Como configurar o provisionamento SCIM com o Azure AD

Este documento fornece informações sobre como realizar a integração da plataforma Cloud Security com o Azure AD, para que administradores possam provisionar, consultar e gerenciar usuários da plataforma de forma automatizada via integração SCIM 2.0, evitando processos manuais, escalando a governança de identidade e garantindo conformidade com boas práticas de segurança.

Requisitos

• Ter uma conta de serviço com a role Gerenciamento do SCIM configurada no Cloud Security. Mais informações em Como criar uma conta de serviço.
• O Client ID e o Client Secret gerados para esta conta de serviço.
• Acesso de administrador ao seu portal Microsoft Entra ID (Azure AD).

Passo 1: Criar um aplicativo empresarial

O primeiro passo é criar um aplicativo empresarial no Azure AD. Este aplicativo servirá como ponte entre o seu diretório do Azure e o Cloud Security.

1. Acesse a plataforma Azure.
2. Faça login na sua conta do Azure.
3. Localize o serviço Microsoft Entra ID.
4. No menu lateral, selecione Aplicativos empresariais.
5. Na tela Aplicativos empresariais, no menu lateral, selecione Gerenciar > Todos os aplicativos.
6. Clique em Novo aplicativo.
7. Clique em Criar seu próprio aplicativo.
8. Insira um nome para o seu aplicativo e selecione Integrar qualquer outro aplicativo que você não encontrar na galeria (Non-gallery).
9. Clique em Criar.

Passo 2: Configurar as credenciais de provisionamento

Para que o Azure AD consiga enviar dados do usuário para o Cloud Security, você deve estabelecer uma conexão segura. Nesta etapa, você usará a chave de acesso gerada para sua conta de serviço para autenticar a integração.

1. No seu aplicativo empresarial, no menu lateral, selecione Gerenciar > Provisionamento.
2. Na tela Provisionamento, no campo Modo de Provisionamento, selecione Automático.
3. Na aba Credenciais de Administrador, preencha os seguintes campos:
   1. Método de Autenticação: selecione OAuth2 Client Credentials Grant.
   2. URL do tenant *: insira a URL base SCIM da plataforma. Exemplo: https://<seu-tenant>/scim/v2.
   3. Token Endpoint *: insira o token endpoint do Cloud Security. Exemplo: https://<seu-tenant>/realms/zarya/protocol/openid-connect/token.
   4. Client Identifier *: insira o Client ID obtido da chave de acesso da conta de serviço.
   5. Client Secret *: insira o Client Secret obtido da chave de acesso da conta de serviço.
      Info

      Por motivos de segurança, o Client Secret é exibido apenas uma vez durante a criação da chave de acesso para a conta de serviço. Se você não o salvou, será necessário gerar uma nova chave de acesso na plataforma Cloud Security. Mais informações em Como criar uma conta de serviço.

4. Clique em Testar Conexão para validar a conexão com o Cloud Security. O Azure envia uma solicitação à plataforma para validar as credenciais e o token endpoint.
5. Após o teste bem-sucedido, clique em Salvar na parte superior da tela para exibir a seção Mapeamentos.
6. Na seção Mapeamentos, clique em Provision Microsoft Entra ID Groups e alterne a opção Ativado para Não.
7. Clique em Salvar.

Passo 3: Configurar os mapeamentos de atributos

Por padrão, o Azure AD mapeia alguns atributos que não são necessários para o Cloud Security. Siga os passos abaixo para configurar a lista de atributos:

1. No seu aplicativo empresarial, no menu lateral, selecione Gerenciar > Mapeamento de atributos.
2. Na tela Mapeamento de atributos, clique em Provision Microsoft Entra ID Users.
3. Na tabela Mapeamento de atributos, exclua os seguintes atributos:
   1. title.
   2. emails[type eq "work"].value.
   3. name.formatted.
   4. Todos os atributos addresses e phoneNumbers.
   5. Todos os atributos que começam com urn:.
4. Edite o atributo externalId:
   1. Atributo de origem: insira objectId.
   2. Clique em Ok.
5. Selecione a caixa de seleção Mostrar opções avançadas e clique em Editar lista de atributos para customappsso.
6. Na nova janela, crie um novo atributo de destino para receber as funções da plataforma:
   1. Nome: insira roles.
   2. Tipo: selecione String.
   3. Vários valores?: selecione a caixa de seleção.
   4. Clique em Salvar e confirme as alterações.
7. Na tabela Mapeamento de atributos, certifique-se de que sua configuração corresponde exatamente à tabela abaixo. Edite os atributos existentes ou clique em Adicionar novo mapeamento conforme necessário:

8. Clique em Salvar na parte superior da tela e retorne ao menu principal de provisionamento.

Passo 4: Criar e atribuir funções ao aplicativo

Para garantir que os usuários recebam as permissões corretas, você deve replicar as funções do Cloud Security em seu aplicativo do Azure. Após criar as funções, você irá atribuí-las aos usuários ou grupos que deseja provisionar.

1. Na tela Registros do aplicativo, abra o aplicativo criado com o mesmo nome do seu aplicativo empresarial e selecione Gerenciar > Funções de aplicativo.
2. Clique em Criar função de aplicativo.
3. Na tela Criar função de aplicativo, preencha os seguintes campos:
   1. Nome de exibição *: insira um nome para a função. Exemplo: [Cloud Entitlements] Administrador do Tenant.
   2. Tipos de membro permitidos *: selecione a opção User/Groups.
   3. Valor *: insira o mesmo nome da função registrada na plataforma Cloud Security. Exemplo: Platform.Tenant.Admin.
      Atenção

      O campo Valor * deve corresponder exatamente ao nome da função interna registrada no Cloud Security. Se os valores não corresponderem, a sincronização falhará em atribuir as permissões corretas ao usuário.

   4. Descrição *: insira uma breve descrição para a função.
4. Clique em Aplicar.
5. Na sua aplicação empresarial, no menu lateral, selecione Gerenciar > Usuários e grupos.
6. Clique em Adicionar usuário/grupo.
7. Na tela Adicionar Atribuição, preencha os seguintes campos:
   1. Usuários: selecione os usuários que deseja provisionar.
   2. Selecione uma função *: selecione as funções que deseja aplicar aos usuários provisionados.
8. Clique em Atribuir.

Passo 5: Iniciar o processo de provisionamento

Com a conexão autenticada e os atributos mapeados, o processo de sincronização será iniciado de acordo com o agendamento do Azure ou você pode forçá-lo manualmente na página Provisionar sob demanda. Você pode conferir o resultado da integração acessando o relatório Usuários no Cloud Security e verificando se os usuários do Azure AD atribuídos foram provisionados.