Die Entra-ID-Personalsynchronisierung liest eine Gruppe aus Microsoft Entra ID über Microsoft Graph und schreibt deren Mitglieder als Personal nach Vision. Danach läuft sie als geplante Aufgabe, ausgeführt von companion-services im Hintergrund. Wer die Gruppe verlässt, wird beim nächsten Lauf als Abgang gekennzeichnet. CSV-Dateien entfallen.
Die Einrichtung ist einmalig und hat die größte Außenabhängigkeit im Produkt. Der Companion-Rechner kann die Anwendung in Entra nicht selbst registrieren und keine Administratorzustimmung erteilen. Ein Microsoft-Entra-Administrator führt dafür ein Skript aus. Das Zertifikat entsteht in einer PowerShell mit erhöhten Rechten auf dem Companion-Rechner.
Planen Sie beide Seiten zusammen ein. Ohne den Administrator kommen Sie über Schritt 2 nicht hinaus.
Der Companion läuft auf Windows. Der Zertifikatspeicher wird nur unter Windows gelesen.
Eine Gruppe in Entra ID mit den Personen, die nach Vision sollen. Das Einrichtungsskript legt sie auf Wunsch an, Standardname Vision Key Holders.
Ein Microsoft-Entra-Administrator, der entra-app-setup.ps1 nach az login ausführen darf.
Eine PowerShell mit erhöhten Rechten auf dem Companion-Rechner, für das Zertifikat.
Die Graph-Berechtigungen User.Read.All und GroupMember.Read.All mit Administratorzustimmung. Das Skript erteilt sie.
Importieren öffnen, Karte Personal-CSV.
Reiter Erweitert, Abschnitt Geplante Importe, Schaltfläche Geplante Aufgaben öffnen.
Auf der Seite Aufgaben die Schaltfläche Entra-Synchronisierung einrichten….
Das Fenster Entra-ID-Personalsynchronisierung einrichten führt durch sechs Schritte: Zertifikat, Mandanteneinrichtung, Kennungen, Prüfen, Aufgabe erstellen, Erster Lauf. Zurück bringt Sie jederzeit einen Schritt zurück.
In der deutschen und der französischen Oberfläche ist die Schrittleiste breiter als das Fenster, der letzte Schritt wird am Rand abgeschnitten. Am Ablauf ändert das nichts.
Schritt 1, der Companion durchsucht den Zertifikatspeicher dieses Rechners
Der Companion durchsucht den Zertifikatspeicher, zuerst CurrentUser, dann LocalMachine, und listet unter Zertifikate auf diesem Host jedes verwendbare Signaturzertifikat mit Fingerabdruck, Speicherort und Ablaufdatum. Wählen Sie eines aus, dann ist der Schritt fertig.
Ist keines vorhanden:
Zertifikat erzeugen (PowerShell) aufklappen und Befehl kopieren.
Den Befehl in einer PowerShell mit erhöhten Rechten auf diesem Rechner ausführen. Läuft der Companion unter einem Dienstkonto, erzeugen Sie das Zertifikat stattdessen im Speicher LocalMachine.
Den ausgegebenen Fingerabdruck in Zertifikat-Fingerabdruck einfügen, oder Erneut suchen.
Der mitgelieferte Befehl erzeugt ein RSA-Zertifikat mit einem Jahr Laufzeit. Der Dienststatus auf der Seite Aufgaben warnt vor dem Ablauf.
Schritt 2, die beiden Befehle für den Entra-Administrator, fertig ausgefüllt
Dieser Schritt verlässt den Companion. Er zeigt zwei fertig ausgefüllte Befehle.
Öffentlichen Schlüssel des Zertifikats exportieren. Auf dem Companion-Rechner ausführen. Der Befehl schreibt die .cer-Datei nach C:\portier\entra-public.cer. Der private Schlüssel bleibt auf dem Rechner.
Mandanten-Einrichtungsskript ausführen. Diesen Befehl an Ihren Entra-Administrator geben, zusammen mit der exportierten .cer-Datei. Er führt ihn nach az login aus. Das Skript registriert die Anwendung, hinterlegt das Zertifikat, erteilt die Administratorzustimmung und gibt Mandanten-ID, Client-ID und Gruppen-ID aus.
Warten Sie an dieser Stelle. Ohne die drei Kennungen lässt sich Schritt 3 nicht ausfüllen.
Schritt 3, die drei Kennungen aus dem Einrichtungsskript
Tragen Sie ein, was das Skript ausgegeben hat.
Mandanten-ID
Client-ID (Anwendung)
Gruppen-ID
Der Fingerabdruck aus Schritt 1 steht darunter zur Kontrolle. Alle drei Felder sind Pflicht.
Schritt 4, der Verbindungstest liest die Gruppe und schreibt nichts
Verbindung testen meldet sich mit dem Zertifikat an und liest die konfigurierte Gruppe über Microsoft Graph. Es wird nichts geschrieben. Bei Erfolg nennt die Meldung die Zahl der gelesenen Mitglieder und bis wann das Zertifikat gültig ist.
Der Test muss erfolgreich sein, sonst bleibt Weiter gesperrt. Schlägt er fehl, hilft die Fehlertabelle am Ende dieses Artikels.
Unter Administratorzustimmung erteilen (optional) liegt eine Zustimmungs-URL. Sie brauchen sie nur, wenn das Skript nicht gelaufen ist oder die Zustimmung erneut erteilt werden soll. Ein Entra-Administrator öffnet sie im Browser, angemeldet als Mandantenadministrator.
Schritt 5, Name, Zeitplan und der aktive Probelauf
Name, voreingestellt Entra-Personalsynchronisierung.
Zeitplan, entweder eine Vorlage wie Täglich um 08:00 oder ein eigener Cron-Ausdruck.
Probelauf (keine Änderungen werden geschrieben) ist eingeschaltet und bleibt es. Schalten Sie ihn hier nicht aus.
Aufgabe erstellen legt die Aufgabe an.
Schritt 6, der erste Lauf ist freiwillig und schreibt bei aktivem Probelauf nichts
Die Aufgabe steht. Ersten Lauf jetzt starten führt sie sofort aus, statt auf den Zeitplan zu warten. Bei aktivem Probelauf wird nichts geschrieben, der Lauf sammelt nur, was er ändern würde. Das Ergebnis erscheint darunter, bei einem nicht sauberen Ende mit Exit-Code.
Fertig schließt den Assistenten.
Die Abgleichvorschau nach dem Probelauf, mit den Prüfpunkten und den vorgeschlagenen Zusammenführungen
Auf der Seite Aufgaben trägt nur die Entra-Aufgabe die Schaltfläche Abgleichvorschau. Sie zeigt den letzten Probelauf. Solange keiner gelaufen ist, bleibt sie leer, und Probelauf-Vorschau jetzt ausführen holt das nach.
Feld | Bedeutung |
|---|---|
Mitglieder | gelesene Mitglieder der Gruppe |
Bereits synchronisiert | Datensätze, die die Synchronisation schon führt |
Übernahme | vorhandene Datensätze, die über einen Abgleichschlüssel übernommen werden |
Neu (einfügen) | Mitglieder ohne Entsprechung, die neu angelegt werden |
Vorgeschlagene Zusammenführungen | wahrscheinliche, aber nicht sichere Treffer |
Mehrdeutig | ein Schlüssel trifft mehrere Datensätze |
Konflikt | widersprüchliche Zuordnung |
Abgänge | Datensätze, die der Lauf als ausgeschieden kennzeichnen würde |
Mehrdeutig und Konflikt müssen null sein. Solange sie es nicht sind, steht darüber der rote Hinweis Vor dem Live-Gang zu prüfen mit der Zahl der offenen Datensätze. Übernahme nach Abgleichschlüssel und Mehrdeutig nach Abgleichschlüssel zeigen, welcher Schlüssel dafür verantwortlich ist, meist personalnummer oder name.
Diese Verzeichnismitglieder haben keinen passenden Identitätsschlüssel, ähneln aber einer bereits von Hand erfassten Person. Der Vorschlag stützt sich auf ein Signal, Name + Geburtsdatum oder Name + Abteilung. Jeder Vorschlag stellt den eingehenden Datensatz aus dem Verzeichnis neben den vorhandenen manuellen Datensatz.
Bestätigen und Überspringen sind eine Checkliste für die Einführung. Sie halten Ihre Entscheidung fest und führen die Datensätze nicht zusammen. Wollen Sie zwei Datensätze wirklich verbinden, ergänzen Sie am vorhandenen Vision-Datensatz die Personalnummer aus dem Verzeichnis. Beim nächsten Lauf greift dann der Abgleichschlüssel personalnummer, und die Person wird übernommen statt doppelt angelegt.
Erst wenn Mehrdeutig und Konflikt null sind und die Vorschläge geklärt sind, schalten Sie den Probelauf ab.
Auf der Seite Aufgaben bei der Aufgabe auf Bearbeiten.
Probelauf (keine Änderungen werden geschrieben) ausschalten und speichern.
Jetzt ausführen, danach Verlauf anzeigen prüfen.
Ab da läuft die Aufgabe nach Zeitplan. Der Dienststatus oben auf der Seite meldet, wenn ein Lauf ausbleibt oder fehlschlägt.
Die Personalnummer wird aus employeeId gelesen, ersatzweise aus userPrincipalName. Über Bearbeiten lässt sich das ändern und erweitern. Unter Zuordnung von Erweiterungsattributen (optional) ordnen Sie Entra-Attribute den Spalten KOSTENSTELLE, BEREICH und BEMERKUNG_1 bis BEMERKUNG_3 zu. Ein leeres Feld lässt die zugehörige Spalte unverändert.
Meldung | Ursache und Abhilfe |
|---|---|
Vor dem Test alle erforderlichen Felder ausfüllen. | Fingerabdruck oder eine der drei Kennungen fehlt. Schritt 1 und Schritt 3 vervollständigen. |
Es ist kein Zertifikat-Fingerabdruck konfiguriert. | Schritt 1 wurde ohne Auswahl verlassen. Zertifikat wählen oder Fingerabdruck einfügen. |
Zertifikat im Windows-Speicher dieses Hosts nicht gefunden. | Der Fingerabdruck passt zu keinem Zertifikat auf diesem Rechner, oder der private Schlüssel fehlt. Prüfen, ob Zertifikat und privater Schlüssel installiert sind, bei einem Dienstkonto im Speicher LocalMachine. |
Das Lesen des Zertifikatspeichers wird nur unter Windows unterstützt. | Der Test läuft nicht auf dem Vision-Rechner. Auf dem Windows-Host ausführen. |
Das Zertifikat konnte nicht geladen werden. | Technische Details aufklappen, dort steht die Ursache. |
Das Zertifikat kann nicht für die Anmeldung verwendet werden. Es muss ein RSA-Zertifikat sein. | Ein Zertifikat mit anderem Schlüsselverfahren gewählt. Mit dem mitgelieferten Befehl ein RSA-Zertifikat erzeugen. |
Authentifizierung fehlgeschlagen. | Mandanten-ID und Client-ID prüfen, und ob genau dieses Zertifikat in der App-Registrierung hinterlegt ist. |
Microsoft Graph hat den Zugriff verweigert. | User.Read.All und GroupMember.Read.All fehlen oder haben keine Administratorzustimmung. Die Zustimmungs-URL aus Schritt 4 an den Administrator geben. |
Gruppe nicht gefunden. | Die Gruppen-Objekt-ID prüfen, nicht den Gruppennamen. |
Die Gruppe konnte nicht über Microsoft Graph gelesen werden. | Graph war nicht erreichbar. Technische Details aufklappen und die Netzwerkverbindung prüfen. |
Geplante Aufgaben und Dienststatus
Personaldaten importieren
Datensicherheit und DSGVO
