Plus, los campos relevantes de Microsoft Entra ID se asignarán automáticamente. Puede cambiar la asignación de los campos de Microsoft Entra ID según sea necesario.
Agregue o elimine campos usando los íconos y .

Los campos Nombre y Nombre de inicio de sesión son obligatorios para obtener usuarios de Azure y no pueden eliminarse .

El campo Reporta a solo puede asignarse al campo manager en Azure AD.

Object ID, userPrincipalName, onPremisesUserPrincipalName, onPremisesDomainName y onPremisesSamAccountName se importan de forma predeterminada.

También se pueden usar campos adicionales para la asignación de campos en ServiceDesk Plus.

Paso 3: Configuración de importación de usuarios

Programe la importación de usuarios para una sincronización periódica o importe usuarios manualmente en la ventana emergente Agregar dominio.

Importación programada:
- En la pestaña Configuración del horario, elija importar usuarios con o sin criterios.
- Sin criterios: Importa todos los usuarios automáticamente en la hora programada.
- Basado en criterios: Importa usuarios según los criterios especificados. Seleccione los criterios de los menús desplegables disponibles.

Importación manual:
- En la pestaña Importar una vez, introduzca el User Principal Name de los usuarios en el cuadro de texto. Puede importar hasta cinco usuarios a la vez.
- Haga clic en Importar ahora. Esta importación se ejecutará instantáneamente sin ninguna programación, y se mostrará el conteo de registros agregados, sobrescritos y fallidos.

Al agregar nuevos usuarios, el gerente del usuario se incluirá automáticamente como usuario. Para evitar esto, elimine el campo manager en la sección Asignación de campos.

Cuando se cambian la asignación de campos o los criterios de importación de usuarios, se iniciará una importación completa en la siguiente sincronización delta.

Paso 4: Establecer una contraseña de autenticación local para los usuarios importados

Establezca una contraseña de autenticación local predeterminada para los usuarios importados desde Microsoft Entra ID. Los usuarios pueden cambiar esta contraseña después de su primer inicio de sesión.

En la página de Microsoft Entra ID (Azure AD) en ServiceDesk Plus, pase el cursor sobre la sección Contraseña de autenticación local y haga clic en Editar.
Genere una contraseña aleatoria para cada usuario o establezca una contraseña predefinida.
Haga clic en Guardar.

Asegúrese de que la contraseña predefinida cumpla con todos los requisitos de la política de contraseñas.

Los usuarios recibirán los detalles de su contraseña por correo electrónico. Configure las notificaciones por correo electrónico para usuarios en Admin > Automation > Notification Rules > Request > Send Self-service login details.

Puede obligar a los usuarios a actualizar la contraseña predeterminada después de su primer inicio de sesión en Admin > Security Settings > Password Policy para implementaciones no ESM y ESM Directory > Security Settings > Password Policy para implementaciones ESM.

La contraseña de autenticación local establecida para usuarios importados desde AD también es aplicable a los usuarios importados desde archivos CSV.

Paso 5: Programar la importación de Microsoft Entra ID

Programe la importación de usuarios para sincronizar periódicamente los detalles de los usuarios. Los usuarios y sus detalles se sincronizan con ServiceDesk Plus de dos maneras:

Importación completa: Sincroniza todos los datos de usuario.
Importación delta: Sincroniza los detalles de usuarios actualizados y las cuentas de usuario agregadas recientemente cada hora.

Cuando el horario está habilitado, tanto la Importación completa como la Importación delta se habilitan automáticamente. Para habilitar el horario de importación,

En la página de Microsoft Entra ID (Azure AD) en ServiceDesk Plus, pase el cursor sobre el campo Horario de importación y haga clic en Editar.
Habilite el horario mediante la casilla de verificación y especifique la frecuencia de importación.
Establezca la fecha y hora de inicio del horario.
Haga clic en Guardar.

Los usuarios se importarán según el horario, y la información del usuario se actualizará cada hora. Puede ver la hora de la última importación y la hora de la próxima programación en la sección Horario de importación .

El resumen de la importación se notificará al Administrador de la organización (para configuración ESM) y a los SDAdmins (para configuración no ESM) mediante notificaciones de campana. Se puede ver en , y mostrará el conteo de usuarios agregados, actualizados y fallidos. Además, se incluirá un archivo CSV que contiene el User Principal Name de los usuarios fallidos.

Las cuentas de usuario pueden sobrescribirse si cumplen condiciones específicas. Más información.

Durante la sincronización delta, solo se notificarán los fallos de importación al SDAdmin/Administrador de la organización.

Realice una sincronización completa al menos una vez cada 30 días para asegurarse de que los detalles de los usuarios estén actualizados.

Paso 6: Sincronizar usuarios eliminados de Active Directory

Configure qué sucede con los datos del usuario en ServiceDesk Plus cuando se eliminan en Microsoft Entra ID.

Puede eliminar a los usuarios automáticamente o manualmente. Los usuarios eliminados se sincronizarán con ServiceDesk Plus durante el horario de importación completa configurado.

Para configurar la sincronización de usuarios eliminados,

En la página de Microsoft Entra ID (Azure AD) en ServiceDesk Plus, pase el cursor sobre la sección Sincronizar usuarios eliminados y haga clic en Editar.
Elija su método de eliminación: Automático o manual. Tenga en cuenta que la eliminación automática es aplicable solo a usuarios que no sean técnicos.
Haga clic en Guardar.

Si se elige la eliminación manual, el SDAdmin/Administrador de la organización recibirá una notificación de campana y se mostrará una lista de usuarios eliminados al hacer clic en la notificación.

Si se elige la eliminación automática,

Los usuarios no técnicos se eliminarán automáticamente, y se enviará una notificación de campana al SDAdmin/Administrador de la organización indicando la cantidad de usuarios eliminados. Al hacer clic en la notificación, se abrirá el registro del sistema con la información de los usuarios eliminados en un archivo CSV.
Los técnicos no se eliminarán automáticamente. En su lugar, el SDAdmin/Administrador de la organización recibirá una notificación de campana y se mostrará una lista de usuarios eliminados al hacer clic en la notificación.

Además, el enlace a la lista de usuarios eliminados se mostrará en la página de Microsoft Entra ID en ServiceDesk Plus y también en Admin > Users & Permission > pestaña Users/Technician. El SDAdmin/Administrador de la organización puede revisar la lista antes de eliminar los usuarios de ServiceDesk Plus.

Autenticación

Autentique a los usuarios importados de Entra ID mediante SAML SSO - https://pitstop.manageengine.com/portal/en/kb/articles/configuring-saml-with-azure-ad-9-8-2020

Criterios para sobrescribir usuario

El usuario se sobrescribirá si:

ObjectID de un usuario de Azure coincide con un usuario existente.
onPremisesUserPrincipalName o onPremisesImmutableId del usuario de Azure coincide con el userPrincipalName o lookup_guid del usuario existente, respectivamente.
OnPremiseDomainName y OnPremiseSamAccountName del usuario de Azure coinciden con el nombre de dominio y el nombre de inicio de sesión del usuario existente.
El nombre de inicio de sesión y el nombre de dominio del usuario de Azure coinciden con el inicio de sesión y el nombre de dominio del usuario existente.
El nombre de inicio de sesión del usuario de Azure coincide con el nombre de inicio de sesión del usuario existente, pero el dominio no está asociado con ese usuario.
La opción para sobrescribir información del usuario según el ID de correo electrónico está habilitada, y el ID de correo electrónico del usuario de Azure coincide con el ID de correo electrónico del usuario existente.

Esta opción puede habilitarse/deshabilitarse en General Settings > Advanced Portal Settings en implementaciones no ESM y ESM Directory > General Settings > Application Settings en implementaciones ESM.

Si no se cumple ninguno de los criterios anteriores, se creará una nueva cuenta para el usuario de Azure.

onPremisesUserPrincipalName, onPremisesImmutableId, OnPremiseDomainName, OnPremiseSamAccountName estarán disponibles en Microsoft Entra ID solo para usuarios sincronizados desde Active Directory local.

Consulte la siguiente documentación de Microsoft para obtener más información sobre la sincronización de usuarios desde Active Directory local:

Agregar una asignación de atributos de AD a Microsoft Entra ID

Integrar un solo bosque con un solo tenant de Microsoft Entra