Verwaltung von Benutzern und Lesern mit SCIM in Okta

Die SCIM-Integration mit Okta ermöglicht es Ihnen, Document360-Nutzer, Leser und Gruppen direkt von Okta aus automatisiert und zentral gesteuert zu verwalten.

Wenn ein neuer Benutzer in Okta hinzugefügt wird, wird sein Document360-Konto automatisch bereitgestellt. Alle Aktualisierungen seiner Rolle oder Gruppenmitgliedschaft werden in Echtzeit synchronisiert, und wenn ein Benutzer in Okta deaktiviert oder entfernt wird, wird dies in Document360 ohne manuelles Eingreifen angezeigt. Dadurch entfällt die Notwendigkeit einer separaten Kontoverwaltung in Document360 und stellt sicher, dass die Nutzerdaten auf beiden Plattformen korrekt und aktuell bleiben.

Warum Nutzer und Leser über SCIM verwalten

Die manuelle Verwaltung von Nutzern über mehrere Plattformen hinweg ist zeitaufwendig und birgt Risiken. Ohne SCIM müssen Administratoren daran denken, neue Mitarbeiter separat zu Document360 hinzuzufügen und den Zugriff manuell zu widerrufen, wenn jemand geht. Fehler können zu unbefugtem Zugriff oder verzögertem Onboarding führen.

Mit aktiviertem SCIM zwischen Okta und Document360:

• Neue Mitarbeiter werden automatisch zu Document360 hinzugefügt, wenn sie in Okta hinzugefügt werden – keine separate Einrichtung erforderlich.
• Rollenzuweisungen sind konsistent und werden durch eine einzige Wahrheitsquelle in deinem IdP gesteuert.
• Wenn ein Benutzer in Okta deaktiviert oder gelöscht wird, wird ihm automatisch der Zugriff auf Document360 entzogen.
• Änderungen der Gruppenmitgliedschaft in Okta werden in Echtzeit in Document360 widergespiegelt.
• Der Inhaltszugriff bleibt innerhalb von Document360 selbst dann handhabbar, wenn die Identität von Okta kontrolliert wird.

Bevor du anfängst

Die SCIM-Bereitstellung in Document360 ist Teil Ihrer SSO-Konfiguration eingerichtet. Stellen Sie sicher, dass Folgendes erfüllt ist, bevor Sie fortfahren:

• SSO muss vollständig konfiguriert und zwischen Okta und Document360 funktionieren. Richte zuerst das SSO mit einer der untenstehenden Anleitungen ein.
• Die SCIM-Bereitstellung muss in Document360 aktiviert sein. Navigiere zu Einstellungen () > Benutzer & Berechtigungen > SSO-Konfiguration, öffne deine SSO-Einrichtung und prüfe, dass der Schalter "SCIM aktivieren" aktiviert ist.

Benutzerattributzuweisung

SCIM verwendet das isTeamAccount Attribut, um zu bestimmen, ob eine Person in Document360 als Benutzer oder als Reader bereitgestellt ist.

• isTeamAccount = True→ als Benutzer bereitgestellt
• isTeamAccount = Falseoder ungesetzt → als Reader bereitgestellt

Um dieses Attribut in Okta hinzuzufügen:

1. In der Okta Admin Console erweitern Sie das Dropdown-Menü Anwendungen und wählen Sie Anwendungen aus.
2. Wählen Sie die Anwendung aus, die Sie konfigurieren möchten, und navigieren Sie zum Reiter Provisioning .
3. Scrolle nach unten zu Attribute Mappings und klicke auf Geh zum Profil-Editor.
4. Unter dem Abschnitt Attribute klicken Sie auf Attribute hinzufügen und füllen Sie die unten gezeigten Details aus.

5. Klicken Sie auf Speichern.

Verwenden Sie Expression Builder, um Rollen abzubilden

Anstatt das isTeamAccount Attribut für jeden Benutzer manuell festzulegen, können Sie mit Oktas Expression Builder automatisch bestimmen, ob ein Benutzer in Document360 als Benutzer oder Reader bereitgestellt ist, basierend auf einem bestehenden Attribut im Okta-Profil wie Jobtitel, Abteilung oder Gruppenzugehörigkeit.

So funktioniert es:

• isTeamAccount = True→ als Benutzer bereitgestellt
• isTeamAccount = False→ als Reader bereitgestellt

Nach der Bereitstellung werden Benutzer automatisch den jeweiligen Benutzergruppen oder Lesergruppen in Document360 hinzugefügt.

Schritte zur Konfiguration:

1. In der Okta Admin Console gehen Sie zu Anwendungen und wählen Sie Ihre SCIM-Anwendung aus.
2. Navigiere zum Reiter Bereitstellung und klicke unter Einstellungen auf den Reiter "Zu App".
3. Scrollen Sie nach unten zu Attribute Mappings und klicken Sie auf das Bearbeiten-Symbol neben dem isTeamAccount Attribut.

4. Im Dialog stellen Sie das Attributwert-Dropdown-Menü auf Ausdruck ein.
5. Geben Sie Ihren Ausdruck in das bereitgestellte Textfeld ein.
6. Um den Ausdruck zu überprüfen, geben Sie den Namen eines Benutzers im Feld Vorschau ein. Das Ergebnis wird sofort ausgewertet und in der grünen Leiste unter dem Textfeld angezeigt, um anzuzeigen, ob der Benutzer als Benutzer (true) oder als Reader (false) bereitgestellt wird.
7. Unter "Apply on" wählen Sie Create oder Create und aktualisieren , je nachdem, ob Sie den Ausdruck nur während der Benutzererstellung oder bei Updates verwenden möchten.
8. Klicken Sie auf Speichern.

Basierend auf der Berufsbezeichnung

Wenn Ihre Nutzer ein Job Title-Attribut in ihrem Okta-Profil haben, können Sie Rollen anhand ihres Titels zuweisen:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Benutzer mit den Titeln Manager, Senior Manager oder Teamleiter werden als Benutzer vorgesehen. Alle anderen Titel sind als Readers vorgesehen.

Basierend auf der Gruppenzugehörigkeit

Wenn Ihre Nutzer in Okta-Gruppen organisiert sind, können Sie Rollen basierend auf den Gruppen, zu denen sie gehören, zuordnen:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Benutzer, die Mitglieder der Manager-, TeamLead- oder Director-Gruppen sind, werden als Benutzer vorgesehen. Nutzer, die keiner dieser Gruppen angehören, werden als Leser bereitgestellt.

Provision Okta to Document360

Um Benutzererstellung, Änderungen und Deaktivierung in Okta mit Document360 zu verknüpfen:

1. Öffne in der linken Navigationsleiste das Dropdown-Menü Anwendungen und klicke auf Anwendungen.
2. Wählen Sie Ihre SCIM-Anwendung aus und navigieren Sie zum Reiter Provisioning .
3. Klicken Sie unter Bereitstellung zur App auf Bearbeiten und aktivieren Sie die folgenden Kontrollkästchen:
   • Benutzer erstellen
   • Benutzerattribute aktualisieren
   • Benutzer deaktivieren

Erstellen Sie Nutzer, Leser und Gruppen

Erstellen Sie einen Benutzer

1. Öffne in der Okta-Admin-Konsole das Verzeichnis-Dropdown-Menü und wähle Personen aus.
2. Klicken Sie auf Person hinzufügen, füllen Sie die erforderlichen Benutzerdaten aus und klicken Sie auf Speichern. Sobald der Benutzer bereitgestellt ist, weist Document360 die Rolle automatisch basierend auf der im Expression Builder konfigurierten Regel zu.

3. Wählen Sie den neu erstellten Benutzer aus und klicken Sie auf Anwendungen zuweisen , um ihn mit einer Anwendung zu verknüpfen.
4. Wähle die Anwendung aus, der du den Benutzer zuweisen möchtest, und klicke auf Anwenden. Der Benutzer wird erfolgreich erstellt.

Zur Verifizierung gehen Sie zu Document360 und navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Benutzer & Gruppen. Der neu erstellte Benutzer sollte in der Liste erscheinen.

Erstelle einen Leser

1. Öffne in der Okta-Admin-Konsole das Verzeichnis-Dropdown-Menü und wähle Personen aus.
2. Auf der Seite Personen klicken Sie auf Person hinzufügen, füllen Sie die erforderlichen Leserdaten ein und klicken Sie auf Speichern. Dies bestätigt, dass der Leser erfolgreich zum Identitätsanbieter (Okta) hinzugefügt wurde.

Sobald der Reader bereitgestellt ist, weist Document360 die Rolle automatisch basierend auf der im Expression Builder konfigurierten Regel zu.

3. Um den Reader mit Document360 zu integrieren, wählen Sie den neu erstellten Reader aus und klicken Sie auf Anwendungen zuweisen.
4. Im Dialogfeld "Anwendung zuweisen " wählen Sie das Projekt aus, dem Sie den Reader zuweisen möchten, und klicken Sie dann auf "Assign > Save and Go Back > Done".

5. Der neu erstellte Reader wird automatisch mit Document360 synchronisiert. Zur Verifizierung gehen Sie zu Document360 und navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Leser & Gruppen.

Der Reader wird mit dem Standard-Inhaltszugriff hinzugefügt, der während der SSO-Einrichtung angewendet wurde.

Eine Gruppe erstellen

1. Öffne in der Okta-Admin-Konsole das Verzeichnis-Dropdown-Menü und wähle Gruppen aus.
2. Klicken Sie auf Gruppe hinzufügen, geben Sie den gewünschten Gruppennamen ein und klicken Sie auf Speichern.

Anwendung der Gruppe zuweisen

1. Erweitern Sie das Dropdown-Menü Anwendungen und wählen Sie Anwendungen aus.
2. Wählen Sie die gewünschte Anwendung aus, gehen Sie zum Reiter Zuweisungen und klicken Sie auf Zugewiesen > Zuweisen an Gruppen.
3. Klicke neben der erstellten Gruppe auf Zuweisen und dann auf Speichern , um die Zuweisung abzuschließen.

Push-Gruppen

Im Gegensatz zu Benutzern werden Gruppen nicht automatisch mit Document360 synchronisiert und müssen manuell gesendet werden.

1. Nachdem Sie die Gruppe der Anwendung zugewiesen haben, gehen Sie zum Reiter Push-Gruppen und klicken Sie auf Push-Gruppen.
2. Wählen Sie Gruppen nach Namen finden und geben Sie den Gruppennamen ein.
3. Wählen Sie die Gruppe aus den Ergebnissen aus und klicken Sie auf Speichern , um die Gruppe erfolgreich in Document360 zu verschieben.

4. Zur Verifizierung navigieren Sie zu Document360 > Einstellungen () > Benutzer & Berechtigungen > Readers & Groups > Reader-Gruppen.

Die neu erstellte Lesergruppe sollte in Ihrem Portal erscheinen.

Fügen Sie einen Benutzer oder Leser einer Gruppe hinzu

1. Öffne in der Okta-Admin-Konsole das Verzeichnis-Dropdown-Menü und wähle Personen aus.
2. Gehen Sie zum Reiter Gruppen , suchen Sie im Feld Gruppen nach der Gruppe, zu der Sie den Benutzer oder Leser hinzufügen möchten, und wählen Sie sie aus.

3. Der Benutzer oder Leser wird erfolgreich zur ausgewählten Gruppe hinzugefügt.
4. Zur Bestätigung navigieren Sie zu Document360 und wählen Sie die relevante Benutzer- oder Lesergruppe aus. Das hinzugefügte Mitglied sollte innerhalb der Gruppe erscheinen.

Verwaltung von Nutzern, Lesern und Gruppen in Document360

Wenn SCIM aktiviert ist, ist das Bearbeiten eines Benutzernamens oder das Löschen eines Benutzers direkt in Document360 deaktiviert. Diese Aktionen müssen über Okta verwaltet werden, um beide Plattformen synchron zu halten. Du kannst den Inhaltszugriff nur über Document360 verwalten.

Das SSO-SCIM-Badge zeigt an, ob der Benutzer SCIM aktiviert hat.

Inhaltszugang verwalten

Die Standard-Inhaltsrolle, die jedem neuen Nutzer, Leser oder Gruppe zugewiesen wird, basiert auf dem, was während der SCIM-Bereitstellung konfiguriert wurde. Die Berechtigungen werden standardmäßig auf Keine gesetzt, können aber jederzeit aktualisiert werden.

1. Um den Inhaltszugriff zu verwalten, wählen Sie den gewünschten Reader aus und klicken Sie auf Inhaltszugang verwalten.
2. Wählen Sie die gewünschte Zugriffsstufe aus dem Dropdown-Menü und klicken Sie auf Aktualisieren.

Verwaltung bestehender Benutzer während der SCIM-Bereitstellung

Wenn eine Person bereits ein Konto bei Document360 hat, ändert SCIM ihre bestehende Rolle während der ersten Synchronisierung nicht. Dies ist eine Sicherheitsmaßnahme, um versehentliche Rollenwechsel zu verhindern.

Beispiel: Ein Benutzer existiert bereits in Document360 als Reader. Wenn SCIM versucht, denselben Benutzer wie ein Benutzer (isTeamAccount = True) bereitzustellen, kann die Anfrage scheitern, weil die bestehende Rolle nicht übereinstimmt.

Wie man Rollenkonflikte löst:

1. Öffne Document360 und finde das Benutzerkonto.
2. Aktualisiere die Rolle des Benutzers manuell, damit sie zur Rolle passt, die du bereitstellen möchtest.
3. Versuche die SCIM-Synchronisation erneut.

Sobald der Benutzer erfolgreich über SCIM verknüpft und bereitgestellt wurde, können zukünftige Rollenänderungen mit dem Attribut isTeamAccount verwaltet werden.

Nutzer und Leser deaktivieren

Um Benutzer oder Leser von Okta zu deaktivieren:

1. Erweitern Sie das Verzeichnis-Dropdown-Menü und wählen Sie Personen aus.
2. Wählen Sie den Benutzer aus, den Sie deaktivieren möchten, um zu dessen Benutzerprofil zu gelangen.
3. Klicken Sie auf Weitere Aktionen und wählen Sie deaktivieren.

Der Nutzer wird erfolgreich deaktiviert. Nach der Deaktivierung ändert sich der Status des Benutzers in Document360 von Aktiv auf Inaktiv.

Löschen Sie einen Benutzer oder Leser

Um ein Benutzer- oder Leserprofil dauerhaft aus Okta zu entfernen:

1. In Okta klicken Sie im Benutzer- oder Leserprofil auf Löschen .
2. Ein Bestätigungsdialog erscheint. Klicken Sie auf Löschen.

Das Profil wird dauerhaft von Okta gelöscht.

Von einer anderen Anwendung erben

Beim Erstellen einer neuen SSO-Konfiguration in Document360 können Sie SCIM-Einstellungen von einer bestehenden SSO-Verbindung übernehmen. Dieser Ansatz vereinfacht den Einrichtungsprozess, vermeidet Wiederholungen der Konfigurationsschritte und hilft Administratoren, Zeit zu sparen, während er Konsistenz zwischen den Integrationen gewährleistet.

Kindlich geerbte SSO-Konfiguration

Auf der Seite "Identitätsanbieter konfigurieren" (IdP) wählen Sie das Feld "Eine bestehende Verbindung konfigurieren" aus und wählen Sie die übergeordnete SSO SCIM-fähige Anwendung aus, von der Sie erben möchten. Die Wahl dieser Option bestimmt das aktuelle Projekt als Kindprojekt und erbt alle relevanten Eigenschaften vom Elternteil.

Elternerbte SSO-Konfiguration

Die übergeordnete Anwendung zeigt eine Liste aller Projekte an, die ihre Konfiguration übernommen haben. Alle Änderungen an der Elternanwendung werden automatisch in der Kindanwendung angezeigt.

• Wenn SCIM im Elternprojekt aktiviert ist, nachdem Kindprojekte es bereits geerbt haben, werden Benutzer und Gruppen automatisch allen Unterprojekten im Hintergrund zugeordnet.
• Die Aktivierung der Vererbung erleichtert die Verwaltung mehrerer SSO-Konfigurationen mit aktiviertem SCIM, da alle Einstellungen von einer übergeordneten Anwendung gesteuert werden. Dies spart Zeit und reduziert den Aufwand, jede Konfiguration einzeln zu verwalten.

Best Practices

• Immer auf Benutzerebene eingestellt isTeamAccount , nicht auf Gruppenebene. Benutzer, die mehreren Gruppen mit widersprüchlichen Werten angehören, können in Document360 falsche Rollen erhalten. Die Einstellung auf Benutzerebene stellt sicher, dass jeder Benutzer einen klaren, konsistenten Wert hat.
• Testen Sie den SCIM-Anschluss nicht, bevor die Document360-Konfiguration gespeichert ist. Der Test wird in diesem Stadium scheitern. Immer zuerst die Document360 SSO-Konfiguration abschließen und speichern und dann zu Okta zurückkehren, um zu testen.
• Bewahren Sie Ihre primären und sekundären Geheimtoken sicher auf. Tokens werden zum Zeitpunkt der Erstellung nur einmal angezeigt. Bewahre sie in einem Secrets-Manager oder Passworttresor auf. Wenn ein Token kompromittiert wird, generiere es sofort neu und aktualisiere deine Okta-Konfiguration ohne Verzögerung.
• Benutze den sekundären Token für eine sichere Rotation. Wenn der primäre Token ersetzt werden muss, wechselt Okta zuerst auf den sekundären Token und generiert dann den primären Token neu. Dies stellt sicher, dass die Benutzerbereitstellung während der Umstellung ohne Unterbrechung fortgesetzt wird.
• Lösen Sie Rollenkonflikte, bevor Sie die SCIM-Synchronisation für bestehende Benutzer durchführen. Wenn ein Benutzer bereits in Document360 mit einer anderen Rolle existiert, aktualisieren Sie seine Rolle manuell in Document360, bevor Sie die Synchronisation erneut versuchen.
• Verwalte SCIM-Gruppen von Okta aus, nicht von Document360. Document360 erstellt immer eine neue Gruppe, wenn Okta eine über SCIM pusht. Verwalte immer die SCIM-Gruppenmitgliedschaft von Okta aus, um Konflikte zu vermeiden.
• Überwachen Sie Ihre Benutzerquote, bevor Sie im großen Maßstab bereitstellen. Wenn das Benutzerlimit erreicht wird, kann SCIM keine zusätzlichen Benutzer bereitstellen. Konvertern Sie Nutzer bei Bedarf in Document360 zu Reviewern, um Nutzerplätze freizumachen.

FAQ