AzureAD 组预配到 ServiceNow - 由于存储了 SYSID，因此无法更改 ServiceNow 中的组详细信息

Question

我正在尝试了解 AzureAD 预配和 ServiceNow。 组配置是 OOTB 并设置为在组名称字段上映射，它确实如此。 但是，AzureAD 会存储来自初始匹配的组的 ServiceNow ID (SYSID)，然后将其用作后续预配同步的一部分。

我的目标是确定：

1. 根据最近的问题，我怀疑 AzureAD 配置最近发生了变化，以在创建或匹配记录后存储目标 ID (ServiceNow sysid)。 我对么？
2. 如果上面的 1 为真，那么它存储在哪里，我可以使用 GraphAPI 或配置屏幕访问它吗
3. 我在 ServiceNow 中有多少控制权来使我创建和重新配置的 AzureAD 预配匹配组

为了强制进行测试，我在 ServiceNow 中进行了一些组更改，以测试 AzureAD 预配如何工作并导致预配失败，我想了解。

1. 向我的企业应用程序添加了组“测试配置组”
2. Azure 预配在 ServiceNow“测试预配组”中运行并创建了一个组 - (ID=31f1f3792f630110fc1e52172799b6fa)
3. 在 ServiceNow 中，我将 AzureAD 配置创建的组重命名为“Test Provisioning Group Renamed”（ID=31f1f3792f630110fc1e52172799b6fa）
4. 在 ServiceNow 中，我创建了一个名为“Test Provisioning Group”的新组 - (ID=8bd8394e2f2b0110fc1e52172799b6e2)
5. Azure 预配运行并失败

故障分析

1. 在“第 1 节。从 Azure Active Directory 导入 sys_user_group”的预配日志中，以 ID 值开头，即旧组 ID
2. 在“3.在 Azure Active Directory 和 ServiceNow 之间匹配 sys_user_group”我看到
   • EntryImportByJoiningProperty 按名称查找新组
   • EntryImport 按 ID 查找旧的重命名组 - 它甚至列出了组的新名称“从 ServiceNow 中检索了 'Test Provisioning Group Renamed'”

抱歉，没有足够的积分来发布图片，所以这里是结果表

EntryImportByJoiningProperty

结果	成功
描述	ServiceNow 中的目标条目已通过匹配属性名称与源条目匹配：测试配置组
积极的	1
姓名	测试供应组
Sys_id	8bd8394e2f2b0110fc1e52172799b6e2

入口进口

结果	成功
描述	从 ServiceNow 检索“重命名的测试配置组”
积极的	1
描述	测试 AzureAD 预配问题
姓名
测试	配置组重命名
Sys_id	31f1f3792f630110fc1e52172799b6fa

Answer 1

每当第一次创建或定位对象（用户、组..）时，目标系统 ID 值（ServiceNow SOAP API 的 sys_id）都会在内部存储到供应服务。 该值无法手动清除。 您的选择是完全删除原始组，以便下次 AAD 配置尝试通过 sys_id 定位第一个组时失败并恢复为通过友好名称再次搜索，或者通过 MS Graph API 重新启动配置，resetScope 为 Full，这将清除系统之间 ID 值的配置内部映射。

您无法访问围绕源/目标系统之间链接的这些数据，它仅对供应服务可见。 一般来说，我建议不要执行您所描述的操作 - 这不是 AAD 配置的预期场景。 它提出了一个问题 - 为什么要重命名 ServiceNow 中的组并尝试将其替换为最终处于相同状态的另一个组？

MS Graph 重启 API 文档： https ://docs.microsoft.com/en-us/graph/api/synchronization-synchronizationjob-restart?view=graph-rest-beta&tabs=http