连接 Microsoft Entra

连接 Microsoft Entra 目录，将成员同步到 Klang。你可以选择所有已同步用户，也可以只允许特定群组访问。

Klang 也可以从 Okta、Google Workspace 或其他 SCIM 服务同步。每个工作空间一次只能使用一个身份提供商。一个 Microsoft 连接可以由多个工作空间共享。

开始之前

你需要：

• 在 Klang 中：Pro 或企业版工作空间的管理员身份
• 在 Microsoft Entra 中：创建企业应用和配置预配的权限

群组是可选的。如果希望不同的人拥有不同的访问权限或角色，请提前规划好群组。

在 Entra 中创建应用

1. 在 Microsoft Entra 管理中心，前往 Enterprise applications
2. 点击 New application，然后点击 Create your own application
3. 将其命名为 Klang
4. 选择 Integrate any other application you don’t find in the gallery (Non-gallery)
5. 点击 Create

从 Klang 获取凭据

1. 在 Klang 中，打开 设置 → 工作空间 → 成员 → 成员同步
2. 在 SCIM 目录卡片上，点击连接
3. 选择 Microsoft Entra ID 标签页
4. 点击保存，创建连接并显示 URL 和令牌

Klang 会显示 Tenant URL 和令牌，以及在 Entra 中需要完成的步骤。

令牌只显示一次。请在关闭对话框之前复制。如果丢失了令牌，可以点击创建新令牌重新生成，但旧令牌会立即失效。

如果显示了连接设置，新建设置时请保持选中新建连接。如果要复用已有连接，请改为选择你管理的某个工作空间，然后点击保存。无需新令牌，也无需重新设置身份提供商。

之后如需查看设置，请打开连接卡片上的更多选项（⋮），然后选择显示设置。URL 和身份提供商的设置说明仍可查看，但已保存的令牌无法再次显示。点击关闭会关闭指南，不会更改连接。

将凭据粘贴到 Entra

1. 在新建的 Klang 应用中，打开 Provisioning
2. 点击 Connect your application
3. 将 Select authentication method 保持为 Bearer authentication
4. 将 Klang 提供的值分别粘贴到 Tenant URL 和 Secret token
5. 点击 Test connection
6. 点击 Create

如果测试失败，请检查是否复制了完整的令牌，以及 Tenant URL 末尾是否没有斜杠。

选择要同步的用户和群组

当 Scope 设置为 Sync only assigned users and groups 时，Entra 会发送分配给该应用的人员。你可以分配单个用户或群组。

1. 在 Klang 应用中，打开 Users and groups
2. 点击 Add user/group，选择要预配的用户或群组
3. 回到 Provisioning，点击 Start provisioning

Microsoft 会按自己的时间安排首次同步，最长可能需要 40 分钟。之后的更改通常也会在 40 分钟内同步过来。

为此工作空间选择成员

所有已同步用户会为通过此连接发送的每个活跃用户开通成员访问权限。管理员在 Klang 中管理。发送哪些用户仍由身份提供商决定。

1. 在成员同步中，找到谁应获得访问权限？
2. 选择所有已同步用户或选择指定群组。如果选择指定群组，请选择哪些群组授予管理员或成员访问权限
3. 点击查看包含哪些人，查看所选范围内的人员
4. 查看是否需要额外席位，然后点击保存

群组可以重叠，每个人在每个工作空间中只计算一次。在你保存选择之前，任何人都无法通过新连接获得访问权限。

在其他工作空间中使用此连接

1. 切换到你管理的另一个工作空间
2. 打开设置 → 工作空间 → 成员 → 成员同步
3. 在 SCIM 目录卡片上，点击连接
4. 选择要复用其 Microsoft 连接的工作空间
5. 点击保存，使用此连接
6. 选择哪些人可以访问，并保存选择

关联工作空间时，你需要同时是两个工作空间的管理员。连接是共享的，因此只需在 Microsoft 中配置一次。同一个群组可以在不同工作空间中授予不同的角色。即使最初建立连接的人之后失去了管理员权限，同步也会继续。

之后会发生什么

• 包含在已保存选择中的活跃用户可以访问此工作空间
• 已停用或不再包含在选择中的用户，将失去通过同步获得的访问权限，但其内容会保留
• 管理员群组可以将成员提升为管理员。现有管理员移到成员群组时，仍会保留管理员角色
• 从未登录过 Klang 的人员会收到邀请邮件

你继续在 Entra 中管理人员，Klang 会随之同步。

轮换令牌

在连接卡片上，打开更多选项（⋮），然后选择创建新令牌。任何已关联工作空间的管理员都可以执行此操作。确认对话框会列出所有受影响的工作空间：旧令牌将对所有这些工作空间失效。

在 Entra 中现有的 Klang 应用里，打开 Provisioning → Connectivity。将新令牌粘贴到 Secret token，点击 Test connection，然后点击 Save，即可恢复同步。

断开连接

点击更多选项（⋮）→ 断开连接，停止同步此工作空间。现有成员会保留访问权限，并改为手动管理；待接受的同步邀请将取消。其他已关联的工作空间会继续同步。断开最后一个工作空间时，共享连接及其令牌也会一并删除。