Ricerca

Chiedimi qualsiasi cosa

Guida alla configurazione SAML SCIM personalizzata tramite Entra ID

Le applicazioni SAML personalizzate create in Microsoft Entra ID offrono un provisioning automatico limitato, che include la creazione e la rimozione degli utenti.

Microsoft Entra ID era precedentemente chiamato Azure.

Prerequisiti

  • Prima di configurare il provisioning, devi avere il SAML personalizzato abilitato per il tuo Workspace.
  • Solo gli amministratori di Entra ID possono configurare Entra ID SCIM.
  • Il provisioning richiede un'applicazione personalizzata non della raccolta in Microsoft Entra ID. L'applicazione della raccolta ClickUp Productivity Platform non supporta SCIM e non può effettuare il provisioning dei gruppi.

Configurare l'applicazione SAML personalizzata di Microsoft Entra ID

Per configurare l'applicazione SAML personalizzata:

  1. Crea una nuova applicazione SAML personalizzata in Microsoft Entra ID. Non si tratta dell'applicazione ufficiale della galleria Microsoft Entra ID di ClickUp ClickUp Productivity Platform.

Screenshot di qualcuno che configura una nuova app SAML personalizzata in Microsoft Entra ID.

  1. In ClickUp, nell'angolo in alto a sinistra, fai clic sull'avatar del tuo Workspace.
  2. Seleziona Impostazioni.
  3. Nella barra laterale Tutte le impostazioni, fai clic su Sicurezza e permessi.
  4. Nella sezione Single sign-on (SSO), seleziona SAML.

    Screenshot dell'opzione SAML nelle impostazioni Sicurezza e permessi di ClickUp.

  5. Per una nuova app di Microsoft Entra ID, copia il SP Entity ID da ClickUp.

    Screenshot dello SP Entity ID da ClickUp.

  6. Incolla il SP Entity ID copiato da ClickUp nel campo Identifier (Entity ID) in Microsoft Entra ID.

    Screenshot di qualcuno che incolla lo SP Entity ID nel campo Identifier.

  7. Copia il Single sign-on URL (ACS URL) da ClickUp e incollalo nel campo Reply URL (Assertion Consumer Service URL) in Microsoft Entra ID.
  8. Fai clic su Salva in Microsoft Entra ID.

Screenshot del pulsante Salva in Microsoft Entra.

Collega SSO in ClickUp

Ora che l'applicazione è configurata, puoi completare la connessione SSO in ClickUp:

  1. Assicurati che la persona che configura l'integrazione SSO sia assegnata nell'app Microsoft Entra ID. Gli altri utenti possono essere aggiunti in un secondo momento.
  2. Copia il Login URL e il Certificato pubblico IDP da Microsoft Entra ID.

Screenshot dell'URL di accesso e del certificato pubblico IDP in Microsoft Entra ID

  1. Incolla questi valori in testo normale negli appositi campi vuoti di ClickUp quando selezioni il connettore SAML.

    Screenshot di un certificato.

    • Per ottenere il certificato in testo normale, scarica il file, fai clic con il tasto destro e aprilo con l'editor di testo che preferisci. Il testo inizia con -----BEGIN CERTIFICATE-----. Incolla l'intero valore testuale senza modifiche nel campo Certificato pubblico IDP.
  2. Seleziona Salva metadati.

    Screenshot del pulsante Salva metadati.

  3. Ti verrà chiesto di completare il collegamento accedendo con SSO. Se l'operazione va a buon fine, verrai reindirizzato a ClickUp.
  4. Nella pagina Sicurezza e autorizzazioni di ClickUp vedrai tre nuove opzioni:
    • URL di base SCIM: inserisci queste informazioni nel passaggio successivo.
    • Token API SCIM: inserisci queste informazioni nel passaggio successivo.
    • Criterio di accesso: scegli una di queste quattro opzioni:
    • Tutti gli utenti devono usare l'autenticazione SAML: tutti gli utenti di tipo membro e di tipo ospite devono usare l'autenticazione SAML.
    • Tutti gli utenti tranne gli ospiti devono usare l'autenticazione SAML: gli utenti di tipo ospite non sono tenuti a usare l'autenticazione SAML.
    • Tutti gli utenti tranne i membri limitati e gli ospiti devono usare l'autenticazione SAML: i membri limitati, i membri limitati in sola lettura e tutti gli utenti di tipo ospite non sono tenuti a usare l'autenticazione SAML.
    • L'uso dell'autenticazione SAML è facoltativo: l'autenticazione SAML è facoltativa per tutti gli utenti.
  5. Vai al passaggio successivo per effettuare il provisioning degli altri utenti nel Workspace.

Prima di effettuare il provisioning dei gruppi

Esamina questi limiti prima di trasferire i gruppi di Microsoft Entra ID in ClickUp:

  • Il provisioning crea nuovi Team e non può collegare un gruppo a un Team già esistente nel tuo Workspace.
  • I gruppi annidati non sono supportati.
  • Ogni utente può avere un solo ruolo nell'app. Il provisioning non va a buon fine per un utente che riceve un ruolo direttamente e un ruolo diverso tramite un gruppo, oppure ruoli diversi tramite due gruppi.
  • Se usi ruoli personalizzati nell'app, ogni gruppo assegnato deve avere un ruolo. I gruppi senza ruolo non sono supportati.
  • Gli ospiti con accesso in sola visualizzazione aggiunti a un Team vengono convertiti in ospiti, che possono occupare un posto a pagamento. Controlla l'appartenenza degli ospiti nei tuoi gruppi prima di effettuare il provisioning.
  • Il provisioning non concede a un Team l'accesso a Spazi, Cartelle, Sottocartelle o Elenchi.

Configurare il provisioning automatico con ClickUp

Supportiamo il provisioning di singoli utenti e gruppi con SCIM. Quando esegui il provisioning di gruppi su ClickUp, i nuovi utenti vengono aggiunti come singoli individui e sia i nuovi che quelli già esistenti vengono aggiunti a un Team di ClickUp. Se non vuoi che questi utenti vengano aggiunti a un Team, elimina il Team dopo il provisioning.

Quando aggiungi un profilo utente all'app SAML personalizzata, l'utente non diventa un utente ClickUp finché non ne esegui il provisioning tramite SCIM.

Il provisioning automatico può essere eseguito su richiesta oppure in cicli, che per impostazione predefinita si ripetono ogni 30 minuti. Gli utenti assegnati all'applicazione vengono aggiunti solo all'avvio del ciclo di provisioning automatico successivo. Scopri di più su come funziona il provisioning delle applicazioni in Microsoft Entra ID.

Screenshot del pulsante Effettua provisioning su richiesta

Per configurare il provisioning automatico:

  1. In Microsoft Entra ID, apri la scheda Provisioning e cambia il menu a discesa da Manuale ad Automatico. Apparirà la finestra Credenziali amministratore nella scheda Provisioning.
    • Se vuoi eseguire il provisioning di massimo cinque utenti alla volta manualmente, nella scheda Provisioning seleziona Effettua provisioning su richiesta.

      Screenshot della finestra delle credenziali amministratore nella scheda Provisioning.

  2. Inserisci l'URL di base SCIM dalla pagina Sicurezza e autorizzazioni di ClickUp nel campo URL tenant.
  3. Inserisci il Token API SCIM dalla pagina Sicurezza e autorizzazioni di ClickUp nel campo Token segreto.
  4. Fai clic su Verifica connessione.

    Screenshot del pulsante Verifica connessione.

  5. Quando il test va a buon fine, fai clic su Salva.
  6. Dalla pagina Provisioning, fai clic su Mapping. Assicurati che siano abilitati sia Effettua provisioning utenti Microsoft Entra ID sia Effettua provisioning gruppi Microsoft Entra ID. Se il mapping dei gruppi è disattivato, non viene creato alcun Team.
  7. Dopo aver salvato, SCIM è configurato nel Workspace. Gli utenti possono accedere a ClickUp con Microsoft Entra ID.

Seleziona i ruoli utente ClickUp di cui vuoi eseguire il provisioning

Il ruolo utente predefinito è membro, a meno che tu non selezioni i ruoli utente ClickUp di cui vuoi eseguire il provisioning.

Per mappare Microsoft Entra ID ai ruoli utente ClickUp:

  1. Come amministratore, accedi all'interfaccia di amministrazione di Microsoft Entra.
  2. Seleziona Identità, Applicazioni, quindi Applicazioni aziendali.
  3. Dalla pagina Applicazioni aziendali, seleziona la tua app SAML.
  4. Dalla pagina Panoramica nella barra laterale sinistra, seleziona Provisioning.
  5. Dalla pagina Provisioning, fai clic su Mapping.
  6. Seleziona Effettua provisioning utenti Microsoft Entra ID per visualizzare un elenco di attributi.
  7. Scorri fino in fondo alla pagina e seleziona la casella di controllo Mostra opzioni avanzate.
  8. Fai clic su Modifica elenco attributi.

Screenshot di un utente che seleziona Mostra opzioni avanzate e Modifica elenco attributi

  1. Scorri fino all'ultima riga della colonna Nome e inserisci questo attributo urn per i ruoli utente: urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  2. Nel menu a discesa della colonna Tipo, verifica che sia selezionato Stringa.
  3. Nell'angolo in alto a sinistra, fai clic su Salva.
    • Se il nome non viene salvato, seleziona Annulla e riprova. Se il problema persiste, prova a reimpostare i mapping ai valori predefiniti.
  4. Verrai reindirizzato alla pagina Mapping attributi.
  5. Seleziona Aggiungi nuovo mapping.
  6. Dalla pagina Modifica attributo, per Tipo di mapping seleziona Costante.
    • Per eseguire il mapping in modo dinamico, consulta la sezione Provisioning dinamico dei ruoli utente qui sotto.
  7. Per Valore costante, inserisci uno dei seguenti valori:
    • 2 per gli amministratori.
    • 3 per i membri.
    • 4 per gli ospiti.
    • 100 per i membri con accesso limitato.
    • {custom_role_id} per i ruoli personalizzati.
  8. Per Attributo di destinazione, inserisci urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  9. Fai clic su OK e Salva.
  10. Ogni utente di cui esegui il provisioning verrà aggiunto con quel ruolo utente ClickUp.
    • Per mappare un altro ruolo utente, riparti dal passaggio 5 e seleziona un Valore costante diverso. Per eseguire il mapping in modo dinamico, consulta la sezione Provisioning dinamico dei ruoli utente qui sotto.

È possibile mappare anche i seguenti attributi:

Schema Attributi del ruolo utente
Base id: user.id
userName: user.userName
name: user.givenName+""+familyName
active: user.active
emails: Array di email con proprietà value e proprietà primary (booleana).
title: user.title
manager: user.role
Estensione role: user.role
customRoleId: Inserisci l'ID del ruolo personalizzato ClickUp.
Per trovare l'ID del ruolo personalizzato, invia la richiesta Get User dall'API di ClickUp. Questo endpoint è disponibile solo nei piani Enterprise.
customRoleName: Inserisci il nome del ruolo personalizzato ClickUp.
Enterprise
Questi attributi vengono rilasciati gradualmente a tutti i Workspace Enterprise.
Quando questi attributi sono impostati, vengono visualizzati anche nella pagina Panoramica persone in Teams Hub.		 catena di gestione
department: user.department
region: user.region

Provisioning dinamico dei ruoli utente

Gestisci dinamicamente i ruoli utente in ClickUp in base ai ruoli utente assegnabili in Entra. Questo si ottiene condividendo dinamicamente i valori dei ruoli con l'attributo di destinazione. Il risultato ti permette di assegnare ruoli in Entra che corrispondono ai ruoli di ClickUp, semplificando il provisioning.

Per modificare il mapping dell'attributo di destinazione da costante a espressione e abilitare il provisioning dinamico dei ruoli utente:

  1. Dalla pagina Panoramica nella barra laterale sinistra, seleziona Provisioning.
  2. Dalla pagina Provisioning, fai clic su Mappature, poi su Effettua il provisioning degli utenti Microsoft Entra ID.
    • Se non l'hai ancora fatto, scorri fino all'ultima riga della colonna Nome e inserisci questo attributo urn per i ruoli utente: urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  3. Seleziona Modifica a destra dell'attributo urn.
  4. Scegli il tipo di mapping espressione e aggiungi questa espressione: Switch(SingleAppRoleAssignment([appRoleAssignments]), "3", "ClickUpAdmin", "2", "ClickUpGuest", "4", "ClickUpLimitedMember", "100").
    • In questa espressione, 3 è il valore predefinito, seguito dalle coppie chiave-valore corrispondenti per il ruolo Entra / ruolo ClickUp. Per saperne di più, consulta come scrivere espressioni per i mapping degli attributi in Microsoft Entra ID.
    • Puoi dare qualsiasi nome a questi ruoli Entra quando li crei nella sezione Registrazione app. L'importante è che l'argomento seguente corrisponda al valore corretto del ruolo utente ClickUp e che tu selezioni quei ruoli Entra quando assegni gli utenti a ClickUp: il provisioning verrà eseguito correttamente.
    • Puoi scegliere altre espressioni logiche se preferisci, a condizione che all'attributo urn di ClickUp venga assegnato un numero valido corrispondente a un ruolo utente.
  5. Fai clic su Salva.
  6. Da questo momento, quando assegni utenti o gruppi in Utenti e gruppi, seleziona il ruolo corrispondente che vuoi assegnare a quell'utente in ClickUp.
  7. Quando esegui il provisioning di quell'utente, gli verrà assegnato il ruolo corretto. Se un utente viene sottoposto a provisioning sia come utente singolo sia come parte di un gruppo, assicurati che non sia assegnato a due ruoli app diversi: questo causerebbe errori.

Provisioning dei gruppi come Team

Ogni gruppo Microsoft Entra ID che assegni all'app diventa un nuovo Team di ClickUp con lo stesso nome. I nuovi utenti vengono creati e quelli già esistenti vengono aggiunti al Team.

Per eseguire il provisioning dei gruppi:

  1. Nell'app Microsoft Entra ID, nella barra laterale sinistra, fai clic su Utenti e gruppi.
  2. In alto a sinistra, fai clic su Aggiungi utente/gruppo, poi assegna i gruppi che vuoi usare come Team. Assegnare singoli utenti non crea un Team.
  3. Per fare un test, nella scheda Provisioning seleziona Provisioning su richiesta e scegli un singolo utente. Il provisioning su richiesta invia fino a cinque membri di un gruppo alla volta, quindi durante il test un Team potrebbe sembrare incompleto.
  4. Avvia il provisioning in Microsoft Entra ID. I Team e i loro membri vengono aggiunti alla successiva esecuzione del ciclo di provisioning.
  5. In ClickUp, condividi gli Spazi, le Cartelle, le Sottocartelle o gli Elenchi necessari.