Microsoft Entra ID Användarsynkronisering

Den här artikeln handlar om användarsynk mellan Stratsys användare och ett Microsoft Entra ID och innehåller förutsättningar för att införa lösningen, en uppsättningsguide samt vägledning för förvaltning och underhåll.

Användarsynkronisering från Microsoft Entra ID möjliggör automatisk skapande, uppdatering och borttagning av användare i Stratsys utifrån förändringar som görs i ert Microsoft Entra ID. Med användarsynkronisering sparar ni mycket tid när det kommer till administration av användare och behörigheter i Stratsys. Då läsbehörighet i Stratsys är kostnadsfritt så kan en användarsynkronisering även vara ett effektivt sätt att öppna upp Stratsys för hela organisationen. Den här artikeln handlar om användarsynkronisering mot ett Microsoft Entra ID, önskar ni att sätta upp synk mot en lokal användarkatalog se denna artikel.

Artikeln består av följande delar:

Lösningsbeskrivning

Förutsättningar

Uppsättningsguide

Förvaltning och Underhåll

Felsökning

Q&A

Lösningsbeskrivning

I ert Entra ID definierar ni vilka grupper med användare som ska synkroniseras med Stratsys och det är endast användarna i de valda grupperna som kommer att synkas över till Stratsys. I de flesta fall skapar man upp Stratsys-specifika grupper i sitt Entra ID, det kan till exempel var en grupp för de användare som ska vara rapportörer, en för fullständiga användare och en för läsare. En användare kan ingå i flera grupper, i det fallet kommer användaren få fler behörigheter i Stratsys.

Den användarinformation som synkas är:

• Metadata (för-och efternamn, e-mailadress, användarnamn)
• Organisationsenhet
• Behörighetsgrupp (tex. läsare, rapportör, fullständig användare)

Alias-mappning

Organisationsträdet i Stratsys och Entra ID kan skilja sig åt, därför används alias-mappning för att säkerställa korrekt enhetstillhörighet för användarna i Stratsys. Det innebär att namnen på enheter som finns i Entra ID mappas som alias till motsvarande enheter i Stratsys.

Samma tillvägagångssätt används för behörighetsgrupper, där namnen på grupper i Entra ID mappas mot motsvarande grupper i Stratsys med alias. Unika alias krävs för både enheter och behörighetsgrupper i Stratsys, vilket förhindrar användningen av samma alias för flera enheter eller grupper.

Det är möjligt att knyta flera alias till en enhet eller en behörighetsgrupp, det kallas många-till-ett-mappning. Detta kan vara användbart om er organisation har ett djupare struktur i Entra ID och behov av att koppla flera enheter till samma enhet i Stratsys. Det kan även användas om ni önskar att användare från flera olika grupper i Entra ID ska ha samma behörighetsgrupp i Stratsys.

Såhär fungerar synken

Användarsynken kontrollerar om det skett några ändringar i Entra ID var 40:oende minut som i sin tur initierar anrop mot Stratsys och för att genomföra ändringarna. 

Ändringar kan vara något av följande:

• Användare har lagts till
• Användare har tagits bort
• Användare har bytt namn eller mejladress
• Användare har bytt organisationsenhet
• Användare har tagits bort från grupp
• Användare har lagts till i en grupp

Förutsättningar

• Majoriteten av era användare finns i ert Entra ID.
• Ni har möjlighet att skapa och konfigurera en Enterprise-applikation samt skapa upp nya grupper i ert Entra ID som avspeglar grupperna i Stratsys.
• Era Microsoft Entra ID licenser och grupper stämmer med de krav som finns uppsatta enligt följande länk .
• Ni har möjlighet att skapa upp nya säkerhetsgrupper i ert Entra ID som kan mappas mot Stratsys behörighetsgrupper (befintliga kan användas men Stratsysspecifika grupper är att föredra).
• Ni har information om organisatorisk enhet i ett och samma attribut för samtliga användare i ert Entra ID, återfinns oftast i Department/avdelning-attributet.
• Ni har möjlighet att sätta upp en mappning av organisationsenheterna i Entra ID mot organisationsträdet i Stratsys. Namnet på enheten måste inte vara samma men en 1–1 eller n-1 (många-till-ett) mappning behöver vara möjlig.
• Befintliga användare i Stratsys har samma användarnamn och mejladress som användarna har Entra ID för att dubbletter av användarna ej ska skapas (det är möjligt att uppdatera användarnamn och mejladress i Stratsys).

Uppsättningsguide

Steg 1 - Skapa ett organisationsträd

För att synkroniseringen ska fungera behöver ett organisationsträd i Stratsys finnas uppsatt. Om ni redan har ett organisationsträd i Stratsys så kan ni bortse från denna del av artikeln och fortsätta till Steg 2.

För att skapa upp ett organisationsträd rekommenderar vi att ni tar hjälp från er kundansvarige då uppsättningen av organisationsträd kan vara komplicerad och behöver ta hänsyn till flera aspekter utifrån hur Stratsys ska användas i organisationen. 

Steg 2 - Säkerställ att "Standardbehörighet för nya användare" är inaktiverad

För att användarna ska läggas till i Stratsys med behörigheten som kommer från Entra ID så måste funktionen "Aktivera automatiskt skapande av användare från plattformen" vara inaktiverad, observera att detta behöver göras i samtliga av kundens databaser. Är funktionen redan inaktiverad kan ni gå vidare till nästa steg.

1. Gå till Stratsys administration och Användare
2. Gå till "Standardbehörighet för nya användare"
3. Är toggeln "Aktivera automatiskt skapande av användare från plattformen" aktiverad --> Inaktivera denna
4. Klicka på Spara

Steg 3 - Generera en nyckel

1. Gå till Stratsys Platform Center och klicka på Användarsynk och sedan SCIM (Entra ID)
2. Klicka på kugghjulet i högra hörnet 
   
3. Klicka på Inställningar och aktivera togglen vid Aktivera synkronisering av användare via Entra ID
4. Under Nycklar klicka på Generera nyckel, ge din nyckel en beskrivning och välj den databas som användarsynken ska konfigureras mot. Generera nyckel och spara nyckeln, den visas bara 1 gång. Kopiera även Synkroniseringslänk, denna URL kommer behövas vid konfigurationen i Entra.

Steg 5 - Konfigurera enheter

Enheter i Stratsys behöver ha ett unikt alias. Det innebär att namnen på de enheter som finns i Entra ID behöver mappas som alias till motsvarande enhet i Stratsys. Detta säkerställer att användarna får rätt enhetstillhörighet i systemet.

Hela ert organisationsträd med samtliga enheter importeras direkt från Stratsys och uppdateras automatiskt vid förändringar när du uppdaterar webbläsarfönstret.

För att sätta ett alias klickar du på enheten och skriver in aliaset. Aliaset ska motsvara det namn som finns uppsatt i Entra ID.

Mappa enhet med alias

1. Gå till Enheter, här hittar ni ert organisationsträd.
2. Klicka på en enhet, då dyker det upp en sidoflik Ändra enhet.
3. Skriv Alias för enheten, aliaset ska vara namnet på den enhet i Entra ID som ska mappas mot enheten i Stratsys.

Reservenhet

Reservenhet tillfaller en användare om den synkas in till Stratsys med en enhet som inte motsvarar något enhets-alias i Stratsys, då kommer användaren få reservenheten tills dess att användarens enhet i Entra ID blir mappad mot en enhet i Stratsys. Vilken reservenhet användaren får styrs av vilken behörighetsgrupp användaren tillhör.

Reservenhet konfigureras per grupp och en enhet kan användas som reservenhet för flera grupper men en grupp kan bara ha en reservenhet. Det är inget krav att sätta reservenhet och om reservenhet används så är det vanligast att konfigurera det för en grupp med endast läsarbehörighet för att säkerställa att ingen användare har högre behörighet på en annan enhet än sin egen.

Om reservenhet inte konfigureras vid ett scenario där alias inte hittas i Stratsys så kommer användaren inte skapas upp i Stratsys förr än dess att alias konfigureras för användarens enhet. Vid det scenariot kommer ett felmeddelande att genereras i Provisioning Logs i Entra ID och användaren kommer att läggas till i Stratsys Plattform men ej få behörighet till Stratsys. 

Gör såhär för att konfigurera reservenhet:

1. Gå till Enheter och klicka på den enheten som du vill lägga till som reservenhet på en behörighetsgrupp

2. I rullistan under Grupper som använder enhet som reservenhet välj den grupp som som enheten ska vara reservenhet för

Steg 6 - Skapa en Entra ID Enterprise application

1. Gå till https://portal.azure.com. Välj Azure Active Directory > Enterprise applications > New application.
   
   
2. Välj "Create your own application"
   
3. Non-gallery application > Välj ett valfritt namn på applikationen och välj Create.
   
4. Gå till Provisioning > Get started.
   
5. Välj Provisioning mode "Automatic" & följ bildstegen nedan.

Bildsteg:

1. Klistra in Url-länken som kopierades från plattformsadministrationen. Den går att återfinna i plattformsadministrationen under Användarsynk>Inställningar.
2. Klistra in den sparade nyckeln från plattformsadministrationen. Denna går inte att återfinna om den inte sparats, därför är det viktigt att göra detta i ett tidigt skede.
3. Kontrollera att kopplingen fungerar genom att välja Test Connection.
4. Allt bör fungera som det ska, om det mot förmodan inte fungerar kontrollera att uppsättningen är korrekt, kontakta därefter Teknisk support på support@stratsys.se
5. Klicka på Spara överst på sidan

Steg 7 - Flagga befintliga användare som synkroniserade

I de flesta fall finns det redan befintliga användare i Stratsys, därför behöver vi innan synken kan startas flagga dessa användare som synkroniserade. Görs inte detta kommer det att genereras ett felmeddelande i Provisioning Logs i Entra ID vid synkronisering som säger "User {platformId} is not set as external and will not be updated eller liknande" eller "{userId} is not flagged as synchronized and won't be updated. Set to Synchronized in platform or remove from provisioning in Azure.". För att flagga befintliga användare går ni till Stratsys Platform Center, klickar på de tre prickarna i det övre högra hörnet , klicka på Inställningar och Slå på Flagga alla befintliga användare som synkroniserade.

Exkludera användare från användarsynken

Har ni behov av att någon/några användare ska vara bortkopplade från synken och hantera dessa manuellt, exempelvis om det är någon användare som inte finns med i Entra ID men som ska ha behörighet till Stratsys. Gå till Användare (1), sök upp användaren och klicka på användaren (2) så att en sidmeny dyker upp till höger och slå av "Användaren hanteras genom en extern användarkatalog" (3). Detta innebär att ändring och borttagning av användaren måste göras manuellt och kommer ej hanteras av synken mot Entra ID. 

 

⚠️Om du avmarkerar ”användare hanteras genom extern användarkatalog”, ändrar enhet i användarens behörighet i Stratsys och sedan markerar rutan igen, så skickas ingen ny uppdatering från plattformen.
Det innebär att användaren behåller den manuella ändringen.

Plattformen känner inte till manuella justeringar i Stratsys utan utgår alltid från den senaste synkningen. Detta kan skapa skillnader mellan Stratsys och användarkatalogen.

👉 Därför ska du inte ändra enhet på en användare som redan har synkats mot Entra, om användaren även framöver ska synkas.

Steg 8 - Synkronisera användare och grupper

Synkronisering färdigställd

Om inga fel förekommer i synken så är uppsättningen klar! Användare kommer nu synkas in i Stratsys och ni behöver inte längre skapa upp användare manuellt så länge dessa ingår i någon av grupperna som synkas till Stratsys. Inga användare behöver heller administreras i Stratsys utan allt görs i Entra ID. Synken körs med ett intervall på var 40:onde minut och tidsintervallet kan ej justeras i dagsläget. 

Ni kan nu gå tillbaka till Stratsys Platform Center > Användarsynk > Azure AD (SCIM)> Grupper och se vilka grupper som synkroniserats. Dessa är markerade som Provisionerad och har fått upp datum för Ändrad som är senast datum för ändring samt Skapad som är datum för när gruppen skapades.

Gå sedan till användare för att kontrollera att alla användare som ska synkroniseras in finns med i listan.

Förvaltning och underhåll

Nedan hittar ni information för att förvalta användarsynkroniseringen mot Entra ID. Observera att användaren som ska sköta underhåll av användarsynk behöver ha rollen "Superadministratör" i Stratsys Plattform.

Organisationsförändring

Ny enhet

Lägger ni till en ny enhet i organisationsträdet i Stratsys och vill att användare ska synkas in till den enheten behöver ni lägga till ett alias på den nya enheten i Stratsys Platform Center för Entra ID, se beskrivning på hur det ska göras här.

Ta bort enhet i Stratsys och mappa om alias till annan enhet

Ska ni ta bort en enhet men önskar att mappa om alias för en enhet i ert Entra ID till en annan enhet innan enheten tas bort, gör enligt filmen nedan. Om enheten redan är borttagen så kan ni hoppa över steg 2 och 3 nedan.

Om filmen är suddig, högerklicka på den för att öppna upp i ett nytt fönster.

1. Gå till Enheter
2. Klicka på enheten som har det alias som ska mappas om till en annan enhet
3. Klicka på soptunnesymbolen intill aliaset, nu har ni möjlighet att lägga aliaset på en annan enhet
4. Gå in på enheten som framöver ska vara mappat med aliaset
5. Hitta aliaset i listan över omappade alias och klicka på Lägg till

Ny behörighetsgrupp

Önskar ni att börja synka en ny grupp i ert Entra ID mot en grupp i Stratsys så börjar ni med att skapa och konfigurera gruppen i Stratsys enligt följande instruktion. Motsvarande grupp i Entra ID som ska synkas mot Stratsys behöver därefter läggas till i er Enterprise Applikation i Entra ID för att den ska börja synka med gruppen i Stratsys. 

Felsökning

Användare kan ej logga in i Stratsys

Möjliga anledningar till felet:

• Användaren har tagit bort från grupperna i Entra ID som synkar mot Stratsys
  • Användaren måste finnas i minst en grupp i ert Entra ID för att ha behörighet till Stratsys
• Användarens enhet är ej mappad i Stratsys Platform Center och användarens behörighetsgrupp har ingen reservenhet
  • Användarens enhet måste kunna mappas mot en enhet i Stratsys för att ha behörighet till Stratsys

Felsökning:

1. Börja med att undersöka om användaren är kopplad mot extern katalogtjänst, detta indikerar på om användaren synkar med ert Entra ID eller ej. Är den aktiverad är problemet relaterat till användarsynken, är en inaktiverad har det skett någon manuell justering på användaren som inte orsakats av användarsynken.

   

   1. Gå till Stratsys Platform Center och sedan till Användare

   2. Sök upp användaren som inte kan logga in och klicka på användaren

   3. Här ser ni om användaren hanteras genom en extern katalogtjänst eller inte.

2. Säkerställ att användarens avdelning/department är mappad i Stratsys platform Center. 

3. Säkerställ att gruppen som användaren tillhör i Entra ID är provisionerad med Stratsys

1. Gå till Stratsys Platform Center och sedan till Användarsynkronisering och Grupper
2. I kolumnen Provisionerad ska det vara en bock (ej ett kryss) om gruppen är provisionerad. Är gruppen ej provisionerad beror problemet troligen på detta.
   1. Är gruppen ej provisionerad --> Säkerställ att gruppen har ett Alias i Stratsys som överensstämmer med namnet på gruppen i ert Entra ID. Stämmer Alias gå till loggarna i er Entra ID applikation och undersök om ni har fått något fel gällande den gruppen
   2. Är gruppen provisionerad --> Problemet beror troligen på mappning av användarens enhet ej är korrekt, säkerställ mappning av alias för enhet och vid behov gå till loggarna i er Entra ID applikation och undersök om det gått anrop på senaste gällande den användaren.

5. Kontakta Stratsys support support@stratsys.se om ni behöver hjälp

SCIM-detaljer - Användarens information från Entra ID

I Stratsys Platform Center har ni möjlighet att för respektive användare se vilken avdelning som användaren tillhör i ert AD samt vilka Grupper som användaren ingår i Entra ID. Observera att namnen som visas här ofta inte motsvarar namnet på enheten och gruppen i Stratsys, det som visas är namnen eller koderna som enheten/gruppen har i Azure. 

1. Gå till Stratsys Platform Center

2. Gå till Användare

3. Klicka på en användare och expandera Scim-detaljer

Enhet: Namnet som visas här är den avdelning som användaren tillhör i Entra ID. Hämtas vanligtvis från attributet department/avdelning i Entra ID.

Grupper: Koden som visas under Grupper är gruppens externa ID från ert Entra ID. Gå hit för att se vilken grupp i Stratsys som den gruppen motsvarar: 

1. Gå till Användarsynk och Azure AD 

2. Gå till Grupper

3. Klicka på en grupp för att öppna information om gruppen, där hittar ni Externt id

Felmeddelanden

Inträffar det fel i synken mot Entra ID så skickar Stratsys tillbaka felmeddelanden till er Enterprise Applikation i Entra ID och hittas i Audit logs och Provisioning logs. Se aktuella felmeddelanden nedan med reservation för att dessa kan komma att ändras. 

"User {userId} has no main membership."

Indikerar på att användaren inte har någon behörighetsgrupp och har därför ingen behörighet till Stratsys.

Lösning: Kan bero på olika anledningar, kontakta Stratsys support.

"No matching group has been found for group with display name {name}. A group has to be configured with this alias."

Lösning: Kontrollera att ni konfigurerat samtliga grupper som ska synkas mot Entra ID i Stratsys Platform, se hur ni gör här.

"User {user.Id} has no department in platform nor does it exist in database and therefore cannot be added as a member of a group."

Felmeddelandet antyder på att användaren har en department/avdelning i Entra ID som inte är tillagd som alias i Stratsys Plattform.

Lösning: Uppdatera aliasmappningen av enheter, se hur ni gör här.

"{userId} is not flagged as synchronized and won't be updated. Set to Synchronized in platform or remove from provisioning in Azure."

Användaren är inte satt som extern i plattformen.

Lösning: Flagga användare som synkroniserad, se hur ni gör här.

"User {platformId} is not set as external and will not be updated." 

Användaren är inte satt som extern i Stratsys

Lösning: Flagga användare som synkroniserad, se hur ni gör här. Är toggeln "Användare hanteras genom en extern användarkatalog" redan påslagen, slå av toggeln och slå på den igen.

"User {platformId} is not set as external and will not be updated."

Användaren är inte satt som extern i plattformen.

Lösning: Flagga användare som synkroniserad, se hur ni gör här.

"User {userId} not found in Stratsys."

Användaren kan inte hittas i Stratsys.

Lösning: Kontakta Stratsys support.

"No standard department defined"

Felmeddelandet antyder på att en användare har en department/avdelning i Entra ID som inte matchar mot något enhets-alias i konfigurationen i Stratsys Platform och att det inte finns någon standardenhet eller reservenhet definierad i Stratsys Platform. Det innebär att användaren inte kommer att läggas till på avdelningen. Har användaren en organisationsenhet i Stratsys sedan tidigare kommer den behålla denna, är det en ny användare kommer den användaren inte att få behörighet till Stratsys.

För att ta reda på vilken användare det handlar om gå till Audit logs i Entra ID , öppna Audit Log Details och se "Modified Properties" där ni hittar ID:t på användaren. ID:t kan ni sedan lägga in här (se 1 i bilen nedan), då öppnas användaren upp till höger.

Lösning:

Alternativ 1: Kontrollera vilken avdelning/department användaren tillhör i Entra ID och lägg till namnet på avdelningen som alias på motsvarande organisationsenhet i Stratsys Plattform, se beskrivning på hur det ska göras här. Användaren kommer att få enhetstillhörigheten när alias har sparats.

Alternativ 2: Lägg till en reservenhet på behörighetsgruppen. Invänta nästa synk och kontrollera att användaren har lagts till på reservenheten.

Mailnotiser

Det finns möjlighet att i Entra ID Enterprise applikationen konfigurera en mejladress för att ta emot mejlnotiser vid fel. 

Q&A

Fråga: Jag har en användare i Stratsys som inte ska ha tillgång till systemet. Användaren har slutat och finns inte längre med i användarkatalogen. Varför finns användaren kvar i Stratsys? Hur kan jag ta bort användaren (den är låst för redigering)?

Svar: Användaren har med största sannolikhet skapats upp manuellt i Stratsys och slutat i organisationen innan synken aktiverades. När synken aktiveras så markeras samtliga användare . Lösning: koppla bort användaren från synken i Stratsys plattform och ta bort användaren manuellt.

Fråga: Hur fungerar AD-synk kopplat till DD-produkten?

Svar:

Förutsättning

• Det krävs att ni har det strategiska lagret aktiverat (eller någon annan av Stratsys produkter).

Tillvägagångssätt

1. Säkerställ att kunden har minst en grupp i AD som ska synkas in till Stratsys (det strategiska lagret). 

2. Genomför uppsättning av användarsynkronisering enligt uppsättningsguiden.

3. Användare synkas därefter automatiskt från AD till plattformen samt till det strategiska lagret.

Användarhanteringen mot DD

1. För att användare ska få tillgång till DD-produkten behöver de väljas in manuellt i DD. 

2. Om en användare tas bort i AD sker automatisk borttagning även i DD.

Fråga: Varför läggs vissa användare inte till i Stratsys-databasen vid synkronisering från Entra ID? De läggs till i Plattformsadministrationen, men inte i databasen.

Svar: Den absolut vanligaste anledningen till detta tillstånd är att användarens enhets alias inte är mappat mot en enhet i enhetsmappningen i Entra ID. Säkerställ användarens enhets-alias på användarkortet i plattformsadministrationen. Detta görs enklast genom att söka fram användaren och expandera sektionen "SCIM-detaljer". Det som ligger under "Enhet" är det som skickas som enhetsidentifierare från Entra ID. Säkerställ därefter att detta alias ligger tillagt på korrekt enhet i enhetsträdet i plattformsadministrationen. Det går bra att söka på enhetens alias. Om det inte finns med sedan innan, så lägg in det så bör användaren hamna på rätt enhet och bli tillagd i Stratsys-databasen.