> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://support.granitegrc.com/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# Miksi automaattinen käyttäjäprovisiointi Entra ID:stä ei lisää uusia käyttäjiä tuotantoryhmiin?

Yleensä syy on Entra ID:n provisiointimäärityksissä (ryhmärajaukset ja attribuuttimäppäykset).

Ennen kuin otat yhteyttä tukeen, pyydä Entra/Azure AD -ylläpitäjää tarkistamaan ainakin seuraavat kohdat:

1. Tarkista, että oikeat käyttäjät ja ryhmät provisioidaan
* Varmista Enterprise Application -tason käyttäjärajoitukset: että tuotantokäyttäjät/tuotantoryhmät on luvitettu Granite-sovellukseen Entra ID:ssä, eivätkä provisiointiasetukset rajoitu pelkkiin testikäyttäjiin.
* Poista provisiointiryhmistä tunnukset, joita ei haluta provisioida (muuten Entra yrittää provisioida myös ei-toivotut tunnukset ja lokit täyttyvät virheistä).

2. Tarkista sähköpostiosoite ja muut vaaditut käyttäjäattribuutit
* Granite SCIM -rajapinta vaatii attribuutin "emails". Jos se puuttuu, provisiointi epäonnistuu ja Entra ID:n provisiointilokeihin tulee virheitä esim. 
* "Required property missing: emails" tai 
* ErrorCode: SystemForCrossDomainIdentityManagementServiceIncompatible

* Varmista Entra-portaalissa SCIM‑attribuuttimäppäykset:
* että "emails" on mukana SCIM-mappingissa
* että se täyttyy Entra ID:n käyttäjäobjekteista (ei ole tyhjä millekään provisioitavalle käyttäjälle)
* että myös muut vaaditut attribuutit ovat mukana ja niille löytyy arvo käyttäjillä.

3. Tarkista provisiointilokit Entra-portaalissa
* Avaa Entra ID:n provisiointilokit Granite-sovellukselle ja etsi:
* rivit, joissa on "Required property missing: emails" tai muita SCIM-virheitä (esim. HTTP 400 BadRequest)
* mahdolliset virhekoodit, kuten SystemForCrossDomainIdentityManagementServiceIncompatible
* Jos virheitä näkyy, korjaa ensin attribuuttimäppäykset ja ryhmän jäsenyydet, ja anna provisioinnin yrittää uudelleen.

Jos:
* tuotantokäyttäjät on varmasti luvitettu Granite-sovellukseen Entra ID:ssä
* "emails" ja muut vaaditut attribuutit ovat mukana SCIM-mappingissa ja niillä on arvot kaikilla provisioitavilla käyttäjillä
* provisiointilokeissa ei enää näy selkeitä Entra/SCIM‑mäppäysvirheitä
mutta uusia käyttäjiä ei vieläkään ilmesty Granite-tuotantoryhmiin, ole yhteydessä Granite-tukeen ja liitä mukaan:
* kuvakaappaukset Entra ID:n provisiointimäärityksistä ja attribuuttimäppäyksistä
* esimerkkirivit provisiointilokeista (onnistunut ja/tai epäonnistunut käyttäjä)

Huomio: Meillä ei ole pääsyä asiakkaan Entra/Azure AD -tenanttiin, joten yllä mainitut tarkistukset ja mahdolliset korjaukset tulee tehdä organisaation Entra ID -ylläpitäjän toimesta.