Esta página explica o processo de configuração do provisionamento de usuários e equipes com SCIM usando o método de autenticação Credenciais do cliente, necessário para integrar com o Microsoft Entra. Para obter uma visão geral da funcionalidade SCIM, consulte Gerenciando usuários e equipes com o provisionamento SCIM.
Instruções passo a passo
Siga estas etapas cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.
Etapa 1: gerar credenciais SCIM no Read AI
-
Acesse Configurações do workspace e expanda a seção Avançado.
-
Ative a configuração Ativar provisionamento SCIM.
-
Selecione a opção Credenciais do cliente OAuth 2.0.
-
Clique em Gerar credenciais para obter seu ID do cliente e Segredo do cliente (copie-os; o segredo será exibido apenas uma vez e precisará ser gerado novamente se você o perder).
-
Anote a URL do tenant e a URL do token. Você também precisará delas mais tarde.
-
Decida se deseja ativar a cobrança automática de licenças. Se estiver desativada, o provisionamento falhará e gerará erros no Entra sempre que você ficar sem licenças disponíveis no seu workspace. Você pode configurar um limite para o número máximo de assentos que seu workspace pode atingir por meio da cobrança automática (mais assentos sempre podem ser comprados manualmente).
Etapa 2: configurar o SCIM no Microsoft Entra
-
No portal de administração do Entra, acesse Aplicativos empresariais (em Entra ID, no menu do lado esquerdo).
-
Crie um novo aplicativo para o Read AI.
-
Clique em Criar seu próprio aplicativo, forneça um nome (por exemplo, "Read AI SCIM") e selecione Integrar qualquer outro aplicativo que você não encontre na galeria (Fora da galeria). Não use o aplicativo Read AI da galeria.
- Clique em Criar (pode levar cerca de um minuto para o Entra criar o aplicativo).
-
Clique em Provisionamento.
-
Clique em Nova configuração.
-
Para o método de autenticação, selecione Concessão de credenciais do cliente OAuth2.
-
Agora você precisará colar a URL do tenant, a URL do token, o ID do cliente e o Segredo do cliente das configurações do seu workspace do Read AI nos campos correspondentes.
-
Selecione "Corpo" em “Como as credenciais são enviadas”.
-
Clique em Testar conexão e, depois de algum tempo, você verá uma notificação no canto superior direito informando que o teste foi bem-sucedido.
- Clique em Criar, na parte inferior, para salvar a configuração (pode levar cerca de um minuto para concluir).
Etapa 3: mapeamento de atributos
-
Clique em Provisionamento (o modo deve estar definido como Automático).
-
Expanda Mapeamentos e clique em Provisionar grupos do Microsoft Entra ID.
- Decida se deseja que seus grupos do Entra se tornem equipes no Read AI.
- Para provisionar equipes: mantenha Ativado definido como Sim (o padrão) e mantenha inalterados os mapeamentos de atributos padrão (displayName, members, objectId). Observe que qualquer equipe existente do Read AI cujo nome corresponda ao de um grupo passará a ser gerenciada pelo IdP, e seus membros serão substituídos pelos membros do grupo. Para saber mais sobre esse recurso, consulte Provisionamento de equipes.
-
Somente para usuários: defina Ativado como Não. Os grupos atribuídos ao aplicativo ainda provisionarão seus membros como usuários, mas nenhuma equipe será criada.
-
Clique em Salvar e depois em Sim para confirmar.
- Clique no X no canto superior direito ou no link na navegação superior para voltar à página de Provisionamento.
-
Clique em Provisionar usuários do Microsoft Entra ID.
- Em Mapeamentos de atributos, você deve excluir todos os atributos, exceto:
- userName
- active
- emails[type eq "work"].value
- name.givenName
- name.familyName
-
externalId
-
Clique em Salvar e depois em Sim para confirmar.
- Clique no X no canto superior direito ou no link na navegação superior para voltar à página de Provisionamento.
-
Clique em Mapeamento de atributos (versão prévia) para confirmar que Usuários está ativado e que Grupos corresponde à escolha feita na etapa 3.
Etapa 4: selecionar usuários e grupos para sincronização
-
Clique em Usuários e grupos.
-
Use Adicionar usuário/grupo para atribuir usuários e/ou grupos individuais ao aplicativo (essas são as pessoas que você deseja autorizar a usar o Read AI).
- Somente os usuários que você atribuir aqui (individualmente ou por meio de um grupo atribuído) serão provisionados e gerenciados pelo SCIM/Entra.
- Se o provisionamento de grupos estiver ativado, cada grupo atribuído aqui também se tornará uma equipe no Read AI, com o mesmo nome do grupo. Somente os membros diretos de um grupo são provisionados — a associação não é propagada para grupos aninhados. Os usuários provisionados por meio de um grupo podem não aparecer individualmente na lista de usuários atribuídos.
Etapa 5: concluir e monitorar o provisionamento
-
Clique em Visão geral (versão prévia) e depois em Iniciar provisionamento.
- O provisionamento é executado automaticamente a cada aproximadamente 40 minutos, criando e desativando usuários no seu workspace do Read AI conforme necessário para mantê-lo sincronizado com seu aplicativo do Entra. Se você ativou o provisionamento de grupos na etapa 3, as equipes e seus membros serão sincronizados no mesmo ciclo.
- Você pode monitorar o status da sincronização e os erros no Entra. Também enviaremos notificações por e-mail se os usuários não forem provisionados por qualquer motivo.
Observações e solução de problemas
Consulte as observações aqui para entender completamente como funciona o provisionamento SCIM e, caso tenha algum problema, confira as dicas para solução de problemas.
Algumas observações especificamente relacionadas ao provisionamento com grupos do Entra ID:
- Desatribuir um grupo exclui a equipe correspondente no Read AI, revogando o acesso a todos os relatórios compartilhados com essa equipe.
- Definir o mapeamento de Grupos novamente como Não mantém as equipes existentes, mas o Read AI deixa de receber atualizações. Assim, a equipe permanecerá gerenciada pelo IdP sem uma maneira de alterar seus membros, a menos que você desative completamente o provisionamento SCIM (veja abaixo).
- Desatribuir um usuário que ainda pertence a um grupo atribuído não tem efeito — ele continuará provisionado. Um usuário que seja desatribuído e removido de todos os grupos atribuídos será desativado no Read AI.
Para devolver todos os usuários e equipes ao gerenciamento manual, basta desativar o provisionamento SCIM nas configurações do seu workspace do Read AI. Todas as equipes e usuários permanecerão como estão, mas deixarão de ser gerenciados pelo IdP.
Para obter detalhes sobre o mapeamento de atributos e cenários avançados, consulte a documentação oficial do SCIM do Microsoft Entra.