SCIM-Provisionierung: So funktioniert sie

So funktioniert es

Ihr Identitätsanbieter überträgt Änderungen an MuchSkills. Wenn Sie jemanden der MuchSkills-App zuweisen, legt der Anbieter die Person an. Ändern sich ihre Daten, sendet er eine Aktualisierung. Wenn Sie die Zuweisung aufheben oder die Person deaktivieren, deaktiviert er sie. MuchSkills schreibt niemals etwas an Ihren Identitätsanbieter zurück.

Bevor Sie beginnen

• In MuchSkills: die Rolle Owner oder Admin.
• In Ihrem Identitätsanbieter: eine Administratorin oder ein Administrator, die bzw. der die Provisionierung für eine App einrichten kann.
• SCIM-Zugangsdaten von MuchSkills. Wir erstellen eine OAuth-2.0-Client-ID und ein Client-Secret für Ihre Organisation. Das Secret läuft nicht ab. Bewahren Sie beides in Ihrem Passwortmanager auf.
• Zuerst Single Sign-on. Wir empfehlen es, damit sich provisionierte Personen sofort anmelden können. Bei Ihrem Identitätsanbieter können Sie die Provisionierung möglicherweise derselben App hinzufügen.
• E-Mail-Adressen. Der übermittelte userName muss die E-Mail-Adresse sein, mit der die jeweilige Person MuchSkills nutzt.
• Klein anfangen. Weisen Sie zunächst nur wenige Personen zu, prüfen Sie das Ergebnis in MuchSkills und weisen Sie dann alle übrigen zu.

Schritte

In MuchSkills

1. SCIM-Zugangsdaten beim Support anfordern. Schreiben Sie an support@muchskills.com oder melden Sie sich über den Chat und teilen Sie uns mit, welchen Identitätsanbieter Sie nutzen. Wir erstellen für Sie eine Client-ID und ein Client-Secret und schicken Ihnen beides über einen sicheren Kanal. Bis die Provisionierung eingerichtet ist, erscheint unter Team/Org › Settings › Security & SAML der Hinweis SCIM provisioning is available for your organisation. See the setup guide for next steps.

In Ihrem Identitätsanbieter

2. Öffnen Sie die Provisionierungseinstellungen Ihrer MuchSkills-App. Für Microsoft Entra ID und Okta gibt es eigene Anleitungen: Microsoft Entra ID: SCIM-Provisionierung und Okta: SCIM-Provisionierung.
3. Geben Sie die Verbindungswerte ein.

4. Legen Sie fest, was der Anbieter darf. Aktivieren Sie das Anlegen von Benutzern, das Aktualisieren von Benutzerattributen und das Deaktivieren von Benutzern. Lassen Sie Group Push, Group Import und User Import deaktiviert.
5. Prüfen Sie die Attributzuordnung. userName muss die E-Mail-Adresse enthalten. Ordnen Sie so viele der Felder aus der Tabelle unter Wichtig zu wissen zu, wie Ihr Anbieter vorhält.
6. Testen Sie die Verbindung. Die meisten Anbieter haben eine Schaltfläche Test Connection oder Ähnliches. Der Test ist erfolgreich, wenn Basis-URL und Zugangsdaten stimmen.
7. Weisen Sie einige Personen zu und übertragen Sie sie. Prüfen Sie sie in MuchSkills und weisen Sie dann alle übrigen zu.

Wieder in MuchSkills

8. Prüfen Sie die angekommenen Personen. Team/Org › Members listet sie mit den übermittelten Rollen auf.

Die SCIM-Zeile unter Security & SAML verlinkt auf diese Anleitung.

Prüfen, ob es funktioniert hat

• Im Provisionierungsprotokoll Ihres Identitätsanbieters sind die Benutzer als fehlerfrei angelegt aufgeführt.
• Team/Org › Members zeigt die zugewiesenen Personen mit korrekten Namen, Stellenbezeichnungen, Abteilungen und Vorgesetzten.
• In der Mitgliederliste steht neben jeder provisionierten Person ein Synchronisierungssymbol. Wenn Sie mit der Maus darauf zeigen, erscheint User profile is currently syncing via SCIM.
• Unter Team/Org › Settings › Security & SAML steht SCIM provisioning is enabled for your organisation.

Ihr Nutzen

• Ein- und Austritte werden für Sie erledigt. Personen erhalten ein MuchSkills-Konto, sobald Sie sie zuweisen, und werden deaktiviert, wenn Sie sie entfernen.
• Zugriffe an einem Ort verwalten. Ihr Identitätsanbieter bleibt die maßgebliche Quelle dafür, wer MuchSkills mit welcher Rolle nutzt.
• Saubere Personaldaten. Namen, Berufsbezeichnungen, Abteilungen und Vorgesetzte kommen direkt nutzbar für Filter, Berichte und My Circle an.

Wichtig zu wissen

Unterstützte Operationen. Alle Pfade beginnen mit https://app.muchskills.com/scim/v2.

Filterung und Paginierung. Filter unterstützen eq auf userName, zum Beispiel filter=userName eq "anna.berg@example.com". Die Paginierung verwendet startIndex und count.

Gruppen werden nicht provisioniert. MuchSkills nimmt ausschließlich Benutzer an. Lassen Sie Group Push daher ausgeschaltet. Über Gruppenzuweisungen in Ihrem Identitätsanbieter können Sie aber weiterhin steuern, wer provisioniert wird.

Was synchronisiert wird. Nur E-Mail und Name sind Pflicht. Senden Sie so viele der übrigen Felder wie möglich, denn jedes davon macht MuchSkills nützlicher.

MuchSkills hat außerdem eine eigene Benutzererweiterung mit dem Feld profilePicture, eine einfachere Alternative zu photos. Fragen Sie beim Support nach dem Schemanamen, wenn Sie sie nutzen möchten.

Rollen. Übermitteln Sie in roles genau eine Rolle pro Person und kennzeichnen Sie diese als primär. Zulässig sind Admin, Member und Analyst. Andere Werte werden ignoriert, und Personen ohne Rolle werden als Member angelegt. Die Rolle Owner lässt sich nicht per SCIM vergeben.

Beispielbenutzer. Eine Anlage-Anfrage Ihres Identitätsanbieters sieht so aus:

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User",
    "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User"
  ],
  "userName": "anna.berg@example.com",
  "active": true,
  "displayName": "Anna Berg",
  "name": {
    "givenName": "Anna",
    "familyName": "Berg"
  },
  "emails": [
    { "value": "anna.berg@example.com", "type": "work", "primary": true }
  ],
  "title": "Senior Consultant",
  "roles": [
    { "value": "Analyst", "primary": true }
  ],
  "photos": [
    { "value": "https://example.com/photos/anna-berg.jpg", "type": "photo" }
  ],
  "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User": {
    "department": "Advisory",
    "manager": { "value": "erik.lund@example.com" }
  }
}

Wer das Unternehmen verlässt, wird deaktiviert, nicht gelöscht. Egal ob Ihr Anbieter active auf false setzt oder eine DELETE-Anfrage schickt: Die Person taucht in den alltäglichen Ansichten nicht mehr auf, ihre Projekthistorie und Zertifikate bleiben aber gespeichert. Das ist für Audits wichtig.

Keine Allowlist nötig. SCIM-Anfragen gehen von Ihrem Identitätsanbieter an MuchSkills, daher müssen Sie dafür keine MuchSkills-Adressen freigeben.

Ihr Anbieter verwaltet die E-Mail-Adressen. Wer per SCIM provisioniert wurde, kann seine E-Mail-Adresse in MuchSkills nicht ändern. Unter Profile Settings › Account sehen diese Personen den Hinweis Managed by automated provisioning bei Your email.

Daten, die MuchSkills nicht annimmt. Alter oder Geburtsdatum, Gehalt und sonstige Vergütungsdaten, Leistungsbeurteilungen sowie Angaben zu politischer Einstellung, Religion oder Gesundheit werden schon beim Eingang gesperrt und nie gespeichert.

Fehlerbehebung