Zum Hauptinhalt springen

​
Überblick

Diese Anleitung führt dich durch die SCIM-Bereitstellung mit Okta. Du verbindest die SAML-Anwendung, die du schon für Langdock nutzt, mit dem SCIM-Endpunkt von Langdock und schaltest die Synchronisierung von Nutzern und Gruppen ein. Danach legt Okta Personen an, aktualisiert Name und E-Mail, deaktiviert sie und kann Gruppen in den Workspace übertragen.

​
Setup Checkliste

Prüfe die Punkte in der SCIM Setup Checkliste, darunter:
  • SAML mit Okta funktioniert bereits. Siehe Okta SAML Einrichtung.
  • Jede E-Mail-Domain, die du bereitstellst, ist in Langdock verifiziert.
  • Du kannst die Okta-App und die Sicherheitseinstellungen in Langdock verwalten.
  • Du hast SAML in einem Inkognito-Fenster getestet, bevor du SAML aktiv einschaltest, und diese Admin-Sitzung ist noch offen. Sobald SAML aktiv an ist, melden sich Personen mit einer verifizierten Domain über Okta an.

​
SCIM in Langdock einschalten

Öffne Sicherheit und gehe zu Nutzerbereitstellung (SCIM).
  1. Schalte SCIM-Nutzersynchronisation aktiv ein. Okta kann SCIM erst danach aufrufen.
  2. Wähle Kopieren neben der SCIM Base URL. Das Feld zeigt nicht die ganze Adresse, nimm also den kopierten Wert. Sie endet auf /api/scim/v2. In der Cloud ist das https://app.langdock.com/api/scim/v2. Hänge ?aadOptscim062020 nicht an. Dieser Parameter gilt nur für Microsoft Entra ID.
  3. Wähle Generieren neben SCIM-Bearer-Token (API-Key). Kopiere den Token, bevor du den Dialog schließt. Langdock zeigt ihn nur einmal. Neu generieren ersetzt den Token, und der bisherige Token funktioniert sofort nicht mehr.
  4. Schalte SCIM-Gruppensynchronisation aktiv ein, wenn Okta Gruppen übertragen soll. Lass den Schalter aus, wenn du nur Nutzer bereitstellst. Gruppenanfragen scheitern, solange er aus ist.
  5. Wähle Member oder Editor unter Standardgruppenrolle für Nutzer in SCIM-Gruppen. Personen, die Okta einer Gruppe hinzufügt, bekommen diese Rolle in der Gruppe. Der Standard ist Editor. Eine andere Rolle für eine einzelne Gruppe stellst du an dieser Gruppe ein. Sie gilt nur für Personen, die danach hinzukommen. Siehe Standardrollen für SCIM-Gruppen.
Nutzerbereitstellung (SCIM) mit aktiver Nutzersynchronisation und Gruppensynchronisation, der SCIM Base URL und Regenerate für den Bearer-Token

​
Okta verbinden

Nutze die SAML-App, die du bereits für Langdock angelegt hast. In der Okta Admin Console: 1. Öffne den Tab General. Unter App Settings wählst du Edit. 2. Setze Provisioning auf SCIM und speichere mit Save. Der Tab Provisioning erscheint erst danach. Fehlt SCIM in der Liste, hat Okta die SCIM-Bereitstellung für diese App nicht freigeschaltet.
Okta App Settings mit Provisioning auf SCIM
3. Öffne Provisioning, dann Integration, dann Edit. 4. Füge die SCIM Base URL in SCIM connector base URL ein. 5. Setze Unique identifier field for users auf userName. Langdock behandelt userName als E-Mail-Adresse der Person. 6. Schalte unter Supported provisioning actions Import New Users and Profile Updates, Push New Users und Push Profile Updates ein. Schalte Push Groups ein, wenn SCIM-Gruppensynchronisation aktiv an ist. Lass Import Groups aus. 7. Setze Authentication Mode auf HTTP Header. 8. Bei Authorization zeigt Okta bereits Bearer. Füge nur den Token ein.
Okta SCIM-Verbindung mit Langdock-Basis-URL, userName, HTTP Header, Bearer-Präfix und Test Connector Configuration
9. Wähle Test Connector Configuration. Der Button steht unter Authorization und über Save, und du siehst ihn nur beim Bearbeiten. Okta zeigt Connector configured successfully. Häkchen stehen bei User Import, Import Profile Updates, Create Users, Update User Attributes und Push Groups. Bei Import Groups steht ein x, weil diese Aktion aus bleibt. Der Test prüft die Verbindung. Er legt in Langdock keine Personen und keine Gruppen an. 10. Wähle Save. 11. Öffne To App. Create Users, Update User Attributes und Deactivate Users zeigen jeweils ein blaues Enable und einen grauen Schalter. Wähle Enable für diese drei. Sync Password zeigt ein graues Enable. Lass es aus.
Provisioning to App vor dem Einschalten: Create Users, Update User Attributes und Deactivate Users mit blauem Enable und grauem Schalter, Sync Password mit grauem Enable
Okta nimmt den Nutzernamen aus Sign On. Unter Create Users auf To App ist dieser Nutzername Email. Langdock speichert Vorname, Nachname und E-Mail. Schickt Okta einen Anzeigenamen, verwendet Langdock ihn als Namen der Person. Andere Attribute ignoriert Langdock.
Heißt ein Feld in deiner Okta Console anders, ordne es der SCIM-Basis-URL, dem Bearer-Token und denselben Aktionen für Anlegen, Aktualisieren, Deaktivieren und Gruppen zu.
Öffne den Tab Assignments. Wähle Assign und dann Assign to People. Wähle die Person, dann Assign und Done. Über Assign to Groups weist du die App auch ganzen Gruppen zu.
Tab Assignments mit geöffnetem Menü Assign auf Assign to People
Dialog Assign to People mit einer Person, Assign und Done
Weise die Personen zu, bevor du sie in Langdock erwartest. Neue Mitglieder kommen direkt in den Workspace und bekommen keine Einladungs-E-Mail. Sag ihnen, dass sie sich über Okta anmelden. Deaktivierst du jemanden in Okta, verliert die Person die Workspace-Mitgliedschaft. Eine erneute Bereitstellung nimmt sie wieder in den Workspace auf.

​
Gruppen übertragen

Übertrage die Gruppen in derselben Okta-App über den Tab Push Groups, ähnlich wie du oben Personen zuweist. Push Groups muss an der Integration aktiv sein:
  1. Öffne Push Groups.
  2. Wähle die Okta-Gruppe über den Namen und übertrage sie, damit Langdock die Gruppe anlegt.
  3. Prüfe die Gruppe unter Gruppen.
Das Anlegen einer Gruppe, die schon existiert, schlägt fehl. Langdock antwortet mit 409 und Group already exists. Found group with the same name. Nutze einen Gruppennamen, der im Workspace noch frei ist. In Langdock kannst du die Rolle von Personen in einer SCIM-Gruppe weiterhin ändern. Andere Änderungen an dieser Gruppe machst du in Okta.

​
Ergebnis prüfen

Der Verbindungstest nimmt niemanden in den Workspace auf. Ein erfolgreicher Test sieht so aus: Connector configured successfully, und bei Import Groups steht ein x.
Connector configured successfully, Import Groups mit einem x markiert
Nachdem Okta Personen und Gruppen übertragen hat, prüfe sie unter Mitglieder und Gruppen.

​
Grenzen

  • Okta findet eine Person über die E-Mail und eine Gruppe über den Namen. Jede andere Suche wird abgelehnt.
  • Gib beim Anlegen oder Ersetzen einer Gruppe für jedes Mitglied einen Anzeigenamen an. Okta sendet diesen Namen. Eine Gruppe ohne ihn wird abgelehnt.
  • Okta kann eine Person hinzufügen, eine Person entfernen und die gesamte Mitgliedschaft ersetzen. Das Ersetzen einer einzelnen Person über ein gefiltertes Update scheitert. Füge diese Person hinzu oder entferne sie.
  • Wenn Okta nach einer Service-Provider-Konfiguration oder einem Schema fragt, mach ohne dieses Dokument weiter. Langdock stellt Nutzer und Gruppen ohne diese Endpunkte bereit.
  • Nutze eine E-Mail auf einer verifizierten Domain. Füge eine neue Domain in Langdock hinzu und verifiziere sie, bevor Okta jemanden auf diese Adresse ändert.
  • Eine E-Mail, die schon einer anderen Person gehört, wird abgelehnt.

​
Wenn etwas fehlschlägt

  • 401. Der Wert in Authorization ist der aktuelle Token, ohne ein zweites Bearer. Neu generieren macht den vorherigen Token ungültig.
  • 403 bei Nutzern. Schalte SCIM-Nutzersynchronisation aktiv ein.
  • 403 bei Gruppen. Schalte SCIM-Gruppensynchronisation aktiv ein. Die Nutzerbereitstellung kann klappen, während jede Gruppenanfrage scheitert.
  • 400 bei einem Nutzer. Die E-Mail-Domain ist nicht verifiziert, oder userName ist keine gültige E-Mail-Adresse.
  • 409 bei einem Nutzer. Diese E-Mail gehört bereits einer anderen Person.
  • 409 bei einer Gruppe. Eine Gruppe mit diesem Namen existiert schon.
  • Eine Person scheitert, andere nicht. Notiere den Zeitpunkt und schreib an support@langdock.com. Lass SAML aktiv unverändert. Anmeldung und Bereitstellung sind getrennt, und zu frühes Einschalten von SAML sperrt alle aus, die noch ein Passwort nutzen.