Gebruikers en lezers beheren met SCIM in Okta

SCIM-integratie met Okta stelt beheerders in staat om Document360-gebruikers en -groepen rechtstreeks vanuit Okta te beheren op een geautomatiseerde en centraal gecontroleerde manier.

Wanneer een nieuwe gebruiker wordt toegevoegd aan Okta, wordt hun Document360-account automatisch ingesteld. Alle updates van hun rol of groepslidmaatschap worden in realtime gesynchroniseerd, en wanneer een gebruiker wordt gedeactiveerd of verwijderd in Okta, wordt dit in Document360 weergegeven zonder enige handmatige tussenkomst. Dit elimineert de noodzaak voor apart accountbeheer in Document360 en zorgt ervoor dat gebruikersgegevens accuraat en up-to-date blijven op beide platforms.

Toewijzen van gebruikersattributen

1. Vouw in de Okta Admin Console het keuzemenu Applicaties uit en selecteer Applicaties.

2. Selecteer de applicatie die je wilt configureren en ga naar het tabblad Provisioning .

3. Scroll naar beneden naar Attributentoewijzingen en klik op Ga naar Profieleditor.

4. Klik onder de sectie Attributen op Attributen toevoegen en vul de details in zoals gespecificeerd in de onderstaande tabel.

5. Als je klaar bent, klik je op Opslaan.

Best practices voor attribuutmapping

Wanneer je het isTeamAccount attribuut configureert in je Identity Provider (IdP), stel het dan altijd in op gebruikersniveau, niet op groepsniveau.

Als het attribuut op groepsniveau is ingesteld, kunnen gebruikers die tot meerdere groepen met verschillende waarden behoren verkeerde rollen krijgen in Document360. Zo kan de ene groep op zetten isTeamAccount True terwijl een andere deze op Falsezet op , wat een conflict tijdens het provisionen veroorzaakt.

Het instellen van het attribuut op gebruikersniveau zorgt ervoor dat elke gebruiker één duidelijke waarde heeft, waardoor SCIM-provisioning betrouwbaarder en consistenter wordt.

Gebruik van de Expressiebouwer om rollen te mappen

In plaats van het isTeamAccount attribuut handmatig voor elke gebruiker in te stellen, kun je Okta's Expression Builder gebruiken om automatisch te bepalen of een gebruiker als gebruiker of lezer is ingesteld in Document360, op basis van een bestaand attribuut in hun Okta-profiel, zoals functietitel, afdeling of een ander attribuut dat je gebruikers gemeenschappelijk vindt.

Hoe het werkt

De expressie evalueert het Okta-profielattribuut van elke gebruiker en geeft True of False terug, wat direct overeenkomt met hun rol in Document360:

• isTeamAccount = True → als gebruiker ingesteld.

• isTeamAccount = False → als Lezer ingesteld.

Na provisioning worden gebruikers automatisch toegevoegd aan de respectievelijke gebruikersgroepen of lezergroepen in Document360.

Stappen om te configureren

1. Ga in de Okta Admin Console naar Applicaties en selecteer je SCIM-applicatie.

2. Ga naar het tabblad Provisioning en klik op Het tabblad Naar App, onder Instellingen.

3. Scroll naar beneden naar Attributentoewijzingen en klik op het Bewerken-icoon naast het isTeamAccount attribuut.

4. Stel in het dialoogvenster het keuzemenu Attribuutwaarde in op Expressie.

5. Voer je uitdrukking in het tekstvak dat beschikbaar is.

6. Om de expressie te verifiëren, voer je de naam van een gebruiker in in het veld Voorbeeldweergave . Het resultaat wordt direct geëvalueerd en weergegeven in de groene balk onder het tekstvak, waarin wordt weergegeven of de gebruiker wordt ingesteld als Gebruiker (true) of als Lezer (false) op basis van de expressie.

7. Selecteer onder Apply on Create of Create en update afhankelijk van of je wilt dat de expressie alleen wordt toegepast tijdens gebruikerscreatie of ook bij updates.

8. Klik op Opslaan.

 OPMERKING

Klik onder het expressievakje op Expression Language Reference om alle beschikbare functies, operatoren en syntaxis te verkennen die in Okta's expressietaal worden ondersteund. Voor meer informatie, zie Okta's overzichtsgids voor Expression Language.

Voorbeeld

Stel dat uw organisatie gebruikers als Gebruikers of Lezers wil instellen op basis van hun functietitel of groepslidmaatschap in Okta. Je kunt een van de volgende uitdrukkingen gebruiken, afhankelijk van wat het beste bij jouw setup past.

• Op basis van functietitel

Als je gebruikers een functietitel-attribuut in hun Okta-profiel hebben, kun je rollen toewijzen op basis van hun titel:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Gebruikers met de titel: Manager, Senior Manager of Teamleider worden als gebruikers aangewezen. Alle andere titels zijn als Readers gereserveerd.

 OPMERKING

De naam van de attribuutvariabele (bijv. user.title) moet overeenkomen met de exacte variabelnaam die in je Okta-gebruikersprofiel is gedefinieerd. Je kunt dit verifiëren in de Directory > Profile Editor.

• Gebaseerd op groepslidmaatschap

Als je gebruikers zijn georganiseerd in Okta-groepen, kun je rollen toewijzen op basis van de groepen waartoe ze behoren:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Gebruikers die lid zijn van de Managers-, TeamLead- of Directors-groepen worden als Gebruikers aangewezen. Gebruikers die niet tot een van deze groepen behoren, worden als Lezers aangewezen.

 OPMERKING

Je kunt beide uitdrukkingen combineren of uitbreiden om extra functietitels of groepsnamen toe te voegen, afhankelijk van de behoeften van je organisatie.

Provision Okta aan Document360

Om gebruikersaanmaak, wijzigingen en deactivering in Okta te koppelen aan Document360,

1. Vouw in de linker navigatiebalk het keuzemenu Applicaties uit en klik op Applicaties.

2. Selecteer je SCIM-applicatie en ga naar het tabblad Provisioning .

3. Klik op Bewerken onder Provisioning to App en selecteer de volgende selectievakjes:

   1. Maak gebruikers aan

   2. Werk gebruikersattributen bij

   3. Deactiveer gebruikers

Bestaande gebruikers beheren tijdens SCIM-provisioning

Als iemand al een account heeft in Document360, zal SCIM zijn bestaande rol niet wijzigen tijdens de eerste synchronisatie. Dit is een veiligheidsmaatregel om toevallige rolveranderingen te voorkomen.

Voorbeeld
Er bestaat al een gebruiker in Document360 als lezer.

Als SCIM probeert dezelfde gebruiker als een gebruiker (isTeamAccount = True) te provisioneren, kan het verzoek mislukken omdat de bestaande rol niet overeenkomt.

Hoe je rolconflicten oplost

1. Open Document360 en zoek het gebruikersaccount.

2. Werk handmatig de rol van de gebruiker bij om overeen te komen met de rol die je wilt provisioneren.

3. Probeer de SCIM-synchronisatie opnieuw.

Zodra de gebruiker succesvol is gekoppeld en geprovisioneerd via SCIM, kunnen toekomstige rolwijzigingen worden beheerd met behulp van het isTeamAccount attribuut.

Voeg Gebruiker/Lezer toe aan groep

Zodra je een groep hebt aangemaakt, volg je de onderstaande stappen om lezers aan de groep toe te voegen.

1. Vouw in de Okta Admin Console het Directory-keuzemenu uit en selecteer Mensen.

2. Ga naar het tabblad Groepen , zoek naar de groep waaraan je de gebruiker/lezer wilt toevoegen in het veld Groepen , en selecteer die.

3. De gebruiker/lezer wordt succesvol toegevoegd aan de geselecteerde groep.

4. Om te bevestigen, ga naar Document360 en selecteer de relevante gebruikers-/lezergroep. De toegevoegde lezer zou binnen de groep moeten verschijnen.

   

 OPMERKING

Als een groep zowel gebruikers als lezers bevat, zal deze zowel onder de gebruikersgroepen als de lezersgroepen in Document360 verschijnen.

Beheren van gebruikers, lezers en groepen in Document360

Wanneer SCIM is ingeschakeld, is het bewerken van de naam van een gebruiker of het direct verwijderen van een gebruiker in Document360 uitgeschakeld, omdat deze acties via Okta moeten worden beheerd om beide platforms synchroon te houden. Je kunt de toegang tot content alleen beheren via Document360.

De SSO-SCIM-badge geeft aan of de gebruiker SCIM heeft ingeschakeld of niet.

Beheer de toegang tot inhoud van lezers, gebruikers en groepen

De standaard contentrol die aan elke nieuwe gebruiker, lezer of groep wordt toegewezen, is gebaseerd op wat is geconfigureerd tijdens de SCIM-provisioning. Rechten worden standaard op Geen gezet, maar kunnen op elk moment worden bijgewerkt.

1. Om contenttoegang te beheren, selecteer je de gewenste lezer en klik je op Inhoud Toegang beheren.

2. Kies het gewenste toegangsniveau uit het dropdown en klik op Updaten.

Deactiveer gebruikers/lezers

 OPMERKING

Het deactiveren van een gebruiker in Okta verwijdert hun profiel niet uit Document360. De gebruiker wordt als inactief gemarkeerd en verliest de mogelijkheid om in te loggen bij Okta en toegang te krijgen tot zijn applicaties. Je kunt het account op elk moment opnieuw activeren, hoewel de gebruiker zijn wachtwoord moet resetten na heractivatie.

Om gebruikers of lezers van Okta te deactiveren,

1. Vouw het keuzemenu Directory uit en selecteer Mensen.

2. Selecteer de gebruiker die je wilt deactiveren om naar zijn gebruikersprofiel te navigeren.

3. Klik op Meer Acties en selecteer Deactiveren.

De gebruiker wordt succesvol gedeactiveerd. Na deactivatie verandert de status van de gebruiker in Document360 van Actief naar Inactief.

Verwijder gebruiker/lezer

Om een gebruikers-/lezerprofiel permanent uit Okta te verwijderen,

1. Klik in Okta op Verwijderen in het gebruikers-/lezerprofiel.

2. Er verschijnt een bevestigingsdialoog, klik op Verwijderen.

Het profiel wordt permanent verwijderd uit Okta.

 OPMERKING

Het verwijderen van een profiel in Okta verwijdert het niet uit Document360, het profiel blijft met een Inactieve status.

Erven van een andere applicatie

Bij het aanmaken van een nieuwe SSO-configuratie in Document360 kun je SCIM-instellingen erven van een bestaande SSO-verbinding. Deze aanpak vereenvoudigt het installatieproces, voorkomt herhaling van configuratiestappen en helpt beheerders tijd te besparen terwijl consistentie tussen integraties wordt gewaarborgd.

Kindgeërfde SSO-configuratie

Selecteer op de pagina Configure Identity Provider (IdP) het veld 'Configure an existing connection' en kies de ouderapplicatie van SSO SCIM waarvan je wilt erven. Door deze optie te selecteren, wordt het huidige project aangewezen als het kindproject, waarbij alle relevante eigenschappen van de ouder worden geërfd.

 OPMERKING

Zodra de SSO-configuratie is aangemaakt, worden de SCIM-provisioning-instellingen overgenomen van de ouderapplicatie en kunnen ze niet meer worden aangepast in de kindapplicatie.

Oudergeërfde SSO-configuratie

De moederapplicatie toont een lijst van alle projecten die de configuratie hebben geërfd. Alle wijzigingen die aan de ouderapplicatie worden aangebracht, worden automatisch weergegeven in de kindapplicatie.

• Als SCIM in het hoofdproject is ingeschakeld nadat kindprojecten het al hebben geërfd, worden de gebruikers en groepen automatisch aan alle kindprojecten op de achtergrond toegewezen.

• Het inschakelen van overerving maakt het eenvoudiger om meerdere SSO-configuraties met SCIM ingeschakeld te beheren, omdat alle instellingen vanuit één ouderapplicatie worden bestuurd. Dit bespaart tijd en vermindert de inspanning die nodig is om elke configuratie afzonderlijk te beheren.

Probleemoplossing

Synchronisatie mislukte door een SCIM-serverfout.

Bij het toevoegen van nieuwe gebruikers vanuit Okta geeft deze foutmelding aan dat één of meer gebruikers niet gesynchroniseerd konden worden met Document360. Dit kan worden veroorzaakt door:

• Duplicate users provisioning

• Gebruikerslimiet bereikt op basis van je huidige abonnementsplan

• Andere validatie- of verwerkingsfouten.

Klik op Bekijk details om te zien welke gebruikers niet hebben gesynchroniseerd.

Gebruiker die al beschikbaar is in het project

Als SCIM een foutmelding "gebruiker al beschikbaar in het project" teruggeeft, betekent dit dat het e-mailadres al als gebruiker is geregistreerd in Document360. Als je bedoeling is om hen om te zetten in een Lezer, volg dan deze stappen:

1. Zoek in je IdP het profiel van de gebruiker en navigeer naar het isTeamAccount attribuut.

2. Stel isTeamAccount = True, zodat het systeem het bestaande e-mailadres als gebruiker herkent.

3. Sla de wijzigingen op en laat de synchronisatie voltooid worden. Zodra het gesynchroniseerd is, ga je terug naar het profiel van de gebruiker in je IdP.

4. Stel isTeamAccount = False, dit zet ze automatisch om in een Lezer.

5. Sla de wijzigingen op en laat de synchronisatie voltooid worden.

6. Om te verifiëren, ga naar Document360 > Instellingen > Gebruikers & rechten > Lezers & groepen en bevestig dat de gebruiker nu als Lezer verschijnt.

Wat te doen als een SCIM-groep handmatig wordt verwijderd in Document360?

Als een SCIM-geprovisioneerde groep handmatig wordt verwijderd in Document360, zal het opnieuw pushen van dezelfde groep vanuit je IdP falen omdat de groep niet meer bestaat aan de applicatiezijde.

Om dit op te lossen:

1. Verwijder of ontkoppel de getroffen groep van je IdP.

2. Synchroniseer de groep opnieuw vanuit de IdP om deze nieuw aan te maken in Document360.

Verwijder SCIM-beheerde groepen niet direct in Document360. Beheer altijd SCIM-groepen vanuit je IdP om synchronisatieproblemen te voorkomen.

Het uitschakelen en opnieuw inschakelen van SCIM herstelt niet automatisch groepen die eerder gesynchroniseerd waren. Als SCIM-beheerde groepen zijn verwijderd terwijl SCIM was uitgeschakeld, moet je die groepen opnieuw vanuit je IdP pushen.

 OPMERKING

Als je gebruikerslicentielimiet al is bereikt, kan het opnieuw synchroniseren of opnieuw pushen van groepen mislukken omdat groepskoppelingen afhankelijk zijn van succesvolle gebruikersprovisioning. Controleer voordat je groepen opnieuw synchroniseert of je gebruikerslimiet beschikbare capaciteit heeft.

FAQ