Utenti e sincronizzazione con Entra

Gestisci gli account da Utenti (/admin/users). Owner e admin possono modificarli; gli admin in sola lettura possono solo consultarli.

Come vengono creati gli account

Frontdoor crea un account la prima volta che una persona accede con Microsoft, usando il suo profilo Microsoft. Per preparare gli account prima di allora, usa il pre-onboarding.

Gestire un utente

Dall'elenco degli utenti puoi cercare, cambiare il ruolo di un utente, attivare o disattivare un account ed eliminarlo. Eliminare un utente ripulisce anche i dati collegati.

Gli utenti disattivati non possono accedere finché un amministratore non li riattiva.

Gli owner elencati in ADMIN_EMAILS sono contrassegnati nell'elenco e non possono essere declassati dall'interfaccia web. I ruoli sono descritti in Gruppi e accessi.

Vedere le app che un utente può raggiungere

Apri un utente e seleziona App visibili: vedi esattamente quali app l'utente può aprire e tramite quale gruppo.

Pre-onboarding degli utenti

Il pre-onboarding crea gli account delle persone che esistono in Microsoft Entra ma non hanno ancora effettuato l'accesso a Frontdoor.

1. In Utenti, seleziona Pre-onboarding utenti.
2. Cerca in Microsoft Entra per nome o email e aggiungi le persone che vuoi, fino a 50 alla volta.
3. Se vuoi, scegli i Gruppi locali a cui devono appartenere. Il gruppo predefinito viene sempre aggiunto.
4. Seleziona Pre-onboarding.

Ogni account è collegato al suo utente Entra tramite l'object ID e viene completato al primo accesso. I gruppi Entra vengono aggiunti dalla sincronizzazione successiva o al primo accesso. Quando un utente in pre-onboarding accede per la prima volta, gli amministratori ricevono una notifica.

Il pre-onboarding richiede il permesso applicativo Microsoft Graph User.Read.All (vedi Configurazione di Microsoft Entra), anche quando la sincronizzazione dei gruppi Entra è disattivata.

Persone che hanno lasciato l'organizzazione

Quando viene eseguito Sincronizza gruppi e Microsoft Entra non conosce più un utente collegato (Microsoft Graph risponde 404 Request_ResourceNotFound), Frontdoor disattiva quell'utente e lo contrassegna con lo stato Non trovati in Entra. Gruppi, preferenze e storico degli accessi vengono conservati.

Usa il filtro di stato in Utenti per elencarli, poi eliminali definitivamente o riattivali. Il contrassegno viene rimosso quando l'utente viene trovato di nuovo o riattivato.

Gli owner in ADMIN_EMAILS e l'ultimo amministratore attivo vengono solo contrassegnati, mai disattivati.

Agire come un utente

Per vedere Frontdoor esattamente come lo vede un utente, apri il dettaglio dell'utente e scegli Agisci come questo utente. Inserisci una Motivazione (fino a 500 caratteri) e seleziona Avvia. Possono farlo owner, admin e admin in sola lettura.

• Puoi agire solo come utenti attivi con il ruolo user, e mai come te stesso.
• La sessione è in sola lettura: ogni modifica viene rifiutata (codice di errore impersonation_read_only) e le app non si possono aprire (impersonation_app_launch_blocked); non viene mai emesso un token SSO.
• Un banner su ogni pagina mostra per conto di chi stai agendo. Seleziona Termina per tornare al tuo account senza dover accedere di nuovo.
• La sessione termina quando la interrompi, quando esci, quando scade la tua sessione o dopo IMPERSONATION_TIMEOUT_MINUTES (predefinito 30 minuti).

Avvio, fine, modifiche bloccate e aperture di app bloccate vengono scritti nel log di audit con tipo di oggetto impersonation. Vedi Log, audit e conservazione. Le sessioni concluse vengono eliminate insieme ai log e restano fuori dai backup creati con Escludi i log di accesso e di audit.

Avatar

Frontdoor mostra le foto del profilo di Microsoft 365, in mancanza usa Gravatar e infine le iniziali della persona. Le foto di Microsoft 365 vengono scaricate da Microsoft Graph all'accesso degli utenti. Gli avatar sono in cache su disco (AVATAR_CACHE_DIR) e vengono aggiornati solo dopo AVATAR_CACHE_TTL_DAYS (predefinito 14) oppure, se non è stata trovata alcuna foto, dopo AVATAR_CACHE_MISS_TTL_DAYS (predefinito 30), così le pagine non interrogano Graph a ogni caricamento.

Per precaricare la cache degli utenti esistenti, un operatore può eseguire npm run avatars:prewarm (con Docker, vedi Installazione con Docker). Per scaricare le foto di Microsoft 365 degli utenti esistenti serve il permesso Graph ProfilePhoto.Read.All.

Se qualcuno cambia la foto in Microsoft 365 e vuoi che compaia subito, gli owner possono svuotare la cache degli avatar da Personalizza.

Notifiche

Owner, admin e admin in sola lettura vedono nella barra in alto una campanella con il numero di notifiche non lette. Frontdoor genera una notifica quando:

• un utente viene disattivato perché non è più presente in Microsoft Entra
• un account creato in anticipo accede per la prima volta
• la sincronizzazione con Microsoft Entra non riesce, all'accesso o durante una sincronizzazione
• un gruppo Entra importato viene eliminato in Microsoft Entra

Ogni notifica rimanda alla pagina in cui puoi gestirla. Owner e admin possono risolverle; alcune si risolvono da sole, per esempio quando l'utente viene riattivato. Le notifiche risolte vengono rimosse dopo NOTIFICATION_RETENTION_DAYS (predefinito 30). Il log di audit ne conserva lo storico.