Configurar o aplicativo assistente do Entra ID (Azure AD) no Control Hub

Ativar o Entra ID no Control Hub

No Webex for Government, o aplicativo assistente do Entra ID (Azure AD) está disponível para clientes GCC Entra ID moderado e GCC High Entra ID.

Alguns dos recursos descritos neste artigo ainda não estão disponíveis para todos os clientes.

Antes de começar

Certifique-se de ter acesso a uma conta do Entra ID que tenha autoridade para conceder consentimento de todo o locatário para um aplicativo.

Inicie sessão no Control Hub com uma conta de administrador completo.

Vá para Configurações da organização e role para baixo até o Aplicativo assistente do Microsoft Azure Active Directory.

Clique em Configurar para iniciar a configuração.

(Opcional) Para administradores Webex for Government, selecione Entra Worldwide ou Entra GCC High e clique em Continuar.

Entra Worldwide envia o assistente para o Entra AD para o GCC moderado e comercial. Entra GCC High envia o assistente para o Entra AD para GCC High.

Autentique sua conta de administrador do Entra ID.

Se você não for um administrador de função global ou com privilégios no Entra ID, poderá solicitar acesso para conceder permissão ao aplicativo assistente do Entra ID (Azure AD).

Se você tiver privilégios de administrador totais no Entra ID, poderá revisar e conceder acesso a solicitações indo para Identidade > Aplicativos > Aplicativos corporativos. Em Atividade, selecione Solicitações de consentimento do administrador , clique em Integração de identidade do Cisco Webex e selecione Revisar permissões e aceitar. Este processo concede autenticação geral ao aplicativo Webex.

Por fim, clique na guia Tudo (pré-visualização) , selecione Integração de identidade Cisco Webex e clique em Revisar aplicativo. Em Segurança > Permissões, clique em Conceder consentimento de administrador à Cisco para conceder todas as permissões necessárias para ativar o Entra ID no Control Hub.

Consulte o suporte da Microsoft para obter mais informações sobre este processo.

Revise as permissões e clique em Aceitar para conceder a autorização da conta para acessar o locatário da ID do Entra.

Cisco Webex Identity é um aplicativo Entra ID enterprise no Entra ID. O aplicativo assistente se conecta a este aplicativo para acessar as APIs do gráfico Entra ID. As permissões necessárias para acessá-lo são as permissões mínimas necessárias para suportá-lo e usá-lo.

Imagem mostrando as permissões disponíveis.

Permissão	Uso
Gerenciar os aplicativos criados ou proprietários por esse aplicativo	Necessário para gerenciar o aplicativo Cisco Webex Identity no Entra ID Enterprise, incluindo: Criar/excluir este aplicativo no Entra ID Configuração do mapeamento de atributos Renomear o aplicativo no Entra ID Ativar/desativar provisionamento automático
Ler todos os dados do registro de auditoria	Usado para acessar o registro de auditoria de provisionamento da Identidade Cisco Webex para ler o histórico de provisionamento. Essas informações são usadas para a função de resumo de sincronização e relatório de sincronização no aplicativo assistente.
Ler todos os grupos/Ler todas as associações do grupo	Lê a lista de grupos do Entra ID para permitir a configuração bem-sucedida do escopo de sincronização de grupos. As atualizações nas associações do grupo podem levar até 12 horas para serem sincronizadas. Se um novo usuário não for sincronizado automaticamente quando a sincronização do grupo ocorrer, você precisará esperar mais 12 horas para que o novo usuário sincronize com o grupo.
Ler os perfis completos de todos os usuários	Usado ao adicionar usuários no escopo de sincronização. Por exemplo, essa permissão permite a leitura de informações do usuário pesquisando um usuário e exibindo os usuários na tabela na página do usuário.

Para clientes SMB, aceite as configurações padrão marcando a caixa de seleção Sincronizar padrões e clicando em Continuar. Para clientes corporativos, vá para a próxima etapa e continue a configuração.

Se você aceitar as configurações padrão, isso significa que você deseja:

Sincronizar todos os usuários com o Webex.
Aceite os mapeamentos de atributos padrão.
Ative a alternância para sincronizar as imagens de perfil de todos os usuários para exibir nos serviços Webex.
Ative a sincronização automática após a conclusão da configuração.

Imagem mostrando a opção de configuração padrão de sincronização do Azure AD

Para clientes corporativos (mais de 1.000 usuários) ou os clientes que desejam definir as configurações manualmente, clique na guia de Atributos e mapeie os atributos. Clique em Salvar.

Você pode mapear outros atributos de usuário do Entra ID para o Webex ou alterar os mapeamentos de atributos de usuários existentes usando a página de Atributos . Você pode personalizar o mapeamento garantindo que você o configure corretamente. O valor que você mapeia como o nome de usuário é importante. O Webex usa o endereço de e-mail do usuário como seu nome de usuário. Por padrão, o userPrincipalName (UPN) no Entra ID é correlacionado com o endereço de e-mail (nome de usuário) no Control Hub.

Você não pode editar o mapeamento durante a primeira configuração. Nesse ponto, a ocorrência correspondente não é totalmente criada e não há instância do atributo de mapeamento personalizado. No entanto, você pode clicar em Editar para alterá-la quando a configuração for concluída.

Adicione usuários ao escopo da sincronização clicando na guia Usuários.

Você pode inserir o nome de usuário a ser pesquisado e adicionar o usuário no escopo de sincronização. Você também pode remover um usuário do escopo de sincronização clicando no ícone Lixeira do lado direito. Clique em Salvar.

Se você quiser selecionar todos os usuários do Entra ID, selecione Selecionar todos os usuários. Se você selecioná-lo, você não precisa selecionar grupos no escopo, pois esta opção sincroniza os grupos ao mesmo tempo.

Imagem mostrando todos os usuários sincronizados

Não recomendamos usar Selecionar todos os usuários para clientes corporativos significativos com centenas de milhares de usuários, pois o processo de inicialização requer um longo tempo. Se você sincroniza acidentalmente vários usuários no Control Hub, também leva mais tempo para excluir esses usuários.

Clique em Salvar.

Na guia de Grupos , você pode procurar grupos individuais e adicioná-los ao Webex.

Clique na guia Sincronizar membros do grupo para pesquisar e selecionar todos os usuários em grupos específicos.
Clique na guia Sincronizar grupos de crianças para selecionar os grupos pai cujos filhos você deseja sincronizar.
A seleção de um grupo pai sincroniza apenas os usuários em seus grupos filho. Use a guia Sincronizar membros do grupo para sincronizar o grupo pai maior.

Por padrão, apenas os usuários nos grupos selecionados são sincronizados com o Webex. Vá para a guia Mais e selecione Sincronizar objetos do grupo se você também quiser sincronizar os grupos.

Imagem mostrando a tela para adicionar ou remover grupos

Na guia Mais , você pode configurar algumas opções avançadas de sincronização:

Sincronizar os avatares dos usuários—ative isso para permitir que o Aplicativo Webex sincronize todos os avatares do usuário no escopo com o Webex. Quando um avatar dos usuários é atualizado, o avatar do usuário é atualizado automaticamente no Webex. Ele pode não ser atualizado imediatamente porque depende da notificação de atualização para acionar a atualização.
Sincronizar objetos de grupo—ative isso para que os objetos de grupo selecionados na guia Grupos sejam sincronizados com o Webex.
Ativar registro único—ative para configurar o SSO do OpenID Connect (OIDC) para sua organização.

Se sua organização já tiver o SSO ativado usando uma das opções SAML, você deverá desativar a opção SAML primeiro antes de ativar o SSO OIDC no aplicativo assistente do Entra ID (Azure AD).
Identificar e sincronizar objetos da sala—ative para sincronizar objetos da sala com o Webex.

Você pode decidir se deseja permitir que a sincronização seja realizada imediatamente ou em uma fase posterior. Se você selecionar a opção Permitir agora, ela aplicará todas as configurações à próxima sincronização. Se você selecionar a opção Salvar e permitir mais tarde, a sincronização não inicia até que você permita a sincronização automática.

Imagem mostrando a opção para salvar a configuração

O aplicativo se comunica com o Entra ID para definir a configuração e agenda a sincronização.

Imagem mostrando que a configuração foi bem sucedida

Após a conclusão da sincronização, um dos seguintes resultados é exibido no campo Status do trabalho :

Ativo: a sincronização foi bem-sucedida.
Quarentena: o trabalho de sincronização foi colocado em quarentena no Entra ID após várias falhas. Consulte a documentação do Entra ID para obter mais informações.
NotRun: este status aparece apenas após a primeira configuração. O serviço ainda não foi executado após a primeira configuração.

Você também pode clicar em Exibir resumo para ver informações adicionais, como a hora e a data da última sincronização e o número de usuários sincronizados, ignorados ou com falha:

Usuários

Sincronizado: mostra o número de usuários sincronizados com êxito com o Webex.
Ignorado: mostra o número de usuários que foram ignorados na última sincronização. Por exemplo, novos usuários no Entra ID que não foram adicionados ao escopo de sincronização do aplicativo assistente do Entra ID (Azure AD). Esses usuários não foram sincronizados com o Webex; adicione-os no escopo de sincronização para sincronizá-los com o Webex.
Falha: mostra o número de usuários que falharam ao sincronizar. Verifique o registro de auditoria de provisão do aplicativo Entra ID para obter mais informações sobre por que esses usuários falharam ao sincronizar. Se você precisar sincronizar esses usuários imediatamente, poderá provisionar usuários sob demanda.

Grupos

Sincronizado: mostra o número de grupos sincronizados com êxito com o Webex e criados no Control Hub.
Para ser sincronizado: este status indica que todos os usuários de um grupo ainda não foram adicionados. Os usuários devem primeiro ser sincronizados com êxito com o Webex.

Migrar configurações existentes do aplicativo Cisco Webex Enterprise para o aplicativo assistente do Entra ID (Azure AD)

Se você já tiver configurado um aplicativo Cisco Webex Enterprise no Entra ID, poderá migrar todas as suas configurações para o aplicativo assistente do Entra ID (Azure AD) automaticamente. Você pode gerenciar o Entra ID no Control Hub sem perder nenhuma das configurações anteriores.

Inicie sessão no Control Hub com uma conta de administrador completo.

Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.

Clique em Configurar para iniciar a configuração.

Autentique a conta de administrador do Entra ID com a configuração do Entra ID. Certifique-se de usar uma conta que tenha as permissões descritas na próxima etapa.

Revise as permissões e clique em Aceitar para conceder a autorização da conta para acessar o locatário da ID do Entra.

Sincronização de identidade do Cisco Webex é um aplicativo Entra ID empresarial no Entra ID. O aplicativo assistente se conecta a este aplicativo para acessar as APIs do gráfico Entra ID. As permissões necessárias para acessá-lo são as permissões mínimas necessárias para suportar e usá-los.

Permissão	Uso
Gerenciar os aplicativos criados ou proprietários por esse aplicativo	Necessário para gerenciar o aplicativo Cisco Webex Identity no Entra ID Enterprise, incluindo: Criar/excluir este aplicativo no Entra ID Configuração do mapeamento de atributos Renomear o aplicativo no Entra ID Ativar/desativar provisionamento automático
Ler todos os dados do registro de auditoria	Usado para acessar o registro de auditoria de provisionamento da Identidade Cisco Webex para ler o histórico de provisionamento. Essas informações são usadas para a função de resumo de sincronização e relatório de sincronização no aplicativo assistente.
Ler todos os grupos/Ler todas as associações do grupo	Lê a lista de grupos do Entra ID para permitir a configuração bem-sucedida do escopo de sincronização de grupos.
Ler os perfis completos de todos os usuários	Usado ao adicionar usuários no escopo de sincronização. Por exemplo, essa permissão permite a leitura de informações do usuário pesquisando um usuário e exibindo os usuários na tabela na página do usuário.

Selecione Migrar aplicativo existente.

Depois de aceitar solicitações adicionais de permissão de somente leitura, selecione o aplicativo existente que você deseja migrar para o aplicativo assistente e clique em Continuar.

Se o aplicativo existente selecionado não provisionar os usuários no mesmo Control Hub, a migração falhará.

Após a conclusão da migração, recomendamos que você execute uma simulação antes de habilitar a sincronização automática para garantir que não há erros.

Executar uma simulação

Antes de habilitar a sincronização automática, recomendamos que você execute uma simulação primeiro para garantir que não haja erros. Depois que a simulação for concluída, você poderá baixar um relatório de simulação para ver informações detalhadas. As colunas disponíveis no relatório são:

Quadro 1. Simular as descrições da coluna do relatório
Nome da Coluna	Descrição
Tipo de objeto	Tipo de objeto na ID do Entra, como usuário ou grupo.
Tipo de ação	Tipo de ação que será executada ao objeto durante uma sincronização. Os tipos de ação possíveis são: Correspondido— o objeto corresponde no Entra ID e no Control Hub. Adicionar—O objeto será adicionado ao Control Hub. Desativar—O objeto está no Control Hub, mas o objeto foi removido do Entra ID ou não foi adicionado ao escopo de sincronização. Após a sincronização, o objeto será desativado.
ID do Azure	ID do objeto na ID do Entra.
Nome do Azure	Nome do objeto na ID do Entra.
Nome Webex	Nome do objeto no Webex.
Motivo	Motivo pelo qual um tipo de ação ocorrerá durante uma sincronização.

1	Inicie sessão no Control Hub com uma conta de administrador completo.
2	Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.
3	Clique nos três pontos verticais ao lado da ocorrência que você deseja sincronizar e selecione Simulação.
4	Depois que a simulação for concluída, clique em Baixar resumo para baixar o relatório como um arquivo CSV.

Ativar ou desativar a sincronização automática

O aplicativo assistente do Entra ID (Azure AD) e seu serviço de back-end correspondente verificam se a sincronização automática está habilitada para determinar quando sincronizar usuários ou grupos do Entra ID com o Webex. Ative a Sincronização automática para permitir a sincronização de usuário e grupo de provisionamento automático. Quando você desativa a Sincronização automática , o aplicativo assistente não sincroniza nada com o Webex, mas a configuração existente é preservada.

Normalmente, os usuários são sincronizados a cada 40 minutos de acordo com a política da Microsoft.

1	Faça logon no Control Hub como o administrador total da organização.
2	Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.
3	Alterne a alternância para a direita para ativar a sincronização automática. Desative-o alternando a alternância de sincronização automática para a esquerda.

Editar a configuração do aplicativo assistente do Entra ID (Azure AD)

1	Inicie sessão no Control Hub com uma conta de administrador completo.
2	Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.
3	Clique em Editar configuração.
4	Personalize o mapeamento de atributos selecionando um atributo da coluna esquerda com origem no Entra ID. O atributo de destino na nuvem Webex está na coluna à direita. Consulte o mapeamento de atributos do aplicativo assistente do Entra ID (Azure AD) para obter mais informações sobre o mapeamento de atributos.
5	Na guia Usuários e Grupos , adicione ou remova usuários e grupos do escopo de sincronização. Os grupos aninhados não são sincronizados automaticamente com a nuvem. Certifique-se de selecionar quaisquer grupos que estejam aninhados nos grupos que você deseja sincronizar.
6	Na aba Mais , altere suas preferências, se necessário.
7	Clique em Salvar para salvar a configuração modificada. Suas atualizações serão aplicadas na próxima sincronização. O mecanismo de sincronização automática do Entra ID lida com a sincronização de usuários e grupos de usuários.

Edite o nome da ocorrência Webex

Altere como o nome da ocorrência do Cisco Webex Identity aparece na lista de aplicativos corporativos do Entra ID.

1	Inicie sessão no Control Hub com uma conta de administrador completo.
2	Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.
3	Clique em Editar nome da ocorrência.
4	Insira o nome da nova instância e clique em Salvar.

Excluir a configuração do aplicativo assistente do Entra ID (Azure AD)

Quando você exclui o aplicativo assistente do Entra ID (Azure AD), ele remove a configuração da sincronização do Entra ID. A configuração não é mantida pelo Webex ou pelo Entra ID. Se você quiser usar a sincronização do Entra ID no futuro, será necessário fazer uma reconfiguração completa.

Não exclua o aplicativo Cisco Webex de dentro do Entra ID.

1	Inicie sessão no Control Hub com uma conta de administrador completo.
2	Vá para Configurações da Organização e role para baixo até a seção Sincronização de diretórios.
3	Clique em Excluir instância.
4	Na página Excluir instância do Azure AD? , selecione Revogar o consentimento do administrador do Azure AD se você quiser remover o acordo de consentimento do Webex. Se você selecionar esta opção, você deve inserir suas credenciais e conceder as permissões novamente.
5	Clique em Excluir.

Provisionar um usuário para o Webex sob demanda

Você pode provisionar um usuário para o Webex imediatamente, independentemente de uma sincronização do Entra ID, e verificar instantaneamente o resultado. Isso ajudará na solução de problemas durante a configuração.

1	Inicie sessão no Control Hub com uma conta de administrador completo.
2	Vá para Configurações da organização e role para baixo até a seção Sincronização de diretórios .
3	Clique em Provisionar um usuário sob demanda.
4	Procure e selecione o usuário que você deseja provisionar e clique em Provisionar.
5	Um dos seguintes resultados aparece quando ele é concluído: Provisionamento bem-sucedido: O novo usuário foi criado com êxito no Webex. Provisionamento ignorado: O provisionamento foi ignorado por algum motivo, geralmente porque o usuário já existe. Os detalhes aparecem na página Resumo dos resultados . Falha no provisionamento: O provisionamento falhou. Os detalhes aparecem na página Resumo dos resultados .
6	Clique em Tentar novamente para provisionar o mesmo usuário novamente, se ele for ignorado ou falhou.
7	Clique em Provisionar outro usuário para retornar à página de provisionamento.
8	Clique em Concluído quando terminar.

Importar domínios verificados do Entra ID para o Control Hub

Os clientes podem ter centenas de domínios verificados no Entra ID. Enquanto se integram com o Control Hub, se quiserem importar os domínios verificados do Entra ID para o Control Hub. Isso pode salvar muitos esforços no processo de manutenção ou configuração.

1	Vá para a seção de domínio na guia Configurações da organização no Control Hub.
2	Clique em Adicionar com o Entra ID.
3	Na página Adicionar domínios verificados , pesquise e selecione os domínios a adicionar.
4	Clique em Adicionar. Os domínios verificados aparecerão na lista de domínios verificados.

Mapeamento de atributos do aplicativo assistente do Entra ID (Azure AD)

O aplicativo assistente do Entra ID (Azure AD) pode suportar e sincronizar quaisquer alterações feitas em suas expressões de atributo. Por exemplo, no Entra ID, você pode mapear o displayName para que ele exiba os atributos sobrenome e givenName . Essas alterações aparecem no aplicativo assistente.

Você pode encontrar mais informações sobre o mapeamento de expressões de atributos na ID do Entra no site de ajuda da Microsoft.

Use a tabela a seguir para obter informações sobre atributos específicos do Entra ID.

O Entra ID não sincroniza valores nulos. Se você definir um valor de atributo como nulo no Entra ID, ele não será excluído ou corrigido com um valor nulo no Webex. Consulte as limitações no site de ajuda da Microsoft para obter mais informações.

Quadro 2. Azure para Mapeamentos Webex
Atributo Entra ID (origem)	Atributo de Usuário Webex (destino)	Descrição
Userprincipalname	userName	É A ID exclusiva do usuário no Webex. É um e-mail formatado.
displayName	displayName	Nome de usuário que é exibido no aplicativo Webex.
Sobrenome	nome.famíliaName
Givenname	nome.givenName
Objectid	ID externa	É O UID do usuário no Entra ID. Geralmente, ela tem uma sequência de 16 Bytes. Não recomendamos que você altere esse mapeamento.
Jobtitle	cargo
alocação de uso	endereços[digite eq "trabalho"].país	Recomendamos usar o mapeamento da Alocação de Uso para endereços [tipo eq "trabalho"].país. Se você escolher outro atributo, você deve garantir que os valores do atributo estão em conformidade com os padrões. Por exemplo, os EUA devem ser EUA. A China deve ser CN e assim por diante.
cidade	endereços[digite eq "trabalho"].localidade
Streetaddress	endereços[digite eq "trabalho"].streetAddress
estado	endereços[digite eq "trabalho"].região
Postalcode	endereços[digite eq "trabalho"].postalCode
Telephonenumber	phoneNumbers[type eq "work"].value
móvel	phoneNumbers[type eq "mobile"].value
ileileTelephoneNumber	phoneNumbers[type eq "fax"].value
gerente	gerente	Sincroniza as informações do gerente dos usuários com o Webex para que os usuários sempre possam ver as informações corretas do gerente no cartão de contato de um usuário. Quando um usuário é criado, o Entra ID verifica se o objeto do gerente do usuário está na identidade Webex ou não. Caso contrário, o atributo de gerente do usuário será ignorado. Se houver um atributo de gerente, duas condições devem ser atendidas para que ele seja exibido no cartão de contato do usuário: O objeto do gerente está sincronizado com o Webex. O usuário membro está ativo no aplicativo Webex. Tecnicamente, ele pode acionar o evento de back-end para consultar o atributo de gerente do usuário periodicamente. Portanto, quando as informações de gerente do usuário são adicionadas ou alteradas, o atributo de gerente do usuário pode ser atualizado por meio do serviço acionado. Essas condições verificam a atualização do atributo de gerente do usuário quando o token de autenticação de um usuário expirar. As alterações do atributo do gerente não serão refletidas no cartão de contato do usuário até que o usuário inicie sessão pela primeira vez após a alteração.

Perguntas frequentes

Como posso migrar para o aplicativo assistente do Entra ID (Azure AD) do provisionamento do Conector de diretórios da Cisco?

Durante a configuração, o aplicativo assistente detecta se sua organização usa o Conector de diretórios. Se estiver ativado, uma caixa de diálogo onde você pode optar por usar o Entra ID e bloquear o Conector de diretórios. Clique em Bloquear para confirmar que você deseja continuar a configuração do aplicativo assistente do Entra ID (Azure AD).

Você também pode optar por desativar o Conector de diretórios antes de configurar o aplicativo assistente. Após a configuração, o aplicativo assistente gerencia os perfis de usuário. No entanto, o aplicativo assistente gerencia apenas os usuários que foram adicionados ao escopo de sincronização; você não pode usar o aplicativo assistente para gerenciar usuários sincronizados pelo Conector de diretórios que não faziam parte do escopo de sincronização.

Posso configurar o registro único com o Microsoft Entra?

Você pode configurar uma integração de registro único (SSO) entre uma organização de cliente do Control Hub e uma implantação que usa o Microsoft Entra ID como um provedor de identidade.

Quando o avatar do usuário é atualizado no Webex?

Os avatares dos usuários serão sincronizados com o Webex quando o usuário for criado no Webex Identity. Essa atualização depende do avatar do usuário que está sendo atualizado no Entra ID. O aplicativo assistente então recupera o novo avatar do Entra ID.

Por que um usuário não aparece em um grupo no Control Hub imediatamente após a sincronização e como isso pode ser resolvido?

As sincronizações de usuários e grupos são processos independentes. Embora as sincronizações de usuários possam ocorrer separadamente, as sincronizações de grupo ocorrem automaticamente a cada 12 horas. Se um usuário for sincronizado por meio de um grupo, mas não aparecer imediatamente no grupo no Control Hub, esse comportamento ainda será esperado. Se um usuário aparecer apenas na lista de usuários principal, mas não no grupo, nenhuma outra ação será necessária. Basta aguardar a conclusão do próximo ciclo de sincronização de grupo.

Obrigado pelos seus comentários.