Logon único e provisionamento de usuários com ID do Microsoft Entra (antigo Azure AD)

Neste documento, mostramos como configurar o provisionamento de usuários e o Logon único entre um locatário do Microsoft Entra ID (antigo Azure AD) e uma conta do Cloud Identity ou do Google Workspace.

O documento pressupõe que você já usa o ID do Microsoft Office 365 ou do Microsoft Entra na sua organização e quer usar o Microsoft Entra ID para permitir que os usuários se autentiquem com o Google Cloud. O próprio Microsoft Entra ID pode estar conectado a um Active Directory local e usar a federação do Entra ID, a autenticação de passagem ou a sincronização de hash de senha.

Objetivos

  • Configurar o Microsoft Entra ID para provisionar usuários automaticamente e, opcionalmente, grupos no Cloud Identity ou no Google Workspace.
  • Configure o Logon único para permitir que os usuários façam login no Google Cloud usando uma conta de usuário do Microsoft Entra ID ou um usuário provisionado do Active Directory para o Microsoft Entra ID.

Custos

Se você estiver usando a edição gratuita do Cloud Identity, configurar a federação com o o Microsoft Entra ID não usará componentes faturáveis do Google Cloud.

Consulte a página de preços do Microsoft Entra ID para ver as taxas aplicáveis ao uso do Microsoft Entra ID.

Antes de começar

  • Entenda as diferenças entre conectar o Google Cloud ao Microsoft Entra ID e conectar o Google Cloud diretamente ao Active Directory.
  • Decida como você quer mapear identidades, grupos e domínios entre o Microsoft Entra ID e o Cloud Identity ou o Google Workspace. Responda, especificamente, às seguintes perguntas:
    • Você planeja usar endereços de e-mail ou Nomes principais de usuários (UPNs, na sigla em inglês) como identificadores comuns para usuário?
    • Você planeja provisionar grupos? Em caso afirmativo, mapeará os grupos por endereço de e-mail ou por nome?
    • Você planeja provisionar todos os usuários para o Google Cloud ou apenas um subconjunto selecionado de usuários?
  • Antes de conectar seu locatário do Microsoft Entra ID de produção ao Google Cloud, use um locatário de teste do Microsoft Entra ID para configurar e testar o provisionamento de usuários.
  • Inscreva-se no Cloud Identity se você ainda não tiver uma conta.
  • Se você estiver usando a edição gratuita do Cloud Identity e quiser provisionar mais de 50 usuários, solicite um aumento do número total de usuários gratuitos do Cloud Identity usando o contato de suporte.
  • Se você suspeitar que algum dos domínios que planeja usar no Cloud Identity possa ter sido usado pelos funcionários para registrar contas pessoais, primeiro migre essas contas de usuário. Para mais detalhes, consulte Como avaliar contas de usuário atuais.

Preparar sua conta do Cloud Identity ou do Google Workspace

Criar um usuário para o Microsoft Entra ID

Para permitir que o Microsoft Entra ID acesse sua conta do Cloud Identity ou do Google Workspace, crie um usuário para o Microsoft Entra ID na sua conta do Cloud Identity ou do Google Workspace.

O usuário do Microsoft Entra ID só deve ser usado para provisionamento automatizado. Portanto, é melhor mantê-la separada de outras contas de usuário, colocando-a em uma unidade organizacional (UO) separada. Usar uma UO separada também garante que você possa desativar o Logon único posteriormente para o usuário do Microsoft Entra ID.

Para criar um novo projeto, faça o seguinte:

  1. Abra o Admin Console e faça login usando o usuário superadministrador criado quando você se inscreveu no Cloud Identity ou no Google Workspace.
  2. No menu, acesse Diretório > Unidades organizacionais.
  3. Clique em Criar unidade organizacional e forneça um nome e uma descrição para a unidade organizacional:
    • Name: Automation
    • Descrição: Automation users
  4. Clique em Criar.

Crie uma conta de usuário para o Microsoft Entra ID e coloque-a na UO Automation:

  1. No menu, navegue até Diretório > Usuários e clique em Adicionar novo usuário para criar um usuário.

  2. Forneça um nome e um endereço de e-mail apropriados, como os seguintes:

    • Nome: Microsoft Entra ID
    • Sobrenome: Provisioning

    • E-mail principal: azuread-provisioning

      Mantenha o domínio principal do endereço de e-mail.

  3. Clique em Gerenciar a senha, a unidade organizacional e a foto do perfil do usuário e defina as seguintes configurações:

    • Unidade organizacional: selecione a UO Automation que você criou anteriormente.
    • Senha: Selecione Criar senha e insira uma senha.
    • Solicitar uma alteração de senha no próximo login: Desabilitado

  4. Clique em Adicionar novo usuário.

  5. Clique em Concluído.

Atribuir privilégios ao Microsoft Entra ID

Para permitir que o Microsoft Entra ID crie, liste e suspenda usuários e grupos na sua conta do Cloud Identity ou do Google Workspace, conceda mais privilégios ao usuário azuread-provisioning da seguinte maneira:

  • Para permitir que o Microsoft Entra ID gerencie todos os usuários, incluindo administradores delegados e usuários superadministradores, torne o usuário azuread-provisioning um superadministrador.

  • Para permitir que o Microsoft Entra ID gerencie apenas usuários que não são administradores, basta tornar o usuário azuread-provisioning um administrador delegado. Como administrador delegado, o Microsoft Entra ID não pode gerenciar outros administradores delegados ou usuários superadministradores.

Superadministrador

Para tornar o usuário azuread-provisioning um superadministrador, faça o seguinte:

  1. Localize o usuário recém-criado na lista e clique no nome dele para abrir a página da conta.
  2. Em Papéis e privilégios do administrador, clique em Atribuir papéis.
  3. Ative o papel de superadministrador.
  4. Clique em Save.

Administrador delegado

Para tornar o usuário azuread-provisioning um administrador delegado, crie uma nova função de administrador e atribua-a ao usuário:

  1. No menu, acesse Conta > Funções do administrador.
  2. Clique em Criar nova função.
  3. Forneça um nome e uma descrição para a função, como o seguinte:
    • Name: Microsoft Entra ID
    • Descrição: Role for automated user and group provisioning
  4. Clique em Continuar.
  5. Na próxima tela, role para baixo até a seção Privilégios da API Admine defina os seguintes privilégios como ativados:
    • Unidades organizacionais > Leitura
    • Usuários
    • Grupos
  6. Clique em Continuar.
  7. Clique em Criar papel.
  8. Clique em Atribuir usuários.
  9. Selecione o usuário azuread-provisioning e clique em Atribuir função.

Registrar domínios

No Cloud Identity e no Google Workspace, os usuários e grupos são identificados por endereço de e-mail. Os domínios usados por esses endereços de e-mail precisam ser registrados e verificados antes.

Prepare uma lista de domínios DNS que você precisa registrar:

  • Se você planeja mapear usuários por UPN, inclua todos os domínios usados por UPNs. Em caso de dúvida, inclua todos os domínios personalizados do locatário do Microsoft Entra ID.
  • Se você pretende mapear usuários por endereço de e-mail, inclua todos os domínios usados nos endereços de e-mail. A lista de domínios pode ser diferente da lista de domínios personalizados do locatário do Microsoft Entra ID.

Se você planeja provisionar grupos, altere a lista de domínios DNS:

  • Se você pretende mapear grupos por endereço de e-mail, inclua todos os domínios usados nos endereços de e-mail do grupo. Em caso de dúvida, inclua todos os domínios personalizados do locatário do Microsoft Entra ID.
  • Se você planeja mapear grupos por nome, inclua um subdomínio dedicado como groups.PRIMARY_DOMAIN, em que PRIMARY_DOMAIN é o nome de domínio principal da sua conta do Cloud Identity ou do Google Workspace.

Agora que você identificou a lista de domínios DNS, é possível registrar os domínios ausentes. Faça o seguinte para cada domínio da lista que ainda não tenha sido registrado:

  1. No Admin Console, acesse Conta > Domínios > Gerenciar domínios.
  2. Clique em Adicionar um domínio.
  3. Digite o nome do domínio e selecione Domínio secundário.
  4. Clique em Adicionar domínio e iniciar a verificação e siga as instruções para verificar a propriedade do domínio.

Configurar o provisionamento do Microsoft Entra ID

Criar um aplicativo empresarial

Você está com tudo pronto para conectar o Microsoft Entra ID à sua conta do Cloud Identity ou do Google Workspace configurando o aplicativo de galeria Google Cloud/G Suite Connector by Microsoft no Microsoft Azure Marketplace.

O app de galeria pode ser configurado para processar o provisionamento de usuários e o logon único. Neste documento, você usa duas instâncias do app de galeria: uma para provisionamento de usuários e outra para logon único.

Primeiro, crie uma instância do aplicativo de galeria para processar o provisionamento de usuários:

  1. Abra o portal do Azure e faça login como usuário com privilégios de administrador global.
  2. Selecione Microsoft Entra ID > Aplicativos empresariais.
  3. Clique em Novo aplicativo.
  4. Pesquise Google Cloud e clique no item Google Cloud/G Suite Connector by Microsoft na lista de resultados.
  5. Defina o nome do aplicativo como Google Cloud (Provisioning).
  6. Clique em Criar.
  7. A adição do aplicativo pode levar alguns segundos. Em seguida, você será redirecionado para uma página chamada Google Cloud (Provisionamento) - Visão geral.
  8. No menu à esquerda, clique em Gerenciar >Propriedades:
    1. Defina Habilitado para os usuários entrarem como Não.
    2. Defina Atribuição necessária como Não.
    3. Defina Visível aos usuários como Não.
    4. Clique em Save.
  9. No menu à esquerda, clique em Gerenciar > Provisionamento:
    1. Clique em Primeiros passos.
    2. Altere o Modo de provisionamento para Automático.
    3. Clique em Credenciais de Administrador > Autorizar.
    4. Faça login usando o usuário azuread-provisioning@DOMAIN que você criou anteriormente, em que DOMAIN é o domínio principal da sua conta do Cloud Identity ou do Google Workspace.
    5. Como esta é a primeira vez que você faz login usando esse usuário, precisará aceitar a Política de Privacidade e os Termos de Serviço do Google.
    6. Se você concordar com os termos, clique em Entendi.
    7. Confirme o acesso à API Cloud Identity clicando em Permitir.
    8. Clique em Testar conexão para verificar se o Microsoft Entra ID pode ser autenticado com o Cloud Identity ou o Google Workspace.
    9. Clique em Save.

Configurar provisionamento de usuários

A maneira correta de configurar o provisionamento de usuários depende se você pretende mapeá-los por endereço de e-mail ou por UPN.

UPN

  1. Em Mapeamentos, clique em Provisionar usuários do Entra ID.
  2. Para os atributos surname e givenName, faça isto:
    1. Clique em Editar.
    2. Defina Valor padrão se for nulo como _.
    3. Clique em OK.
  3. Clique em Save.
  4. Clique em Sim na caixa de diálogo que avisa que salvar as alterações resultará em uma nova sincronização de usuários e grupos.
  5. Clique no X para fechar a caixa de diálogo Mapeamento de atributos.

UPN: substituição de domínio

  1. Em Mapeamentos, clique em Provisionar usuários do Entra ID.

  2. Para o atributo userPrincipalName, faça isto:

    1. Clique em Editar.

    2. Configure o seguinte mapeamento:

      • Tipo de mapeamento: expressão.

      • Expressão:

        Replace([userPrincipalName], "@DOMAIN", , , "@SUBSTITUTE_DOMAIN", , )

      Substitua:

      • DOMAIN: nome do domínio que você quer substituir
      • Nome do domínio SUBSTITUTE_DOMAIN para usar

    3. Clique em OK.

  3. Para os atributos surname e givenName, faça isto:

    1. Clique em Editar.
    2. Defina Valor padrão se for nulo como _.
    3. Clique em OK.

  4. Clique em Save.

  5. Clique em Sim na caixa de diálogo que avisa que salvar as alterações resultará em uma nova sincronização de usuários e grupos.

  6. Clique no X para fechar a caixa de diálogo Mapeamento de atributos.

Endereço de e-mail

  1. Em Mapeamentos, clique em Provisionar usuários do Entra ID.
  2. Para o atributo userPrincipalName, faça isto:
    1. Clique em Editar.
    2. Defina o Atributo de origem como mail.
    3. Clique em OK.
  3. Para os atributos surname e givenName, faça isto:
    1. Clique em Editar.
    2. Defina Valor padrão se for nulo como _.
    3. Clique em OK.
  4. Clique em Save.
  5. Clique em Sim na caixa de diálogo que avisa que salvar as alterações resultará em uma nova sincronização de usuários e grupos.
  6. Clique no X para fechar a caixa de diálogo Mapeamento de atributos.

É necessário configurar os mapeamentos para primaryEmail, name.familyName, name.givenName e suspended. Todos os outros mapeamentos de atributos são opcionais.

Ao configurar outros mapeamentos de atributos, observe o seguinte:

  • No momento, a galeria Conector do Google Cloud/G Suite da Microsoft não permite atribuir aliases de e-mail.
  • No momento, a galeria Conector do Google Cloud/G Suite da Microsoft não permite atribuir licenças a usuários. Como solução alternativa, considere configurar o licenciamento automático para unidades organizacionais.
  • Para atribuir um usuário a uma unidade organizacional, adicione um mapeamento para OrgUnitPath. O caminho precisa começar com um caractere / e se referir a uma unidade organizacional que já existe, por exemplo, /employees/engineering.

Configurar provisionamento de grupos

A maneira correta de configurar o provisionamento de grupos depende do status dos grupos. Se os grupos não forem ativados para e-mail ou se os grupos usarem um endereço de e-mail que termine com "onmicrosoft.com", crie um endereço de e-mail usando o nome do grupo.

Nenhum mapeamento de grupo

  1. Em Mapeamentos, clique em Provisionar grupos do Entra ID.
  2. Defina Ativado como Não.
  3. Clique em Save.
  4. Clique em Sim na caixa de diálogo que avisa que salvar as alterações resultará em uma nova sincronização de usuários e grupos.
  5. Clique no X para fechar a caixa de diálogo