Benutzerprovisionierung einrichten (SCIM)

Sie können die Benutzervergabe und -löschung in Verbindung mit SAML nutzen, um Benutzer sofort zuzuweisen und zu entfernen.

Who can use this feature

Users on Professional plans and above.

Übersicht

Nachdem Sie SAML-SSO in Tulip{target=_blank} eingerichtet haben, möchten Sie möglicherweise auch Benutzer in Echtzeit gemäß der SCIM-API anlegen und deaktivieren.

Mit SCIM erstellt Ihr Identitätsanbieter (IdP) automatisch Benutzer in Tulip, aktualisiert deren Namen und deaktiviert sie, wenn sie das Unternehmen verlassen, sodass Sie den Zugriff an einem Ort verwalten können. Die Einrichtung von SCIM besteht aus zwei Teilen: dem Abrufen Ihrer SCIM-Daten aus Tulip und der Konfiguration einer benutzerdefinierten SCIM-Anwendung in Ihrem IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Schritt 1: Rufen Sie Ihre SCIM-Daten von Tulip ab

Um Ihren IdP mit Tulip zu verbinden, geben Sie zwei Werte aus Tulip in eine benutzerdefinierte SCIM-Anwendung in Ihrem IdP ein (siehe Schritt 2):- Tenant-URL: Der SCIM-Endpunkt, an den Ihr IdP Anfragen sendet.- API-Schlüssel/Geheimnis: Das Bearer-Token, das Ihr IdP zur Authentifizierung bei Tulip verwendet. Bewahren Sie diese sicher auf.

So finden Sie diese in Tulip: 1. Gehen Sie zu den Kontoeinstellungen und klicken Sie auf die Seite „SAML “. 2. Wählen Sie die Registerkarte „SCIM“ aus.

Kopieren Sie die Mandanten-URL. Generieren Sie anschließend einen API-Schlüssel (oder generieren Sie ihn neu, falls bereits einer vorhanden ist) und kopieren Sie den API-Schlüssel/das API-Geheimnis. Dazu müssen Sie Systemadministrator oder Kontoinhaber sein. Halten Sie beide Werte für Schritt 2 bereit.

Schritt 2: Erstellen Sie eine benutzerdefinierte SCIM-Anwendung in Ihrem IdP

Tulip stellt keine vorgefertigte SCIM-Anwendung oder Konfiguration für Identitätsanbieter bereit, daher müssen Sie in Ihrem IdP eine benutzerdefinierte (nicht aus der Galerie stammende) Anwendung erstellen.

Geben Sie die Mandanten-URL und den API-Schlüssel sowie das API-Geheimnis, die Sie in Schritt 1 kopiert haben, in diese Anwendung ein. Je nach Ihrem IdP können diese Felder unterschiedlich bezeichnet sein (z. B. „Secret Token“).

Achten Sie bei der Konfiguration der Anwendung darauf, dass Ihr IdP wie folgt eingerichtet ist:- Ordnen Sie das IdP-Attribut für den SCIM-Benutzernamen demselben Wert zu, den Ihr IdP als SAML-NameID übermittelt. Dies hilft den bereitgestellten Benutzern, sich bei ihrer ersten SAML-Anmeldung anzumelden.- Überprüfen Sie die Zuordnungen von Benutzernamen und E-Mail-Adressen, bevor Sie Benutzer zuweisen. Diese Werte sind nach der Bereitstellung eines Benutzers fest vorgegeben.- Deaktivieren Sie die Gruppenbereitstellung. Tulip stellt nur Benutzer bereit, und Gruppen werden nicht über SCIM synchronisiert.

Microsoft Entra ID

Für Nutzer, die Microsoft Entra als IdP verwenden, unterstützt die Tulip-App in der Entra-Galerie ausschließlich SAML-SSO und verfügt über keine Registerkarte „Bereitstellung“. Dies ist beabsichtigt und bedeutet nicht, dass etwas falsch konfiguriert ist.

So verwenden Sie SCIM mit Microsoft Entra ID:

Gehen Sie im Microsoft Entra-Admincenter zu „Entra ID“ > „Unternehmensanwendungen“ > „Neue Anwendung“ > „Eigene Anwendung erstellen“.
1. Geben Sie einen Namen ein, wählen Sie „Eine andere Anwendung integrieren, die Sie nicht in der Galerie finden (Nicht in der Galerie)“ und erstellen Sie die Anwendung. Verwenden Sie diese Anwendung ausschließlich für das Provisioning.
Wählen Sie in der neuen Anwendung „Provisioning“ > „Anwendung verbinden“ aus.
1. Stellen Sie die Authentifizierungsmethode auf „Bearer-Authentifizierung“ ein.
2. Geben Sie Ihre Mandanten-URL (https:///scim/v2) und den API-Schlüssel aus Schritt 1 als „Secret Token“ ein und wählen Sie anschließend „Verbindung testen“.
Öffnen Sie „Attributzuordnung“. Ordnen Sie das SCIM-Attribut „userName“ demselben Wert wie Ihrer SAML-NameID zu und deaktivieren Sie die Gruppenzuordnung.
Weisen Sie auf der Registerkarte „Benutzer und Gruppen“ einzelne Benutzer zu. Weisen Sie keine Gruppen zu, da Tulip deren Synchronisierung nicht unterstützt und die Bereitstellung fehlschlagen würde.
Verwenden Sie „Provision on-demand“, um einen Benutzer zu testen, und wählen Sie anschließend „Start provisioning“ aus.

Da Entra und andere IdPs möglicherweise zusätzliche Anpassungen für Ihre Umgebung erfordern, wenden Sie sich an Ihren IdP-Administrator oder den Tulip-Support, wenn Sie Hilfe bei der Planung Ihrer Einführung benötigen.

Unterstützte Funktionen

Tulip unterstützt die folgenden Echtzeit-Aktualisierungen über die SCIM-API:- Benutzeranlegung- Aktualisierungen des Benutzernamens- Benutzerlöschung / Deaktivierung

Benutzererstellung

In Ihrem IdP legen Sie fest, welche Benutzer Zugriff auf die Tulip-Anwendung haben.

Sobald Tulip als Dienstanbieter registriert ist, nutzt Ihr IdP die SCIM-API, um alle Benutzer bereitzustellen, die Zugriff auf Tulip benötigen. Diese Benutzer werden automatisch in Tulip angelegt, haben jedoch zunächst keinen Zugriff auf irgendeinen Teil der Plattform.

Nachdem Sie SAML in Tulip eingerichtet haben, wird einem Benutzer, wenn er sich zum ersten Mal mit SAML anmeldet, basierend auf Ihrer SAML-Konfiguration ein Arbeitsbereich und eine Rolle zugewiesen.

Wird anschließend ein neuer Benutzer zu Ihrem IdP hinzugefügt, der Zugriff auf Tulip haben soll, wird er sofort in Tulip bereitgestellt – ohne Zugriff auf andere Bereiche der Plattform.

Aktualisierungen des Benutzernamens

Wenn der Name eines Benutzers in Ihrem IdP aktualisiert wird oder wenn Sie die Reihenfolge von Nachname und Vorname in den SCIM-Einstellungen von Tulip ändern, werden die Benutzernamen in Echtzeit auf der Tulip-Plattform aktualisiert.

Löschen/Deaktivieren von Benutzern

Die SCIM-API verwendet den Begriff „delete“ im Zusammenhang mit der Aufhebung der Berechtigungen von Benutzern, doch Benutzer in Tulip können nur deaktiviert, nicht jedoch gelöscht werden. Tulip erwartet, dass der Endpunkt „delete user“ ausschließlich zur Aufhebung der Berechtigungen von Benutzern verwendet wird.

Wird der Endpunkt „delete user“ für einen bestimmten Benutzer verwendet, wird dieser in Tulip sofort deaktiviert.

Was Sie bei der Konfiguration von SCIM mit Tulip beachten sollten

Beachten Sie Folgendes, um eine reibungslose Einführung zu gewährleisten:

Reaktivieren Sie Benutzer in Tulip. Wenn ein Benutzer in Ihrem IdP entfernt oder deaktiviert wird, deaktiviert SCIM ihn in Tulip. SCIM kann diesen Vorgang nicht rückgängig machen. Wenn Sie denselben Benutzer später in Ihrem IdP hinzufügen oder wieder aktivieren, bleibt er in Tulip deaktiviert. Um den Zugriff wiederherzustellen, reaktivieren Sie den Benutzer in Tulip und führen Sie anschließend eine Synchronisierung in Ihrem IdP durch (z. B. „Provision on demand“ in Microsoft Entra ID), damit beide Systeme auf dem gleichen Stand sind.
Nur bestimmte Benutzer sind für SCIM sichtbar. SCIM funktioniert nur mit Benutzern, die über eine E-Mail-Adresse und eine SAML-NameID verfügen. Benutzer, die nicht beide Anforderungen erfüllen, erscheinen nicht in SCIM, sodass Ihr IdP sie nicht erkennen kann und in Ihrem IdP vorgenommene Änderungen für sie nicht gelten. Wenn ein Benutzer nicht wie erwartet synchronisiert wird, überprüfen Sie zunächst, ob er über eine E-Mail-Adresse und eine SAML-NameID verfügt.