SCIM mit Ideanote verwenden

SCIM mit Ideanote verwenden

Hinweis: Diese Anleitung richtet sich an Workspace-Eigentümer

SCIM (System for Cross-domain Identity Management) ist ein offener Standard, der die Automatisierung der Nutzerbereitstellung zwischen Softwaresystemen ermöglicht, beispielsweise zwischen Ihrer IT-Infrastruktur und der Ideanote-Plattform. Damit können Sie Nutzer und Teams über Ihr eigenes System erstellen, aktualisieren, deaktivieren und löschen, etwa über eine Microsoft Entra ID-/Azure AD-Anwendung, die Sie intern für die Verwendung mit Ideanote eingerichtet haben.

Mit SCIM können Sie alle Ihre Nutzer, Teams und deren Mitgliedschaften in diesen Teams über Ihr eigenes System vorbereiten, sodass alles mit Ideanote synchronisiert und bereit ist, wenn Sie eine Kampagne starten möchten – ohne Ihre Nutzer vorher bitten zu müssen, der Plattform beizutreten.

Wenn Sie SCIM mit einer SAML- oder OIDC-basierten Authentifizierung kombinieren, werden sowohl die Nutzerbereitstellung als auch die Nutzerauthentifizierung vollständig über Ihre eigene IT-Infrastruktur gesteuert.

Ideanote erfüllt den SCIM-Standard vollständig und unterstützt alle erforderlichen sowie viele optionale SCIM-Attribute für Nutzer und Gruppen. Alle diese Attribute können über unsere öffentliche API mit standardisierten Endpunkten sowie direkt über die Ideanote-Plattform abgerufen werden.

Diese Anleitung hilft Ihnen dabei, möglichst einfach mit SCIM in Ideanote zu beginnen.

Für die Beispiele in dieser Anleitung verwenden wir Microsoft Entra ID (früher bekannt als Azure Active Directory) und Okta. Die Prinzipien sollten jedoch für jeden SCIM-konformen Identitätsanbieter gelten.

SCIM mit Ideanote und Entra ID verwenden

1. Gehen Sie zunächst zu Ihrem Ideanote-Workspace.

1.1. Klicken Sie in der Hauptseitenleiste auf 'Einstellungen'

1.2. Klicken Sie auf 'Integrationen'

1.3. Klicken Sie auf 'SCIM'

2. Nun erscheint auf Ihrem Bildschirm ein Dialogfenster mit Informationen zu Ihrer SCIM-Konfiguration. Diese kann sofort verwendet werden.

2.1. Oben im Dialogfenster sehen Sie, ob Ideanote bereits eine API-Anfrage unter Verwendung dieser Konfiguration erhalten hat (siehe 1 im Bild oben).

2.1.1. Wenn alles korrekt eingerichtet ist und eine API-Anfrage eingegangen ist, unterscheiden sich Text und Farbe der Anzeige, wie im Bild unten zu sehen:

{IMAGE: SCIM status indicator showing green status with text "Ideanote received an API-request using this configuration at 03/22/2024, 12:25 AM."}

2.2. Die 'Tenant-URL' ist der Stamm der SCIM-Endpunkte von Ideanote. Sie müssen diese später zu der Anwendung hinzufügen, die Sie für Ideanote bei Ihrem Identitätsanbieter einrichten.

2.3. Das 'Geheime Token' ist das Token, das zur Authentifizierung von Aufrufen der SCIM-Endpunkte von Ideanote benötigt wird. Sie müssen es später zu der Anwendung hinzufügen, die Sie für Ideanote bei Ihrem Identitätsanbieter einrichten.

2.4. Das Akkordeonmenü 'Unterstützte Nutzerattribute' lässt sich zu einer Tabelle mit allen SCIM-Attributen aufklappen, die Ideanote für SCIM-Nutzer unterstützt, einschließlich unserer eigenen Schemaerweiterungen. Diese Daten stammen zur Laufzeit direkt aus unserer API und sind daher immer zu 100 % aktuell.

2.5. Das Akkordeonmenü „Unterstützte Gruppenattribute“ lässt sich zu einer Tabelle mit allen SCIM-Attributen aufklappen, die Ideanote für SCIM-Gruppen unterstützt. Wie in Schritt 2.4 beschrieben, sind diese Daten immer zu 100 % aktuell.

2.6. Hinweis: Wenn Sie eine SCIM-Konfiguration löschen möchten, klicken Sie auf 'SCIM-Konfiguration löschen'.

3. Sie haben Ihren Workspace nun für SCIM eingerichtet. Rufen Sie als Nächstes den Ort auf, an dem Sie die Nutzer und/oder die IT-Infrastruktur Ihrer Organisation verwalten, zum Beispiel Microsoft Entra ID.

4. Klicken Sie in Microsoft Entra ID oder im Azure-Portal auf 'Unternehmensanwendungen'.

5. Wenn Sie bereits zuvor eine Unternehmensanwendung für Ideanote erstellt haben, zum Beispiel für die SAML-/OIDC-basierte Authentifizierung, suchen Sie sie in der Liste, klicken Sie darauf und fahren Sie direkt mit Schritt 7 fort. Andernfalls klicken Sie auf 'Neue Anwendung'.

6. Sie gelangen nun zu einer Galerie vorhandener Apps, erstellen jedoch eine neue:

6.1. Klicken Sie auf 'Eigene Anwendung erstellen'

6.2. Geben Sie unter 'Wie lautet der Name Ihrer App?' einen passenden Namen ein, zum Beispiel „Ideanote SCIM-Bereitstellung“.

6.3. Wählen Sie unter 'Was möchten Sie mit Ihrer Anwendung tun?' die Option 'Eine andere Anwendung integrieren, die nicht in der Galerie zu finden ist (nicht aus der Galerie)'.

6.4. Klicken Sie auf 'Erstellen', um fortzufahren. Sie gelangen nun zu Ihrer neuen Unternehmensanwendung.

7. Klicken Sie in Ihrer Anwendung auf 'Bereitstellung' in der Seitenleiste unter 'Verwalten'

8. Klicken Sie auf 'Erste Schritte'

9. Nun müssen wir die Informationen aus der SCIM-Konfiguration, die Sie in Ihrem Ideanote-Workspace eingerichtet haben, mit Ihrer Unternehmensanwendung verknüpfen:

9.1. Ändern Sie unter 'Bereitstellungsmodus' die Einstellung zu 'Automatisch'. Darunter wird nun „Administratoranmeldeinformationen“ angezeigt. Stellen Sie sicher, dass der Abschnitt aufgeklappt ist.

9.2. Geben Sie unter 'Mandanten-URL' die URL ein, die Sie in Schritt 2.2 im Dialog „SCIM-Integration“ in Ihrem Ideanote Workspace erhalten haben.

9.3. Geben Sie unter 'Geheimes Token' das Token ein, das Sie in Schritt 2.3 im Dialog „SCIM-Integration“ in Ihrem Ideanote Workspace erhalten haben.

9.4. Klicken Sie abschließend auf 'Verbindung testen', um sicherzustellen, dass die Verbindung ordnungsgemäß funktioniert.

9.4.1. Wenn alles ordnungsgemäß funktioniert, sollte die folgende Meldung angezeigt werden.

9.4.2. In der SCIM-Konfiguration Ihres Ideanote Workspace sollte nun auch zu sehen sein, dass sich der in Schritt 2.1 beschriebene Text und die Farbe der Anzeige geändert haben und nun etwa wie im folgenden Bild aussehen:

9.5. Klicken Sie auf 'Speichern', um die Zugangsdaten zu speichern.

9.6. Überprüfen Sie nun, wie Ihre Nutzer- und Gruppendaten den entsprechenden SCIM-Attributen zugeordnet werden, und passen Sie die Zuordnung bei Bedarf an:

9.6.1. Vergewissern Sie sich, dass das Akkordeonmenü 'Zuordnungen' ausgeklappt ist

9.6.2. Klicken Sie auf 'Microsoft Entra ID-Nutzer bereitstellen'

9.7. Sie werden nun zu „Attributzuordnung“ weitergeleitet. Azure enthält standardmäßige Zuordnungen, die sofort funktionieren. Sie können diese jedoch nach Belieben anpassen. Beispielsweise möchten Sie möglicherweise die bestimmten Rollen, die Sie Ihren Nutzern in Entra ID zuweisen, entsprechenden Ideanote-Rängen zuordnen und/oder anstelle von mailNickname etwas anderes, etwa userPrincipalName, externalId zuordnen. In der Tabelle der in Schritt 2.4 aufgeführten „Unterstützten Nutzerattribute“ erhalten Sie einen Überblick über die von Ideanote unterstützten Nutzerattribute.

9.7.1. Wenn Sie ein Attribut der Schemaerweiterung „User“ von Ideanote zuordnen möchten, beispielsweise teamPath, müssen Sie es zur Attributliste der Enterprise-Anwendung hinzufügen:

9.7.1.1. Vergewissern Sie sich, dass „Erweiterte Optionen anzeigen“ aktiviert ist

9.7.1.2. Klicken Sie auf „Attributliste für customappsso bearbeiten“ (oder wie auch immer die App heißt)

9.7.1.3. Scrollen Sie nach unten und geben Sie den Namen des Attributs ein, dem Sie etwas zuordnen möchten, z. B. urn:ietf:params:scim:schemas:extension:ideanote:2.0:User:teamPath

9.7.1.4. Klicken Sie auf „Speichern“, um Ihre Änderungen zu übernehmen

9.7.2. Wenn Sie eine weitere Zuordnung hinzufügen möchten, klicken Sie auf „Neue Zuordnung hinzufügen“. Die vollständige Dokumentation von Microsoft zur Attributzuordnung finden Sie hier.

9.8. Jetzt können Sie die Nutzer und Gruppen hinzufügen, die Sie Ideanote zuordnen und mit SCIM bereitstellen möchten.

9.8.1. Klicken Sie auf „Nutzer und Gruppen“

9.8.2. Klicken Sie auf „Nutzer/Gruppe hinzufügen“

9.8.2.1. Klicken Sie unter „Nutzer und Gruppen“ auf „Keine ausgewählt“

9.8.2.2. Suchen Sie nach den Nutzern und/oder Gruppen, die Sie hinzufügen möchten.

9.8.2.3. Klicken Sie auf „Auswählen“, um die ausgewählten Nutzer zur Anwendung hinzuzufügen.

9.9. Sie haben SCIM erfolgreich eingerichtet! Microsoft Entra ID stellt Ihre Nutzer und Gruppen automatisch in festgelegten Abständen bereit. Wenn Sie diese Bereitstellung zunächst testen möchten, können Sie einen Nutzer oder eine Gruppe bei Bedarf bereitstellen:

9.9.1. Klicken Sie auf „Bei Bedarf bereitstellen“

9.9.2. Suchen Sie unter „Ausgewählter Nutzer“ nach dem Nutzer oder der Gruppe, den bzw. die Sie bereitstellen möchten

9.9.3. Klicken Sie auf „Bereitstellen“, um den Nutzer bereitzustellen

9.9.4. Wenn Sie einen Nutzer ausgewählt haben, sollte dieser jetzt auf der Einstellungsseite „Personen“ in Ihrem Ideanote-Workspace angezeigt werden. Wenn Sie eine Gruppe ausgewählt haben, sollte diese jetzt als Team auf der Registerkarte „Teams“ erscheinen.

9.10. Sie haben SCIM erfolgreich eingerichtet und Ihren ersten Nutzer bereitgestellt!

9.11. Auf der Einstellungsseite „Personen“ in Ihrem Ideanote-Workspace können Sie sehen, wann ein Nutzer zuletzt mit SCIM synchronisiert wurde, sowie seine externe ID:

9.11.1. Scrollen Sie zur ganz rechts angezeigten Spalte der Tabelle und klicken Sie auf die drei horizontalen Punkte (...)

9.11.2. Vergewissern Sie sich, dass „SCIM-synchronisiert am“ und/oder „SCIM-Externe ID“ aktiviert ist, damit die Angaben in der Tabelle angezeigt werden.

9.12. Microsoft Entra ID übernimmt die Synchronisierung von Änderungen mit Ideanote in regelmäßigen Abständen. Wenn Sie einen Nutzer aus Entra ID löschen, wird dieser Nutzer auch aus Ihrem Ideanote-Workspace gelöscht. Wenn Sie einen Nutzer der für die SCIM-Bereitstellung erstellten Enterprise-Anwendung nicht mehr zuweisen, wird der Nutzer stattdessen in Ideanote deaktiviert. Dies wird durch die von Microsoft in diesem Artikel im Abschnitt „Deprovisioning-Ereignisse“ beschriebenen Regeln gesteuert.

SCIM mit Ideanote und Okta verwenden

Obwohl die grundlegenden Schritte und Prinzipien in der Basisanleitung zur Einrichtung der SCIM-Bereitstellung für Ideanote mit Microsoft Entra ID bei der Verwendung von Okta sehr ähnlich sind, konzentriert sich dieser Nachtrag zur Anleitung speziell darauf, wie dies mit Okta erreicht wird. Sie können jederzeit die offizielle Okta-Dokumentation zur Einrichtung der SCIM-Bereitstellung für eine App-Integration heranziehen, auf der diese Anleitung in groben Zügen basiert.

1. In erster Linie erfordert die Einrichtung von SCIM mit Okta eine vorhandene SSO-Integrations-App in Okta, die entweder SAML 2.0 oder SWA verwendet. Von diesen beiden Protokollen unterstützt Ideanote SAML. Bitte beachten Sie, dass Sie nicht tatsächlich eine SAML-Anmeldelösung für Ihren Ideanote-Workspace einrichten müssen, damit dies funktioniert. Wenn Sie in Ihrer Okta Admin Console bereits eine SAML-Integrations-App für Ideanote eingerichtet haben, fahren Sie direkt mit Schritt 7 fort. Andernfalls fahren Sie bitte mit dem nächsten Schritt fort.

2. Navigieren Sie zunächst zu Ihrer Okta-Administratorkonsole.

2.1. Wechseln Sie in der Seitenleiste zur Registerkarte 'Applications'

2.2. Klicken Sie auf 'Create App Integration'

3. Ein Modal 'Create a new app integration' wird angezeigt.

3.1. Wählen Sie 'SAML 2.0' aus der Liste aus

3.2. Klicken Sie auf 'Next'

3.2.1. Hinweis: Wenn Sie bereits eine Okta-SSO-App-Integration für Ideanote mit OIDC (OpenID Connect) verwenden, müssen Sie eine neue, separate Integration mit SAML 2.0 konfigurieren, da Okta SCIM nicht in Kombination mit OIDC unterstützt. Sie können in Okta eine SSO-Integrations-App mit SAML einrichten, ohne sie als Anmeldemethode in Ideanote verfügbar zu machen.

4. Sie werden zu einem Assistenten zur Einrichtung einer neuen SAML-Integration weitergeleitet.

{IMAGE: Screenshot of Okta "Create SAML Integration" wizard on step 1 "General Settings". A progress indicator shows steps: 1 General Settings (active), 2 Configure SAML. The form shows fields for "App name" (filled with "Ideanote"), "App logo (optional)" with a gear icon placeholder and upload/delete buttons, and "App visibility" with an unchecked checkbox "Do not display application icon to users". Cancel and Next buttons appear at bottom. Numbered indicators (1, 2) point to the App name field and Next button.}

4.1. Geben Sie unter „App name“ einen passenden Namen ein, zum Beispiel „Ideanote“

4.2. Klicken Sie auf „Next“

5. Ihnen wird nun die Seite „SAML konfigurieren“ angezeigt. An dieser Stelle sollten Sie entscheiden, ob Sie SAML gleichzeitig als Anmeldemethode für Ihren Ideanote-Workspace einrichten möchten. Sie können die Felder hier einfach ausfüllen, falls Sie nur SCIM einrichten und weiterhin Ihre vorhandene(n) Anmeldemethode(n) in Ihrem Ideanote-Workspace verwenden möchten. Wenn Sie jedoch SAML für die Authentifizierung zusammen mit der SCIM-Bereitstellung verwenden möchten, rufen Sie bitte jetzt Ihren Ideanote-Workspace auf und folgen Sie unserer Anleitung zu SAML SSO, um einen SAML-Anmeldeanbieter in Ihrem Workspace einzurichten.

5.1. Geben Sie unter 'Single-Sign-on-URL' Folgendes ein: https://api.ideanote.io/sso/saml/callback

5.2. Geben Sie unter 'Zielgruppen-URI (SP-Entitäts-ID)' Folgendes ein: https://api.ideanote.io/sso/saml/metadata.xml

5.3. Wählen Sie unter 'Name-ID-Format' die Option 'EmailAddress'

5.4. Klicken Sie auf 'Weiter', um fortzufahren.

6. Auf der letzten Seite des Assistenten müssen Sie die Anwendung als intern kennzeichnen.

6.1. Aktivieren Sie 'Dies ist eine interne App, die wir erstellt haben' und klicken Sie auf 'Fertigstellen'. Sie werden nun zu Ihrer neuen Anwendung weitergeleitet.

7. Klicken Sie in Ihrer Okta-SSO-Integrations-App auf 'Bearbeiten'

8. Im angezeigten Dialogfeld wird der Abschnitt 'Bereitstellung' angezeigt.

8.1. Wählen Sie unter 'Bereitstellung' die Option 'SCIM'

8.2. Klicken Sie auf 'Speichern'

9. Nach dem Speichern kehren Sie zu Ihrer SSO-Integrations-App zurück.

9.1. Vergewissern Sie sich, dass Sie sich auf der Registerkarte 'Bereitstellung' befinden.

9.2. Klicken Sie auf 'Bearbeiten'

10. Sie können nun die SCIM-Verbindungsdetails eingeben. Zuvor müssen Sie jedoch sicherstellen, dass Sie eine SCIM-Integration in Ihrem Ideanote-Workspace eingerichtet haben. Folgen Sie dazu der grundlegenden Anleitung 'SCIM mit Ideanote verwenden' von Schritt 1 bis Schritt 3, um eine SCIM-Integration in Ihrem Ideanote-Workspace einzurichten. Anschließend können Sie zu Okta zurückkehren und die SCIM-Verbindungsdetails eingeben.

10.1. Geben Sie unter 'Basis-URL des SCIM-Connectors' Folgendes ein: https://api.ideanote.io/scim/v2

10.2. Geben Sie unter 'Eindeutiges Bezeichnerfeld für Nutzer' 'userName' ein.

10.3. Wählen Sie unter 'Unterstützte Bereitstellungsaktionen' aus, welche Aktionstypen Okta über SCIM synchronisieren soll. Wenn Sie sicherstellen möchten, dass Nutzer und Gruppen/Teams in Ihrem Ideanote-Workspace stets aktuell sind, aktivieren Sie alle Optionen, die mit dem Wort 'Push' beginnen.

10.3.1. Hinweis: Okta unterstützt auch den Import von Daten aus Ihrem Ideanote-Workspace nach Okta. Wir empfehlen jedoch generell einen reinen Push-Ansatz, sodass Ihr Nutzer-/Gruppenverzeichnis in Okta die einzige maßgebliche Datenquelle ist.

10.4. Wählen Sie im Dropdown-Menü 'Authentifizierungsmodus' die Option 'HTTP-Header'

10.5. Rufen Sie in Ihren Ideanote-Workspace die Einstellungen Ihrer SCIM-Integration auf und kopieren Sie Ihr 'Geheimes Token' in die Zwischenablage.

10.6. Fügen Sie es nun in Okta in das Textfeld für den Header 'Authorization' ein, direkt neben der Anzeige 'Bearer'.

10.7. Klicken Sie auf 'Connector-Konfiguration testen', um zu überprüfen, ob Okta korrekt mit Ihrem Workspace kommunizieren kann.

10.8. Wenn alles funktioniert hat, klicken Sie auf 'Speichern', um fortzufahren. Andernfalls überprüfen Sie bitte alle Ihre Eingaben und führen Sie die Schritte in dieser Anleitung erneut aus.

11. Sie kehren zur Registerkarte 'Bereitstellung' Ihrer SSO-Integrations-App zurück. Dieses Mal können Sie jedoch deutlich mehr sehen und anpassen.

11.1. Klicken Sie auf 'Bearbeiten', um die deaktivierten Umschalter wieder zu aktivieren.

11.2. Aktivieren Sie „Create Users“, wenn Nutzer aus Ihrem Okta-Verzeichnis in Ihrem Ideanote-Workspace erstellt (oder mit diesem synchronisiert) werden sollen, sobald sie Ihrer Okta-SSO-Integrations-App zugewiesen werden

11.3. Aktivieren Sie „Update User Attributes“, wenn die Attribute zugewiesener Nutzer in Ihrem Ideanote-Workspace kontinuierlich auf Grundlage des jeweiligen Status in Ihrem Okta-Verzeichnis synchronisiert werden sollen, sobald sich dieser im Laufe der Zeit ändert

11.4. Aktivieren Sie „Deactivate Users“, wenn ein Nutzer in Ihrem Ideanote-Workspace deaktiviert werden soll, sobald er Ihrer Okta-SSO-Integrations-App nicht mehr zugewiesen ist

11.5. Die Option „Sync Password“ wird nicht unterstützt.

12. Unter „Attributzuordnungen“ können Sie einsehen und anpassen, wie in Ihrem Okta-Verzeichnis definierte Nutzerattribute den Nutzern in Ihrem Ideanote-Workspace zugeordnet werden. Mit der Schaltfläche „Synchronisierung erzwingen“ können Sie eine Synchronisierung aller Nutzer und Nutzerattributwerte aus Ihrem Okta-Verzeichnis mit Ideanote erzwingen – für alle Nutzer, die derzeit der von Ihnen eingerichteten SSO-Integrations-App zugewiesen sind.

13. Um die Bereitstellung zu testen und zu überprüfen, müssen Sie die gewünschten Nutzer und Gruppen der für Ideanote eingerichteten SSO-Integrations-App „Zuweisen“. Gehen Sie dazu wie folgt vor:

13.1. Rufen Sie die Seite „Personen“ (oder „Gruppen“) in Ihrem Okta-Verzeichnis auf

13.2. Klicken Sie in der Liste auf einen Nutzer (oder eine Gruppe)

13.3. Klicken Sie auf „Anwendungen zuweisen“, um den Nutzer/die Gruppe einer Anwendung zuzuordnen. Wählen Sie dort die SSO-Integrations-App aus, die Sie für Ideanote eingerichtet haben.

14. Die Okta-SCIM-Bereitstellung ist recht schnell und wird in der Regel kurz nach einer Änderung in Ihrem Okta-Verzeichnis ausgeführt. Wenn Sie die Bereitstellungsprotokolle einsehen möchten, können Sie dies direkt in der SSO-Integrations-App tun, die Sie in Okta für SCIM eingerichtet haben. Klicken Sie dazu auf „Protokolle anzeigen“

15. Sie haben SCIM nun erfolgreich eingerichtet!

16. Auf der Einstellungsseite „Personen“ in Ihrem Ideanote-Workspace können Sie sehen, wann ein Nutzer zuletzt mit SCIM synchronisiert wurde, sowie dessen externe ID:

16.1. Scrollen Sie zur äußersten rechten sichtbaren Spalte der Tabelle und klicken Sie auf die drei horizontalen Punkte (...)

16.2. Stellen Sie sicher, dass „SCIM-Synchronisierung am“ und/oder „SCIM-Externe ID“ ausgewählt ist, damit die Angaben in der Tabelle angezeigt werden.

17. Okta synchronisiert Änderungen in festen Intervallen mit Ideanote. Je nachdem, welche Optionen Sie in Schritt 10.3 aktiviert haben, werden Nutzer außerdem in Ihrem Ideanote-Workspace deaktiviert, wenn sie aus Ihrer Okta-SSO-Integrations-App entfernt werden.

‍