Okta: SCIM-Provisionierung
Okta kann Personen in MuchSkills anlegen, aktualisieren und deaktivieren. Dafür aktivieren Sie SCIM in der MuchSkills-App-Integration, die Sie für Single Sign-on nutzen, und verbinden sie mit der Client-ID und dem Secret, die wir für Sie erstellen. Anschließend legen Sie fest, was Okta tun darf, und weisen Personen zu.
- Wer
- Ein Owner oder Admin in MuchSkills sowie ein Okta-Admin mit Rechten für die App-Provisionierung
- So funktioniert die Anbindung
- Der Support sendet die SCIM-Zugangsdaten, danach richten Sie die Provisionierung in Okta ein
- Voraussetzung
- Die SAML-App-Integration von MuchSkills in Okta
- Pakete
- In allen Tarifen enthalten
How to
Bevor Sie beginnen
- In MuchSkills: die Rolle Owner oder Admin.
- In Okta: ein Administrator, der die Provisionierung für die MuchSkills-App-Integration verwalten darf.
- Die Single-Sign-on-App. Okta ergänzt SCIM in einer bestehenden SAML- oder SWA-App-Integration. Richten Sie zuerst Okta: Single Sign-on ein und verwenden Sie diese App.
- Provisionierung in Ihrer Okta-Org aktiviert. Wenn die SCIM-Option in Schritt 2 fehlt, wenden Sie sich an den Okta-Support.
- SCIM-Zugangsdaten von MuchSkills. Wir erstellen für Sie eine OAuth-2.0-Client-ID und ein Client Secret. Das Secret läuft nicht ab. Darum geht es in Schritt 1.
- Nur ein Weg. Wenn Sie Personen bereits mit dem Okta-Connector unter Settings › Integrations synchronisieren, entscheiden Sie, welchen der beiden Wege Sie für dieselben Personen beibehalten.
Schritte
Auf MuchSkills-Seite
- Fordern Sie SCIM-Zugangsdaten beim Support an. Schreiben Sie an support@muchskills.com oder nutzen Sie den Chat und erwähnen Sie, dass Sie Okta verwenden. Solange die Provisionierung noch nicht eingerichtet ist, erscheint unter Team/Org › Settings › Security & SAML der Hinweis SCIM provisioning is available for your organisation. See the setup guide for next steps.
Auf Okta-Seite
- Aktivieren Sie SCIM. Öffnen Sie in der Okta Admin Console die MuchSkills-App-Integration. Klicken Sie im Tab General auf Edit im Bereich App Settings, setzen Sie Provisioning auf SCIM und klicken Sie auf Save. Okta-Anleitung: SCIM-Provisionierung hinzufügen
- Tragen Sie die Verbindungsdaten ein. Öffnen Sie im Tab Provisioning den Bereich Settings › Integration und klicken Sie auf Edit:
- SCIM connector base URL:
https://app.muchskills.com/scim/v2 - Unique identifier field for users: userName
- Supported provisioning actions: Aktivieren Sie Push New Users und Push Profile Updates. Import New Users and Profile Updates und Push Groups bleiben deaktiviert.
- SCIM connector base URL:
- Hinterlegen Sie die Zugangsdaten. Wählen Sie unter Authentication Mode die Option OAuth2 mit dem Grant-Typ Client Credentials. Tragen Sie
https://app.muchskills.com/oauth2/tokenals Access-Token-Endpunkt ein, außerdem die Client-ID und das Client Secret von MuchSkills. Fragt Okta nach einem Autorisierungsendpunkt, geben Siehttps://app.muchskills.com/oauth2/authorizeein.
Klicken Sie auf Test Connector Configuration und anschließend auf Save. - Legen Sie fest, was Okta darf. Klicken Sie unter Settings › To App auf Edit. Aktivieren Sie Create Users, Update User Attributes und Deactivate Users. Sync Password bleibt ausgeschaltet. Klicken Sie dann auf Save. Okta-Anleitung zu den Provisionierungseinstellungen
- Prüfen Sie die Attributzuordnung. Scrollen Sie auf derselben Seite zu Attribute Mappings. Vorname, Nachname, E-Mail, Stellenbezeichnung und Abteilung müssen zugeordnet sein. Möchten Sie eine Zuordnung ändern, klicken Sie auf Go to Profile Editor, öffnen Mappings, bearbeiten das Attribut und klicken auf Save Mappings und danach auf Apply updates now. Der Benutzername kommt aus Application username, das Sie für Single Sign-on auf Email gesetzt haben.
- Weisen Sie ein paar Personen zu. Klicken Sie im Tab Assignments auf Assign und dann auf Assign to People oder Assign to Groups. Klicken Sie jeweils daneben auf Assign, danach auf Save and Go Back und Done. Okta legt die Personen dann in MuchSkills an.
Zurück in MuchSkills
- Prüfen Sie die angelegten Personen. Sie stehen unter Team/Org › Members. Wenn alles stimmt, weisen Sie in Okta auch alle übrigen Personen zu.
Ergebnis prüfen
- Test Connector Configuration läuft in Schritt 4 erfolgreich durch.
- Für die zugewiesenen Personen zeigt Okta im Tab Assignments der App keine Provisionierungsfehler an.
- Unter Team/Org › Members erscheinen sie mit korrekten Namen, Stellenbezeichnungen und Abteilungen.
- Unter Team/Org › Settings › Security & SAML steht SCIM provisioning is enabled for your organisation.
Benefits
Ihre Vorteile
- Ein- und Austritte werden in Okta gesteuert. Wenn Sie jemanden zuweisen, erhält die Person ein MuchSkills-Konto. Heben Sie die Zuweisung auf oder deaktivieren Sie die Person, wird sie auch in MuchSkills deaktiviert.
- Profiländerungen werden übernommen. Ändert sich in Okta eine Stellenbezeichnung oder Abteilung, überträgt Okta die Änderung an MuchSkills.
- Zugriffe an einem Ort verwalten. Single-Sign-on-App und Provisionierung befinden sich in derselben Okta-App-Integration.
Important to know
Wichtig zu wissen
Was synchronisiert wird. Nur E-Mail-Adresse und Name sind Pflicht. Ordnen Sie so viele der übrigen Attribute zu, wie Sie in Okta pflegen, denn jedes davon macht MuchSkills nützlicher.
| Okta-Profil | SCIM-Attribut | Erforderlich | Verwendet in MuchSkills für |
|---|---|---|---|
| Benutzername (die E-Mail-Adresse) | userName | Pflicht | E-Mail und Anmeldung |
| Primäre E-Mail | emails | Pflicht | E-Mail. Muss mit userName übereinstimmen |
| Vorname, Nachname | name.givenName, name.familyName | Pflicht | Name |
| Stellenbezeichnung | title | Empfohlen | Stellenbezeichnung |
| Abteilung | enterprise extension: department | Empfohlen | Abteilung |
| Führungskraft | enterprise extension: manager | Empfohlen | Berichtslinien und My Circle. Der Wert muss die E-Mail-Adresse oder die MuchSkills-Benutzer-ID der Führungskraft sein |
| Adressfelder | addresses | Empfohlen | Standort. Das Land sollte zugeordnet bleiben |
| Status | active | Empfohlen | Deaktivieren ausgeschiedener Mitarbeitender |
Wie Okta Änderungen sendet. Okta findet bestehende Benutzer über userName. Personen werden deaktiviert, indem active auf false gesetzt wird. Ein DELETE für Benutzer sendet Okta nie. Oktas SCIM-Referenz
Ausgeschiedene Mitarbeitende werden deaktiviert, nicht gelöscht. Setzt Okta active auf false, deaktiviert MuchSkills die Person. Ihre Projekthistorie und Zertifikate bleiben gespeichert.
Rollen. In dieser Einrichtung sendet Okta keine MuchSkills-Rolle, daher erhalten provisionierte Personen die Rolle Member. Informationen zum Attribut für Rollen finden Sie unter SCIM-Provisionierung: So funktioniert es.
Okta verwaltet die E-Mail-Adressen. Provisionierte Personen können ihre E-Mail-Adresse in MuchSkills nicht ändern. Sie sehen den Hinweis Managed by automated provisioning unter Profile Settings › Account.
Bewahren Sie die Zugangsdaten sicher auf. Behandeln Sie das Token oder Client Secret wie ein Passwort. Wenn Sie vermuten, dass es offengelegt wurde, fordern Sie beim Support neue Zugangsdaten an und aktualisieren Sie sie in Okta.
Common errors
Fehlerbehebung
| Was Sie sehen | Ursache | Was zu tun ist |
|---|---|---|
| Unter Provisioning gibt es keine SCIM-Option | Die Provisionierungsfunktion ist für Ihre Okta-Org nicht aktiviert, oder die App ist keine SAML- oder SWA-Integration | Wenden Sie sich an den Okta-Support und verwenden Sie die MuchSkills-SAML-App-Integration |
| Test Connector Configuration schlägt fehl | Die Basis-URL oder die Zugangsdaten sind falsch | Prüfen Sie die Werte aus Schritt 3 und 4. Fordern Sie im Zweifel beim Support neue Zugangsdaten an |
| Okta zeigt bei einem Push 401 Unauthorized | Das Token oder die Client-Zugangsdaten sind falsch oder nicht mehr gültig | Geben Sie die Zugangsdaten erneut ein oder fordern Sie beim Support neue an |
| Ein Push schlägt mit 409 Conflict fehl | Es gibt bereits ein MuchSkills-Konto mit dieser E-Mail-Adresse | Prüfen Sie die E-Mail-Adresse in MuchSkills und in Okta und ob der Benutzername die E-Mail-Adresse der Person ist |
| Ein Push schlägt fehl, weil userName keine gültige E-Mail-Adresse ist | Application username ist nicht auf Email gesetzt | Setzen Sie ihn auf dem Tab Sign On auf Email und führen Sie den Push erneut aus |
| Änderungen in Okta kommen nicht in MuchSkills an | Push Profile Updates oder Update User Attributes ist deaktiviert | Aktivieren Sie beide und testen Sie mit einer Änderung |
| Eine Abteilung oder Stellenbezeichnung fehlt | Das Attribut ist der App nicht zugeordnet | Ordnen Sie es unter Attribute Mappings zu und klicken Sie dann auf Apply updates now |
Häufig gestellte Fragen
Benötigen wir zuerst die Single-Sign-on-App?
Ja. Okta ergänzt eine bestehende SAML- oder SWA-App-Integration um die SCIM-Bereitstellung. Richten Sie daher zuerst Okta: Single Sign-on ein und verwenden Sie diese App.
Wir sehen die SCIM-Option in Okta nicht. Warum?
Laut Okta muss die Bereitstellungsfunktion für Ihre Org aktiviert sein. Wenn SCIM nicht in den Einstellungen der App erscheint, wenden Sie sich an den Okta-Support.
Sollten wir HTTP Header oder OAuth2 verwenden?
OAuth2. MuchSkills gibt Ihnen eine Client-ID und ein Client-Secret statt eines statischen Tokens, HTTP Header kommt also nicht infrage. Mit dem Grant-Typ Client Credentials holt sich Okta bei Bedarf selbst ein neues Token, das eine Stunde gilt.
Was passiert, wenn jemand ausscheidet?
Wenn Sie die Zuweisung einer Person in Okta aufheben oder die Person deaktivieren, sendet Okta active mit dem Wert false, und MuchSkills deaktiviert die Person. Okta löscht nie Benutzer in Apps. Projekthistorie und Zertifikate bleiben erhalten.
Können wir Okta-Gruppen an MuchSkills übertragen?
Nein. MuchSkills übernimmt Benutzer, keine Gruppen. Lassen Sie Push Groups daher deaktiviert. Sie können in Okta trotzdem Gruppen zuweisen, um festzulegen, wer bereitgestellt wird.
Welche Rolle erhalten bereitgestellte Personen?
Member, sofern keine Rolle im roles-Attribut gesendet wird. Okta sendet in dieser Konfiguration keine MuchSkills-Rolle, daher erhalten aus Okta bereitgestellte Personen die Rolle Member.
Können wir mit wenigen Personen beginnen?
Ja, und das empfehlen wir auch. Weisen Sie eine Handvoll Personen zu, prüfen Sie sie in MuchSkills und weisen Sie dann den Rest zu.
SCIM oder Benutzersynchronisierung über Okta: Was sollten wir nutzen?
Setzen Sie für dieselben Personen entweder das eine oder das andere ein. SCIM wird aus Okta heraus gesteuert. Der Okta-Connector unter Settings › Integrations wird aus MuchSkills heraus gesteuert, synchronisiert alle 5 Stunden und synchronisiert nach Gruppen. Siehe Okta: Benutzer synchronisieren.
Ist SCIM in unserem Tarif enthalten?
Ja. Alle MuchSkills-Tarife umfassen SCIM-Bereitstellung und Single Sign-on (SAML).