Conecte o Alibaba Cloud IDaaS ao DingTalk para o provisionamento de entrada a fim de sincronizar sua estrutura organizacional e seus usuários. Essa integração aumenta a eficiência e a segurança do gerenciamento de identidades corporativas.
Casos de uso
O IDaaS utiliza o conceito de provedor de identidade (IdP) para gerenciar as conexões entre o IDaaS e os sistemas de identidade que sua empresa já utiliza. Como product da Alibaba Cloud, o DingTalk se integra nativamente ao IDaaS. O processo de conexão é simples: escaneie um código QR, conceda a autorização e a conexão será concluída em 2 minutos. Essa configuração oferece os seguintes recursos:
Categoria | Recursos |
Contas |
|
Logon |
|
Aplicativos |
|
Dois métodos para conectar ao DingTalk
No menu Identity Providers, adicione o DingTalk como um provedor de identidade no IDaaS e ative todos os recursos relacionados durante o processo de conexão.
Para importar dados do DingTalk, o IDaaS oferece suporte a dois métodos:
Método | Descrição |
Método de aplicativo de terceiros (conexão rápida ao DingTalk) | Utiliza o método de aplicativo corporativo de terceiros do DingTalk. Escaneie um código QR e conceda autorização para concluir a configuração. Vantagens: configuração mínima e ativação fácil. Nota Não é necessário inserir nenhuma informação durante a configuração. Escaneie o código QR e conceda autorização para concluir toda a configuração. Desvantagens: os números de celular e endereços de e-mail dos usuários não podem ser obtidos em massa. Um administrador deve inserir esses dados, ou os usuários devem conceder autorização no logon. |
Método de aplicativo próprio (configuração avançada do DingTalk) | Baseia-se no método de aplicativo de terceiros. Um administrador do DingTalk deve criar um aplicativo próprio do DingTalk, conceder as permissões necessárias e configurar as informações do aplicativo no IDaaS. Vantagens: permissões flexíveis e acesso a informações completas do usuário. Desvantagens: ciclo de configuração mais longo. |
Conexão rápida ao DingTalk
No menu Quick Start ou IdPs, clique em Bind DingTalk para iniciar o processo de conexão rápida ao DingTalk para provisionamento de entrada.
Etapa 1: Selecione os recursos
Nesta etapa, selecione os recursos que deseja ativar para o DingTalk. Se não tiver preferência, passe diretamente para a próxima etapa.
Descrições dos recursos
Sync Target: o nó no IDaaS sob o qual os dados do diretório do DingTalk são importados.
-
Incremental Sync: após a ativação deste recurso, o IDaaS chama a API do DingTalk para monitorar os eventos do diretório. Quando o diretório do DingTalk sofre alterações, os dados modificados são sincronizados com o IDaaS em tempo real.
Defina um identificador de mapeamento no mapeamento de campos para corresponder um campo da conta do IDaaS, como o número de celular, a um campo do usuário do DingTalk. Se houver correspondência, a conta existente é substituída pelos dados atualizados. Caso contrário, uma nova conta do IDaaS é criada.
(Recomendado) execute uma sincronização completa antes de ativar a sincronização incremental. Caso contrário, alguns dados podem não ser sincronizados.
Se a importação de um único registro de conta falhar, a importação dos demais registros não será afetada.
visualize os detalhes da falha em Details.
DingTalk QR code logon: após selecionar esta opção, o IDaaS cria um método de logon no menu Login, com o nome DingTalk QR code logon. O método é ativado para que os usuários possam fazer logon diretamente escaneando o código QR.
Trigger a full sync: após selecionar esta opção, todos os dados dentro do escopo autorizado do diretório do DingTalk são importados após a conclusão da conexão.
Etapa 2: Escaneie para ativar
Nesta etapa, um administrador do DingTalk escaneia o código QR para ativar o aplicativo gratuito de terceiros para a empresa no DingTalk.
A página exibe um código QR e instruções. Se o aplicativo já estiver ativado, clique em Confirm application activated, Next para ir diretamente para a etapa de escaneamento e conexão.
Após escanear o código QR no DingTalk, você é redirecionado para a página de ativação do aplicativo para concluir a ativação. A ativação possui três etapas: na página de detalhes do aplicativo, clique em Activate for Free; selecione o escopo de uso e clique em Activate Now; após a ativação bem-sucedida, clique em Open Application para finalizar a conexão.
Após a conclusão da conexão, para ajustar o escopo do diretório do DingTalk que é sincronizado com o IDaaS, altere a configuração na página DingTalk Admin Console - Application Management do aplicativo Alibaba Cloud IDaaS. O IDaaS utiliza o escopo de autorização deste aplicativo durante a sincronização.
Etapa 3: Escaneie para conectar
Nesta etapa final, um administrador do DingTalk clica em DingTalk Admin Scan to Bind no aplicativo, escaneia o código QR desta etapa e confirme a solicitação. A conexão é então concluída. O IDaaS executa uma sincronização completa ou incremental com base na sua configuração, e os usuários do DingTalk podem escanear o código QR para fazer logon no IDaaS.
Gerenciar o provedor de identidade do DingTalk
Após conectar o DingTalk, você é redirecionado automaticamente para o menu IdPs, onde é possível gerenciar os recursos que se integram ao provedor de identidade. O painel de gerenciamento contém três áreas de recursos: QR Scan Sign-In, Sync to IDaaS e Advanced Configuration. Ative ou desative cada área de forma independente e utilize entradas de ação como View Logs, Trigger Sync e Modify Configuration.
-
Verifique o status de importação
Notificação de importação: se você selecionou Push/Pull Now durante a conexão, a página exibe Importing.... Clique em Logs para acessar Synchronization Tasks e verificar o progresso.
Trate números de celular ou endereços de e-mail ausentes: após a conclusão da sincronização, uma notificação aparece na página IdPs. As contas importadas podem usar imediatamente o logon por código QR do DingTalk para o IDaaS ou seus aplicativos. No entanto, as contas recém-importadas estão sem números de celular ou endereços de e-mail. Solicite que os usuários adicionem um número de celular ou um endereço de e-mail. Caso contrário, recursos como autenticação de dois fatores e recuperação de senha ficarão indisponíveis. Para mais informações, consulte Log on with a DingTalk QR code.
modifique o destino de sincronização: se precisar alterar o destino de sincronização, acione manualmente uma sincronização completa após a alteração e verifique se a estrutura organizacional atende às expectativas.
Logon por código QR do DingTalk: se você selecionou DingTalk Scan to Log On Version durante a conexão, o IDaaS cria um método de logon por código QR do DingTalk no menu Login, e gerencie esse recurso no menu Identity Providers ou Login. Os usuários podem acessar a página de logon e entrar escaneando o código QR do DingTalk. Para mais informações, consulte Log on with a DingTalk QR code.
Conecte várias organizações do DingTalk: o IDaaS oferece suporte à conexão com vários diretórios do DingTalk. Um administrador de cada empresa do DingTalk conclui o processo de escaneamento para ativação. Ao gerenciar várias empresas, sincronize as contas de diferentes empresas para nós de destino distintos para mantê-las separadas. Por exemplo, para importar os diretórios da Empresa A e da Empresa B do DingTalk para o IDaaS para gerenciamento unificado, primeiro crie a Organização A e a Organização B sob o nó raiz da estrutura organizacional do IDaaS. Em seguida, ao conectar o DingTalk, especifique que a Empresa A sincronize com a Organização A e a Empresa B sincronize com a Organização B. Por outro lado, uma empresa do DingTalk pode ser conectada a apenas uma instância do IDaaS. Se precisar conectar a mesma empresa do DingTalk a várias instâncias do IDaaS, aguarde uma versão futura.
Ativar a configuração avançada do DingTalk
Após conectar o DingTalk, ative a configuração avançada do DingTalk na página do provedor de identidade conforme necessário. Com a configuração avançada ativada, é possível obter informações completas dos usuários do DingTalk.
Se você usar o DingTalk Enterprise com o recurso de conta exclusiva ativado, o IDaaS não poderá obter os números de celular das contas exclusivas devido ao design de segurança do DingTalk Enterprise. Para usar números de celular, um administrador deve adicioná-los no console, ou os funcionários devem adicioná-los manualmente no portal do aplicativo.
Na área Advanced Configuration no lado direito do painel de gerenciamento do provedor de identidade, clique em Disabled para ativar a configuração avançada.
Etapa 1: Selecione os recursos
Nesta etapa, ainda não há opções de configuração disponíveis. Passe diretamente para a próxima etapa.
Etapa 2: Crie um aplicativo
Nesta etapa, configure as informações do aplicativo do DingTalk no IDaaS. A página exibe três itens de configuração: CorpId (preenchido previamente), AppKey e AppSecret.
Faça logon no DingTalk Open Platform - In-house Enterprise Development e clique em Add Application para inserir as informações básicas do aplicativo corporativo interno.
Na caixa de diálogo Create an in-house enterprise application, defina Application Type como H5 microapp, insira o Application Name e a Application Description, defina Development Mode como Enterprise Self-development e clique em Create.
Após a criação do aplicativo, você é redirecionado automaticamente para a página de detalhes do aplicativo no DingTalk. Copie o AppKey e o AppSecret e cole-os no IDaaS nessa ordem.
Essas credenciais estão na área Application Credentials da página de detalhes do aplicativo.
Após preencher os campos, clique em Complete Authorization. O IDaaS testa a conexão com o DingTalk. Se as informações estiverem corretas, prossiga para Next.
Etapa 3: Atribua permissões
Nesta etapa, atribua permissões no aplicativo atual do DingTalk. Clique em Permission Management, selecione todas as permissões em User Base Management e Application Management, e clique em Batch Request.
Para o escopo de permissão, selecione All Employees. Para ajustar o escopo do diretório do DingTalk que é sincronizado com o IDaaS, altere a configuração na página DingTalk Admin Console - Application Management, no aplicativo Alibaba Cloud IDaaS. O IDaaS utiliza o escopo de autorização deste aplicativo durante a sincronização.
Após conceder a autorização, clique em Confirm Authorization no IDaaS. O IDaaS verifica se o aplicativo possui a permissão de gerenciamento do diretório do DingTalk. Se a verificação for aprovada, a configuração estará concluída e o IDaaS poderá obter informações como números de celular e endereços de e-mail dos funcionários.
Se desejar que apenas o IDaaS faça solicitações a este aplicativo do DingTalk, acesse a seção Security Setting da página do aplicativo do DingTalk e insira o server egress IP address. Insira vários endereços IP separados por vírgulas. Os formatos suportados são IPv4, IPv4 com curinga, IPv6 e CIDR IPv6. Como este aplicativo é usado principalmente para sincronizar dados e não para o uso diário dos funcionários, insira qualquer endereço para a Application Homepage URL.
Etapa 4: Ajuste o mapeamento de campos (opcional)
Para usar os números de celular e endereços de e-mail do DingTalk como nome de usuário ou número de celular de uma conta do IDaaS, ou para vincular um usuário do DingTalk a uma conta do IDaaS com o mesmo número de celular, configure as regras em Field mapping.