Microsoft Entra ID: SCIM-Provisionierung

Bevor Sie beginnen

• In MuchSkills: die Rolle Owner oder Admin.
• In Microsoft Entra: ein Application Administrator oder Cloud Application Administrator.
• SCIM-Zugangsdaten von MuchSkills. Wir erstellen für Sie eine OAuth-2.0-Client-ID und ein Client-Secret. Das Secret hat kein Ablaufdatum. Wie das geht, steht in Schritt 1.
• Erst Single Sign-on. Wir empfehlen, vor der Provisionierung Microsoft Entra ID: Single Sign-on einzurichten und die Provisionierung in derselben Unternehmens-App zu ergänzen. Dann können sich Personen gleich nach dem Anlegen anmelden.
• Nur ein Weg. Synchronisieren Sie Personen bereits über den Microsoft-Entra-ID-Connector unter Settings › Integrations, entscheiden Sie, welchen der beiden Wege Sie für diese Personen beibehalten.
• Klein anfangen. Weisen Sie zunächst sich selbst und ein paar Kolleginnen und Kollegen zu. Den Kreis können Sie später erweitern.

Schritte

In MuchSkills

1. Fragen Sie beim Support SCIM-Zugangsdaten an. Schreiben Sie an support@muchskills.com oder nutzen Sie den Chat und teilen Sie uns mit, dass Sie Microsoft Entra ID verwenden. Bis die Provisionierung eingerichtet ist, zeigt Team/Org › Settings › Security & SAML den Hinweis SCIM provisioning is available for your organisation. See the setup guide for next steps.

In Microsoft Entra

2. Öffnen Sie die MuchSkills-App. Gehen Sie im Microsoft Entra Admin Center zu Entra ID › Enterprise apps und öffnen Sie die MuchSkills-App, die Sie für Single Sign-on nutzen. Gibt es noch keine, klicken Sie auf New application › Create your own application, nennen Sie sie MuchSkills, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und klicken Sie auf Create.
3. Legen Sie die MuchSkills-Rollen an. Gehen Sie zu Entra ID › App registrations, öffnen Sie All applications und wählen Sie die MuchSkills-App aus. Klicken Sie unter App roles auf Create app role. Geben Sie Member sowohl als Display name als auch als Value ein, wählen Sie unter Allowed member types die Option Users/Groups, fügen Sie eine Description hinzu, lassen Sie Do you want to enable this app role? aktiviert und klicken Sie auf Apply. Wiederholen Sie diese Schritte für Analyst und Admin. Die Werte müssen exakt so geschrieben sein. Microsoft-Anleitung zu App-Rollen
4. Stellen Sie die Verbindung zu MuchSkills her. Öffnen Sie unter Enterprise apps wieder die MuchSkills-App, wählen Sie Provisioning und klicken Sie auf New configuration. Tragen Sie Folgendes ein:
   • Tenant URL: https://app.muchskills.com/scim/v2
   • OAuth token endpoint: https://app.muchskills.com/oauth2/token
   • Authentication method: OAuth2 client credentials grant.
   • Client ID und Client Secret: die Werte von MuchSkills.
   • How credentials are sent: Body.
   • Lassen Sie Secret Token leer: MuchSkills stellt keine statischen Tokens aus. In manchen Tenants erscheint noch die klassische Ansicht. Setzen Sie dort Provisioning Mode auf Automatic, öffnen Sie Admin Credentials, wählen Sie OAuth2 Client Credentials Grant als Authentication Method und füllen Sie Tenant URL, Token Endpoint, Client Identifier und Client Secret aus. Klicken Sie auf Test Connection und dann auf Create, in der klassischen Ansicht auf Save. Microsoft-Anleitung zum Verbinden einer SCIM-App
5. Prüfen Sie die E-Mail-Zuordnung. Wählen Sie Attribute mapping und öffnen Sie die Benutzerzuordnung. Standardmäßig sendet Entra userPrincipalName als userName. Entsprechen die Principal Names Ihrer Benutzer nicht deren E-Mail-Adressen, bearbeiten Sie die Zeile userName und setzen Sie Source attribute auf mail. userName muss die Adresse sein, mit der sich Personen bei MuchSkills anmelden. Microsoft-Anleitung zu Attributzuordnungen
6. Fügen Sie die Rollenzuordnung hinzu. Klicken Sie in derselben Benutzerzuordnung auf Add New Mapping. Setzen Sie Mapping type auf Expression, Expression auf SingleAppRoleAssignment([appRoleAssignments]) und Target attribute auf roles[primary eq "True"].value. Klicken Sie auf Ok und dann auf Save. Schalten Sie die Gruppenzuordnung aus, denn MuchSkills nimmt nur Benutzer an. Microsoft-Referenz zu Ausdrücken
7. Weisen Sie Ihre Testbenutzer mit ihren Rollen zu. Öffnen Sie Users and groups › Add user/group. Markieren Sie Ihre Testbenutzer, wählen Sie unter Select a role die Rolle Member, Analyst oder Admin und klicken Sie auf Assign. Der Bereich bleibt auf Sync only assigned users and groups. Microsoft-Anleitung zum Zuweisen von Benutzern und Gruppen
8. Testen Sie mit einer einzelnen Person. Wählen Sie Provision on demand, suchen Sie einen Testbenutzer und starten Sie die Bereitstellung. Alle Schritte sollten als erfolgreich angezeigt werden.
9. Richten Sie Benachrichtigungen ein. Wählen Sie Overview › Properties, klicken Sie auf das Stiftsymbol, aktivieren Sie Benachrichtigungs-E-Mails und den Schutz vor versehentlichem Löschen und klicken Sie auf Apply.
10. Starten Sie die Provisionierung. Klicken Sie unter Overview auf Start provisioning. In der klassischen Ansicht setzen Sie Provisioning Status auf On und klicken auf Save. Der erste Durchlauf dauert länger als alle weiteren.

Zurück in MuchSkills

11. Prüfen Sie, wer angekommen ist. Unter Team/Org › Members sehen Sie Ihre Testbenutzer mit den Rollen, die Sie gewählt haben. Passt alles, weisen Sie in Entra alle übrigen Personen zu.

Prüfen, ob es funktioniert hat

• Provision on demand meldet für Ihren Testbenutzer Erfolg.
• In Entra führen die Provisioning logs Ihre Benutzer fehlerfrei als angelegt auf.
• Unter Team/Org › Members stehen sie mit den richtigen Namen, Abteilungen, Vorgesetzten und Rollen.
• Unter Team/Org › Settings › Security & SAML steht SCIM provisioning is enabled for your organisation.

Ihr Nutzen

• Ein- und Austritte regeln Sie in Entra. Weisen Sie jemanden zu, bekommt die Person ein MuchSkills-Konto. Entfernen Sie die Zuweisung oder deaktivieren Sie die Person, wird sie deaktiviert.
• Rollen kommen aus Entra. Ob jemand in MuchSkills Member, Analyst oder Admin ist, legt die App-Rolle fest, die Sie zuweisen.
• Vorgesetzte und Abteilungen sind hinterlegt. Berichtslinien und Abteilungen werden mit jeder Person übertragen und stehen gleich für My Circle und Berichte bereit.

Wichtig zu wissen

Was synchronisiert wird. Nur E-Mail und Name sind Pflicht. Ordnen Sie so viele der übrigen Attribute zu, wie Sie in Entra pflegen, denn jedes davon macht MuchSkills nützlicher.

Auch Vorgesetzte müssen provisioniert werden. Entra kann nur Vorgesetzte übermitteln, die selbst auch an MuchSkills provisioniert werden. Weisen Sie Vorgesetzte daher zusammen mit ihren Teams zu.

Eine Rolle pro Person. Weisen Sie bei SingleAppRoleAssignment jeder Person nur eine App-Rolle zu. Hat jemand zwei, garantiert Microsoft nicht, welche davon übertragen wird. Außerdem setzt diese Zuordnung den Bereich Sync only assigned users and groups voraus.

Ausgetretene Personen werden deaktiviert, nicht gelöscht. Wird eine Person in Entra aus der Zuweisung entfernt, deaktiviert oder gelöscht, sendet Entra active mit dem Wert false. MuchSkills deaktiviert die Person, und ihre Projekthistorie und Zertifikate bleiben erhalten.

Entra verwaltet die E-Mail-Adressen. Wer provisioniert wurde, kann seine E-Mail-Adresse in MuchSkills nicht ändern. Diese Personen sehen den Hinweis Managed by automated provisioning unter Profile Settings › Account.

Bewahren Sie die Zugangsdaten sicher auf. Behandeln Sie das Client-Secret wie ein Passwort. Es läuft nicht ab, und Entra ruft selbstständig ein neues, eine Stunde gültiges Access Token ab. Wenn Sie vermuten, dass es offengelegt wurde, fordern Sie beim Support neue Zugangsdaten an und aktualisieren Sie sie in Entra.

Fehlerbehebung