Okta: Benutzer synchronisieren
Holen Sie Personen aus den Okta-Gruppen, die Sie auswählen, in MuchSkills und halten Sie sie aktuell. Dazu legen Sie in Okta eine API-Service-App mit Schlüsselpaar an, geben ihr reinen Lesezugriff und wählen in MuchSkills die Gruppen aus. Single Sign-on mit Okta richten Sie separat ein.
- Wer
- Owner oder Admin in MuchSkills, zusammen mit einem Okta Super Administrator
- Art der Anbindung
- Selbst einrichtbar unter Settings › Integrations
- Synchronisierung
- Alle 5 Stunden oder bei Bedarf über Sync Now
- Zugriff
- Nur Lesezugriff
How to
Bevor Sie beginnen
- In MuchSkills: die Rolle Owner oder Admin.
- In Okta: ein Super Administrator. Nur diese Rolle darf einer App Okta API Scopes erteilen.
- Legen Sie fest, wer zuerst synchronisiert wird. Die Okta-Synchronisierung läuft über Gruppen. Planen Sie für den ersten Durchlauf eine Gruppe mit fünf bis zehn Personen ein. Weitere Personen oder Gruppen können Sie später ergänzen.
- Informieren Sie die Beteiligten vorab. Sobald die Synchronisierung startet, erhalten alle Personen in den ausgewählten Gruppen eine Einladung, ihr Kompetenzprofil in MuchSkills anzulegen.
- Prüfen Sie die E-Mail-Adressen. In Okta sollte bei jeder Person die Adresse hinterlegt sein, mit der sie sich bei MuchSkills anmeldet.
Schritte
In MuchSkills
- Öffnen Sie den Okta-Connector. Gehen Sie zu Team/Org › Settings › Integrations und klicken Sie bei OKTA auf Connect. Lassen Sie diesen Tab geöffnet: Sie fügen dort nach und nach drei Werte ein. Klicken Sie im Formular erst in Schritt 10 auf Connect.
Team/Org › Settings › Integrations › OKTA.
In Okta
- Erstellen Sie eine API-Service-App. Öffnen Sie in der Okta Admin Console Applications and Resources › Applications (in manchen Orgs Applications › Applications) und klicken Sie auf Create App Integration. Bietet Okta eine Auswahl an, nehmen Sie Classic experience. Wählen Sie API Services als Sign-in method und klicken Sie auf Next. Geben Sie der App den Namen MuchSkills und klicken Sie auf Save. Okta-Anleitung für Service-Apps
- Kopieren Sie die Client ID und Ihre Domain. Kopieren Sie auf dem Tab General der App die Client ID und fügen Sie sie in MuchSkills in das Feld Client ID ein. Klicken Sie anschließend oben rechts in der Admin Console auf Ihren Benutzernamen. Im Menü sehen Sie Ihre Okta-Domain, zum Beispiel yourcompany.okta.com. Fügen Sie sie in Domain ein. Okta-Anleitung: Domain finden
- Stellen Sie auf ein Schlüsselpaar um. Klicken Sie im Abschnitt Client Credentials des Tabs General auf Edit und stellen Sie Public key/Private key als Methode für Client authentication ein. Lassen Sie Save keys in Okta ausgewählt und klicken Sie auf Add key.
- Erzeugen Sie den Schlüssel und kopieren Sie den privaten Schlüssel. Klicken Sie auf Generate new key. Okta zeigt den privaten Schlüssel im JWK-Format an. Belassen Sie ihn im JWK-Format, schalten Sie nicht auf PEM um, klicken Sie auf Copy to clipboard und fügen Sie den kompletten Schlüssel samt öffnender und schließender geschweifter Klammer in Private Key (JWK) in MuchSkills ein. Den privaten Schlüssel zeigt Okta nur ein einziges Mal an. Klicken Sie auf Done, dann auf Save und bestätigen Sie.
- Deaktivieren Sie Proof of Possession. Klicken Sie unter General Settings auf Edit. Ist Require Demonstrating Proof of Possession (DPoP) header in token requests angehakt, entfernen Sie den Haken und klicken Sie auf Save. Okta-Anleitung zu DPoP
- Erteilen Sie die Lese-Scopes. Öffnen Sie den Tab Okta API Scopes und klicken Sie neben okta.users.read und okta.groups.read jeweils auf Grant. Bis die Freigaben greifen, kann es einige Minuten dauern.
- Weisen Sie eine Admin-Rolle mit reinem Lesezugriff zu. Öffnen Sie den Tab Admin Roles und klicken Sie auf Edit assignments. Wählen Sie unter Role den Eintrag Read-only Administrator und klicken Sie auf Save Changes. Okta fordert Sie zur Authentifizierung auf. Okta-Vergleich der Admin-Rollen
- Legen Sie die Gruppe an. Gehen Sie zu Directory › Groups, klicken Sie auf Add Group, nennen Sie die Gruppe MuchSkills und klicken Sie auf Save. Nehmen Sie die Personen, die in MuchSkills sein sollen, in die Gruppe auf, zu Beginn fünf bis zehn. Okta-Anleitung zu Gruppen
Zurück in MuchSkills
- Stellen Sie die Verbindung her. Sobald alle drei Werte eingetragen sind, klicken Sie auf Connect. Der Status springt von Waiting for credentials auf Api Connected.
Der OKTA-Connector nach der Verbindung: 1 Client ID, 2 Private Key (JWK), 3 Domain, 4 Update Credentials. Identifizierende Angaben sind unkenntlich gemacht.
- Wählen Sie die Gruppen aus. Unter Sync by group sehen Sie die Gruppen, die MuchSkills in Okta gefunden hat. Suchen Sie Ihre Gruppe über Filter groups und klicken Sie sie an, um sie auszuwählen. Synchronisiert werden nur Personen in den ausgewählten Gruppen. Die Synchronisierungsoptionen werden angezeigt, sobald mindestens eine Gruppe ausgewählt ist.
Sync by group: die Gruppen, die MuchSkills in Okta gefunden hat.
- Starten Sie die Synchronisierung. MuchSkills zeigt an, wie viele Mitarbeitende synchronisiert und eingeladen werden. Klicken Sie auf die Zahl, um Namen, E-Mail-Adressen und Gruppen zu sehen. Wenn die Liste stimmt, klicken Sie auf Start Sync.
Prüfen, ob es funktioniert hat
- Im Connector steht Data is synced every 5 hours, dazu Last successful sync und Next scheduled sync.
- Unter Team/Org › Settings › Integrations steht auf der OKTA-Kachel Connected.
- Unter Team/Org › Members sind die synchronisierten Personen aufgeführt.
- Die synchronisierten Personen haben eine Einladung bekommen, ihr Profil anzulegen.
Benefits
Ihre Vorteile
- Keine manuelle Pflege. Personen, die Sie in Okta den ausgewählten Gruppen hinzufügen oder daraus entfernen, werden in MuchSkills automatisch nachgezogen.
- Ihr Verzeichnis entscheidet. Die Gruppenmitgliedschaft, die Ihr IT-Team ohnehin verwaltet, bestimmt, wer in MuchSkills ist.
- Bereit für Single Sign-on. Dieselben Personen können sich mit ihrem Okta-Konto anmelden, sobald Sie Okta Single Sign-on hinzufügen.
Important to know
Wichtig zu wissen
Was synchronisiert wird. Pflicht sind nur E-Mail-Adresse und Name. Synchronisieren Sie möglichst viele der übrigen Felder, denn jedes davon macht MuchSkills nützlicher.
| Feld in MuchSkills | Erforderlich | Verwendet für |
|---|---|---|
| Name | Pflicht | Profile, Suche, alle Ansichten |
| E-Mail-Adresse | Pflicht | Zuordnung und Anmeldung |
| Stellenbezeichnung | Empfohlen | Profile, Rollen, Discover |
| Abteilung | Empfohlen | Abteilungen und Filter |
| Führungskraft | Empfohlen | Berichtslinien, My Circle, Berichte |
| Land | Empfohlen | Filter. Erfordert ein benutzerdefiniertes Attribut, siehe unten |
| Profilfoto | Empfohlen | Profile und das Organigramm. Erfordert ein benutzerdefiniertes Attribut, siehe unten |
Benutzerdefinierte Attribute. Das Standardprofil in Okta enthält kein Foto und speichert das Land als zweistelligen Code. Um den vollständigen Ländernamen zu synchronisieren, fügen Sie dem Okta-Benutzerprofil unter Directory › Profile Editor ein benutzerdefiniertes Attribut mit dem Variablennamen country hinzu. Auch ein Foto erfordert ein benutzerdefiniertes Attribut: Fragen Sie bei support@muchskills.com nach dem Variablennamen, bevor Sie es hinzufügen.
Gruppen entscheiden, wer synchronisiert wird. Nur Personen in den ausgewählten Gruppen werden synchronisiert. Sie können Gruppen jederzeit im Connector auswählen oder abwählen.
Intervall. Alle 5 Stunden. Sync Now stößt den Abgleich sofort an, Pause Sync hält ihn an, bis Sie ihn wieder starten.
Profilfotos. Fotos werden beim Anlegen eines Kontos gespeichert und von der automatischen Synchronisierung nicht aktualisiert. Klicken Sie auf Sync Now, um geänderte Fotos zu übernehmen.
Ausgeschiedene Mitarbeitende werden deaktiviert, nicht gelöscht. Wird jemand in Okta deaktiviert oder fällt aus den ausgewählten Gruppen heraus, deaktiviert MuchSkills die Person bei der nächsten Synchronisierung. Projekthistorie und Zertifikate bleiben erhalten, was für Audits wichtig ist.
Keine Abwesenheiten aus Okta. Okta speichert keine Abwesenheitsdaten, daher stammt die Verfügbarkeit im Team Builder und in My Circle nicht aus diesem Connector.
Schlüssel austauschen. Erzeugen Sie in Okta einen neuen Schlüssel für die App, fügen Sie ihn in Private Key (JWK) ein und klicken Sie auf Update Credentials. Sobald die App Okta API Scopes hat, kann nur noch ein Super Administrator ihre Schlüssel wechseln.
Nur eine Personensynchronisierung gleichzeitig. Synchronisiert bereits ein anderer HR-Connector, erscheint bei Start Sync die Frage Are you sure? mit dem Hinweis This action will stop your current integration sync. Klicken Sie nur auf Yes, connect, wenn Okta übernehmen soll.
Das ist kein Single Sign-on. Auf dieser Seite geht es um die Benutzersynchronisierung. Wenn sich Personen mit Okta anmelden sollen, folgen Sie der Anleitung SAML/SSO-Einrichtung mit Okta.
Common errors
Fehlerbehebung
| Was Sie sehen | Ursache | Was zu tun ist |
|---|---|---|
| Invalid Credentials | Ein Wert ist falsch: Der private Schlüssel wurde im PEM-Format oder nur teilweise kopiert, oder die Domain ist nicht Ihre Okta-Domain | Erzeugen Sie einen neuen Schlüssel, kopieren Sie den vollständigen JWK, prüfen Sie die Domain über das Menü Ihres Benutzernamens und klicken Sie dann auf Update Credentials |
| Invalid Credentials, obwohl alle Werte stimmen | Die App verlangt weiterhin Proof of Possession (DPoP) | Wiederholen Sie Schritt 6 und klicken Sie dann auf Update Credentials |
| We were not able to access your OKTA Groups. Please make sure you have granted the required permissions: 'okta.groups.read' and 'okta.users.read'. | Die Scopes wurden nicht gewährt, oder die App hat keine Admin-Rolle | Wiederholen Sie die Schritte 7 und 8, warten Sie einige Minuten und klicken Sie dann auf Update Credentials |
| Nach dem Verbinden fehlt die Schaltfläche Start Sync | Es ist keine Gruppe ausgewählt | Wählen Sie unter Sync by group mindestens eine Gruppe aus |
| Eine neue Gruppe fehlt in der Liste | Die Gruppe wurde angelegt, nachdem Sie den Connector geöffnet haben | Laden Sie die Connector-Seite neu |
| Missing Attributes in API | Einigen Benutzern in den ausgewählten Gruppen fehlt ein Pflichtwert, meist die E-Mail-Adresse | Ergänzen Sie in Okta die in der Meldung genannten fehlenden Werte und klicken Sie dann auf Sync Now |
| Authentication failed multiple times. Please verify your OKTA credentials and permissions are correctly configured. | Der Schlüssel wurde gelöscht oder ersetzt, die Scopes wurden entzogen, oder die App wurde in Okta deaktiviert | Prüfen Sie die App in Okta, fügen Sie einen funktionierenden Schlüssel ein und klicken Sie auf Update Credentials |
| Ein Foto hat sich nicht geändert | Automatische Synchronisierungen aktualisieren keine Fotos | Klicken Sie auf Sync Now |
Häufig gestellte Fragen
Ist das dasselbe wie Single Sign-on mit Okta?
Nein, beides wird separat eingerichtet. Diese Seite bringt Personen aus Okta-Gruppen in MuchSkills. Single Sign-on ermöglicht die Anmeldung mit dem Okta-Konto und hat eine eigene Anleitung: SAML/SSO-Einrichtung mit Okta.
Welche Okta-Rollen benötigen wir?
Einen Super Administrator, denn nur diese Rolle darf einer App Okta-API-Scopes erteilen. Die Service-App selbst bekommt die Rolle read-only administrator. In MuchSkills benötigen Sie die Rolle Owner oder Admin.
Warum ein privater Schlüssel und kein Client Secret?
Okta vergibt Zugriffstokens mit Okta-API-Scopes wie okta.users.read nur an Service-Apps, die sich mit einem Schlüsselpaar aus öffentlichem und privatem Schlüssel authentifizieren. Ein Client Secret funktioniert dafür nicht.
Können wir mit wenigen Personen beginnen, bevor wir alle synchronisieren?
Ja, das empfehlen wir sogar. Legen Sie in Okta eine MuchSkills-Gruppe mit fünf bis zehn Personen an und wählen Sie nur diese Gruppe aus. Prüfen Sie das Ergebnis in MuchSkills. Danach können Sie weitere Personen in die Gruppe aufnehmen oder zusätzliche Gruppen auswählen.
Können wir bestehende Gruppen verwenden?
Ja. Unter Sync by group sehen Sie alle Gruppen, auf die MuchSkills in Ihrer Okta-Org zugreifen kann. Wählen Sie eine oder mehrere aus. Mit einer eigenen Gruppe behalten Sie leicht im Blick, wer in MuchSkills ist.
Wie oft läuft die Synchronisierung?
Alle 5 Stunden. Owners und Admins können sie jederzeit über Sync Now am Konnektor starten.
Was passiert, wenn jemand ausscheidet?
Wird eine Person in Okta deaktiviert oder aus den ausgewählten Gruppen entfernt, deaktiviert MuchSkills sie bei der nächsten Synchronisierung. Sie verschwindet aus den Alltagsansichten, ihre Projekthistorie und Zertifikate bleiben erhalten. Nichts wird gelöscht.
Ändert MuchSkills etwas in Okta?
Nein. Die App hat nur Lese-Scopes und eine schreibgeschützte Rolle. MuchSkills liest die Personen in den ausgewählten Gruppen und ändert nie etwas in Ihrer Okta-Org.
Erhalten die Mitarbeitenden beim Start eine E-Mail?
Ja. Sobald die Synchronisierung startet, werden alle Personen in den ausgewählten Gruppen eingeladen, ihr Kompetenzprofil in MuchSkills anzulegen. Machen Sie MuchSkills deshalb bekannt, bevor Sie auf Start Sync klicken.