Para solucionar problemas de erros de provisionamento e autenticação de um diretório provisionado do seu provedor de identidade para o Omnissa Identity Service, examine os logs e os eventos de auditoria no provedor de identidade, no Omnissa Identity Service e nos serviços da Omnissa, como Omnissa Access, Workspace ONE UEM e Horizon Cloud.
Examinar os logs de provisionamento do provedor de identidade
Para erros de provisionamento, primeiro examine os logs de provisionamento no provedor de identidade para ver se houve erros no provisionamento de usuários ou grupos para o Omnissa Identity Service e resolver os erros.
Microsoft Entra ID
No console de administração do Microsoft Entra, você pode encontrar os logs de provisionamento na página Provisionamento do aplicativo de provisionamento.
Na página Logs de Provisionamento, clique em um usuário para ver os detalhes.
Google Workspace
Para encontrar logs de provisionamento para o Google Workspace, consulte Monitorar o provisionamento automatizado de usuários na documentação do Google Workspace.
Examinar os logs de provisionamento do Omnissa Identity Service
Examine os logs de provisionamento no Omnissa Identity Service para ver se houve erros no provisionamento de usuários do Omnissa Identity Service para serviços como Omnissa Access e Workspace ONE UEM.
-
Navegue até o Omnissa Identity Service.
- Cloud: faça login no Omnissa Connect Console, selecione Gerenciamento de Identidade > Gerenciamento de Usuários Finais no painel esquerdo e clique em Iniciar Gerenciamento de Usuários Finais.
- No local: faça login no Omnissa Access Console, selecione Integrações > Identity Service e clique em Configurar Provisionamento do SCIM.
O Omnissa Identity Service é aberto em uma nova guia no navegador.
-
Clique em Exibir no cartão de diretório.
-
Selecione a guia Status para exibir o status de provisionamento e os erros.
Para obter mais informações, consulte Exibir status de provisionamento e erros no Omnissa Identity Service.
A guia Status exibe erros em tempo real. Para exibir os dados históricos, você pode examinar os eventos de auditoria na guia Eventos. Consulte Exibir eventos de auditoria no Omnissa Identity Service para obter mais informações.
Examinar os logs do Workspace ONE UEM
Use os seguintes recursos de solução de problemas para o Workspace ONE UEM:
-
Logs de provisionamento e logs de configuração inicial na seguinte pasta:
C:\AirWatch\Logs\AW_Core_Api -
Para erros de configuração:
-
Use a seguinte API GET para a configuração:
Workspace_ONE_UEM_URL/api/system/provisioning/config/locationgroupuuid -
Verifique os erros nos logs da API principal.
-
-
Para problemas de provisionamento, verifique os logs principais da API e procure por erros ou exceções das APIs do SCIM.
Examinar eventos de auditoria do Omnissa Access
Examine os eventos de auditoria no Omnissa Access em busca de falhas de autenticação.
-
No Omnissa Access Console, selecione Monitorar > Relatórios.
-
Selecione Eventos de Auditoria no menu suspenso.
-
Especifique um usuário, selecione o tipo de evento, especifique um período de tempo e clique em Mostrar.
Para falhas de autenticação, consulte os eventos LOGIN e LOGIN_ERROR.
Problemas comuns
Entra ID
-
Os usuários não podem se autenticar quando o Microsoft Entra ID está configurado como o provedor de identidade de terceiros usando o OpenID Connect
Verifique se você copiou os valores corretos do aplicativo OpenID Connect no Microsoft Entra ID para a etapa 5, Configurar o OpenID Connect, no assistente do Omnissa Identity Service. Especificamente, verifique os valores Segredo do Cliente e ID do Aplicativo (cliente). Consulte Etapa 5: configurar a autenticação.
-
A exclusão de um usuário no Microsoft Entra ID não exclui o usuário do Omnissa Identity Service
Quando você exclui um usuário no Microsoft Entra ID, a conta é suspensa por um período específico antes de ser excluída. O usuário é desativado no Omnissa Identity Service durante esse período. O nome de usuário do usuário excluído também é modificado no Microsoft Entra ID, e as alterações são refletidas no Omnissa Identity Service. Consulte Como os usuários do Microsoft Entra ID são excluídos para obter mais informações.
-
A exclusão de valores de atributos de usuários e grupos no Microsoft Entra ID não exclui os valores no Omnissa Identity Service
No Microsoft Entra ID, quando você exclui um valor de atributo de usuário ou grupo que já foi sincronizado com o Omnissa Identity Service, o valor não é excluído no Omnissa Identity Service e nos Serviços Omnissa integrados a ele. O Microsoft Entra ID não propaga valores nulos.
Como solução alternativa, em vez de limpar o valor completamente, insira um caractere de espaço.
-
A exclusão de um mapeamento de atributo no Microsoft Entra ID ou no Okta não remove o atributo dos usuários no Omnissa Identity Service.
Quando você exclui um mapeamento de atributos do aplicativo de provisionamento no Microsoft Entra ID ou no Okta, as alterações não são propagadas para o Omnissa Identity Service. O atributo não é excluído para usuários no Omnissa Identity Service e nos serviços Omnissa integrados a ele.
-
Em alguns casos, pode ser necessário reiniciar o provisionamento.
Se você fizer alterações no Omnissa Identity Service para grupos provisionados do Microsoft Entra ID, por exemplo, se excluir um usuário ou grupo e quiser restaurar os dados, talvez seja necessário reiniciar o provisionamento no centro de administração do Microsoft Entra. Consulte Problemas conhecidos para provisionamento no Microsoft Entra ID na documentação da Microsoft para obter mais informações.
Okta
-
Não há suporte para mapeamentos de atributos de grupo.
Quando o Omnissa Identity Service está integrado ao Okta, não é possível especificar mapeamentos de atributos de grupo no Okta para sincronização com o Omnissa Identity Service. Você só pode mapear atributos de usuário.
-
A exclusão de um mapeamento de atributo no Microsoft Entra ID ou no Okta não remove o atributo dos usuários no Omnissa Identity Service.
Quando você exclui um mapeamento de atributos do aplicativo de provisionamento no Microsoft Entra ID ou no Okta, as alterações não são propagadas para o Omnissa Identity Service. O atributo não é excluído para usuários no Omnissa Identity Service e nos serviços Omnissa integrados a ele.
Outros problemas
-
login_hint não enviado
Quando você integra um provedor de identidade de terceiros ao Omnissa Identity Service usando o protocolo OpenID Connect, o recurso de login_hint não funciona. Se a parte confiável enviar um login_hint, o Omnissa Identity Service não o enviará ao provedor de identidade.
-
Você não está recebendo notificações de expiração de token
Quando seu token do Omnissa Identity Service está prestes a expirar ou expirou, você recebe notificações, tanto como um banner no console do Omnissa Connect quanto por e-mail. Se você não estiver recebendo notificações, verifique se o Omnissa Identity Service está integrado ao Workspace ONE Intelligence.
- Faça login no Omnissa Connect.
- Selecione Integrações > Fontes de Dados.
- Encontre o cartão do Omnissa Access.
Nota: o Omnissa Identity Service está localizado em conjunto com o Omnissa Access Service. - Certifique-se de que o cartão do Omnissa Access exiba o status Autorizado.
- Se o cartão do Omnissa Access não exibir Autorizado, clique em Configurar no cartão.
- Clique em Iniciar.
- Clique em Conectar ao Omnissa Access.
- Clique em Concluir.
Se você puder ver a notificação por banner, mas não receber notificações por e-mail, verifique se optou por receber notificações por e-mail. Veja Como ativar notificações por e-mail.
-
Você deseja alterar o provedor de identidade de terceiros depois de criar um diretório
Depois de ativar o Omnissa Identity Service, selecione o provedor de identidade SCIM 2.0 de terceiros e crie um diretório. Não é possível alterar a seleção do provedor de identidade. Para alterar o provedor de identidade, você deve desativar o Omnissa Identity Service e ativá-lo novamente.
Para desativar o Omnissa Identity Service, siga as instruções em Desativar o Omnissa Identity Service.
-
Depois de ativar o Omnissa Identity Service, você deseja desativá-lo
Talvez seja necessário desativar o Omnissa Identity Service em cenários como os seguintes:
- Você ativou o Omnissa Identity Service para experimentá-lo e agora deseja desativá-lo.
- Seus casos de uso não são compatíveis com o Omnissa Identity Service.
- Você deseja sincronizar usuários e grupos diretamente do Active Directory, que só é compatível quando você configura seu diretório no Workspace ONE UEM, Omnissa Access ou no Horizon Cloud, em vez do Omnissa Connect.
Para desativar o Omnissa Identity Service, siga as instruções em Desativar o Omnissa Identity Service. Depois de desativar o serviço, você pode configurar serviços de diretório e federação de identidades diretamente no Workspace ONE UEM, no Omnissa Access e no Horizon Cloud.
-
Você receberá um erro ao tentar ativar o Omnissa Identity Service depois de desativá-lo
Se você tiver excluído seu diretório e desativado o Omnissa Identity Service, poderá receber um erro ao tentar ativá-lo novamente.
Leva algum tempo para que o diretório seja excluído. Acesse o console do Omnissa Access e confirme se o diretório foi excluído antes de tentar ativar o Omnissa Identity Service novamente.
Problemas no formato do número de telefone no Workspace ONE UEM
Ao provisionar usuários para o Workspace ONE UEM por meio do Omnissa Identity Service, você pode encontrar erros de provisionamento relacionados ao atributo de número de telefone, como os seguintes:
-
[400] {"detail":"Please provide a valid phoneNumber of type 'work'.","schemas":["urn:ietf:params:scim:api:messages:2.0:Error"],"scimType":"InvalidSyntax","status":"400"} -
[400] {"detail":"1: The value for 'Value' can not have more than 20 characters. ","schemas":["urn:ietf:params:scim:api:messages:2.0:Error"],"status":"400"}
Esses erros ocorrem se o número de telefone não corresponde aos requisitos de formato ou comprimento do Workspace ONE UEM. Os requisitos do Workspace ONE UEM para números de telefone incluem o seguinte:
- Comprimento mínimo: os números de telefone devem ter pelo menos 10 caracteres.
- Comprimento máximo: os números de telefone não podem exceder 20 caracteres.
- Restrições de caracteres: caracteres alfabéticos não são permitidos.
Para resolver esses problemas, você pode usar expressões em seu provedor de identidade a fim de converter o atributo de número de telefone para um formato aceito pelo Workspace ONE UEM. Consulte a próxima seção para obter mais informações.
Usar expressões para corrigir problemas de mapeamento de atributos
Caso encontre erros de provisionamento relacionados a atributos, você pode usar uma expressão de mapeamento de atributos em seu provedor de identidade para reformatar o atributo antes que ele seja provisionado para o Omnissa Identity Service. Os construtores de expressões em provedores de identidade como Entra ID e Okta permitem transformar valores de atributos durante a fase de provisionamento.
- Para obter informações sobre como usar expressões no Entra ID, consulte a Referência para escrever expressões para mapeamentos de atributos no Microsoft Entra ID.
- Para obter informações sobre como usar expressões no Okta, consulte a visão geral da Linguagem de Expressão do Okta.
Você pode usar os construtores de expressões para corrigir problemas como:
- O formato ou o comprimento do número de telefone podem estar incorretos durante o provisionamento para o Workspace ONE UEM.
- Caracteres não suportados em qualquer valor de atributo
Exemplo: configurar um mapeamento de expressão no Microsoft Entra ID
Este exemplo mostra como configurar uma expressão para converter valores do atributo de número de telefone (atributo SCIM phoneNumbers[type eq "work"].value) para um formato compatível com o Workspace ONE UEM.
- No seu aplicativo de provisionamento no Entra ID, selecione Gerenciar > Provisionamento.
- Em Mapeamentos, clique em Provisionar usuários do Microsoft Entra ID.
- Na tabela de mapeamentos de atributos, clique no botão Editar do atributo
phoneNumbers[type eq "work"].value. - Na página Editar mapeamento de atributos:
-
Alterar o Tipo de mapeamento para Expressão.
-
Na caixa de texto Expressão, digite a seguinte expressão:
Replace([telephoneNumber], , "[^0-9\\+\\-\\s\\.#\\*]+", , "", , )
-
Clique em OK e em Salvar.
-
Quaisquer caracteres não permitidos pela expressão serão removidos dos números de telefone durante o provisionamento.
Outros exemplos
Da mesma forma, você pode truncar números de telefone para 20 caracteres usando a seguinte expressão:
IIF([telephoneNumber] > 20, Left([telephoneNumber], 20), [telephoneNumber])
Ou, para substituir o caractere & em um atributo como departamento, use a seguinte expressão:
Replace([department], , "[&]", , "and", , )
Esta página foi útil?