Huomio!

Laajennus on maksullinen ja vaatii aktivoinnin. Ota yhteyttä asiakastukeemme support@systam.fi.

• Luo käyttäjiä (vastaanottajia) Systam Studioon. 
• Päivittää käyttäjiä Systam Studiossa (mukaan lukien ensisijainen työtila, nimi, sähköpostiosoitteet, puhelinnumerot ja aktiivinen tila). 
• Poistaa käyttäjiä pysyvästi (hard delete) Systam Studiosta, kun he eivät enää tarvitse käyttöoikeutta. 
• Pitää käyttäjätiedot synkronoituna Microsoft Entra ID:n ja Systamin välillä.

Tärkeät huomioitavat asiat

Ennakkovaatimukset

Ennen käyttöönottoa sinulla tulee olla:

• Microsoft Entra Tenant.
• Käyttäjätili Microsoft Entra ID:ssä, jolla on oikeus määrittää provisiointi (esimerkiksi Application Administrator, Cloud Application Administrator, Application Owner tai Global Administrator). 
• Systam-organisaatiotili (app.systam.io) ja käyttäjätunnus, jolla on Organisaation omistajan oikeudet.

Muut huomiot

• Organisaation omistajat ovat suojattuja. Systamissa Organization Owner -rooliin nimetyt käyttäjät ovat suojattuja. Kaikki yritykset päivittää tai poistaa nämä käyttäjät SCIMin kautta johtavat 403 Forbidden -virheeseen provisiointilokeissa. 
• Ei soft delete -toimintoa: Systam ei tue keskeytettyä tai ”soft delete” -tilaa. Kun käyttäjä poistetaan synkronoinnin piiristä tai poistetaan käytöstä Entra ID:ssä (lähettäen [object Object]), Systam poistaa käyttäjätilin pysyvästi. Jos käyttäjä myöhemmin palautuu synkronoinnin piiriin, hänet luodaan uudelleen uutena käyttäjänä.  
• Täsmäytyslogiikka: Jos Systamissa on jo käyttäjä samalla sähköpostiosoitteella, provisiointi linkittää kyseisen tilin tämän tenantin SCIM [object Object] -arvoon. Muussa tapauksessa luodaan uusi käyttäjä.  
• Ryhmät: Systam ei tällä hetkellä tue ryhmien provisiointia.

Vaihe 1: Suunnittele provisioinnin käyttöönotto

• Tutustu siihen, miten provisiointipalvelu toimii.
• Määritä, ketkä kuuluvat provisioinnin piiriin.
• Määritä, mitä tietoja yhdistetään Microsoft Entra ID:n ja Systamin välillä. 

Vaihe 2: Valmistelu ja toimenpiteet Systam Studiossa

Valmistelu

1. Siirry Systam Studio → Laajennukset → Microsoft Entra ID ja paina Ota käyttöön.
2. Kopioi Studiossa näkyvä Tenant URL. sekä Secret Token.  Tarvitset ne Entra ID -konfigurointia varten (ks. Vaihe 5).
3. Voit halutessasi myös syöttää organisaationne Tenant ID:n, joka auttaa meitä mahdollisissa vikatilanteissa.

Aseta synkronoinnin asetukset

• Ensisijaiset työtilat
  • Synkronoi vastaanottajat vain yhteen työtilaan.
• Kaikki työtilat
  • Synkronoi vastaanottajat kaikkiin työtiloihin.

Määritä ensisijaiset työtilat (jos käytössä Ensisijaiset työtilat)

1. Klikkaa Lisää määritys.  
2. Valitse työtila. 
3. Määritä sitä vastaava Entra-arvo. 

 Vaihe 3: Lisää Systam Microsoft Entra ID:hen

1. Kirjaudu Microsoft Entra admin centeriin järjestelmänvalvojana. 
2. Siirry kohtaan Identity → Applications → Enterprise applications  
3. Valitse New application.  
4. Valitse Create your own application.  
5. Anna nimeksi esimerkiksi Systam.  
6. Valitse Integrate any other application you don't find in the gallery (Non-gallery).  
7. Klikkaa Create.  

Vaihe 4: Määritä, ketkä kuuluvat provisioinnin piiriin

• Aloita pienesti. Testaa ensin pienellä käyttäjä- ja ryhmäjoukolla ennen kuin otat provisioinnin käyttöön kaikille. 
• Kun provisioinnin laajuudeksi on asetettu määritetyt käyttäjät ja ryhmät, voit hallita tätä määrittämällä sovellukseen yhden tai kaksi käyttäjää tai ryhmää.

Vaihe 5: Ota automaattinen synkronointi käyttöön

Tässä osiossa opastetaan, miten määrität Microsoft Entra -provisionointipalvelun luomaan, päivittämään ja poistamaan käyttäjiä käytöstä Systamissa. 

5.1  Admin Credentials

1. Valitse Entra ID:ssä Systam-sovelluksesta välilehti Provisioning.  
2. Manage → Provisioning.  Aseta Provisioning Mode / Valmistelutila = Automatic / Automaattinen  
3. Syötä Studiossa näkyvät arvot:

• Tenant URL  
• Secret Token  

• varmista, että token on kopioitu oikein 
• tarkista, ettei siinä ole ylimääräisiä välilyöntejä 

5.2. Attribuuttimäärittelyt (kriittinen vaihe)

1. Avaa samalla sivulla Mappings.  
2. Valitse kohdasta Mappings: Provision Microsoft Entra ID Users.  
3. Vieritä sivun alaosaan ja valitse Show advanced options.  
4. Klikkaa Edit attribute list for Systam.  
5. Lisää attribuuttilistan alaosaan seuraava uusi attribuutti: 
   • Name:[object Object]  
   • Type:[object Object]
6. Klikkaa Save.  

5.3. Attribuuttien määritykset (Attribute mappings)

Identiteetti ja tila

• Yksilöllinen tunniste käyttäjälle Systamissa. 
• Arvo otetaan siitä lähdeattribuutista, jonka määrität userName-mäppäykseen (yleensä käyttäjän kirjautumisnimi, kuten UPN tai sähköpostiosoite). 

• Määrittää, tuleeko käyttäjätilin olla olemassa Systamissa. 
• Arvo määräytyy active-mäppäyksessä määritellyn lausekkeen perusteella. 

Yhteystiedot

• Sähköpostiosoitteet
  • Attribuutti, joka on mapattu "work"-tyyppiseksi sähköpostiksi (esim. [object Object]), käytetään käyttäjän ensisijaisena sähköpostiosoitteena Systamissa.  
  • "work"-sähköpostiosoite on pakollinen. Jos käyttäjällä ei ole work-tyyppistä sähköpostiosoitetta, provisiointi epäonnistuu kyseisen käyttäjän osalta. 

• Puhelinnumerot
  • Jos päätät mapata puhelinnumerot, "work"-tyyppinen puhelinnumero (esim. [object Object]) käytetään käyttäjän ensisijaisena puhelinnumerona Systamissa.  
  • "work"-puhelinnumero on pakollinen, jos puhelinnumeroita mapataan. 
    • Jos et halua hallita puhelinnumeroita Systamissa, jätä puhelinnumerot kokonaan mapittamatta. 
    • Jos mapaat puhelinnumerot, varmista että jokaisella synkronoinnin piirissä olevalla käyttäjällä on work-tyyppinen puhelinnumero. Muussa tapauksessa provisiointi epäonnistuu kyseisten käyttäjien osalta. 

Käytännössä:

• "work"-sähköpostiosoite on aina käyttäjän ensisijainen sähköpostiosoite Systamissa. 
• Kun puhelinnumerot on mapattu, "work"-puhelinnumero on käyttäjän ensisijainen numero Systamissa. 

5.4. Mukautetun attribuutin mäppäys

• [object Object]e-attribuuttiin mapattu arvo määrittää käyttäjän päätyötilan Systamissa. 
• [object Object] on pakollinen. 
  • Jos attribuuttia ei toimiteta käyttäjälle, provisiointi epäonnistuu. 
• Arvon on vastattava jotakin Systamissa määritettyä työtilatunnistetta. 
  • Jos arvo ei vastaa olemassa olevaa työtilaa, provisiointi epäonnistuu. 
• Jos [object Object]-arvo muuttuu Microsoft Entra ID:ssä, muutos päivittyy käyttäjälle Systamissa seuraavan provisiointisyklin aikana. 

Workspace-mäppäyksen lisääminen

1. Palaa Attribute Mapping -näkymään ja tarkista oletusmäppäykset.  
2. Lisää workspace-mäppäys: 
   • Vieritä listan alaosaan ja klikkaa Add New Mapping.  
   • Source attribute: Valitse Entra ID:n attribuutti, jota käytetään määrittämään käyttäjän ensisijainen fyysinen sijainti (esim. [object Object], [object Object], [object Object], [object Object] tai jokin extension-attribuutti).  
   • Target attribute: Valitse osassa B lisäämäsi mukautettu attribuutti:

• Klikkaa OK.    
• Valitse Save tallentaaksesi muutokset.  

 Esimerkki mahdollisesta mäppäyskonfiguraatiosta

Vaihe 6: Testaa ja käynnistä synkronointi

Testaa yksittäinen käyttäjä

• Valitse Provision on demand  
• Valitse testikäyttäjä 
• Suorita toiminto 

Ota automaattinen synkronointi käyttöön

• Aseta Provisioning status = On  
• Valitse haluttu laajuus 

Seuraa tilannetta

• Tarkista provisiointilogit.
• Seuraa provisioinnin statusta.

Lisätietoja:

• Managing user account provisioning for Enterprise Apps
• What is application access and single sign-on with Microsoft Entra ID?