Collegare Microsoft Entra

Questa pagina ti guida nella configurazione, da fare una sola volta, clic dopo clic. In seguito Mango Inventory aggiorna da solo l’elenco degli utenti: chi è nei gruppi Microsoft scelti entra automaticamente; chi esce dai gruppi viene disattivato. Non ti servono conoscenze informatiche, solo un account Microsoft con diritti di amministratore. Calcola da 10 a 15 minuti.

Requisiti

• Piano Premium in Mango Inventory: la sincronizzazione della directory ne fa parte. Dettagli nella pagina dei prezzi.
• Ruolo Admin in Mango Inventory: solo gli admin vedono la pagina Impostazioni → Single sign-on (SSO).
• Un account Microsoft con il ruolo «Amministratore globale» nella tua organizzazione. È l’account con cui la tua organizzazione gestisce utenti e licenze in Microsoft 365. Non devi essere per forza tu: puoi affidare i passaggi da 2 a 5 al tuo reparto informatico.
• Microsoft Entra è il servizio di directory dietro Microsoft 365. Se il tuo personale accede a Outlook o Teams con un indirizzo della tua organizzazione, hai Entra, anche se non ne hai mai sentito il nome.

Nota

Cosa può vedere Mango Inventory: solo i nomi, gli indirizzi e-mail e le foto del profilo dei tuoi utenti, più chi fa parte di quale gruppo, e solo in sola lettura. Mango Inventory non può creare, modificare né eliminare nulla nella tua directory e non ha accesso a e-mail, file, chat o calendari.

Configurazione

Microsoft mostra le sue pagine nella lingua del tuo account. Su questa pagina citiamo le etichette italiane di Microsoft; gli screenshot delle pagine di Microsoft possono mostrare un’altra lingua. Lo screenshot del passaggio 3 mostra la pagina di accesso in tedesco; la tua compare nella lingua del tuo account.

1. Apri la pagina di configurazione in Mango Inventory. Accedi su app.mangoinventory.com e vai in Impostazioni → Single sign-on (SSO). In alto nel riquadro «Collega la tua directory» c’è una riga di schede, una per servizio: fai clic su «Microsoft Entra».

   

2. Apri il link per il consenso. Sotto il passaggio 1, fai clic su «Apri la pagina di consenso dell’amministratore». Se non sei tu l’amministratore Microsoft, fai clic su «Copia» e invia il link al tuo reparto informatico:

   https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=0c3379d1-8021-43ae-8cdd-1b24a4fb9a38&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default&redirect_uri=https%3A%2F%2Fapp.mangoinventory.com%2Fsettings%2Fsso

3. Accedi con l’account di amministratore. Microsoft chiede l’indirizzo e-mail e la password: usa l’account con il ruolo «Amministratore globale», non il tuo account personale. Un normale account utente qui viene respinto.

   

4. Conferma le autorizzazioni. Microsoft mostra quattro righe con ciò che Mango Inventory riceve, solo autorizzazioni di lettura: leggere le appartenenze ai gruppi, leggere i profili di base degli utenti (nome e indirizzo e-mail), leggere le foto del profilo e l’accesso stesso. Conferma con «Accetta» in basso a destra.

   

   Torni poi su app.mangoinventory.com. Se invece compare un messaggio di errore, l’account non era un amministratore globale: allora questo passaggio lo fa il tuo reparto informatico.

5. Copia l’ID tenant. L’ID tenant è il numero di riferimento della tua organizzazione presso Microsoft, paragonabile a un numero cliente. Apri entra.microsoft.com, accedi e resta sulla pagina iniziale «Panoramica»: sotto «Informazioni di base» compare «ID tenant» con una stringa nel formato 00000000-0000-0000-0000-000000000000. Fai clic sull’icona di copia accanto.

   

6. Inserisci l’ID tenant in Mango Inventory. Torna al riquadro «Collega la tua directory»: incolla il valore copiato nel campo «ID tenant di Entra» e fai clic su «Collega Microsoft Entra». Il collegamento non sincronizza ancora nessuno: prima scegli i gruppi.

   

7. Scegli i gruppi. La pagina ora mostra il riquadro «Sincronizzazione della directory». Apri «Gruppi da sincronizzare» e seleziona i gruppi della tua directory le cui persone devono usare Mango Inventory, ad es. «Operazioni» e «Tecnica». Più in basso controlla «Ruolo degli utenti sincronizzati»: tutti quelli che entrano da ora in poi ricevono questo ruolo (predefinito: Utente).

   

8. Guarda l’anteprima, poi sincronizza. Fai clic su «Vedi le modifiche». L’anteprima elenca chi entrerebbe, chi verrebbe aggiornato e chi verrebbe disattivato; per ora non cambia nulla. Se l’elenco è corretto, fai clic su «Sincronizza ora» in basso.

Configurazione completata

Le persone sincronizzate compaiono subito nell’elenco degli utenti e accedono con «Continua con Microsoft». Da ora in poi Mango allinea i gruppi ogni notte. Cosa significa lo trovi in Sincronizzazione della directory.

Se qualcosa non funziona

• La prima sincronizzazione segnala un errore («403» o «Authorization_RequestDenied»). È normale subito dopo il consenso: Microsoft ha bisogno di qualche minuto perché l’approvazione sia nota ovunque. Aspetta cinque minuti e fai di nuovo clic su «Sincronizza ora».
• Il riquadro mostra «Da ricollegare». Il consenso è stato revocato in Entra o non è più valido. Apri di nuovo il link per il consenso nel riquadro, conferma di nuovo e poi sincronizza.
• L’elenco dei gruppi resta vuoto. Allora l’ID tenant è sbagliato o manca il consenso. Controlla l’ID nella pagina di panoramica dell’interfaccia di amministrazione di Entra e ripeti i passaggi da 2 a 4.
• Alcune persone restano su «Accesso non ancora eseguito». Di solito nella directory manca l’indirizzo e-mail: vedi la nota qui sotto.
• Più di 500 persone non si possono sincronizzare con un solo collegamento. In quel caso scegli gruppi più ristretti oppure contattaci.

Nota

Indirizzo e-mail nella directory: gli account Entra senza l’attributo e-mail («mail») vengono sincronizzati (con il nome di accesso come indirizzo) e compaiono nell’elenco degli utenti, ma non possono accedere con «Continua con Microsoft», perché per questi account Microsoft non fornisce un indirizzo e-mail. Queste persone restano quindi su «Accesso non ancora eseguito»; in alternativa puoi mandare loro un invito a un indirizzo con cui possono accedere. La soluzione più semplice: il tuo reparto informatico si assicura che tutti gli account sincronizzati abbiano un indirizzo e-mail nell’attributo «mail». Gli account con una casella di posta Exchange lo hanno automaticamente.