Vai al contenuto principale
Il provisioning SCIM è disponibile nel piano Enterprise. L’integrazione directory (Microsoft Graph) è disponibile nei piani Teams ed Enterprise. Entrambe sono a livello di organizzazione e vengono configurate da un amministratore.
Ci sono due modi per collegare Microsoft Entra ID (ex Azure Active Directory) a Wave Connect. Entrambi creano e aggiornano gli utenti Wave Connect a partire dalla tua directory. Si differenziano per chi viene sincronizzato, per come funziona l’offboarding e per ciò che mantiene attiva la connessione.

Quale dovrei usare?

Il provisioning SCIM è l’approccio consigliato da Microsoft per mantenere un’app sincronizzata con Entra ID. Scegli l’integrazione Graph solo nel piano Teams o per un’importazione una tantum.

Configurare il provisioning SCIM

1

Crea un token SCIM in Wave Connect

Vai su Impostazioni → Sicurezza e individua la scheda Sync Directory. Clicca su Configura per aprire la finestra Configura SCIM. Copia l’Endpoint SCIM (https://app.wavecnct.com/api/scim), poi clicca su Crea token. Dai un nome al token e clicca su Crea. Copia il token subito. Viene mostrato una sola volta.
2

Crea l'applicazione aziendale

Nell’interfaccia di amministrazione di Microsoft Entra, vai su Applicazioni aziendali → Nuova applicazione → Crea la tua applicazione. Inserisci un nome come “Wave Connect”, scegli Integrare qualsiasi altra applicazione non presente nella raccolta (non inclusa nella raccolta) e clicca su Crea.
3

Inserisci le credenziali SCIM

Apri la nuova applicazione e vai su Provisioning → Inizia. Imposta Modalità di provisioning su Automatico. In Credenziali amministratore, incolla l’endpoint SCIM in URL tenant e il token in Token segreto. Clicca su Test connessione, poi su Salva.
4

Rivedi i mapping degli attributi

In Mapping, apri Provisioning degli utenti di Microsoft Entra ID e confrontalo con la tabella qui sotto. Le impostazioni predefinite di Entra coprono la maggior parte delle righe. Devi modificare solo le righe dell’email principale, di locale e di externalId. Lascia abilitato Provisioning dei gruppi di Microsoft Entra ID se vuoi che i gruppi Entra diventino team Wave Connect.
5

Assegna utenti e gruppi

Vai su Utenti e gruppi e assegna le persone e i gruppi che devono avere un account Wave Connect. Viene effettuato il provisioning solo degli utenti assegnati.
6

Avvia il provisioning

Torna su Provisioning, imposta Stato del provisioning su Attivato e clicca su Salva, oppure clicca su Avvia il provisioning. Entra esegue un ciclo iniziale, poi un ciclo incrementale circa ogni 40 minuti. Per verificare un singolo utente senza attendere, usa Provisioning su richiesta.

Mappatura degli attributi

Wave Connect legge questi attributi SCIM. La colonna Campo Wave Connect mostra dove finisce ciascun valore.
I mapping predefiniti di Entra coprono già userName, name.givenName, name.familyName, title, i numeri di telefono, addresses[type eq "work"].locality e active. Solo tre righe richiedono una modifica: assicurati che il mapping dell’email di lavoro imposti primary su True, cambia la destinazione di preferredLanguage da preferredLanguage a locale e cambia l’origine di externalId da mailNickname a objectId.
Altre note sul mapping:
  • I numeri di telefono vengono validati e salvati in formato internazionale. I segnaposto e i valori composti solo da un’estensione vengono scartati invece di far fallire la sincronizzazione.
  • roles[].value impostato su USER, ADMIN o OWNER (in maiuscolo) imposta il ruolo nell’organizzazione. Entra non invia i ruoli per impostazione predefinita, quindi i nuovi utenti vengono creati come utenti.
  • L’estensione enterprise department non viene salvata nel profilo. L’assegnazione dei team in base al reparto può essere abilitata dal supporto Wave Connect.
  • Il valore di locale deve essere una delle lingue supportate da Wave Connect, altrimenti l’utente riceve l’inglese.

I gruppi diventano team

Quando il provisioning dei gruppi è abilitato, ogni gruppo Entra assegnato all’applicazione diventa un team Wave Connect. Il displayName del gruppo diventa il nome del team e l’objectId del gruppo viene salvato come ID esterno del team. Se in Wave Connect esiste già un team con lo stesso nome, il gruppo viene unito a quel team. Un utente Wave Connect appartiene a un solo team. Se un utente fa parte di più gruppi assegnati, prevale l’ultimo gruppo di cui Entra effettua il provisioning. Un’organizzazione può avere fino a 75 team. Eliminare un gruppo in Entra elimina il team in Wave Connect. I suoi utenti vengono mantenuti e i suoi contatti vengono spostati nell’organizzazione. Ogni team può avere un modello diverso, così gli utenti in gruppi diversi ottengono automaticamente il layout del biglietto, il branding e i campi bloccati giusti. Consulta Modelli.

Offboarding

Quando un utente viene rimosso dall’assegnazione all’applicazione, disabilitato o eliminato temporaneamente (soft delete) in Entra, il servizio di provisioning invia active = false. Wave Connect disattiva l’utente:
  • Non può più accedere e le sue sessioni vengono revocate.
  • Appare con il badge SUSPENDED in Utenti.
  • Il suo biglietto NFC, il suo profilo e i suoi contatti vengono mantenuti.
  • Continua a contare come posto.
Entra conserva un utente eliminato temporaneamente per 30 giorni e poi invia una richiesta di eliminazione. A quel punto Wave Connect rimuove definitivamente l’utente, elimina il suo profilo e i suoi contatti e scollega il suo biglietto NFC in modo che possa essere assegnato a qualcun altro. Se non vuoi il periodo di tolleranza di 30 giorni, apri Impostazioni → Sicurezza → Sync Directory → Configura e abilita Elimina l’utente immediatamente invece di sospenderlo. La disattivazione elimina quindi definitivamente l’utente da subito. Per ripristinare un utente disattivato, assegnalo di nuovo all’applicazione in Entra. Il ciclo di provisioning successivo invia active = true e riattiva l’account.
Puoi abilitare il single sign-on sulla stessa applicazione aziendale. Consulta Single Sign-On (SAML).

Integrazione directory (Microsoft Graph)

L’integrazione directory collega Wave Connect al tuo tenant tramite l’API Microsoft Graph usando l’account di un amministratore. È più semplice da configurare rispetto a SCIM, ma sincronizza l’intero tenant e dipende dall’account che l’ha collegata.

Come collegarla

Ci sono due punti di accesso. Creano la stessa integrazione ma con un valore predefinito diverso per Sincronizzazione utenti, l’interruttore che applica automaticamente le modifiche della directory.
  1. Vai su Integrazioni → Microsoft Entra ID e clicca su Installa app.
  2. Lascia attivo Importa automaticamente nuovi utenti da Microsoft Entra ID, oppure disattivalo se vuoi solo un’importazione manuale. Clicca su Continua.
  3. Accedi con un account Microsoft che possa concedere il consenso amministratore sul tenant e accetta la richiesta di consenso.
Con quell’interruttore attivo, ogni utente del tenant viene creato in Wave Connect man mano che arrivano le notifiche di modifica, e le modifiche future vengono applicate automaticamente. Appare come Sincronizzazione utenti nelle Impostazioni dell’integrazione.
Con Sincronizzazione utenti attiva, questa integrazione aggiunge un utente Wave Connect, e un posto, per ogni utente del tenant, guest inclusi. Non c’è modo di limitarla a un gruppo.

Autorizzazioni

Wave Connect richiede gli ambiti delegati openid, offline_access, profile, User.Read.All e Directory.Read.All sull’account dell’amministratore che effettua il collegamento. Wave Connect legge soltanto la directory. Non scrive mai in Entra. L’integrazione funziona con il refresh token di quell’amministratore. Se il token viene revocato (ad esempio l’amministratore lascia l’azienda, la sua password viene reimpostata con revoca delle sessioni, o un criterio di accesso condizionale blocca il rinnovo), Wave Connect elimina l’integrazione e un amministratore deve ricollegarla.

Cosa viene sincronizzato

Direzione di sincronizzazione: Entra ID → Wave Connect (solo in entrata). Le foto del profilo vengono recuperate solo durante un’importazione manuale o un’anteprima e salvate come copia in Wave Connect. Gli utenti creati da Sincronizzazione utenti non ricevono una foto.

Sincronizzazione utenti e disattivazione

Dopo il collegamento, Wave Connect si sottoscrive alle notifiche di modifica di Microsoft Graph per gli utenti (creati, aggiornati, eliminati). Le sottoscrizioni durano tre giorni e vengono rinnovate automaticamente a partire dalle notifiche del ciclo di vita di Graph. Le notifiche vengono ignorate mentre Sincronizzazione utenti è disattivata. Quando un utente viene eliminato in Entra, o il suo account viene disabilitato (accountEnabled = false), Wave Connect lo disattiva: l’accesso è bloccato, appare con il badge SUSPENDED in Utenti e il suo biglietto, il suo profilo e i suoi contatti vengono mantenuti. Continua a contare come posto. Riabilitare l’account in Entra non lo riattiva in Wave Connect. Contatta support@wavecnct.com per riattivare un utente, oppure eliminalo da Utenti.

Limitazioni

  • Viene sincronizzato l’intero tenant. I guest sono inclusi. Non c’è alcuna limitazione per assegnazione.
  • I gruppi e i reparti di Entra non vengono sincronizzati. I team devono essere gestiti in Wave Connect.
  • Nessuna foto per gli utenti creati da Sincronizzazione utenti.
  • La connessione dipende da un singolo account amministratore e viene rimossa quando il token di quell’account viene revocato.
  • Gli utenti non vengono mai eliminati dall’integrazione, solo disattivati.

Scollegamento

Vai su Integrazioni → Microsoft Entra ID → Impostazioni e clicca su Scollega. Questo elimina la connessione salvata in Wave Connect. Nulla viene revocato lato Microsoft, e la sottoscrizione Graph scade semplicemente entro tre giorni. Gli utenti Wave Connect esistenti vengono mantenuti e non vengono più aggiornati. Per rimuovere l’accesso di Wave Connect lato Microsoft, revoca il consenso dell’applicazione aziendale nell’interfaccia di amministrazione di Entra.

Usare entrambe

SCIM e l’integrazione Graph possono essere attive contemporaneamente. In questo caso, gli utenti di cui è stato effettuato il provisioning tramite SCIM ricevono la foto del profilo dalla connessione Graph, abbinata per email. Mantieni Sincronizzazione utenti disattivata sull’integrazione Graph quando usi SCIM. Se è attiva, l’integrazione Graph crea tutti gli utenti del tenant, aggirando la limitazione per assegnazione che hai configurato nell’applicazione aziendale.

Risoluzione dei problemi

Verifica che URL tenant sia esattamente https://app.wavecnct.com/api/scim senza barra finale, e che Token segreto sia il token completo preso dalla finestra Configura SCIM. Un token può essere copiato solo al momento della creazione, quindi creane uno nuovo se l’hai perso. I token vengono eliminati quando l’organizzazione lascia il piano Enterprise.
Entra effettua il provisioning in cicli di circa 40 minuti. Usa Provisioning su richiesta sull’utente per inviarlo immediatamente e controlla il risultato nei Log di provisioning. Una richiesta fallita di solito significa che manca un attributo obbligatorio: name.givenName, name.familyName o un’email principale in un aggiornamento.
Con SCIM, l’utente deve essere assegnato all’applicazione. Se la sua assegnazione era stata rimossa, assegnalo di nuovo ed Entra invia active = true. Con l’integrazione Graph, la riabilitazione non riattiva mai l’utente. Contatta support@wavecnct.com per riattivarlo.
Quando SCIM crea un utente la cui email appartiene già a un account Wave Connect personale (non di organizzazione), e il dominio dell’email è uno dei tuoi domini verificati, quell’account viene spostato nella tua organizzazione e aggiornato invece di crearne uno nuovo. Il suo biglietto e i suoi contatti esistenti vengono mantenuti. Verifica il dominio prima del provisioning in modo che questi account vengano migrati invece di essere duplicati.
Con SCIM, l’email di accesso è l’email principale, che il mapping consigliato prende da mail. Con l’integrazione Graph, è userPrincipalName (oppure mail per i guest). Se un utente ha mail e UPN diversi, mappa invece userPrincipalName sull’email principale in Entra, così i due approcci coincidono.