Nutzermanagement via SCIM einrichten

SCIM ist eine Technologie, die in Kombination mit einem Identity Manager wie Azure Entra ID eine automatische Bereitstellung von Nutzern ermöglicht. Der Vorteil besteht darin, dass Sie die Erstellung und Deaktivierung von Benutzerkonten in Workpath automatisieren können, was den manuellen Aufwand reduziert und der Sicherheit zugutekommt.

Dieser Artikel setzt voraus, dass:

• Ihre Organisation Azure Entra ID verwendet.
• Sie mit Ihrem Client Success Manager bei Workpath gesprochen haben, um die SCIM-Funktion zu aktivieren.

Schritt 1: SCIM-Anwendung in Workpath erstellen

1. Melden Sie sich als Admin bei Workpath an
2. Navigieren Sie zu Organisationseinstellungen → Integrationen und klicken Sie auf „SCIM“
   
3. Geben Sie der SCIM-Anwendung einen Namen, zum Beispiel den Namen des Identity Providers, wie etwa „Entra ID“
4. Wählen Sie, ob automatisch Einladungs-E-Mails an neue Benutzer gesendet werden sollen. Diese E-Mails enthalten einen Link zur Anmeldeseite sowie zum Workpath Support Center:
   
5. Sobald die SCIM-Anwendung erstellt ist, sehen Sie eine URL und ein Token, die im nächsten Schritt relevant werden:
   

Schritt 2: Automatische Bereitstellung in Azure Entra ID konfigurieren

ⓘ Dieser Ablauf zeigt die Einrichtung einer Enterprise-Anwendung von Grund auf. Die Workpath-Anwendung im Azure Marketplace wurde noch nicht aktualisiert, um die Unterstützung für die automatische Bereitstellung widerzuspiegeln.

1. Melden Sie sich beim Azure-Portal als Benutzer mit Berechtigungen zur Verwaltung von Enterprise-Anwendungen an
2. Navigieren Sie zu Unternehmensanwendungen
3. Klicken Sie auf „＋ Neue Anwendung“:
   
4. Klicken Sie auf „＋ Eigene Anwendung erstellen“:
   
5. Füllen Sie die Informationen im folgenden Formular aus, wählen Sie „Jede andere Anwendung integrieren, die Sie nicht in der Galerie finden (Nicht-Galerie)“ und klicken Sie auf „Erstellen“
   

6. In diesem Schritt sollten Sie die Übersichtsseite Ihrer Anwendung sehen

7. Navigieren Sie zum Abschnitt „Bereitstellung“, klicken Sie dann unter „Verwalten“ auf „Bereitstellung“
   
8. Wählen Sie den Bereitstellungsmodus „Automatisch“
9. Geben Sie die Admin-Anmeldedaten ein, die Sie im vorherigen Schritt in Workpath erstellt haben
10. Testen Sie die Verbindung und speichern Sie sie
11. Navigieren Sie zu „Zuordnungen“
    
12. Navigieren Sie zu „Microsoft Entra ID-Gruppen bereitstellen“ und deaktivieren Sie diese Option – sie wird derzeit von Workpath nicht unterstützt. Klicken Sie oben auf „Speichern“
    
13. Navigieren Sie zu „Microsoft Entra ID-Benutzer bereitstellen“ und geben Sie die folgenden Attribute ein:

customappsso-Attribut	Microsoft Entra ID-Attribut
userName	userPrincipalName
active	Switch([IsSoftDeleted], , "False", "True", "True", "False")
title	jobTitle
name.givenName	givenName
name.familyName	surname
externalId	employeeId
locale	en als Standardwert, falls Bevorzugte Sprache leer ist
urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	department
urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:manager	manager

⚠ Wenn Sie bereits SAML mit Workpath konfiguriert haben, stellen Sie sicher, dass Ihre Wahl von userName und externalId mit den Name-ID- und E-Mail-Attributen übereinstimmt, die Sie senden.

Ihre Anwendung sollte jetzt einsatzbereit sein! Klicken Sie auf der Übersichtsseite auf Bereitstellung neu starten. Es dauert in der Regel bis zu 45 Minuten, bis erste Änderungen in Workpath sichtbar sind.

Schritt 3 (Optional): Rollen zuweisen

Die folgenden Rollen können automatisch in Workpath zugewiesen werden:

• analyst
• super_admin
• program_lead
• coach
• viewer

Wenn keine Rolle zugewiesen ist, wird die Standardrolle (normaler Benutzer) angenommen.

Wenn Sie einen dieser Strings als „roles“-SCIM-Attribut senden, weist Workpath diese Rolle automatisch zu. Es gibt verschiedene Wege, dies zu erreichen; wir empfehlen die Verwendung von Entra App-Rollen:

1. Erstellen Sie Entra-Gruppen (Typ: Sicherheit) für die Workpath-Rollen, die Sie über SCIM zuordnen möchten (eine für jede Rolle)
2. Erstellen Sie App-Rollen mit einem Anzeigenamen und Wert, der genau einem der oben genannten Rollennamen entspricht
   1. Navigieren Sie zu App-Registrierungen
   2. Suchen Sie nach Ihrer SCIM-App

   3. Klicken Sie im linken Navigationsbereich auf App-Rollen
       

      

   4. Klicken Sie auf + App-Rolle erstellen

   5. Füllen Sie die Informationen wie folgt aus:

      • Anzeigename: viewer (obligatorisch und muss genau mit einem Rollennamen aus der obigen Liste übereinstimmen)

      • Erlaubte Mitgliedstypen: Benutzer/Gruppen

      • Wert: viewer (obligatorisch und muss genau mit dem Anzeigenamen übereinstimmen)

      • Beschreibung: Workpath Viewer-Rolle
        

   6. Klicken Sie auf die Schaltfläche Anwenden – Sie sollten jetzt die neu erstellte Rolle in der Liste der App-Rollen sehen

3. Fügen Sie die Entra-Gruppen und -Rollen zur Workpath Enterprise-Anwendung hinzu

   1. Navigieren Sie zu Unternehmensanwendungen

   2. Suchen Sie nach Ihrer SCIM-App

   3. Klicken Sie im linken Navigationsbereich auf Benutzer und Gruppen

   4. Klicken Sie auf + Benutzer/Gruppe hinzufügen

      

   5. Wählen Sie die Gruppe aus, die Sie im vorherigen Schritt erstellt haben, und klicken Sie auf die Schaltfläche Auswählen
      
   6. Wählen Sie die Rolle aus und klicken Sie auf die Schaltfläche Auswählen
      
   7. Sie sollten eine Übersicht mit den ausgewählten Gruppe(n) und der Rolle sehen
      
   8. Klicken Sie auf die Schaltfläche Zuweisen
4. Erstellen Sie eine Attributzuordnung mit diesen Werten:
   • Navigieren Sie zum Abschnitt Bereitstellung unter der Enterprise SCIM-App
   • Navigieren Sie unter dem Abschnitt Verwalten zu Attributzuordnung
   • Klicken Sie auf Microsoft Entra ID-Benutzer bereitstellen
   • Klicken Sie auf Erweiterte Optionen anzeigen am Ende der Seite
   • Klicken Sie dann auf Attributliste für customappsso bearbeiten

   • Fügen Sie ein neues Attribut mit dem Namen roles vom Typ String hinzu und aktivieren Sie das Kontrollkästchen für Mehrfachwert?

     

   • Klicken Sie auf Speichern, um zum Bildschirm für die Attributzuordnung zurückzukehren
   • Neue Zuordnung hinzufügen (am Ende der Attributliste)
     • Zuordnungstyp: Ausdruck
     • Ausdruck: AppRoleAssignments([appRoleAssignments])
     • Zielattribut: roles
     • Objekte mit diesem Attribut abgleichen: Nein
     • Diese Zuordnung anwenden: Immer
       
   • Klicken Sie auf OK
5. Navigieren Sie zur Übersichtsseite der SCIM-App und starten Sie die Bereitstellung neu

⚠ Wenn Sie bereits SAML mit Workpath konfiguriert haben, stellen Sie sicher, dass der viewer-Attributanspruch so konfiguriert ist, dass er dieselben Gruppen wie diese App-Rolle verwendet, oder lassen Sie das viewer-Attribut ganz weg.