Mitglieder mit SCIM bereitstellen

Mit SCIM hält Ihr Identitätsanbieter die Mitglieder in Polzy im Einklang mit Ihrem Verzeichnis. Kommt jemand hinzu, ändert sich etwas oder geht jemand, meldet Ihr Verzeichnis das sofort an Polzy, und niemand muss Personen von Hand einladen oder entfernen. Diese Anleitung behandelt das Token, die Einrichtung in jedem Verzeichnis und was Polzy mit jeder Änderung tut.

So funktioniert es

• Angelegt. Eine neue Person in Ihrem Verzeichnis wird Mitglied, im Workspace und mit der Rolle, die Sie für Single Sign-on gewählt haben, ohne Einladungs-E-Mail. Sie meldet sich über Ihren Identitätsanbieter an.
• Aktualisiert. Eine Namensänderung erreicht jeden Workspace, dem die Person angehört.
• Deaktiviert. Wer in Ihrem Verzeichnis deaktiviert wird, ist sofort in Polzy deaktiviert, und seine Sitzungen enden. Der Platz wird frei.
• Entfernt. Wer aus Ihrem Verzeichnis gelöscht wird, verliert die Mitgliedschaften in Ihrer Organisation. Antworten und Erstelltes bleiben.
• Gruppen. Ihr Verzeichnis sendet neben seinen Personen auch seine Gruppen. Die Gruppenregeln im Schritt Personen von Single Sign-on geben den Personen jeder Gruppe einen Workspace und eine Rolle: ein Regelwerk für Single Sign-on und SCIM.

Unter Organisationseinstellungen → Mitglieder tragen Personen, die Ihr Verzeichnis angelegt hat oder verwaltet, das Label Von Ihrem Verzeichnis verwaltet.

Bevor Sie beginnen

• Single Sign-on, bis zum Schritt Personen. SCIM ordnet Personen mit dem Workspace, der Rolle und den Gruppenregeln zu, die Sie dort wählen. Wählen Sie den Workspace unter Mitglied automatisch anlegen; wechseln Sie danach zu Nur bereits eingeladene oder synchronisierte Personen, bleibt der gewählte Workspace für SCIM erhalten. Siehe Festlegen, wer hereinkommt.
• Jede Domain bestätigt. Eine Person mit einer Adresse auf einer anderen Domain wird abgelehnt. Siehe Ihre Domain bestätigen.
• Keine Personensynchronisierung. SCIM und eine Synchronisierung aus BambooHR, Workday, Personio oder Microsoft Entra ID können nicht beide eine Organisation verwalten. Trennen Sie die Synchronisierung unter Kontakte → Sync und Felder, bevor Sie ein Token erstellen; solange ein Token besteht, lässt sich keine Synchronisierung verbinden.
• Freie Plätze. Jede Mitgliedschaft, die ein Verzeichnis anlegt, belegt einen Platz in Ihrem Tarif.

Das Token erstellen

1. Öffnen Sie Organisationseinstellungen → Sicherheit. Suchen Sie im Abschnitt Single Sign-on nach SCIM-Bereitstellung und wählen Sie Einrichten.
2. Kopieren Sie unter Verbinden Sie Ihr Verzeichnis die SCIM-Basis-URL: https://api.polzy.ai/api/scim/v2.
3. Wählen Sie unter Token die Option Token erstellen. Kopieren Sie es aus dem Fenster, das sich öffnet: Es wird nur dieses eine Mal angezeigt. Polzy behält nur einen Fingerabdruck davon und die ersten Zeichen, um es zu erkennen.
4. Fügen Sie beides in Ihr Verzeichnis ein, wie die folgenden Abschnitte beschreiben.

• Token ersetzen gibt Ihnen ein neues Token und lässt das aktuelle noch 24 Stunden laufen, während Sie das neue in Ihr Verzeichnis einfügen.
• Widerrufen stoppt alle Tokens auf einmal, und damit die Bereitstellung. Die Mitglieder, die Ihr Verzeichnis angelegt hat, bleiben, wie sie sind.
• Letzte Aktivität zeigt, wie viele Änderungen Ihr Verzeichnis in den letzten 30 Tagen vorgenommen hat.
• Workspaces und Rollen zeigt, wohin die Personen kommen, die Ihr Verzeichnis sendet. Gruppenregeln bearbeiten öffnet den Schritt Personen von Single Sign-on, in dem der Standard-Workspace, die Standardrolle und die Gruppenregeln stehen.

Betreut jemand anderes Ihr Verzeichnis, enthält der Einrichtungslink, den Sie aus dem Abschnitt Single Sign-on senden, einen SCIM-Schritt, in dem die Person das Token selbst erstellen kann. Ersetzen bleibt Ihnen vorbehalten, und ein widerrufener Link stoppt auch ein damit erstelltes Token. Siehe Die IT einrichten lassen.

Okta

SCIM läuft in Okta in derselben App, die Sie für Single Sign-on erstellt haben. Die Menüs der Anbieter sind auf Englisch genannt.

1. Wählen Sie auf dem Tab General der App unter App Settings die Option Edit, setzen Sie Provisioning auf SCIM und speichern Sie. Ein Tab Provisioning erscheint.
2. Öffnen Sie auf dem Tab Provisioning die Option Integration und wählen Sie Edit. Fügen Sie die Basis-URL in SCIM connector base URL ein und geben Sie userName als Unique identifier field for users ein.
3. Wählen Sie unter Supported provisioning actions die Optionen Push New Users, Push Profile Updates und Push Groups.
4. Setzen Sie Authentication Mode auf HTTP Header und fügen Sie das Token als Bearer-Token in Authorization ein. Wählen Sie Test Connector Configuration und dann Save.
5. Wählen Sie unter To App die Option Edit, schalten Sie Create Users, Update User Attributes und Deactivate Users ein und speichern Sie.
6. Wählen Sie auf dem Tab Push Groups die Option Push Groups und übertragen Sie die Gruppen, die Ihre Gruppenregeln nennen. Eine Gruppe auf dem Tab Assignments zuzuweisen sendet ihre Personen, nicht die Gruppe: Nur eine übertragene Gruppe erreicht Ihre Gruppenregeln.

Okta sendet den Okta-Benutzernamen als userName, er muss also die E-Mail-Adresse der Person auf einer Ihrer bestätigten Domains sein.

Anleitungen von Okta: Add SCIM provisioning to app integrations und Enable Group Push.

Microsoft Entra ID

1. Öffnen Sie im Microsoft Entra Admin Center die Unternehmensanwendung Polzy, die Sie für Single Sign-on erstellt haben, und gehen Sie zu Provisioning.
2. Setzen Sie Provisioning Mode auf Automatic (in neueren Mandanten wählen Sie New configuration).
3. Fügen Sie unter Admin Credentials die Basis-URL als Tenant URL und das Token als Secret Token ein. Wählen Sie Test Connection und speichern Sie.
4. Öffnen Sie unter Mappings die Benutzerzuordnung und prüfen Sie die Quelle von userName: standardmäßig userPrincipalName, oder mail, wenn die Anmeldenamen Ihrer Leute nicht ihre E-Mail-Adressen sind.
5. Setzen Sie unter Settings den Bereich auf Sync only assigned users and groups und weisen Sie die Personen und Gruppen unter Users and groups zu.
6. Setzen Sie Provisioning Status auf On und speichern Sie.

Entra stellt in Zyklen von etwa 40 Minuten bereit. Provision on demand sendet eine Person, oder eine Gruppe mit bis zu fünf, sofort: der schnellste Weg, es auszuprobieren.

Entra sendet die der App zugewiesenen Gruppen mit ihrer Objekt-ID als externalId. Eine Gruppenregel kann eine Gruppe also mit ihrem Namen oder mit dieser Objekt-ID nennen, die der Gruppenanspruch von Entra bei der Anmeldung sendet.

Anleitungen von Microsoft: Develop and plan provisioning for a SCIM endpoint, Configure automatic user provisioning und Provision a user or group on demand.

OneLogin

OneLogin stellt über seinen Connector SCIM Provisioner with SAML bereit, der Personen auch per SAML anmeldet: Sie können Single Sign-on in derselben App einrichten, mit den Werten aus dem Abschnitt OneLogin der Single-Sign-on-Anleitung.

1. Gehen Sie zu Applications → Add App und fügen Sie SCIM Provisioner with SAML hinzu (das Core-Schema). Nennen Sie ihn Polzy.
2. Fügen Sie auf dem Tab Configuration die Basis-URL in SCIM Base URL und das Token in SCIM Bearer Token ein. Behalten Sie das Standard-SCIM JSON Template, das die E-Mail-Adresse als userName sendet. Speichern Sie und wählen Sie dann Enable unter API Connection.
3. Wählen Sie auf dem Tab Provisioning die Option Enable provisioning.
4. Öffnen Sie auf dem Tab Parameters die Option Groups und wählen Sie Include in User Provisioning.
5. Geben Sie den Personen, die Polzy nutzen, Zugriff auf die App.

Anleitung von OneLogin: Create a SCIM app.

JumpCloud

1. Öffnen Sie im JumpCloud Admin Portal die App Polzy unter Access → SSO Applications und gehen Sie zu ihrem Tab Provisioning.
2. Fügen Sie die Basis-URL in Base URL und das Token in Token ein. Geben Sie unter Test User Email die Adresse einer Person ein, die bereits in Polzy ist, und wählen Sie Test Connection.
3. Schalten Sie Enable management of User Groups and Group Membership in this application ein und wählen Sie Activate. Wählen Sie stattdessen Save, bleibt die Bereitstellung aus.
4. Fügen Sie auf dem Tab User Groups die Gruppen hinzu, die Polzy nutzen.

Anleitung von JumpCloud: Integrate with custom SCIM.

Ping Identity

1. Gehen Sie in PingOne zu Integrations → Provisioning und fügen Sie eine New Connection vom Typ Identity Store → SCIM Outbound hinzu.
2. Geben Sie die Basis-URL als SCIM Base URL ein, /Users als Users Resource und /Groups als Groups Resource, und wählen Sie SCIM 2.0.
3. Setzen Sie Authentication Method auf OAuth 2 Bearer Token, fügen Sie das Token in OAuth Access Token ein und wählen Sie Test connection.
4. Setzen Sie den User Identifier auf die E-Mail-Adresse und erlauben Sie das Anlegen, Aktualisieren, Deaktivieren und Deprovisionieren von Benutzern.
5. Fügen Sie eine Outbound-Regel hinzu, die die bereitzustellenden Personen und Gruppen nennt: Eine Verbindung allein stellt niemanden bereit.

Anleitungen von Ping Identity: Creating a SCIM connection und Creating an outbound rule.

Google Workspace

Google Workspace stellt Apps außerhalb seines Katalogs über benutzerdefinierte SCIM-Profile bereit, eine Beta für eine begrenzte Zahl von Teilnehmern. Hat Ihr Google Workspace sie, richten Sie die automatische Bereitstellung in der SAML-App Polzy ein, mit der Basis-URL als Endpoint URL und dem Token als Access token.

Anleitung von Google: Set up automated user provisioning with custom SCIM profiles.

Ein anderes SCIM-2.0-Verzeichnis

Jeder SCIM-2.0-Client, der ein Bearer-Token senden kann, funktioniert. Richten Sie ihn auf die Basis-URL und senden Sie Authorization: Bearer gefolgt vom Token.

• Benutzer und Gruppen. /Users und /Groups, mit Filtern nach userName, emails.value und externalId (der Operator eq, verbunden mit and; userName und emails.value ohne Rücksicht auf Groß- und Kleinschreibung). Gruppenmitgliedschaften kommen über /Groups, per POST, PUT oder PATCH; ein groups-Attribut an einem Benutzer ist in SCIM schreibgeschützt und wird ignoriert.
• Was ein Benutzer mitbringt. userName (die E-Mail-Adresse), name.givenName, name.familyName, externalId und active. Aus der Enterprise-Erweiterung füllen department und employeeNumber gleichnamige Workspace-Felder, und manager setzt die Führungskraft der Person, wo Berichtslinien aktiv sind.
• Nicht unterstützt. Sammelanfragen (Bulk), Sortierung, ETags und Passwortänderungen.
• Ratenlimit. 600 Anfragen pro Minute und Token.

Was Polzy tut

• Bestehende Mitglieder. Wer bereits in Ihrer Organisation ist, wird an der E-Mail-Adresse erkannt. Kam die Person durch eine Anmeldung über Ihren Identitätsanbieter, übernimmt Ihr Verzeichnis ihre Mitgliedschaft, sobald es eine Gruppe sendet, in der sie ist, und ab dann bestimmen die Gruppenregeln ihre Rolle; die Übernahme senkt die Rolle nie. Wer von einem Admin eingeladen wurde, behält Workspaces und Rollen.
• Gruppen. Eine Person in einer Gruppe, die eine Regel nennt, ist Mitglied im Workspace dieser Regel, mit der stärksten Rolle, die ihre Gruppen geben, und im Standard-Workspace nie unter der Standardrolle. Die Regeln gelten jedes Mal, wenn Ihr Verzeichnis jemanden einer Gruppe hinzufügt oder aus ihr entfernt: Okta und Microsoft Entra ID legen die Person zuerst an und fügen sie kurz danach der Gruppe hinzu, und die Rolle folgt dann. Eine Regel erkennt eine Gruppe an ihrem Namen, ohne Rücksicht auf Groß- und Kleinschreibung, oder an der ID, die Ihr Verzeichnis als externalId sendet. Wer die Gruppe verlässt, verliert diese Mitgliedschaft wieder, sofern der Standard-Workspace oder eine andere Regel sie nicht weiter gibt.
• Was Ihnen bleibt. Mitgliedschaften, die ein Admin von Hand angelegt hat, werden vom Verzeichnis nie entfernt oder geändert. Der Inhaber wird nie davon deaktiviert oder entfernt, und wen der Inhaber gesperrt hat, bleibt gesperrt.
• Plätze. Jede Mitgliedschaft braucht einen freien Platz. Ist keiner frei, lehnt Polzy die Änderung ab, und Ihr Verzeichnis meldet den Fehler. Deaktivieren gibt Plätze frei; erneutes Aktivieren braucht freie.
• Audit-Protokoll. Jede Änderung des Verzeichnisses steht im Audit-Protokoll, mit Verzeichnis (SCIM) als Urheber.

Ändern Sie den Standard-Workspace oder die Gruppenregeln im Schritt Personen von Single Sign-on, werden alle Personen, die Ihr Verzeichnis zugeordnet hat, im Hintergrund danach neu zugeordnet.

Fehlerbehebung

Ihr Verzeichnis zeigt die Antwort von Polzy auf Englisch in seinem Bereitstellungsprotokoll. Die häufigsten:

Grenzen

• SCIM 2.0 für Benutzer und Gruppen, getestet mit der Bereitstellung von Okta und Microsoft Entra ID.
• Ein Verzeichnis pro Organisation, über jeweils ein Token.
• Benutzernamen müssen E-Mail-Adressen auf Ihren bestätigten Domains sein, und ein Benutzername kann sich nicht ändern.
• SCIM und eine Personensynchronisierung können nicht beide dieselbe Organisation verwalten.
• Jemanden zu löschen entfernt seine Mitgliedschaften, nicht seine Daten: Eine Person zu löschen ist ein eigener Schritt, den ein Admin über ihren Datensatz geht. Siehe Personen, Kontakte und Felder.

Nützliche Links

• Okta: Add SCIM provisioning to app integrations
• Microsoft: Develop and plan provisioning for a SCIM endpoint
• OneLogin: Create a SCIM app
• JumpCloud: Integrate with custom SCIM
• Ping Identity: Creating a SCIM connection
• Single Sign-on einrichten, worauf SCIM aufbaut.