SCIM-Provisionierung einrichten
Aktualisiert am Lesezeit: 4 Min.
Auf dieser Seite
Mit SCIM legt dein Identitätsmanagement – zum Beispiel Microsoft Entra ID, Okta oder Keycloak – Konten und Gruppen in Kibi Connect an, hält Namen und Kontaktdaten aktuell und sperrt Konten, sobald jemand das Unternehmen verlässt.
Info
Voraussetzung: Eine Identitätsquelle unter Administration → Integrationen → SSO & Verzeichnis. SCIM richten nur System-Admins ein.
SCIM einschalten#
Öffne unter SSO & Verzeichnis die gewünschte Identitätsquelle.
Wechsle in den Reiter Benutzerabgleich und klick auf SCIM einschalten.
Kopiere den SCIM-Endpunkt und den SCIM-Token in dein Identitätsmanagement.
Der Endpunkt folgt immer diesem Muster:
https://<Adresse deiner Plattform>/scim/v2 – zum Beispiel https://firma.kibi.de/scim/v2
Warnung
Der Token wird nur ein einziges Mal angezeigt. Kopiere ihn sofort in dein Identitätsmanagement – später lässt er sich nur noch erneuern.
Mit Token erneuern erhältst du einen neuen Token; der bisherige funktioniert sofort nicht mehr. SCIM ausschalten löscht den Token, bestehende Konten bleiben erhalten.
Die IP-Freigabeliste der REST-API gilt auch für SCIM. Hat dein Identitätsmanagement 48 Stunden lang nicht zugegriffen, weist der SCIM-Status im Reiter darauf hin.
In Microsoft Entra ID einrichten#
Info
Nutzt du bereits den Verzeichnisabgleich von Microsoft Entra ID, brauchst du SCIM nicht. SCIM ist eine Alternative, wenn du Konten lieber aus Entra heraus bereitstellst.
Öffne im Microsoft Entra Admin Center Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen (nicht aus dem Katalog).
Wähle Bereitstellung und stell den Modus auf Automatisch.
Trag als Mandanten-URL den SCIM-Endpunkt und als Geheimes Token den SCIM-Token ein. Klick auf Verbindung testen.
Ordne die Attribute zu: userPrincipalName oder mail → userName, objectId → externalId, active wie voreingestellt. Telefon, Position und weitere Angaben nach Bedarf.
Weise Benutzer und Gruppen zu und starte die Bereitstellung – oder teste sie zuerst mit Bei Bedarf bereitstellen für eine einzelne Person.
In Okta einrichten#
Lege eine App-Integration (SAML oder OIDC) an und aktiviere dabei SCIM provisioning.
Trag unter Provisioning → Integration den SCIM-Endpunkt als SCIM connector base URL ein, als Unique identifier field userName.
Wähle die Aktionen Push New Users, Push Profile Updates und Push Groups sowie als Authentifizierung HTTP Header mit dem SCIM-Token.
Aktiviere unter To App die Optionen Create Users, Update User Attributes und Deactivate Users.
Was übertragen wird#
Angabe aus dem Identitätsmanagement | Feld in Kibi Connect |
|---|---|
Vorname, Nachname | Vorname, Nachname |
userName mit @ | E-Mail-Adresse (Anmeldung per E-Mail) |
userName ohne @ oder employeeNumber | Anmeldename, z. B. Mitarbeiternummer |
title | Position |
Telefon (work) und Mobil (mobile) | Telefon und Mobiltelefon dienstlich |
active | Konto aktiv oder gesperrt |
Solange SCIM eingeschaltet ist, sind diese Felder im Profil gesperrt. Das kannst du je Identitätsquelle mit Vom Verzeichnis gepflegte Felder sperren abschalten – dann bleiben sie änderbar, der nächste Abgleich überschreibt sie aber wieder. Neue Konten sind immer Mitarbeitende, nie Gäste; sind alle Lizenzen belegt, wird kein Konto angelegt und die System-Admins werden benachrichtigt.
Einstellungen im Reiter „Benutzerabgleich“#
Wenn eine Person im Identitätsmanagement entfernt wird
„Konto sperren“ (empfohlen): Das Konto bleibt mit allen Inhalten erhalten, die Person kann sich nicht mehr anmelden. „Konto löschen“: Das Konto wird gelöscht und lässt sich eine Zeit lang wiederherstellen.
Willkommens-Mail an neue Konten senden
Per SCIM angelegte Personen erhalten eine E-Mail mit dem Link zur Anmeldeseite. Sie melden sich dann über deinen Identitätsanbieter an.
Gruppen aus dem Identitätsmanagement
Überträgt dein Identitätsmanagement Gruppen, entstehen daraus Gruppen in Kibi Connect. Ihre Mitglieder pflegt ausschließlich das Identitätsmanagement. Mit „Bestehende Gruppe verknüpfen“ übergibst du eine vorhandene Gruppe – Inhalte und Mitglieder bleiben erhalten. Entfernt das Identitätsmanagement eine Gruppe, wird nur die Verknüpfung gelöst.
Rollen über Gruppen vergeben
Mitglieder einer Gruppe bekommen die zugeordneten Rollen automatisch und verlieren sie beim Verlassen der Gruppe wieder. Von Hand vergebene Rollen bleiben unberührt. Rollen mit Administratorrechten lassen sich nicht zuordnen.
Sicherheitsfunktionen#
Bestätigung für Admin-Konten#
Ein kompromittierter SCIM-Token darf nicht reichen, um deine Plattform zu übernehmen. Deshalb wartet die Plattform bei Admin-Konten – System-Admins und Konten mit einer Rolle mit Administratorrechten, etwa für Integrationen, Webhooks, Mail oder Einstellungen – auf die Zustimmung der betroffenen Person, bevor das Identitätsmanagement
ein bestehendes Admin-Konto übernimmt oder
die E-Mail-Adresse eines Admin-Kontos ändert.
Die Person erhält eine E-Mail an ihre bisherige Adresse – nie an die neue.
Über den Link öffnet sie eine Seite, meldet sich mit ihrem Konto an und wählt „Bestätigen“ oder „Ablehnen“. Der Klick in der E-Mail allein ändert nichts.
Die Anfrage gilt 7 Tage. Wird sie abgelehnt oder läuft sie ab, erhalten die übrigen System-Admins eine Benachrichtigung.
Alle übrigen Angaben des Kontos übernimmt die Plattform sofort. Offene Anfragen siehst du im Reiter „Benutzerabgleich“ unter „Ausstehende Bestätigungen“. Dieselbe Bestätigung gilt für den Verzeichnisabgleich mit Microsoft Entra ID.
Warnung
Hat niemand die Änderung im Identitätsmanagement veranlasst, erneuere den SCIM-Token und prüfe, wer Zugriff darauf hatte.
Grenze gegen Massen-Offboarding#
Will ein Identitätsmanagement innerhalb von 24 Stunden mehr als 50 % der von ihm verwalteten Konten sperren oder löschen (mindestens 10 Konten), ist meist eine Fehlkonfiguration die Ursache – etwa eine versehentlich eingeschränkte Zuweisung. Die Plattform stoppt dann weitere Deaktivierungen dieser Quelle:
Die betroffenen Konten bleiben aktiv.
Die System-Admins erhalten eine Benachrichtigung und eine E-Mail „Massen-Deaktivierung per SCIM gestoppt“.
Dein Identitätsmanagement versucht es später erneut; bis dahin bleibt der Stopp bestehen.
Ist die Deaktivierung gewollt, etwa bei einer Umstrukturierung, wende dich an den Support. Die Grenze lässt sich dann einmalig aufheben. Hat Microsoft Entra ID die Bereitstellung inzwischen unter Quarantäne gestellt, starte sie danach in Entra neu.
Der letzte System-Admin bleibt aktiv#
Der letzte aktive System-Admin deiner Plattform kann nie per SCIM gesperrt oder gelöscht werden. Die Plattform lehnt eine solche Änderung ab und vermerkt sie im Protokoll.
Info
Empfehlung: Behalte mindestens einen System-Admin, der nicht vom Identitätsmanagement verwaltet wird, oder ernenne einen zweiten, bevor du SCIM anbindest.