Verwaltung von Benutzern und Lesern mit SCIM in Entra

Die SCIM-Integration mit Microsoft Entra ermöglicht es Ihnen, Document360-Nutzer, Leser und Gruppen direkt von Entra aus automatisiert und zentral gesteuert zu verwalten.

Wenn ein neuer Benutzer in Entra hinzugefügt wird, wird sein Document360-Konto automatisch bereitgestellt. Alle Aktualisierungen seiner Rolle oder Gruppenmitgliedschaft werden in Echtzeit synchronisiert, und wenn ein Benutzer in Entra deaktiviert oder entfernt wird, wird dies in Document360 ohne manuelles Eingreifen angezeigt. Dadurch entfällt die Notwendigkeit einer separaten Kontoverwaltung in Document360 und stellt sicher, dass Benutzerdaten auf beiden Plattformen korrekt und aktuell bleiben.

Warum Nutzer und Leser über SCIM verwalten

Die manuelle Verwaltung von Benutzern über mehrere Plattformen hinweg ist zeitaufwendig und birgt Risiken. Ohne SCIM müssen Administratoren daran denken, neue Mitarbeiter separat zu Document360 hinzuzufügen und den Zugriff manuell zu widerrufen, wenn jemand geht. Fehler können zu unbefugtem Zugriff oder verzögertem Onboarding führen.

Mit aktiviertem SCIM zwischen Microsoft Entra und Document360:

• Neue Mitarbeiter werden automatisch zu Document360 hinzugefügt, wenn sie in Entra hinzugefügt werden – keine separate Einrichtung erforderlich.
• Rollenzuweisungen sind konsistent und werden durch eine einzige Wahrheitsquelle in deinem IdP gesteuert.
• Wenn ein Nutzer in Entra gelöscht wird, wird sein Zugriff auf Document360 automatisch widerrufen.
• Gruppenmitgliedschaftsänderungen in Entra werden in Echtzeit in Document360 dargestellt.
• Der Inhaltszugriff bleibt innerhalb von Document360 aus handhabbar, selbst wenn die Identität von Entra kontrolliert wird.

Bevor du anfängst

Die SCIM-Bereitstellung in Document360 wird als Teil Ihrer SSO-Konfiguration eingerichtet. Stellen Sie sicher, dass Folgendes abgeschlossen sind, bevor Sie fortfahren:

• Ihre Microsoft Entra-Anwendung muss als Nicht-Galerie-App erstellt werden: Neue Anwendung > Erstellen Sie Ihre eigene Anwendung > Integrieren Sie alle anderen Anwendungen, die Sie nicht in der Galerie finden. Wenn Sie eine Galerie-App verwenden, ist die SCIM-Bereitstellung nicht verfügbar.
• SAML SSO muss vollständig konfiguriert und zwischen Microsoft Entra und Document360 funktionieren.
• Die SCIM-Bereitstellung muss in Document360 aktiviert sein. Navigiere zu Einstellungen () > Benutzer & Berechtigungen > SSO-Konfiguration, öffne deine SSO-Einrichtung und prüfe, dass der Schalter "SCIM aktivieren" aktiviert ist.

Richte SAML mit Entra → ein

Beginnen Sie mit der Bereitstellung

Um mit der Bereitstellung in Entra zu beginnen, stellen Sie sicher, dass Sie SCIM bereits mit Entra erstellt und integriert haben. Nach Erledigung:

1. Navigiere in Entra zu deiner SCIM-Anwendung und klicke auf Bereitstellung starten.
2. Im Bestätigungsdialog klicken Sie auf Ja.

Mit SCIM können Sie Leser, Nutzer und Gruppen verwalten, und alle vorgenommenen Änderungen werden automatisch mit Document360 synchronisiert.

Zuweisen von Attributabbildungen

Um eine neue Attributzuordnung für die Benutzerrollenbedingung zu erstellen:

1. Öffne den Enterprise-App-Tab und wähle deine SCIM-SSO-Anwendung aus.
2. Navigieren Sie zum Reiter Provisioning , wählen Sie dann im linken Menü Attribute mapping (Vorschau) und klicken Sie auf Microsoft Entra ID Users bereitstellen.
3. Scrollen Sie zum Abschnitt Attributzuordnungen , wählen Sie das Kästchen Erweiterte Optionen anzeigen und klicken Sie dann auf Attributliste bearbeiten für Customapps, um fortzufahren.

4. Auf der Seite Attributliste bearbeiten scrollen Sie nach unten, geben Sie den URL-Parameter im Namensfeld ein und setzen Sie den Typ wie unten gezeigt.

5. Klicken Sie auf Speichern und dann im Bestätigungsdialog auf Ja .

Verwenden Sie Expression Builder, um Rollen abzubilden

Sie können in Entra einen Attributsabbildungsausdruck konfigurieren, der das bestehende Profilattribut jedes Benutzers, wie zum Beispiel den Jobtitel, bewertet und automatisch bestimmt, ob sie als Benutzer, Reviewer oder Reader in Document360 bereitgestellt werden sollen.

Der Ausdruck entspricht direkt dem  userType oder dem Legacy-Attribut isTeamAccount :

• userType = user → als Benutzer bereitgestellt
• userType = reviewer → als Rezensent eingesetzt
• userType = reader → als Reader bereitgestellt
• isTeamAccount = True→ als Benutzer bereitgestellt
• isTeamAccount = False→ als Leser bereitgestellt

Schritte zur Konfiguration:

1. Öffnen Sie Ihre SCIM-SSO-Anwendung in Entra und navigieren Sie zu Provisioning > Attribute Mappings.
2. Finden Sie das userType oder-Attribut isTeamAccount und klicken Sie auf das Bearbeiten-Symbol daneben. Dazu navigieren Sie zur Seite Attribut bearbeiten .
3. Setze den Mapping-Typ auf Ausdruck.
4. Geben Sie Ihren Ausdruck im Ausdrucksfeld ein. Der Ausdruck bewertet das Profilattribut jedes Nutzers und bestimmt, ob er als Benutzer, Rezensent oder Leser bereitgestellt werden soll. Siehe den Link "Use the expression builder " unter dem Ausdrucksfeld, um Ihren Ausdruck vor der Anwendung visuell mit einem echten Benutzer in Ihrem Verzeichnis zu erstellen und zu testen.

5. Setze den Standardwert falls null (optional) auf Reader (für userType) oder Falsch (für isTeamAccount). Dies stellt sicher, dass jeder Benutzer ohne einen passenden Attributwert standardmäßig als Reader vorgesehen ist.
6. Klicken Sie auf Ok, um das Attribut zu speichern.

Beispiel

• Wenn Ihre Nutzer ein Job Title-Attribut in ihrem Entra-Profil haben, können Sie Rollen basierend auf ihrem Titel zuordnen mit userType:

Switch([jobTitle], "reader", "Manager", "user", "Senior Manager", "user", "Team Lead", "reviewer")

Benutzer mit dem Titel Manager oder Senior Manager werden als Nutzer bereitgestellt, Teamleiter als Prüfer, und alle anderen Jobbezeichnungen ergeben den Reader zurück.

• Wenn Ihre Nutzer ein Job Title-Attribut in ihrem Entra-Profil haben, können Sie Rollen basierend auf ihrem Titel zuordnen mit isTeamAccount:

Switch([jobTitle], "False", "Manager", "True", "Senior Manager", "True", "Team Lead", "True")

Benutzer mit den Titeln Manager, Senior Manager oder Teamleiter werden als Benutzer bereitgestellt. Jeder andere Jobtitel gibt False zurück und der Benutzer wird als Reader bereitgestellt.

Erstellen Sie Nutzer, Leser und Gruppen

Erstellen Sie einen Benutzer

1. Erweitern Sie das Dropdown-Menü Entra ID in der linken Navigationsleiste und klicken Sie auf Benutzer.
2. Klicken Sie auf Neuer Benutzer > Erstellen Sie neuen Benutzer und geben Sie die erforderlichen Benutzerdaten ein.

3. Klicken Sie auf Erstellen + Überprüfen und dann auf Erstellen , um den Benutzer abzuschließen und zu erstellen.

Sobald der Benutzer erstellt und bereitgestellt ist, bestimmt Document360 automatisch seine Rolle basierend auf dem im Expression Builder konfigurierten Ausdruck und stellt ihn entsprechend als Benutzer bereit.

Benutzer der Anwendung zuweisen

1. Klicken Sie in der linken Navigationsleiste auf Unternehmens-Apps und suchen Sie Ihre SCIM-SSO-Anwendung.
2. Wählen Sie die Anwendung aus, gehen Sie zum Tab Benutzer und Gruppen , dann klicken Sie auf Benutzer hinzufügen/Gruppe.

3. Auf der Seite Zuweisungen hinzufügen klicken Sie auf Benutzer und Gruppen, suchen Sie in der Suchleiste nach dem Benutzer und klicken Sie dann auf Wählen > Zuweisen. Der Benutzer wurde erfolgreich der Anwendung zugewiesen.

4. Um den Benutzer zu Document360 zu leiten, navigiere im linken Menü zum Reiter Provisioning und klicke auf Provisioning on demand.
5. In der Suchleiste "Ausgewählter Benutzer " suchen und wählen Sie den Benutzer aus, dann klicken Sie auf Bereitstellung.

Der Benutzer wird automatisch zu Document360 hinzugefügt. Zur Verifizierung gehen Sie zu Document360 und navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Benutzer & Gruppen.

Erstelle einen Leser

1. Erweitern Sie das Dropdown-Menü Entra ID in der linken Navigationsleiste und klicken Sie auf Benutzer.
2. Klicken Sie auf Neuer Nutzer > Erstellen Sie neuen Benutzer und füllen Sie die erforderlichen Benutzerdaten aus.
3. Klicken Sie auf Erstellen + Bewertung, dann auf Erstellen , um den Reader abzuschließen und zu erstellen.

Sobald der Benutzer erstellt und bereitgestellt ist, bestimmt Document360 automatisch seine Rolle basierend auf dem im Expression Builder konfigurierten Ausdruck und stellt ihn entsprechend als Reader bereit.

Reader der Anwendung zuweisen

1. Klicken Sie in der linken Navigationsleiste auf Unternehmens-Apps und suchen Sie Ihre SCIM-SSO-Anwendung.
2. Wählen Sie die Anwendung aus, gehen Sie zum Tab Benutzer und Gruppen , dann klicken Sie auf Benutzer hinzufügen/Gruppe.
3. Auf der Seite "Zuweisungen hinzufügen" klicken Sie auf Benutzer und Gruppen, suchen Sie in der Suchleiste nach dem Benutzer und klicken Sie dann auf "Auswählen > Zuweisen". Der Benutzer wurde erfolgreich der Anwendung zugewiesen.

4. Um den Reader zu Document360 zu bringen, navigieren Sie zum Reiter Bereitstellung im linken Menü und klicken Sie auf Bereitstellung auf Abruf.
5. In der Suchleiste "Ausgewählter Benutzer " suchen und wählen Sie den Benutzer aus, dann klicken Sie auf Bereitstellung.

6. Der Leser wird automatisch zu Document360 hinzugefügt. Zur Verifizierung gehen Sie zu Document360 und navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Leser & Gruppen.

Eine Gruppe erstellen

1. Öffnen Sie den Gruppen-Tab im linken Menü und klicken Sie auf Neue Gruppe.
2. Füllen Sie die erforderlichen Angaben aus und klicken Sie auf Erstellen.

Gruppe der Anwendung zuweisen

1. Navigiere zu Unternehmens-Apps und wähle deine SCIM-SSO-Anwendung aus.
2. Öffnen Sie den Reiter Benutzer und Gruppen, klicken Sie auf Benutzer und Gruppe hinzufügen, klicken Sie unter Benutzer und Gruppen auf Keine ausgewählt und suchen Sie nach dem Gruppennamen.
3. Wähle die Gruppe aus und klicke auf Zuweisen.

Um die Gruppe für Document360 bereitzustellen:

1. Navigiere zum Reiter Provisioning on Demand , suche nach dem Gruppennamen und klicke auf Provision.

2. Sie können die Anzahl der Nutzer oder Mitglieder in der Gruppe über die Funktasten auswählen.
3. Die Gruppe wird erfolgreich zu Document360 hinzugefügt. Zur Verifizierung gehen Sie zu Document360 und navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Readers & Gruppen > Reader-Gruppen-Reiter .

Verwaltung des Inhaltszugriffs für Nutzer, Leser und Gruppen

In Document360 können Benutzer- und Gruppennamen nicht direkt bearbeitet oder gelöscht werden – diese Aktionen müssen von Entra aus verwaltet werden. Sie können jedoch weiterhin Rollen, Berechtigungen und Inhaltszugriff innerhalb von Document360 verwalten.

1. Wählen Sie den gewünschten Nutzer aus und klicken Sie auf Inhaltszugriff verwalten.
2. Im Dialog verwenden Sie die Dropdowns, um den gewünschten Inhaltszugang auszuwählen.
3. Falls nötig, kannst du auch Gruppenzuweisungen verwalten und den Nutzer einer gewünschten Gruppe hinzufügen.

4. Klicken Sie auf Aktualisieren , um die Änderungen zu bestätigen und zu speichern.

Aktualisieren Sie einen Nutzer, einen Leser oder eine Gruppe

Um Änderungen an einem Benutzer- oder Gruppennamen vorzunehmen:

1. In der linken Navigationsleiste klicken Sie auf Benutzer und suchen Sie in der Suchleiste nach dem Benutzer, dann klicken Sie auf Auswählen.
2. Auf der Übersichtsseite des Nutzers öffnen Sie den Reiter Eigenschaften und klicken Sie auf das Bearbeiten-Symbol , um die notwendigen Änderungen vorzunehmen.

3. Sobald Änderungen vorgenommen wurden, klicken Sie auf Speichern.
4. Um diese Änderungen in Document360 widerzuspiegeln, navigieren Sie zu Enterprise-Apps > SCIM SSO App > Provisioning > Provision on Demand.
5. Wählen Sie den aktualisierten Benutzer auf der Seite Provisioning on Demand aus und klicken Sie dann auf Provision.

Die aktualisierten Benutzerdaten werden nun in Document360 wiedergegeben.

Löschen Sie einen Benutzer, einen Leser oder eine Gruppe

Um einen Benutzer, Leser oder eine Gruppe zu löschen:

1. Öffnen Sie im linken Menü den Reiter Benutzer, suchen Sie und wählen Sie den gewünschten Benutzer aus.
2. Klicken Sie auf Löschen.

Der Benutzer wird erfolgreich gelöscht. Diese Änderung wird in Document360 widergespiegelt.

Von einer anderen Anwendung erben

Beim Erstellen einer neuen SSO-Konfiguration in Document360 können Sie SCIM-Einstellungen von einer bestehenden SSO-Verbindung übernehmen. Dieser Ansatz vereinfacht den Einrichtungsprozess, vermeidet wiederholte Konfigurationsschritte und hilft Administratoren, Zeit zu sparen und gleichzeitig Konsistenz zwischen den Integrationen sicherzustellen.

Kindlich geerbte SSO-Konfiguration

Auf der Seite "Identitätsanbieter konfigurieren" (IdP) wählen Sie das Feld "Eine bestehende Verbindung konfigurieren" aus und wählen Sie die übergeordnete SSO SCIM-fähige Anwendung aus, von der Sie erben möchten. Wenn Sie diese Option auswählen, wird das aktuelle Projekt als Kindprojekt bezeichnet und alle relevanten Eigenschaften vom Elternprojekt übernommen.

Elternerbte SSO-Konfiguration

Die Elternanwendung zeigt eine Liste aller Projekte an, die ihre Konfiguration übernommen haben. Alle Änderungen an der Elternanwendung werden automatisch in der Kindanwendung angezeigt.

• Wenn SCIM im Elternprojekt aktiviert ist, nachdem Kindprojekte es bereits geerbt haben, werden Benutzer und Gruppen automatisch allen Unterprojekten im Hintergrund zugeordnet.
• Die Aktivierung der Vererbung erleichtert die Verwaltung mehrerer SSO-Konfigurationen mit aktiviertem SCIM, da alle Einstellungen von einer übergeordneten Anwendung gesteuert werden. Dies spart Zeit und reduziert den Aufwand, jede Konfiguration einzeln zu verwalten.

Best Practices

• Verwenden Sie immer eine Nicht-Galerie-Anwendung in Entra. Galerie-Anwendungen unterstützen keine benutzerdefinierte SCIM-Bereitstellung. Wählen Sie beim Erstellen Ihrer Entra-Anwendung immer " Eigene Anwendung erstellen" und wählen Sie beim Erstellen Ihrer Entra-Anwendung " Integrieren Sie alle anderen Anwendungen, die Sie nicht finden ".
• Immer auf Benutzerebene gesetzt userType isTeamAccount , nicht auf Gruppenebene. Benutzer, die mehreren Gruppen mit widersprüchlichen Werten angehören, können in Document360 falsche Rollen erhalten. Das Setzen auf Benutzerebene stellt sicher, dass jeder Benutzer einen klaren, konsistenten Wert hat.
• Setzen Sie den Standardwert für  userType auf "Reader" oder isTeamAccount auf False. Dies stellt sicher, dass jeder Benutzer ohne einen passenden Attributwert standardmäßig als Reader bereitgestellt wird, anstatt zu scheitern oder eine unbeabsichtigte Rolle zu erhalten.
• Schließen Sie die Document360-SSO-Konfiguration ab und speichern Sie sie, bevor Sie die SCIM-Verbindung testen. Testen vor dem Speichern der Document360-Konfiguration schlagen immer fehl. Beenden Sie immer zuerst die Document360-Einrichtung und kehren Sie dann zu Entra zurück, um die Verbindung zu testen.
• Speichern Sie Ihre primären und sekundären Geheimtokens sicher. Token werden zum Zeitpunkt der Erstellung nur einmal angezeigt. Speichern Sie sie in einem Geheimnismanager oder Passworttresor. Wenn ein Token kompromittiert wird, generieren Sie ihn sofort und aktualisieren Sie Ihre Entra-Konfiguration ohne Verzögerung.
• Verwenden Sie das sekundäre Token für eine sichere Rotation. Wenn der primäre Token ersetzt werden muss, schalten Sie zuerst Entra auf den sekundären Token um und generieren Sie dann den primären Token neu. Dies stellt sicher, dass die Benutzerbereitstellung während des Übergangs ohne Unterbrechung fortgesetzt wird.
• Verwenden Sie immer Bereitstellung auf Abruf, um einzelne Nutzer und Gruppen zu pushen. Das gibt Ihnen präzise Kontrolle darüber, welche Benutzer bereitgestellt werden, und ermöglicht es, jeden einzelnen vor einer vollständigen Synchronisation zu überprüfen.
• Das Löschen eines Benutzers in Entra entfernt ihn nicht aus Document360. Sein Status ändert sich in Document360 auf Inaktiv. Aktivieren Sie das Konto in Entra, wenn der Zugriff wiederhergestellt werden muss.