Verwaltung von Benutzern und Lesern mit SCIM in Okta

Die SCIM-Integration mit Okta ermöglicht es Administratoren, Document360-Benutzer und -Gruppen direkt von Okta aus automatisiert und zentral gesteuert zu verwalten.

Wenn ein neuer Benutzer in Okta hinzugefügt wird, wird sein Document360-Konto automatisch bereitgestellt. Alle Aktualisierungen seiner Rolle oder Gruppenmitgliedschaft werden in Echtzeit synchronisiert, und wenn ein Benutzer in Okta deaktiviert oder entfernt wird, wird dies in Document360 ohne manuelles Eingreifen angezeigt. Dadurch entfällt die Notwendigkeit einer separaten Kontoverwaltung in Document360 und stellt sicher, dass die Nutzerdaten auf beiden Plattformen korrekt und aktuell bleiben.

Benutzerattributzuordnung zuweisen

1. In der Okta Admin Console erweitern Sie das Dropdown-Menü Anwendungen und wählen Sie Anwendungen aus.

2. Wählen Sie die Anwendung aus, die Sie konfigurieren möchten, und navigieren Sie zum Reiter Provisioning .

3. Scrolle nach unten zu Attribute Mappings und klicke auf Geh zum Profil-Editor.

4. Unter dem Abschnitt Attribute klicken Sie auf Attribute hinzufügen und füllen Sie die Details wie in der untenstehenden Tabelle angegeben aus.

5. Wenn du fertig bist, klicke auf Speichern.

Best Practices für die Attributzuordnung

Wenn Sie das isTeamAccount Attribut in Ihrem Identitätsanbieter (IdP) konfigurieren, setzen Sie es immer auf Benutzerebene, nicht auf Gruppenebene.

Wenn das Attribut auf Gruppenebene gesetzt ist, können Benutzer, die mehreren Gruppen mit unterschiedlichen Werten angehören, in Document360 falsche Rollen erhalten. Zum Beispiel kann isTeamAccount eine Gruppe auf setzen True , während eine andere sie auf False, was während der Bereitstellung einen Konflikt verursacht.

Das Setzen des Attributs auf Benutzerebene stellt sicher, dass jeder Benutzer einen klaren Wert hat, was die SCIM-Bereitstellung zuverlässiger und konsistenter macht.

Verwendung des Expression-Builders zur Abbildung von Rollen

Anstatt das isTeamAccount Attribut für jeden Benutzer manuell einzustellen, können Sie den Expression Builder von Okta verwenden, um automatisch zu bestimmen, ob ein Benutzer in Document360 als Benutzer oder Leser bereitgestellt ist, basierend auf einem bestehenden Attribut im Okta-Profil, wie Jobtitel, Abteilung oder einem anderen Attribut, das bei Ihren Benutzern gemeinsam ist.

Wie es funktioniert

Der Ausdruck bewertet das Okta-Profilattribut jedes Benutzers und gibt True oder False zurück, was direkt auf seine Rolle in Document360 abgebildet wird:

• isTeamAccount = True → als Benutzer bereitgestellt.

• isTeamAccount = False → als Leser bereitgestellt.

Nach der Bereitstellung werden Benutzer automatisch den jeweiligen Benutzergruppen oder Lesergruppen in Document360 hinzugefügt.

Schritte zur Konfiguration

1. In der Okta Admin Console gehen Sie zu Anwendungen und wählen Sie Ihre SCIM-Anwendung aus.

2. Navigiere zum Reiter Bereitstellung und klicke unter Einstellungen auf den Reiter Zu App.

3. Scrollen Sie nach unten zu Attribute Mappings und klicken Sie auf das Bearbeiten-Symbol neben dem isTeamAccount Attribut.

4. Im Dialog stellen Sie das Attributwert-Dropdown-Menü auf Ausdruck ein.

5. Geben Sie Ihren Ausdruck in das bereitgestellte Textfeld ein.

6. Um den Ausdruck zu überprüfen, geben Sie den Namen eines Benutzers im Feld Vorschau ein. Das Ergebnis wird sofort ausgewertet und in der grünen Leiste unter dem Textfeld angezeigt, um zu zeigen, ob der Benutzer als Benutzer (true) oder als Reader (false) basierend auf dem Ausdruck bereitgestellt wird.

7. Unter "Apply on" wählen Sie Create oder Create und aktualisieren , je nachdem, ob Sie den Ausdruck nur während der Benutzererstellung oder bei Updates verwenden möchten.

8. Klicken Sie auf Speichern.

 HINWEIS

Klicken Sie unter dem Ausdrucksfeld auf Expression Language Reference , um alle verfügbaren Funktionen, Operatoren und Syntaxen zu erforschen, die in Oktas Ausdruckssprache unterstützt werden. Weitere Informationen finden Sie im Übersichtsleitfaden zur Expression Language von Okta.

Beispiel

Angenommen, Ihre Organisation möchte Nutzer als Nutzer oder Leser basierend auf ihrem Jobtitel oder ihrer Gruppenmitgliedschaft bei Okta bereitstellen. Du kannst eine der folgenden Ausdrücke verwenden, je nachdem, was am besten zu deinem Setup passt.

• Basierend auf der Berufsbezeichnung

Wenn Ihre Nutzer ein Job Title-Attribut in ihrem Okta-Profil haben, können Sie Rollen anhand ihres Titels zuweisen:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Benutzer mit dem Titel: Manager, Senior Manager oder Teamleiter werden als Benutzer vorgesehen. Alle anderen Titel sind als Readers vorgesehen.

 HINWEIS

Der Name der Attributvariablen (z. B. user.title) muss genau mit dem in Ihrem Okta-Benutzerprofil definierten Variablennamen übereinstimmen. Sie können dies im Verzeichnis > im Profileditor überprüfen.

• Basierend auf der Gruppenzugehörigkeit

Wenn Ihre Nutzer in Okta-Gruppen organisiert sind, können Sie Rollen basierend auf den Gruppen, zu denen sie gehören, zuordnen:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Benutzer, die Mitglieder der Manager-, TeamLead- oder Director-Gruppen sind, werden als Benutzer vorgesehen. Nutzer, die keiner dieser Gruppen angehören, werden als Leser bereitgestellt.

 HINWEIS

Sie können beide Ausdrucksformen kombinieren oder erweitern, um zusätzliche Jobtitel oder Gruppennamen je nach den Bedürfnissen Ihrer Organisation einzufügen.

Provision Okta to Document360

Um Benutzererstellung, Änderungen und Deaktivierung in Okta mit Document360 zu verknüpfen,

1. In der linken Navigationsleiste öffnen Sie das Dropdown-Menü Anwendungen und klicken Sie auf Anwendungen.

2. Wählen Sie Ihre SCIM-Anwendung aus und navigieren Sie zum Reiter Provisioning .

3. Klicken Sie unter Bereitstellung zur App auf Bearbeiten und aktivieren Sie die folgenden Kontrollkästchen:

   1. Benutzer erstellen

   2. Benutzerattribute aktualisieren

   3. Benutzer deaktivieren

Verwaltung bestehender Benutzer während der SCIM-Bereitstellung

Wenn eine Person bereits ein Konto bei Document360 hat, ändert SCIM ihre bestehende Rolle während der ersten Synchronisierung nicht. Dies ist eine Sicherheitsmaßnahme, um versehentliche Rollenwechsel zu verhindern.

Beispiel
Ein Benutzer existiert bereits in Document360 als Reader.

Wenn SCIM versucht, denselben Benutzer wie ein Benutzer (isTeamAccount = True) bereitzustellen, kann die Anfrage scheitern, weil die bestehende Rolle nicht übereinstimmt.

Wie man Rollenkonflikte löst

1. Öffne Document360 und finde das Benutzerkonto.

2. Aktualisiere die Rolle des Benutzers manuell, damit sie zur Rolle passt, die du bereitstellen möchtest.

3. Versuche die SCIM-Synchronisation erneut.

Sobald der Benutzer erfolgreich über SCIM verknüpft und bereitgestellt wurde, können zukünftige Rollenänderungen mit dem Attribut isTeamAccount verwaltet werden.

Benutzer/Leser zur Gruppe hinzufügen

Sobald Sie eine Gruppe erstellt haben, folgen Sie den folgenden Schritten, um Leser zur Gruppe hinzuzufügen.

1. Öffne in der Okta-Admin-Konsole das Verzeichnis-Dropdown-Menü und wähle Personen aus.

2. Navigiere zum Gruppen-Reiter , suche im Gruppenfeld nach der Gruppe, zu der du den Benutzer/Reader hinzufügen möchtest, und wähle sie aus.

3. Der Benutzer/Leser wird erfolgreich zur ausgewählten Gruppe hinzugefügt.

4. Zur Bestätigung navigieren Sie zu Document360 und wählen Sie die entsprechende Benutzer-/Lesergruppe aus. Der hinzugefügte Leser sollte innerhalb der Gruppe erscheinen.

   

 HINWEIS

Wenn eine Gruppe sowohl Benutzer als auch Leser enthält, erscheint sie sowohl unter den Benutzergruppen als auch unter den Lesergruppen in Document360.

Verwaltung von Benutzern, Readern und Gruppen in Document360

Wenn SCIM aktiviert ist, ist das Bearbeiten eines Benutzernamens oder das direkte Löschen eines Benutzers in Document360 deaktiviert, da diese Aktionen über Okta verwaltet werden müssen, um beide Plattformen synchron zu halten. Du kannst den Inhaltszugriff nur über Document360 verwalten.

Das SSO-SCIM-Abzeichen zeigt an, ob der Benutzer SCIM aktiviert hat oder nicht.

Inhaltszugriff von Lesern, Nutzern und Gruppen verwalten

Die Standard-Inhaltsrolle, die jedem neuen Nutzer, Leser oder Gruppe zugewiesen wird, basiert auf dem, was während der SCIM-Bereitstellung konfiguriert wurde. Die Berechtigungen werden standardmäßig auf Keine gesetzt, können aber jederzeit aktualisiert werden.

1. Um den Inhaltszugriff zu verwalten, wählen Sie den gewünschten Reader aus und klicken Sie auf Inhaltszugang verwalten.

2. Wählen Sie die gewünschte Zugriffsstufe aus dem Dropdown-Menü und klicken Sie auf Aktualisieren.

Nutzer/Leser deaktivieren

 HINWEIS

Die Deaktivierung eines Benutzers in Okta entfernt sein Profil nicht aus Document360. Der Nutzer wird als inaktiv markiert und verliert die Möglichkeit, sich bei Okta anzumelden und auf seine Anwendungen zuzugreifen. Du kannst das Konto jederzeit reaktivieren, allerdings muss der Nutzer sein Passwort bei der erneuten Aktivierung zurücksetzen.

Um Benutzer oder Leser von Okta zu deaktivieren,

1. Erweitern Sie das Verzeichnis-Dropdown-Menü und wählen Sie Personen aus.

2. Wählen Sie den Benutzer aus, den Sie deaktivieren möchten, um zu seinem Benutzerprofil zu gelangen.

3. Klicken Sie auf Weitere Aktionen und wählen Sie deaktivieren.

Der Nutzer wird erfolgreich deaktiviert. Nach der Deaktivierung ändert sich der Status des Benutzers in Document360 von Aktiv auf Inaktiv.

Benutzer/Leser löschen

Um ein Benutzer-/Leserprofil dauerhaft aus Okta zu entfernen,

1. In Okta klicken Sie im Benutzer-/Leserprofil auf Löschen .

2. Ein Bestätigungsdialog erscheint, klicken Sie auf Löschen.

Das Profil wird dauerhaft von Okta gelöscht.

 HINWEIS

Das Löschen eines Profils in Okta entfernt es nicht aus Document360, das Profil bleibt mit dem Status Inaktiv .

Von einer anderen Anwendung erben

Beim Erstellen einer neuen SSO-Konfiguration in Document360 können Sie SCIM-Einstellungen von einer bestehenden SSO-Verbindung übernehmen. Dieser Ansatz vereinfacht den Einrichtungsprozess, vermeidet Wiederholungen der Konfigurationsschritte und hilft Administratoren, Zeit zu sparen, während er Konsistenz zwischen den Integrationen gewährleistet.

Kindlich vererbte SSO-Konfiguration

Auf der Seite "Identitätsanbieter konfigurieren" (IdP) wählen Sie das Feld "Eine bestehende Verbindung konfigurieren" aus und wählen Sie die übergeordnete SSO SCIM-fähige Anwendung aus, von der Sie erben möchten. Wenn du diese Option auswählst, wird das aktuelle Projekt als Kindprojekt zugewiesen und alle relevanten Eigenschaften vom Elternteil übernommen.

 HINWEIS

Sobald die SSO-Konfiguration erstellt wurde, werden die SCIM-Bereitstellungseinstellungen von der Elternanwendung übernommen und können in der Kindanwendung nicht mehr geändert werden.

Elternerbte SSO-Konfiguration

Die übergeordnete Anwendung zeigt eine Liste aller Projekte an, die ihre Konfiguration übernommen haben. Alle Änderungen an der Elternanwendung werden automatisch in der Kindanwendung angezeigt.

• Wenn SCIM im Elternprojekt aktiviert ist, nachdem Kindprojekte es bereits geerbt haben, werden Benutzer und Gruppen automatisch allen Unterprojekten im Hintergrund zugeordnet.

• Die Aktivierung der Vererbung erleichtert die Verwaltung mehrerer SSO-Konfigurationen mit aktiviertem SCIM, da alle Einstellungen von einer übergeordneten Anwendung gesteuert werden. Dies spart Zeit und reduziert den Aufwand, jede Konfiguration einzeln zu verwalten.

Fehlerbehebung

Die Synchronisation scheiterte wegen eines SCIM-Serverfehlers.

Beim Hinzufügen neuer Benutzer von Okta zeigt dieser Fehler an, dass ein oder mehrere Benutzer nicht mit Document360 synchronisiert werden konnten. Dies kann verursacht werden durch:

• Bereitstellung von doppelten Benutzern

• Nutzerlimit erreicht basierend auf Ihrem aktuellen Abonnementplan

• Weitere Validierungs- oder Verarbeitungsfehler.

Klicken Sie auf Details anzeigen , um zu sehen, welche Nutzer nicht synchronisiert haben.

Nutzer sind bereits im Projekt verfügbar

Wenn SCIM einen Fehler "Benutzer bereits im Projekt verfügbar" zurückgibt, bedeutet das, dass die E-Mail-Adresse bereits als Benutzer in Document360 registriert ist. Wenn du beabsichtigst, sie in einen Reader umzuwandeln, befolge diese Schritte:

1. Finden Sie in Ihrem IdP das Profil des Benutzers und navigieren Sie zum Attribut isTeamAccount .

2. Setzen Sie isTeamAccount = True, damit das System die bestehende E-Mail als Benutzer erkennt.

3. Speichere die Änderungen und lass die Synchronisation abgeschlossen werden. Nach der Synchronisation gehe zurück zum Profil des Nutzers in deinem IdP.

4. Setzen Sie isTeamAccount = False, werden sie automatisch in einen Reader umgewandelt.

5. Speichere die Änderungen und lass die Synchronisation abgeschlossen werden.

6. Zur Verifizierung gehen Sie zu Document360 > Einstellungen > Benutzer und Berechtigungen > Readers & Groups und bestätigen, dass der Benutzer nun als Reader erscheint.

Was tun, wenn eine SCIM-Gruppe manuell in Document360 gelöscht wird?

Wenn eine SCIM-bereitgestellte Gruppe manuell in Document360 gelöscht wird, schlägt das erneute Pushen derselben Gruppe aus Ihrem IdP fehl, weil die Gruppe auf der Anwendungsseite nicht mehr existiert.

Um das zu klären:

1. Entferne oder trenne die betroffene Gruppe von deinem IDP.

2. Synchronisiere die Gruppe erneut vom IdP, um sie frisch in Document360 zu erstellen.

Vermeiden Sie es, SCIM-verwaltete Gruppen direkt in Document360 zu löschen. Verwalte SCIM-Gruppen immer von deinem IdP aus, um Synchronisationsprobleme zu vermeiden.

Das Deaktivieren und Wiederaktivieren von SCIM stellt Gruppen nicht automatisch wieder her, die zuvor synchronisiert wurden. Wenn SCIM-verwaltete Gruppen gelöscht wurden, während SCIM deaktiviert war, musst du diese Gruppen erneut aus deinem IdP pushen.

 HINWEIS

Wenn Ihre Benutzerlizenzbegrenzung bereits erreicht wurde, kann das erneute Synchronisieren oder erneuten Verschieben von Gruppen scheitern, da das Gruppenverknüpfen von einer erfolgreichen Benutzerbereitstellung abhängt. Bevor Sie Gruppen neu synchronisieren, stellen Sie sicher, dass Ihr Benutzerlimit vorhanden ist.

FAQ