Kết nối Microsoft Entra ID

Trong portal, chép Redirect URI (địa chỉ trả về). Địa chỉ có dạng https://<portal>/idp/realms/ai-portal/broker/<slug>-idp/endpoint, với <slug> là mã tổ chức đặt ở trình hướng dẫn lần đầu.

Ở trang Overview của Entra ID, ghi lại Tenant ID và tên miền chính.

App registrations › New registration. Đặt tên ECV AI Portal, giữ mặc định chỉ dùng trong tổ chức. Ở Redirect URI, chọn Web và dán địa chỉ ở bước 1. Bấm Register, rồi ghi lại Application (client) ID ở trang Overview.

Certificates & secrets › New client secret, mô tả ECV AI Portal, thời hạn 24 tháng, Add. Chép ngay cột Value và Expires: rời trang là không xem lại được giá trị.

Đăng nhập và SharePoint dùng chung mã này. Mã hết hạn thì nhân viên không đăng nhập được và portal ngừng đồng bộ SharePoint, nên hãy lên lịch tạo mã mới trước ngày đó.

API permissions › Add a permission › Microsoft Graph:

Sites.Selected phải là Application vì portal đồng bộ theo lịch, kể cả lúc không ai đăng nhập. Với ProfilePhoto.Read.All, chọn Application để lấy ảnh mọi người theo lịch, hoặc Delegated để lấy ảnh từng người lúc họ đăng nhập, rồi chọn đúng loại tương ứng ở mục People’s pictures của portal.

Quyền mới sẽ ở trạng thái Not granted. Bấm Grant admin consent và xác nhận: mọi dòng ở cột Status chuyển xanh.

Token configuration › Add optional claim, chọn ID, tích upn ở gần cuối danh sách rồi Add. Nếu Entra hỏi bật thêm quyền đi kèm thì đồng ý.

Ở Sign-in & provisioning, bấm Register a provider (hoặc Change provider) rồi điền Tenant ID, Application (client) ID, mã bí mật, ngày hết hạn của mã và tên miền email của nhân viên. Portal nhắc bạn 30 ngày trước khi mã hết hạn.

Enterprise applications › New application › Create your own application. Đặt tên ECV AI Portal Provisioning, chọn Integrate any other application you don’t find in the gallery (Non-gallery) rồi Create.

Trong portal, cấp thông tin xác thực đồng bộ. Portal hiện bốn giá trị: Tenant URL, OAuth token endpoint, Client identifier và Client secret. Mã bí mật chỉ hiện một lần, nên để nguyên trang cho tới khi dán xong sang Entra.

Trong ứng dụng vừa tạo, mở Provisioning › Connect your application. Ở Authentication Method chọn OAuth2 Client Credentials Grant, dán bốn giá trị vào bốn ô cùng tên. Bấm Test connection, chờ báo thành công rồi Create.

Attribute mapping › Users. Tìm dòng có thuộc tính đích externalId, đổi nguồn sang objectId rồi Save. Nguồn mặc định mailNickname có thể đổi, và khi đổi, portal sẽ coi người đó là nhân viên mới. Các dòng khác và tab Groups giữ nguyên.

Ở Settings, chọn Scope: Sync all users and groups nếu mọi nhân viên dùng portal, hoặc Sync only assigned users and groups rồi gán người hoặc nhóm ở Users and groups (người không được gán sẽ không đăng nhập được). Chuyển Provisioning Status sang On, Save, rồi Start provisioning ở Overview.

Entra đồng bộ 20 đến 40 phút một lần. Muốn thử ngay, dùng Provision on demand cho một người; lỗi xem ở Provisioning logs. Sau khi đổi mapping, dùng Restart provisioning.