SCIM-Provisioning für Microsoft Entra ID (Active Directory)

Überblick

SCIM-Provisioning automatisiert die Nutzer- und Gruppenverwaltung zwischen Microsoft Entra ID und ThingLink.

Mit SCIM-Provisioning kann Microsoft Entra ID in ThingLink Nutzer erstellen und deaktivieren, Gruppen erstellen und löschen und Gruppenmitgliedschaften synchron halten.

SCIM-Provisioning regelt nicht, wie sich Nutzer anmelden. Die Authentifizierung erfolgt separat über Microsoft SSO, das du vor SCIM einrichten solltest.

Inhalt:

• Gründe für SCIM-Provisioning

• SCIM-Provisioning einrichten

• So funktionieren Provisioning und Deprovisioning

• Fehlerbehebung

• Einschränkungen & Hinweise

Derzeit ist SCIM-Provisioning nur für Microsoft Entra ID verfügbar. Wenn du SCIM-Provisioning für einen anderen Identitätsanbieter benötigst, wende dich an den Support oder deinen ThingLink-Kundenbetreuer.

Warum SCIM-Provisioning?

Mit SCIM-Provisioning wird der Nutzerzugriff über Entra ID verwaltet statt manuell in ThingLink. Das reduziert den manuellen Verwaltungsaufwand und hilft, Zugriffe und Gruppenmitgliedschaften synchron zu halten.

Wenn du den Zugriff über Gruppen in Entra ID steuerst, kannst du mit bereitgestellten ThingLink-Gruppen Inhalte auch automatisch mit den richtigen Nutzern teilen und sicherstellen, dass deine Lernenden automatisch die Inhalte sehen, die ihren Gruppen zugewiesen sind. Weitere Informationen findest du in diesem Artikel.

SCIM-Provisioning einrichten

Voraussetzungen

Stelle sicher, dass:

• Microsoft SSO für deine ThingLink-Organisation bereits eingerichtet ist.

• du ein Administratorkonto in ThingLink hast.

• du ein Microsoft Entra ID-Konto mit der Berechtigung zur Verwaltung von Unternehmensanwendungen hast.

Schritt 1: SCIM in ThingLink aktivieren

1. Gehe in ThingLink zu Organisation > Integrationen > SCIM-Provisioning.

2. Klicke auf Aktivieren und konfigurieren.

3. Kopiere Tenant URL und Secret token. Du brauchst beides in Microsoft Entra ID.

Schritt 2: Provisioning in Microsoft Entra ID konfigurieren

Neue Unternehmensanwendung konfigurieren

1. Gehe im Microsoft Entra Admin Center zu Enterprise applications.

2. Klicke auf New application.

3. Wähle Create your own application.

4. Wähle Integrate any other application you do not find in the gallery.

5. Gib einen Namen für die Anwendung ein und erstelle sie.

Provisioning-Konfiguration einrichten

1. Öffne die Anwendung und gehe zu Provisioning.

2. Erstelle eine neue Provisioning-Konfiguration.

3. Setze Authentication method auf Bearer authentication.

4. Unter Tenant URL: Füge die aus ThingLink kopierte Endpunkt-URL ein.

5. Unter Secret token: Füge das aus ThingLink kopierte Secret token ein.

6. Klicke auf Test connection.

7. Wenn die Verbindung erfolgreich ist, klicke auf Create.

Provisioning-Zuordnungen prüfen

1. Unter Attribute Mapping: Öffne die Gruppenzuordnung. Stelle sicher, dass Provision Microsoft Entra ID Groups aktiviert ist, und behalte die Standardzuordnung bei.

2. Unter Attribute Mapping: Öffne Provision Microsoft Entra ID Users

   1.  Behalte nur die folgenden Nutzerattribute:

      • userName

      • active

      • displayName

      • externalId

   2. Lass die übrigen Einstellungen unverändert

   3. Stelle sicher, dass die folgenden Zielobjektaktionen aktiviert sind:

      • Create

      • Update

      • Delete

Provisioning-Bereich anpassen

Erweitere im Tab Provisioning das Menü Settings und setze Scope auf Sync only assigned users and groups.

So sollte die fertige Konfiguration aussehen:

Nutzer und Gruppen zuweisen

Unter Users and groups: Weise die Nutzer und Gruppen zu, die in ThingLink bereitgestellt werden sollen. 

Wir empfehlen, für die erste Synchronisierung mit einer relativ kleinen Gruppe zu beginnen.

Provisioning starten

1. Gehe zu Überblick

2. Klicke auf Provisioning starten, um die erste Synchronisierung zu starten.

3. Warte, bis die erste Synchronisierung abgeschlossen ist, und prüfe die Ergebnisse auf der Seite Überblick.

So funktioniert das Provisioning

Nutzer

Kontoerstellung

Wenn ein Nutzer in Entra ID der Anwendung zugewiesen wird, erstellt ThingLink ein Nutzerkonto für ihn. Der Nutzer kann sich dann mit Microsoft SSO anmelden.

Bereitgestellte Konten werden immer mit der niedrigsten in deiner Organisation verfügbaren Zugriffsstufe erstellt: Lernender oder Schüler, je nach Organisationstyp und Abonnement. Das Bereitstellen unterschiedlicher Rollen wird derzeit nicht unterstützt.

Kontodeaktivierung

Wenn ein Nutzer der Anwendung weder direkt noch über eine Gruppe zugewiesen ist, wird sein ThingLink-Konto deaktiviert.

Konten werden nicht vollständig gelöscht, um Inhalts- oder Datenverlust zu vermeiden. Wenn Konten nach der Deaktivierung automatisch entfernt werden sollen, kannst du in ThingLink eine Richtlinie zur Datenaufbewahrung aktivieren.

Gruppen

ThingLink erstellt Gruppen für zugewiesene Entra ID-Gruppen und hält die Mitgliedschaften synchron.

Wenn die Zuweisung einer Gruppe in Entra ID aufgehoben wird, wird die entsprechende ThingLink-Gruppe gelöscht. Nutzer, die über diese Gruppe bereitgestellt wurden, werden deaktiviert, wenn sie nicht auf andere Weise zugewiesen sind.

Bestehende ThingLink-Gruppen werden anhand des Namens zugeordnet. Sobald eine ThingLink-Gruppe einer Entra ID-Gruppe zugeordnet ist, wird sie automatisch verwaltet. Beachte, dass Gruppenmitgliedschaften nicht überschrieben werden: Die Mitgliedschaft von über Entra ID zugewiesenen Nutzern wird automatisch verwaltet, aber manuell hinzugefügte Nutzer, die nicht über das automatische Provisioning verwaltet werden, bleiben in der Gruppe.

Fehlerbehebung

• Prüfe die Provisioning-Protokolle in Microsoft Entra ID. Du findest sie in der Unternehmensanwendung unter:
  Provisioning > Monitor > Provisioning logs

• Plane etwas Zeit ein, bis Provisioning-Änderungen sichtbar werden. Nach der ersten Synchronisierung läuft das Entra-Provisioning in regelmäßigen Zyklen statt sofort. Das Provisioning-Intervall findest du unter Enterprise application you created > Provisioning > Overview > Provisioning details > Provisioning interval

• Wenn Probleme auftreten, wende dich an das ThingLink-Supportteam.

Einschränkungen und Hinweise

• Änderungen in Entra ID werden nicht sofort übernommen. Inkrementelle Synchronisierungen laufen in der Regel etwa alle 40 Minuten.

• Große Synchronisierungen können dauern. Für den Anfang empfehlen wir Tests mit weniger als 1.000 Nutzern.

• Stelle sicher, dass deine ThingLink-Lizenz genügend Nutzerplätze für die geplanten Nutzer hat. Wenn du mehr Nutzer bereitstellen möchtest, als deine Lizenz zulässt, werden die zusätzlichen Konten nicht erstellt.

• Die Zuweisung einer Gruppe gilt nicht für verschachtelte Gruppen. Wenn du einer Anwendung eine Gruppe zuweist, haben nur die direkten Mitglieder der Gruppe Zugriff.

• Wenn ein Nutzer bereits ein eigenständiges ThingLink-Konto hat, das nicht mit deiner Lizenz verbunden ist, verschiebt SCIM-Provisioning dieses Konto nicht automatisch in deine Organisation. Der Nutzer muss zuerst manuell zu deiner Lizenz hinzugefügt oder eingeladen werden.