Gebruikers en lezers beheren met SCIM in Entra

SCIM-integratie met Microsoft Entra stelt je in staat om Document360-gebruikers, lezers en groepen rechtstreeks vanuit Entra te beheren op een geautomatiseerde en centraal aangestuurde manier.

Wanneer een nieuwe gebruiker wordt toegevoegd in Entra, wordt hun Document360-account automatisch ingesteld. Alle updates van hun rol of groepslidmaatschap worden in realtime gesynchroniseerd, en wanneer een gebruiker wordt gedeactiveerd of verwijderd in Entra, wordt dit in Document360 weergegeven zonder handmatige tussenkomst. Dit elimineert de noodzaak van apart accountbeheer in Document360 en zorgt ervoor dat gebruikersgegevens accuraat en up-to-date blijven op beide platforms.

Waarom gebruikers en lezers beheren via SCIM

Het handmatig beheren van gebruikers op meerdere platforms kost veel tijd en brengt risico's met zich mee. Zonder SCIM moeten beheerders onthouden nieuwe medewerkers apart aan Document360 toe te voegen en handmatig toegang intrekken wanneer iemand vertrekt. Fouten kunnen leiden tot ongeautoriseerde toegang of vertraagde onboarding.

Met SCIM ingeschakeld tussen Microsoft Entra en Document360:

• Nieuwe medewerkers worden automatisch aan Document360 toegevoegd wanneer ze in Entra worden toegevoegd — er is geen aparte installatie nodig.
• Roltoewijzingen zijn consistent en worden gecontroleerd via één enkele bron van waarheid in je IdP.
• Wanneer een gebruiker in Entra wordt verwijderd, wordt zijn toegang tot Document360 automatisch ingetrokken.
• Wijzigingen in groepslidmaatschap in Entra worden in realtime weergegeven in Document360.
• Contenttoegang blijft beheersbaar vanuit Document360, zelfs wanneer identiteit door Entra wordt beheerd.

Voordat je begint

SCIM-provisioning in Document360 is ingesteld als onderdeel van je SSO-configuratie. Zorg ervoor dat het volgende is afgerond voordat je verder gaat:

• Je Microsoft Entra-applicatie moet worden aangemaakt als een niet-galerij-app met behulp van: Nieuwe applicatie > Maak je eigen applicatie > Integreer elke andere applicatie die je niet in de galerij vindt. Als je een Galerij-app gebruikt, is SCIM-provisioning niet beschikbaar.
• SAML SSO moet volledig geconfigureerd zijn en werken tussen Microsoft Entra en Document360.
• SCIM-provisioning moet ingeschakeld zijn in Document360. Ga naar Instellingen () > Gebruikers & machtigingen > SSO-configuratie, open je SSO-setup en bevestig dat de schakelaar SCIM-provisioning ingeschakeld is.

Stel SAML op met Entra →

Start met provisioning

Om te beginnen met provisionen in Entra, zorg ervoor dat je SCIM al hebt aangemaakt en geïntegreerd met Entra. Als dat gedaan is:

1. Ga naar je SCIM-applicatie in Entra en klik op Start provisioning.
2. Klik in het bevestigingsvenster op Ja.

Met SCIM kun je lezers, gebruikers en groepen beheren, en alle wijzigingen worden automatisch gesynchroniseerd met Document360.

Attributenmapping toewijzen

Om een nieuwe attribuutmapping te maken voor de Gebruikersrolconditie:

1. Open het tabblad Enterprise-app en selecteer je SCIM SSO-applicatie.
2. Ga naar het tabblad Provisioning , selecteer vervolgens Attribute mapping (Preview) in het linkermenu en klik op Provisioning Microsoft Entra ID Users.
3. Scroll naar beneden naar het gedeelte Attributenmappings , selecteer het vakje 'Geavanceerde opties weergeven ' en klik vervolgens op Attributenlijst bewerken voor aangepaste apps, dus om verder te gaan.

4. Op de pagina Attributenlijst bewerken scroll naar beneden, voer de URL-parameter in het Naam-veld in en stel het Type in zoals hieronder weergegeven.

5. Klik op Opslaan en vervolgens op Ja in het bevestigingsmenu.

Gebruik Expression Builder om rollen toe te wijzen

Je kunt een attributenmapping-expressie in Entra configureren die het bestaande profielattribuut van elke gebruiker evalueert, zoals Functietitel, en automatisch bepaalt of ze als Gebruiker, Reviewer of Lezer in Document360 moeten worden ingesteld.

De uitdrukking is direct gekoppeld aan de  userType of het legacy-attribuut isTeamAccount :

• userType = user → geprovisioneerd als een Gebruiker
• userType = reviewer → bestemd als beoordelaar
• userType = reader → als Reader bevoorraden.
• isTeamAccount = True → geprovisioneerd als een Gebruiker
• isTeamAccount = False→ als lezer bevoorraden

Stappen om te configureren:

1. Open je SCIM SSO-applicatie in Entra en ga naar Provisioning > Attribute Mappings.
2. Zoek het userType of-attribuut isTeamAccount en klik op het Bewerken-icoon ernaast. Dit gaat naar de pagina Attribuut Bewerken .
3. Stel het Mapping-type in op Expressie.
4. Voer je expressie in het expressieveld. De expressie evalueert het profielattribuut van elke gebruiker en bepaalt of deze als Gebruiker, Reviewer of Lezer moet worden ingesteld. Raadpleeg de Link Gebruik de expressiebouwer onder het expressieveld om je expressie visueel te bouwen en te testen tegen een echte gebruiker in je map voordat je deze toepast.

5. Stel de Standaardwaarde als null (optioneel) in op Reader (voor userType) of False (voor isTeamAccount). Dit zorgt ervoor dat elke gebruiker zonder een bijpassende attribuutwaarde standaard als Lezer wordt ingesteld.
6. Klik op Oké om het attribuut op te slaan.

Voorbeeld

• Als je gebruikers een functietitel-attribuut in hun Entra-profiel hebben, kun je rollen toewijzen op basis van hun titel met behulp van:userType

Switch([jobTitle], "reader", "Manager", "user", "Senior Manager", "user", "Team Lead", "reviewer")

Gebruikers met de titel Manager of Senior Manager worden als Gebruikers ingesteld, Teamleider wordt als Reviewer ingesteld, en elke andere functietitel geeft Lezer terug.

• Als je gebruikers een functietitel-attribuut in hun Entra-profiel hebben, kun je rollen toewijzen op basis van hun titel met behulp van:isTeamAccount

Switch([jobTitle], "False", "Manager", "True", "Senior Manager", "True", "Team Lead", "True")

Gebruikers met de titels Manager, Senior Manager of Teamleider worden als gebruikers ingericht. Elke andere functietitel geeft False en de gebruiker wordt als Lezer ingesteld.

Maak gebruikers, lezers en groepen aan

Maak een gebruiker aan

1. Vouw het entra ID-dropdown uit in de linker navigatiebalk en klik op Gebruikers.
2. Klik op Nieuwe gebruiker > Nieuwe gebruiker aanmaken en vul de vereiste gebruikersgegevens in.

3. Klik op Aanmaken + beoordelen, en vervolgens op Aanmaken om de gebruiker af te ronden en aan te maken.

Zodra de gebruiker is aangemaakt en geprovisioneerd, bepaalt Document360 automatisch zijn rol op basis van de expressie die in de Expression Builder is geconfigureerd en stelt hij of zij dienovereenkomstig in als User.

Gebruiker aan applicatie toewijzen

1. Klik op Enterprise-apps in de linker navigatiebalk en zoek je SCIM SSO-applicatie.
2. Selecteer de applicatie en ga naar het tabblad Gebruikers en Groepen , klik vervolgens op Gebruiker toevoegen/groep.

3. Op de pagina Toewijzingen toevoegen klik je op Gebruikers en groepen, zoek je naar de gebruiker in de zoekbalk en klik je vervolgens op Selecteer > Toewijzen. De gebruiker is succesvol toegewezen aan de applicatie.

4. Om de gebruiker naar Document360 te sturen, navigeer je naar het tabblad Provisioning in het linkermenu en klik je op Provisioning on demand.
5. In de zoekbalk Geselecteerde gebruiker zoek en selecteer je de gebruiker, en klik dan op Provision.

De gebruiker wordt automatisch toegevoegd aan Document360. Om te verifiëren, ga naar Document360 en ga naar Instellingen () > Gebruikers & rechten > Gebruikers & groepen.

Maak een lezer

1. Vouw het entra ID-dropdown uit in de linker navigatiebalk en klik op Gebruikers.
2. Klik op Nieuwe gebruiker > Nieuwe gebruiker aanmaken en vul de vereiste gebruikersgegevens in.
3. Klik op Aanmaken + beoordelen, en vervolgens op Aanmaken om de lezer af te ronden en aan te maken.

Zodra de gebruiker is aangemaakt en geprovisioneerd, bepaalt Document360 automatisch hun rol op basis van de expressie die in de Expression Builder is geconfigureerd en stelt deze dienovereenkomstig in als een Lezer.

Wijs lezer toe aan applicatie

1. Klik op Enterprise-apps in de linker navigatiebalk en zoek je SCIM SSO-applicatie.
2. Selecteer de applicatie en ga naar het tabblad Gebruikers en Groepen , klik vervolgens op Gebruiker toevoegen/groep.
3. Op de pagina Toewijzingen toevoegen klik je op Gebruikers en groepen, zoek je naar de gebruiker in de zoekbalk en klik je vervolgens op Selecteer > Toewijzen. De gebruiker is succesvol aan de applicatie toegewezen.

4. Om de lezer naar Document360 te verplaatsen, ga je naar het tabblad Provisioning in het linkermenu en klik je op Provisioning on demand.
5. In de zoekbalk Geselecteerde gebruiker zoek en selecteer je de gebruiker, en klik dan op Provision.

6. De lezer wordt automatisch toegevoegd aan Document360. Om te verifiëren, ga naar Document360 en ga naar Instellingen () > Gebruikers & rechten > Lezers & groepen.

Maak een groep aan

1. Open het tabblad Groepen in het linkermenu en klik op Nieuwe Groep.
2. Vul de vereiste gegevens in en klik op Aanmaken.

Groep toewijzen aan applicatie

1. Ga naar Enterprise-apps en selecteer je SCIM SSO-applicatie.
2. Open het tabblad Gebruikers en groepen , klik op Gebruiker toevoegen/groep, klik vervolgens op Geen geselecteerd onder Gebruikers en groepen en zoek op de groepsnaam.
3. Selecteer de groep en klik op Toewijzen.

Om de groep aan Document360 toe te voegen:

1. Ga naar het tabblad Provisioning on demand , zoek naar de groepsnaam en klik op Provision.

2. Je kunt het aantal gebruikers of leden in de groep selecteren door de radioknoppen te gebruiken.
3. De groep wordt succesvol toegevoegd aan Document360. Om te verifiëren, ga naar Document360 en ga naar Instellingen () > Gebruikers & machtigingen > Lezers & groepen > tabblad Lezergroep .

Beheer de toegang tot inhoud voor gebruikers, lezers en groepen

In Document360 kunnen gebruikers- en groepsnamen niet direct worden bewerkt of verwijderd — deze acties moeten vanuit Entra worden beheerd. Je kunt echter nog steeds rollen, permissies en contenttoegang beheren binnen Document360.

1. Selecteer de gewenste gebruiker en klik op Toegang tot inhoud beheren.
2. Gebruik in de dialogen de dropdowns om de gewenste contenttoegang te selecteren.
3. Indien nodig kun je ook groepsopdrachten beheren en de gebruiker toevoegen aan een gewenste groep.

4. Klik op Bijwerken om de wijzigingen te bevestigen en op te slaan.

Werk een gebruiker, lezer of groep bij

Om wijzigingen aan te brengen in een gebruikers- of groepsnaam:

1. Klik in de linker navigatiebalk op Gebruikers en zoek naar de gebruiker in de zoekbalk, en klik vervolgens op Selecteren.
2. Open op de Overzichtspagina van de gebruiker het tabblad Eigenschappen en klik op het Bewerken-icoon om de benodigde wijzigingen aan te brengen.

3. Zodra er wijzigingen zijn aangebracht, klik je op Opslaan.
4. Om deze veranderingen in Document360 weer te geven, navigeer naar Enterprise-apps > SCIM SSO-app > Provisioning > Provision on demand.
5. Selecteer de bijgewerkte gebruiker op de pagina Provisioning on demand en klik vervolgens op Provision.

De bijgewerkte gebruikersgegevens worden nu weergegeven in Document360.

Verwijder een gebruiker, lezer of groep

Om een gebruiker, lezer of groep te verwijderen:

1. Open het tabblad Gebruikers in het linkermenu, zoek vervolgens en selecteer de gewenste gebruiker.
2. Klik op verwijderen.

De gebruiker wordt succesvol verwijderd. Deze wijziging wordt weergegeven in Document360.

Erven van een andere applicatie

Bij het aanmaken van een nieuwe SSO-configuratie in Document360 kun je SCIM-instellingen erven van een bestaande SSO-verbinding. Deze aanpak vereenvoudigt het installatieproces, voorkomt herhaling van configuratiestappen en helpt beheerders tijd te besparen terwijl consistentie tussen de integraties wordt gewaarborgd.

Kindgeërfde SSO-configuratie

Selecteer op de pagina Configure Identity Provider (IdP) het veld 'Configureer een bestaande verbinding ' en selecteer de ouderapplicatie met SSO SCIM waarvan je wilt erven. Door deze optie te selecteren wordt het huidige project aangewezen als het kindproject, waarbij alle relevante eigenschappen van de ouder worden geërfd.

Oudergeërfde SSO-configuratie

De ouderapplicatie toont een lijst van alle projecten die de configuratie hebben geërfd. Alle wijzigingen die aan de ouderapplicatie worden aangebracht, worden automatisch weergegeven in de kindapplicatie.

• Als SCIM in het hoofdproject is ingeschakeld nadat kindprojecten het al hebben geërfd, worden de gebruikers en groepen automatisch aan alle kindprojecten op de achtergrond toegewezen.
• Het inschakelen van overerving maakt het eenvoudiger om meerdere SSO-configuraties met SCIM ingeschakeld te beheren, omdat alle instellingen vanuit één ouderapplicatie worden bestuurd. Dit bespaart tijd en vermindert de inspanning die nodig is om elke configuratie afzonderlijk te beheren.

Best practices

• Gebruik altijd een niet-galerijapplicatie in Entra. Galerijapplicaties ondersteunen geen aangepaste SCIM-provisioning. Selecteer altijd 'Maak je eigen applicatie ' en kies 'Integreer elke andere applicatie die je niet in de galerij vindt ' bij het maken van je Entra-applicatie.
• Altijd ingesteld userType of isTeamAccount op gebruikersniveau, niet op groepsniveau. Gebruikers die tot meerdere groepen met conflicterende waarden behoren, kunnen onjuiste rollen in Document360 ontvangen. Door het op gebruikersniveau in te stellen, krijgt elke gebruiker één duidelijke, consistente waarde.
• Stel de standaardwaarde voor in  userType op "reader" of isTeamAccount op False. Dit zorgt ervoor dat elke gebruiker zonder een bijpassende attribuutwaarde standaard als Reader wordt ingesteld, in plaats van te falen of een onbedoelde rol te ontvangen.
• Maak de Document360 SSO-configuratie af en sla deze op voordat je de SCIM-verbinding test. Testen voordat de Document360-configuratie wordt opgeslagen, zal altijd falen. Maak altijd eerst de Document360-installatie af en keer dan terug naar Entra om de verbinding te testen.
• Bewaar je primaire en secundaire geheime tokens veilig. Tokens worden slechts één keer getoond op het moment van aanmaken. Sla ze op in een secrets manager of wachtwoordkluis. Als een token wordt gecompromitteerd, genereer deze dan onmiddellijk opnieuw en werk je entra-configuratie zonder vertraging bij.
• Gebruik het secundaire token voor veilige rotatie. Als het primaire token vervangen moet worden, schakel dan eerst over naar het secundaire token en regenereer dan de primaire token. Dit zorgt ervoor dat de gebruikerprovisioning zonder onderbreking doorgaat tijdens de overgang.
• Gebruik altijd Provision on demand om individuele gebruikers en groepen te pushen. Dit geeft je nauwkeurige controle over welke gebruikers zijn geprovisioneerd en stelt je in staat om elke gebruiker te verifiëren vóór een volledige synchronisatie.
• Het verwijderen van een gebruiker in Entra verwijdert deze niet uit Document360. Hun status verandert in Inactief in Document360. Activeer het account in Entra opnieuw als de toegang hersteld moet worden.