Zum Hauptinhalt gehen

SCIM-Provisioning für Okta

  • Aktualisiert

Überblick

SCIM-Provisioning automatisiert die Nutzer- und Gruppenverwaltung zwischen Okta und ThingLink.

Mit SCIM-Provisioning kann Okta in ThingLink Nutzer erstellen, Nutzerdaten aktualisieren, Nutzer deaktivieren, Gruppen erstellen und Gruppenmitgliedschaften synchron halten.

SCIM-Provisioning regelt nicht, wie sich Nutzer anmelden. Die Authentifizierung erfolgt separat über Okta Single Sign-on, das du vor SCIM einrichten solltest. Eine Anleitung findest du unter Okta Single Sign-on aktivieren.

Warum SCIM-Provisioning?

Mit SCIM-Provisioning wird der Nutzerzugriff über Okta verwaltet statt manuell in ThingLink. Das reduziert den manuellen Verwaltungsaufwand und hilft, Nutzerzugriffe und Gruppenmitgliedschaften synchron zu halten.

Wenn du den Zugriff über Okta-Gruppen verwaltest, kannst du diese Gruppen auch an ThingLink übertragen (Push). So kannst du ThingLink-Gruppen nutzen, um Inhalte automatisch mit den richtigen Nutzern zu teilen. Weitere Informationen findest du in diesem Artikel.

SCIM-Provisioning einrichten

Voraussetzungen

Stelle sicher, dass:

  • du Okta Single Sign-on für deine ThingLink-Organisation bereits eingerichtet hast.
  • du ein Administratorkonto in ThingLink hast.
  • du ein Okta-Administratorkonto mit der Berechtigung hast, Anwendungen hinzuzufügen und Provisioning zu konfigurieren.

Schritt 1: SCIM in ThingLink aktivieren

  1. Gehe in ThingLink zu Organisation > Integrationen > SCIM-Provisioning.

  2. Klicke auf Aktivieren und konfigurieren.

  3. Kopiere die Endpoint URL und das Secret token. Du brauchst beides später.

Schritt 2: Provisioning in Okta konfigurieren

SCIM-Anwendung in Okta hinzufügen

  1. Gehe in der Okta Admin Console zu Applications > Applications.
  2. Klicke auf Browse App Catalog.
  3. Suche nach SCIM 2.0 Test App (OAuth Bearer Token):
  4. Wähle die Anwendung aus und klicke auf Add Integration.

Allgemeine Einstellungen konfigurieren

Konfiguriere die allgemeinen Einstellungen:

  1. Application label: Gib einen aussagekräftigen Namen ein, z. B. ThingLink SCIM.
  2. Application visibility: Aktiviere das Kästchen, um die Anwendung vor Nutzern auszublenden. Diese Anwendung wird nur für das Provisioning verwendet. Nutzer sollten stattdessen über die Okta SSO-Anwendung auf ThingLink zugreifen.
  3. Browser plugin auto-submit: Deaktiviert lassen.
  4. Klicke auf Next.

Anmeldeoptionen konfigurieren

Diese App wird nicht für die Anmeldung verwendet, daher sollten die Einstellungen hier keinen Einfluss darauf haben, wie deine Nutzer auf ThingLink zugreifen.

  1. Wähle unter Sign-On Options die Option Secure Web Authentication.
  2. Wähle User sets username and password.
  3. Die Anmeldeeinstellungen werden für das ThingLink SCIM-Provisioning nicht verwendet. Wenn Okta eine Login URL verlangt, gib https://www.thinglink.com/login ein. Verwende hier nicht die OIDC-Callback-URL.
  4. Lass die übrigen Anmeldeeinstellungen (Credential Details) auf den Standardwerten und schließe die Erstellung der Anwendung ab.

Klicke auf Done, um die Ersteinrichtung abzuschließen.

API-Integration konfigurieren

  1. Öffne die Anwendung ThingLink SCIM in Okta.
  2. Gehe zu Provisioning > Configure API Integration.
  3. Wähle Enable API Integration.
  4. Gib die folgenden Werte ein:
    • SCIM 2.0 Base URL: Füge die aus ThingLink kopierte Endpoint URL ein.
    • OAuth Bearer Token: Füge das aus ThingLink kopierte Secret token ein.
    • Lass Import Groups aktiviert.
  5. Klicke auf Test API Credentials. Wenn der Test erfolgreich ist, klicke auf Save.

Provisioning-Einstellungen konfigurieren

  1. Gehe zu Provisioning > To App und klicke auf Edit.
  2. Aktiviere die folgenden Optionen:
    1. Create Users
    2. Update User Attributes
    3. Deactivate Users
    4. Lass Sync Password deaktiviert.
  3. Speichere die Änderungen.

Attributzuordnungen prüfen

  1. Scrolle im selben Tab Provisioning > Bereich To App nach unten zu den SCIM-Attributzuordnungen.
  2. ThingLink benötigt nur die grundlegenden Nutzerattribute, um Nutzer zu identifizieren und anzuzeigen. Lass die folgenden Zuordnungen aktiviert:
    1. userName
    2. displayName
    3. Given Name
    4. Family Name
  3. Entferne alle weiteren Zuordnungen, sofern dein Ansprechpartner bei ThingLink nichts anderes vorgegeben hat.

Schritt 3: Nutzer und Gruppen zuweisen

Nutzer und Gruppen zuweisen

Öffne den Tab Assignments in der Anwendung ThingLink SCIM. Weise die Nutzer und Gruppen zu, die in ThingLink bereitgestellt werden sollen.

Zuweisungen für die SCIM-Anwendung sind getrennt von Zuweisungen für die Okta SSO-Anwendung. Wenn du einen Nutzer der Okta SSO-Anwendung zuweist, kann er sich anmelden, wird aber nicht automatisch der SCIM-Anwendung zugewiesen.

Wenn ein Nutzer der SCIM-Anwendung zugewiesen wird, stellt Okta den Nutzer in ThingLink bereit. Wenn die Zuweisung eines Nutzers zur SCIM-Anwendung aufgehoben wird, wird sein ThingLink-Konto deaktiviert, sofern er nicht weiterhin über eine andere Gruppe oder Zuweisung zugewiesen ist.

Optional: Push Groups einrichten

Um ThingLink-Gruppen zu erstellen und Gruppenmitgliedschaften synchron zu halten, konfiguriere Push Groups in Okta:

  1. Gehe in der Anwendung ThingLink SCIM zu Push Groups.
  2. Klicke auf Push Groups.
  3. Wähle die Okta-Gruppe aus, die du an ThingLink übertragen möchtest.
  4. Bestätige den Gruppennamen und speichere die Push-Group-Konfiguration.
  5. Wiederhole das für jede Gruppe, die in ThingLink erstellt und verwaltet werden soll.

Wenn du der SCIM-Anwendung eine Gruppe zuweist, werden die Nutzer dieser Gruppe bereitgestellt. Push Groups brauchst du, wenn Okta zusätzlich die entsprechende Gruppe in ThingLink erstellen und ihre Mitgliedschaften synchron halten soll.

Push-Gruppen müssen sich von Zuweisungsgruppen unterscheiden. Weitere Hinweise von Okta findest du auf den folgenden Seiten:

So funktioniert das Provisioning

Nutzer

Wenn ein Nutzer in Okta der Anwendung ThingLink SCIM zugewiesen wird, erstellt ThingLink ein Nutzerkonto für ihn.

Bereitgestellte Konten werden mit der niedrigsten in deiner Organisation verfügbaren Zugriffsstufe erstellt: Lernender oder Schüler, je nach Organisationstyp und Abonnement. Das Bereitstellen unterschiedlicher ThingLink-Rollen über SCIM wird derzeit nicht unterstützt.

Wenn die Zuweisung eines Nutzers zur SCIM-Anwendung aufgehoben wird, wird sein ThingLink-Konto deaktiviert. Konten werden nicht vollständig gelöscht, um Inhalts- oder Datenverlust zu vermeiden.

Gruppen

Mit Okta-Gruppen kannst du Zuweisungen in großem Umfang verwalten. Außerdem kann Okta Gruppen an ThingLink übertragen und ihre Mitgliedschaften synchron halten.

Nutze Push Groups, wenn ThingLink-Gruppen anhand von Okta-Gruppen automatisch erstellt und verwaltet werden sollen.

Fehlerbehebung

Wenn das Provisioning nicht wie erwartet funktioniert:

  • Prüfe, ob die Endpoint URL und das Secret token korrekt aus ThingLink kopiert wurden.

  • Klicke in Okta auf Test API Credentials, um zu bestätigen, dass Okta eine Verbindung zu ThingLink herstellen kann.

  • Prüfe die Provisioning-Einstellungen unter Provisioning > To App und stelle sicher, dass Create Users, Update User Attributes und Deactivate Users aktiviert sind.

  • Prüfe die Okta-Provisioning-Protokolle auf Fehler.

  • Stelle sicher, dass die betreffenden Nutzer und Gruppen der SCIM-Anwendung zugewiesen sind und nicht nur der Okta SSO-Anwendung.

  • Stelle sicher, dass Push Groups konfiguriert sind, wenn Gruppen und Gruppenmitgliedschaften in ThingLink erscheinen sollen.

Wenn das Problem weiterhin besteht, wende dich an den ThingLink-Support.

Einschränkungen und Hinweise

  • SCIM-Provisioning und Okta Single Sign-on werden separat konfiguriert.
  • Rollen-Mapping wird derzeit nicht unterstützt. Neue Nutzer werden mit der niedrigsten in deiner Organisation verfügbaren Zugriffsstufe bereitgestellt.
  • Stelle sicher, dass deine ThingLink-Lizenz genügend Nutzerplätze für die geplanten Nutzer hat.
  • Wenn ein Nutzer bereits ein eigenständiges ThingLink-Konto hat, das nicht mit deiner Lizenz verbunden ist, verschiebt SCIM-Provisioning dieses Konto möglicherweise nicht automatisch in deine Organisation. Der Nutzer muss eventuell zuerst zu deiner Lizenz hinzugefügt oder eingeladen werden.

 

Verwandte Beiträge

Kommentare

0 Kommentare

Bitte melden Sie sich an, um einen Kommentar zu hinterlassen.

Powered by Zendesk