Miksi automaattinen käyttäjäprovisiointi Entra ID:stä ei lisää uusia käyttäjiä tuotantoryhmiin?
Yleensä syy on Entra ID:n provisiointimäärityksissä (ryhmärajaukset ja attribuuttimäppäykset).
Ennen kuin otat yhteyttä tukeen, pyydä Entra/Azure AD -ylläpitäjää tarkistamaan ainakin seuraavat kohdat:
- Tarkista, että oikeat käyttäjät ja ryhmät provisioidaan
- Varmista Enterprise Application -tason käyttäjärajoitukset: että tuotantokäyttäjät/tuotantoryhmät on luvitettu Granite-sovellukseen Entra ID:ssä, eivätkä provisiointiasetukset rajoitu pelkkiin testikäyttäjiin.
- Poista provisiointiryhmistä tunnukset, joita ei haluta provisioida (muuten Entra yrittää provisioida myös ei-toivotut tunnukset ja lokit täyttyvät virheistä).
- Tarkista sähköpostiosoite ja muut vaaditut käyttäjäattribuutit
- Granite SCIM -rajapinta vaatii attribuutin "emails". Jos se puuttuu, provisiointi epäonnistuu ja Entra ID:n provisiointilokeihin tulee virheitä esim.
- "Required property missing: emails" tai
- ErrorCode: SystemForCrossDomainIdentityManagementServiceIncompatible
- Varmista Entra-portaalissa SCIM‑attribuuttimäppäykset:
- että "emails" on mukana SCIM-mappingissa
- että se täyttyy Entra ID:n käyttäjäobjekteista (ei ole tyhjä millekään provisioitavalle käyttäjälle)
- että myös muut vaaditut attribuutit ovat mukana ja niille löytyy arvo käyttäjillä.
- Tarkista provisiointilokit Entra-portaalissa
- Avaa Entra ID:n provisiointilokit Granite-sovellukselle ja etsi:
- rivit, joissa on "Required property missing: emails" tai muita SCIM-virheitä (esim. HTTP 400 BadRequest)
- mahdolliset virhekoodit, kuten SystemForCrossDomainIdentityManagementServiceIncompatible
- Jos virheitä näkyy, korjaa ensin attribuuttimäppäykset ja ryhmän jäsenyydet, ja anna provisioinnin yrittää uudelleen.
Jos:
- tuotantokäyttäjät on varmasti luvitettu Granite-sovellukseen Entra ID:ssä
- "emails" ja muut vaaditut attribuutit ovat mukana SCIM-mappingissa ja niillä on arvot kaikilla provisioitavilla käyttäjillä
- provisiointilokeissa ei enää näy selkeitä Entra/SCIM‑mäppäysvirheitä
mutta uusia käyttäjiä ei vieläkään ilmesty Granite-tuotantoryhmiin, ole yhteydessä Granite-tukeen ja liitä mukaan:
- kuvakaappaukset Entra ID:n provisiointimäärityksistä ja attribuuttimäppäyksistä
- esimerkkirivit provisiointilokeista (onnistunut ja/tai epäonnistunut käyttäjä)
Huomio: Meillä ei ole pääsyä asiakkaan Entra/Azure AD -tenanttiin, joten yllä mainitut tarkistukset ja mahdolliset korjaukset tulee tehdä organisaation Entra ID -ylläpitäjän toimesta.
Päivitetty: 21/04/2026
Kiitos!