针对员工生命周期自动化的 Microsoft Entra ID 治理部署指南

部署方案是有关如何合并和测试Microsoft安全产品和服务的指导。 你可以了解功能如何协同工作，以提高工作效率，增强安全性，并更轻松地满足合规性和法规要求。

本指南中显示了以下产品和服务：

使用此方案帮助确定您是否需要 Microsoft Entra ID 治理 来为组织创建和授予访问权限。 了解如何通过员工生命周期自动化有效地、安全且一致地预配用户。

时间线

时间线显示大致的交付阶段持续时间，并基于方案复杂性。 时间是估计值，具体取决于环境。

  1. 人力资源预配 - 3小时
  2. 软件即服务 （SaaS） 应用预配 - 1 小时
  3. 生命周期工作流 - 3 小时

员工生命周期自动化

为了简化员工标识管理，组织正在采用新式解决方案和自动化。 借助标识管理系统和技术，IT 人员可以克服有限的手动过程，并提高效率。

Microsoft Entra ID 治理

借助 Microsoft Entra ID 治理解决方案，组织可提高工作效率，增强安全性，并满足合规性和法规要求。 使用 Microsoft Entra ID 治理 确保适当的人员在正确的时间有权访问正确的资源。 详细了解 Microsoft Entra ID 治理 用例 和 文档。

HR 驱动的预配

HR 驱动的预配基于人力资源 (HR) 系统创建数字标识，成为授权来源。 此阶段是许多预配过程的起点。

云 HR 到 Microsoft Entra ID

用户在 Microsoft Entra ID 和其他支持用户预配的 SaaS 应用中创建。 在云端 HR 系统中更新员工记录时，用户帐户会同步更新到 Microsoft Entra ID 和支持的 SaaS 应用程序。

API 驱动的预配

Microsoft Entra ID 中的标识数据与记录系统中管理的员工数据保持同步：HR 应用、工资应用、电子表格、本地数据库或云中的 SQL 表。 使用应用程序编程接口 （API）驱动的入站预配，Microsoft Entra 预配服务支持与记录系统的集成。

了解详细信息：

API 驱动的预配方案

IT 团队使用自动化导入数据提取。 独立软件供应商 (ISV) 与 Microsoft Entra ID 集成。 系统集成商构建记录系统的连接器。 此过程通常用于平面文件、CSV 文件、SQL 暂存表等源。 集成自动化工具：PowerShell 脚本、Azure 逻辑应用以及通过 HTTP 调用的工作流。

配置 API 驱动的预配

可以了解如何配置 API 驱动的入站预配。

比较：入站预配 /bulkUpload API 和 Microsoft Graph Users API

建议注意预配 /bulkUpload API 与 Microsoft Graph Users API 终结点之间的差异：有效负载格式、操作结果和 IT 管理员保留控制权。

在常见问题解答中，了解 新的入站预配 API 与图形用户 API 有何不同。

部署 API 驱动的入站预配

  1. 创建 API 驱动的预配应用。
  2. 对于 Active Directory， 请配置 API 驱动的入站预配应用。 对于 Microsoft Entra ID， 请配置 API 驱动的入站预配应用。
  3. 授予对入站预配 API 的访问权限
  4. 自定义用户预配属性映射
  5. 同步自定义属性

若要了解详细信息，请参阅以下有关 API 驱动的入站预配的快速入门指南：

出站应用预配

可以使用跨域标识管理系统（SCIM）为软件即服务（SaaS）应用进行预配。

详细了解 使用 Microsoft Entra ID 进行 SCIM 同步。

使用 SCIM 终结点配置预配

SCIM 2.0 是两个终结点 /Users 和 /Groups 的标准化定义。

请参阅本教程中的更多详细信息，在 Microsoft Entra ID 中开发和规划 SCIM 终结点的预配。

生命周期工作流自定义扩展

使用自定义扩展使用 Azure 逻辑应用等工具创建工作流。 对于工作流，可以启用自定义任务扩展来调用外部系统。 例如，带有自定义任务扩展的 Joiner 工作流分配了一个 Microsoft Teams 号码。 或者，当用户成为 Leaver 时，单独的工作流会向其经理授予对电子邮件帐户的访问权限。 可以了解如何 基于自定义任务扩展触发逻辑应用。

注释

若要创建用于托管的逻辑应用资源，请选择“ 消耗”。 消费逻辑应用有一个在多租户 Azure 逻辑应用 中运行的工作流。

若要了解详细信息，请参阅 应用服务环境概述 和 Azure 逻辑应用文档。

部署生命周期工作流

  1. 自动载入新员工
  2. 自动化入职后流程
  3. 实时员工变更
  4. 员工组成员身份更改
  5. 员工职位资料更改
  6. 自动预退
  7. 自动化离职后管理
  8. 使用自定义扩展触发逻辑应用

支持的任务和工作流

该表根据 Joiner、Mover、Leaver 状态列出任务和工作流。

Category 任务和工作流
连接器 向新员工发送欢迎电子邮件
连接器 发送载入提醒电子邮件
连接器 生成临时访问通行证 （TAP） 并将其通过电子邮件发送给新员工经理
搬运工 向经理发送有关用户移动的通知电子邮件
入职者、换岗者 请求用户访问包分配
Joiner、Mover、Leaver 将用户添加到组
Joiner、Mover、Leaver 将用户添加到团队
入职者、离职者 启用用户帐户
Joiner、Mover、Leaver 运行自定义任务扩展
离职者 禁用用户帐户
Joiner、Mover、Leaver 从组中删除用户
离职者 从所有组中删除用户
离职者 从团队中删除用户
离职者 从所有团队中删除用户
离职者、迁移者 删除用户访问包分配
离职者 删除所有用户访问包分配
离职者 取消所有挂起的用户访问包分配请求
离职者 删除所有用户许可证分配
离职者 删除用户
离职者 在最后一天之前向用户的经理发送电子邮件
离职者 在最后一天向用户的经理发送电子邮件
离职者 在最后一天之后向用户的经理发送电子邮件

后续步骤

  • 上次更新时间为