Microsoft Entra-groepen

Met provisioning stuurt Microsoft Entra ID je gebruikers en groepen naar Tillor. Koppel je een Entra-groep aan een Tillor-groep, dan volgen de leden van die groep Entra: wie je in Entra toevoegt, krijgt de taken en weergaven van de groep, en wie je eruit haalt of uitschakelt, verliest ze. Daarvoor hoeft niemand opnieuw in te loggen.

Entra gebruikt daarvoor het SCIM-protocol. Tillor leest zelf niets uit je Microsoft-tenant: Entra bepaalt welke gebruikers en groepen het doorstuurt. Alleen tijdens Snel instellen praat je browser met Microsoft om de app voor je aan te maken.

Wat er wel en niet gebeurtLink naar deze sectie kopiëren

• Alleen bestaande leden. Entra maakt geen Tillor-accounts aan. Iemand die nog geen lid is van je organisatie, telt niet mee tot je die persoon uitnodigt. Zodra hij lid wordt, komt hij meteen in zijn gekoppelde groepen
• Geen gegevens van niet-leden. Van mensen zonder Tillor-account bewaart Tillor geen naam of e-mailadres, alleen een onleesbare code waarmee Tillor ze herkent als ze later lid worden
• Niets zonder koppeling. Een Entra-groep verandert pas iets in Tillor als je hem onder Entra-groepen niet gekoppeld aan een Tillor-groep koppelt
• Eén op één. Een Tillor-groep hoort bij hoogstens één Entra-groep
• De naam blijft van Tillor. Hernoem je de groep in Entra, dan zie je de nieuwe naam achter Entra ·, maar de Tillor-groep houdt zijn eigen naam
• Geneste groepen worden niet uitgeklapt. Een groep die lid is van een andere groep telt niet als lid. Wil je die mensen ook, wijs de geneste groep dan apart toe in Entra en koppel hem aan dezelfde of een andere Tillor-groep
• Inloggen verandert niet. Mensen loggen gewoon in met Microsoft, zie Inloggen

Voordat je begintLink naar deze sectie kopiëren

Je hebt nodig:

• In Tillor de permissie Instellingen bewerken
• In Microsoft Entra de rol Cloud Application Administrator of Application Administrator (of hoger)
• Een Entra-licentie die automatische provisioning naar eigen apps toestaat (Microsoft Entra ID P1 of hoger)

Zorg dat je collega's in Tillor hetzelfde Microsoft-account of hetzelfde e-mailadres hebben als in Entra. Zo herkent Tillor wie wie is, zie Hoe Tillor mensen herkent.

Snel instellenLink naar deze sectie kopiëren

Ben je zelf Entra-beheerder, dan zet Tillor de koppeling in één keer voor je klaar.

1. Ga naar Ondersteuning > Instellingen en kies Groepen
2. Klik bij Microsoft Entra op Instellen met Microsoft en daarna op Aanmelden bij Microsoft
3. Meld je in het venster van Microsoft aan met je beheerdersaccount en geef toestemming. Microsoft vraagt om apps en provisioning te mogen beheren en je groepen te mogen lezen

Tillor maakt dan de app in Entra, vult de tenant-URL en het token in, laat gebruikers op hun Microsoft-account herkennen en laat Entra het type van elke groep meesturen. Daarna start de synchronisatie en stuurt Tillor jou en al je groepen meteen door, zodat je niet op de eerste synchronisatie hoeft te wachten. Tot slot leest Tillor per groep het type uit en of er een Team bij hoort. Je ziet elke stap afvinken. Tillor doet dit op de achtergrond: je kunt het venster of zelfs de pagina sluiten. Klik je later weer op Instellen met Microsoft, dan zie je hoe ver het is, of tot een uur na afloop of het gelukt of mislukt is. Daarna kun je met Opnieuw instellen nog eens beginnen.

Entra stuurt daarbij al je gebruikers en groepen. Je hoeft vooraf niets te kiezen: de groepen komen onder Entra-groepen niet gekoppeld en veranderen niets tot je ze koppelt. Ga daarvoor verder bij Groepen koppelen in Tillor. De leden van de groepen volgen met de eerste synchronisatie. Die duurt een paar minuten, bij grote organisaties een paar uur.

Lukt aanmelden niet, bijvoorbeeld omdat je organisatie toestemming voor apps blokkeert, of wil je dat Entra alleen bepaalde groepen stuurt, stel de koppeling dan met de hand in zoals hieronder.

Handmatig instellenLink naar deze sectie kopiëren

Hoe Tillor mensen herkentLink naar deze sectie kopiëren

Voor elke gebruiker die Entra doorstuurt, zoekt Tillor een bestaand lid van je organisatie:

1. Eerst op het Microsoft-account waarmee die persoon in Tillor inlogt (het Entra-object-ID, als je externalId op objectId zet)
2. Anders op e-mailadres: het werkadres uit Entra, of de userPrincipalName als dat een e-mailadres is

Vindt Tillor niemand, of is de gebruiker in Entra uitgeschakeld, dan telt hij niet mee in de groep. Zodra de persoon lid wordt van de organisatie, telt hij meteen mee. Zet je hem in Entra weer aan, dan telt hij bij de volgende synchronisatie mee.

Wat er gebeurt bij wijzigingen in EntraLink naar deze sectie kopiëren

Iemand helemaal uit je organisatie halen doe je in Tillor, bij Organisatie. Entra beheert alleen de groepsleden.

Wat je terugziet in het activiteitenlogLink naar deze sectie kopiëren

In het activiteitenlog zie je:

• Elke wijziging in de leden van een Tillor-groep die Entra doorvoert, met wie erbij kwam of eruit ging. Die staat op naam van het systeem, niet van een gebruiker
• Elke synchronisatieronde van Entra, één regel per ronde. Een ronde waarin Entra niets stuurt, zie je niet
• Wie een Entra-groep aan een Tillor-groep koppelde of ontkoppelde, en wie het token verving

Koppeling wijzigen of stoppenLink naar deze sectie kopiëren

• Ontkoppelen: klik bij de Tillor-groep op Loskoppelen. De Tillor-groep blijft zoals hij is en je beheert hem weer met de hand. De Entra-groep komt terug onder Entra-groepen niet gekoppeld
• Andere Tillor-groep: koppel los en koppel de Entra-groep daarna onder Entra-groepen niet gekoppeld aan een andere groep. De vorige groep houdt zijn leden, maar wordt niet meer bijgewerkt
• Helemaal stoppen: zet in Entra de Provisioning Status op Off, of verwijder de enterprise application

Token vervangenLink naar deze sectie kopiëren

Klik in de regel Microsoft Entra op Verbinding en daarna op Token vervangen als het token gelekt is of als je het opnieuw nodig hebt. Het oude token werkt meteen niet meer. Plak het nieuwe token in Entra bij Provisioning > Admin Credentials > Secret Token en klik op Save. Tot je dat doet, mislukt de synchronisatie in Entra.

Problemen oplossenLink naar deze sectie kopiëren

Instellen met Microsoft stopt bij een stap

Bij de stap staat de melding van Microsoft. Meestal mist je account de beheerdersrol of de toestemming. Controleer de rollen bij Voordat je begint en klik op Opnieuw proberen. Tillor hergebruikt de app en provisioning die al gemaakt waren.

Test Connection mislukt

Controleer dat de Tenant-URL volledig is overgenomen, inclusief /scim/v2, en dat het token het laatst gegenereerde is. Na Token vervangen werkt een oud token niet meer.

Een groep staat niet in de lijst

Wacht tot de eerste synchronisatie rond is en ververs de pagina. Heb je de koppeling met de hand ingesteld, dan stuurt Entra alleen groepen die aan de app zijn toegewezen: controleer Users and groups in de app en wacht de volgende ronde af, of gebruik Provision on demand.

Iemand ontbreekt in de Tillor-groep

• Is die persoon lid van je Tillor-organisatie? Entra maakt geen accounts aan
• Komt het e-mailadres in Entra overeen met dat in Tillor? Zet anders externalId op objectId, zodat Tillor hem aan zijn Microsoft-account herkent. Dat werkt alleen als hij al eens met Microsoft in Tillor heeft ingelogd
• Staat de gebruiker in Entra aan?
• Is hij rechtstreeks lid van de groep, en niet via een geneste groep?

Mijn handmatige wijziging verdwijnt

Bij een gekoppelde groep is Entra de bron. Pas de leden in Entra aan, of ontkoppel de groep.

Meer details over een mislukte ronde

Open in Entra Provisioning > Provisioning logs. Daar zie je per gebruiker en groep wat Entra probeerde en welk antwoord Tillor gaf.

Zie ookLink naar deze sectie kopiëren