> ## Documentation Index
> Fetch the complete documentation index at: https://docs.langdock.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Okta SCIM Einrichtung

> Stelle Nutzer und Gruppen aus Okta bereit, damit die Mitgliedschaft in Langdock deinem Verzeichnis folgt.

## Überblick

Diese Anleitung führt dich durch die SCIM-Bereitstellung mit Okta. Du verbindest die SAML-Anwendung, die du schon für Langdock nutzt, mit dem SCIM-Endpunkt von Langdock und schaltest die Synchronisierung von Nutzern und Gruppen ein.

Danach legt Okta Personen an, aktualisiert Name und E-Mail, deaktiviert sie und kann Gruppen in den Workspace übertragen.

## Setup Checkliste

Prüfe die Punkte in der [SCIM Setup Checkliste](https://docs.langdock.com/de/admin/security/scim/scim.md#setup-checkliste), darunter:

> [!WARNING]
>
> * SAML mit Okta funktioniert bereits. Siehe [Okta SAML Einrichtung](https://docs.langdock.com/de/admin/security/saml/okta.md).
> * Jede E-Mail-Domain, die du bereitstellst, ist in Langdock verifiziert.
> * Du kannst die Okta-App und die Sicherheitseinstellungen in Langdock verwalten.
> * Du hast SAML in einem Inkognito-Fenster getestet, bevor du **SAML aktiv** einschaltest, und diese Admin-Sitzung ist noch offen. Sobald **SAML aktiv** an ist, melden sich Personen mit einer verifizierten Domain über Okta an.

## SCIM in Langdock einschalten

Öffne [Sicherheit](https://app.langdock.com/settings/workspace/security) und gehe zu **Nutzerbereitstellung (SCIM)**.

1. Schalte **SCIM-Nutzersynchronisation aktiv** ein. Okta kann SCIM erst danach aufrufen.
2. Wähle **Kopieren** neben der **SCIM Base URL**. Das Feld zeigt nicht die ganze Adresse, nimm also den kopierten Wert. Sie endet auf `/api/scim/v2`. In der Cloud ist das `https://app.langdock.com/api/scim/v2`. Hänge `?aadOptscim062020` nicht an. Dieser Parameter gilt nur für Microsoft Entra ID.
3. Wähle **Generieren** neben **SCIM-Bearer-Token (API-Key)**. Kopiere den Token, bevor du den Dialog schließt. Langdock zeigt ihn nur einmal. **Neu generieren** ersetzt den Token, und der bisherige Token funktioniert sofort nicht mehr.
4. Schalte **SCIM-Gruppensynchronisation aktiv** ein, wenn Okta Gruppen übertragen soll. Lass den Schalter aus, wenn du nur Nutzer bereitstellst. Gruppenanfragen scheitern, solange er aus ist.
5. Wähle **Member** oder **Editor** unter **Standardgruppenrolle für Nutzer in SCIM-Gruppen**. Personen, die Okta einer Gruppe hinzufügt, bekommen diese Rolle in der Gruppe. Der Standard ist **Editor**. Eine andere Rolle für eine einzelne Gruppe stellst du an dieser Gruppe ein. Sie gilt nur für Personen, die danach hinzukommen. Siehe [Standardrollen für SCIM-Gruppen](https://docs.langdock.com/de/admin/workspace/workspace.md).

![Nutzerbereitstellung (SCIM) mit aktiver Nutzersynchronisation und Gruppensynchronisation, der SCIM Base URL und Regenerate für den Bearer-Token](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_langdock_settings.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=bcc33a879062ee09a20363409da1c58a)

## Okta verbinden

Nutze die SAML-App, die du bereits für Langdock angelegt hast. In der Okta Admin Console:

1\. Öffne den Tab **General**. Unter **App Settings** wählst du **Edit**.

2\. Setze **Provisioning** auf **SCIM** und speichere mit **Save**. Der Tab **Provisioning** erscheint erst danach. Fehlt **SCIM** in der Liste, hat Okta die SCIM-Bereitstellung für diese App nicht freigeschaltet.

![Okta App Settings mit Provisioning auf SCIM](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_enable_provisioning.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=9554de896120f8b6dbdae117088a8d49)

3\. Öffne **Provisioning**, dann **Integration**, dann **Edit**.

4\. Füge die **SCIM Base URL** in **SCIM connector base URL** ein.

5\. Setze **Unique identifier field for users** auf `userName`. Langdock behandelt `userName` als E-Mail-Adresse der Person.

6\. Schalte unter **Supported provisioning actions** **Import New Users and Profile Updates**, **Push New Users** und **Push Profile Updates** ein. Schalte **Push Groups** ein, wenn **SCIM-Gruppensynchronisation aktiv** an ist. Lass **Import Groups** aus.

7\. Setze **Authentication Mode** auf **HTTP Header**.

8\. Bei **Authorization** zeigt Okta bereits **Bearer**. Füge nur den Token ein.

![Okta SCIM-Verbindung mit Langdock-Basis-URL, userName, HTTP Header, Bearer-Präfix und Test Connector Configuration](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_integration.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=045e7718c54f7401577b2b7b634643d2)

9\. Wähle **Test Connector Configuration**. Der Button steht unter **Authorization** und über **Save**, und du siehst ihn nur beim Bearbeiten. Okta zeigt **Connector configured successfully**. Häkchen stehen bei **User Import**, **Import Profile Updates**, **Create Users**, **Update User Attributes** und **Push Groups**. Bei **Import Groups** steht ein x, weil diese Aktion aus bleibt. Der Test prüft die Verbindung. Er legt in Langdock keine Personen und keine Gruppen an.

10\. Wähle **Save**.

11\. Öffne **To App**. **Create Users**, **Update User Attributes** und **Deactivate Users** zeigen jeweils ein blaues **Enable** und einen grauen Schalter. Wähle **Enable** für diese drei. **Sync Password** zeigt ein graues **Enable**. Lass es aus.

![Provisioning to App vor dem Einschalten: Create Users, Update User Attributes und Deactivate Users mit blauem Enable und grauem Schalter, Sync Password mit grauem Enable](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_to_app.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=e1067b3b56712ba65557163ffbb9e72f)

Okta nimmt den Nutzernamen aus **Sign On**. Unter **Create Users** auf **To App** ist dieser Nutzername **Email**. Langdock speichert Vorname, Nachname und E-Mail. Schickt Okta einen Anzeigenamen, verwendet Langdock ihn als Namen der Person. Andere Attribute ignoriert Langdock.

> [!NOTE]
>
> Heißt ein Feld in deiner Okta Console anders, ordne es der SCIM-Basis-URL, dem Bearer-Token und denselben Aktionen für Anlegen, Aktualisieren, Deaktivieren und Gruppen zu.

Öffne den Tab **Assignments**. Wähle **Assign** und dann **Assign to People**. Wähle die Person, dann **Assign** und **Done**. Über **Assign to Groups** weist du die App auch ganzen Gruppen zu.

![Tab Assignments mit geöffnetem Menü Assign auf Assign to People](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_assign_menu.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=e4749c8e39e68ef03443675a25a3f08f)

![Dialog Assign to People mit einer Person, Assign und Done](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_assign_dialog.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=3d0b5dd6d61cc29e7920c7e35949cc75)

Weise die Personen zu, bevor du sie in Langdock erwartest. Neue Mitglieder kommen direkt in den Workspace und bekommen keine Einladungs-E-Mail. Sag ihnen, dass sie sich über Okta anmelden.

Deaktivierst du jemanden in Okta, verliert die Person die Workspace-Mitgliedschaft. Eine erneute Bereitstellung nimmt sie wieder in den Workspace auf.

## Gruppen übertragen

Übertrage die Gruppen in derselben Okta-App über den Tab **Push Groups**, ähnlich wie du oben Personen zuweist. **Push Groups** muss an der Integration aktiv sein:

1. Öffne **Push Groups**.
2. Wähle die Okta-Gruppe über den Namen und übertrage sie, damit Langdock die Gruppe anlegt.
3. Prüfe die Gruppe unter [Gruppen](https://app.langdock.com/settings/workspace/user-management/groups).

Das Anlegen einer Gruppe, die schon existiert, schlägt fehl. Langdock antwortet mit 409 und `Group already exists. Found group with the same name.` Nutze einen Gruppennamen, der im Workspace noch frei ist.

In Langdock kannst du die Rolle von Personen in einer SCIM-Gruppe weiterhin ändern. Andere Änderungen an dieser Gruppe machst du in Okta.

## Ergebnis prüfen

Der Verbindungstest nimmt niemanden in den Workspace auf. Ein erfolgreicher Test sieht so aus: **Connector configured successfully**, und bei **Import Groups** steht ein x.

![Connector configured successfully, Import Groups mit einem x markiert](https://mintcdn.com/langdock-34/_FmTOcXP6RJjOAaI/de/images/okta_scim_test_connector.png?fit=max\&auto=format\&n=_FmTOcXP6RJjOAaI\&q=85\&s=7e084ef0938c311971ed6895f82f733d)

Nachdem Okta Personen und Gruppen übertragen hat, prüfe sie unter [Mitglieder](https://app.langdock.com/settings/workspace/user-management/members) und [Gruppen](https://app.langdock.com/settings/workspace/user-management/groups).

## Grenzen

* Okta findet eine Person über die E-Mail und eine Gruppe über den Namen. Jede andere Suche wird abgelehnt.
* Gib beim Anlegen oder Ersetzen einer Gruppe für jedes Mitglied einen Anzeigenamen an. Okta sendet diesen Namen. Eine Gruppe ohne ihn wird abgelehnt.
* Okta kann eine Person hinzufügen, eine Person entfernen und die gesamte Mitgliedschaft ersetzen. Das Ersetzen einer einzelnen Person über ein gefiltertes Update scheitert. Füge diese Person hinzu oder entferne sie.
* Wenn Okta nach einer Service-Provider-Konfiguration oder einem Schema fragt, mach ohne dieses Dokument weiter. Langdock stellt Nutzer und Gruppen ohne diese Endpunkte bereit.
* Nutze eine E-Mail auf einer verifizierten Domain. Füge eine neue Domain in Langdock hinzu und verifiziere sie, bevor Okta jemanden auf diese Adresse ändert.
* Eine E-Mail, die schon einer anderen Person gehört, wird abgelehnt.

## Wenn etwas fehlschlägt

* **401.** Der Wert in **Authorization** ist der aktuelle Token, ohne ein zweites **Bearer**. **Neu generieren** macht den vorherigen Token ungültig.
* **403 bei Nutzern.** Schalte **SCIM-Nutzersynchronisation aktiv** ein.
* **403 bei Gruppen.** Schalte **SCIM-Gruppensynchronisation aktiv** ein. Die Nutzerbereitstellung kann klappen, während jede Gruppenanfrage scheitert.
* **400 bei einem Nutzer.** Die E-Mail-Domain ist nicht verifiziert, oder `userName` ist keine gültige E-Mail-Adresse.
* **409 bei einem Nutzer.** Diese E-Mail gehört bereits einer anderen Person.
* **409 bei einer Gruppe.** Eine Gruppe mit diesem Namen existiert schon.
* **Eine Person scheitert, andere nicht.** Notiere den Zeitpunkt und schreib an [support@langdock.com](mailto:support@langdock.com). Lass **SAML aktiv** unverändert. Anmeldung und Bereitstellung sind getrennt, und zu frühes Einschalten von SAML sperrt alle aus, die noch ein Passwort nutzen.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.