SCIM-Konfiguration

SCIM-Konfiguration

Auf dem Bildschirm SCIM-Konfiguration rufen IT-Administratoren die Zugangsdaten ab, die der Identity Provider (IdP) Ihrer Organisation – zum Beispiel Microsoft Entra ID, Okta oder Google Workspace – benötigt, um sich automatisch mit Priverion zu verbinden. Ist die Verbindung korrekt eingerichtet, wird das Priverion-Konto eines neuen Mitarbeitenden automatisch angelegt, sobald es im IdP erfasst wird – und beim Ausscheiden sofort deaktiviert, ohne dass jemand manuell eingreifen muss. Dieser Bildschirm befindet sich im Bereich Identity & Access Management der IT-Einstellungen und ist einer von zwei einander ergänzenden IAM-Bildschirmen: Der zweite regelt die SSO-Anmeldung (Single Sign-on). SCIM bestimmt, wer ein Konto hat; SSO bestimmt, wie sich Personen anmelden.

Wie Sie diesen Bildschirm aufrufen

Navigieren Sie wie folgt:

• Klicken Sie in der linken Seitenleiste auf IT-Einstellungen – den Bereich für technische Plattformkonfigurationen.
• Erweitern Sie innerhalb der IT-Einstellungen die Gruppe Identity & Access Management.
• Klicken Sie auf den Unterpunkt SCIM.
• Der sich öffnende Bildschirm ist die Konfigurationsansicht.

Zugangsberechtigung: Dieser Bildschirm ist für Benutzerinnen und Benutzer zugänglich, deren Rolle die Berechtigung für IT-Einstellungen – Identity & Access Management enthält. Fehlt diese Berechtigung, wird anstelle des Inhalts eine „403 Forbidden"-Meldung angezeigt. Wenden Sie sich an Ihren Systemadministrator, wenn Sie der Meinung sind, dass Ihnen der Zugriff gewährt werden sollte.

Was Sie auf diesem Bildschirm sehen

Der SCIM-Konfigurationsbildschirm folgt demselben zweistufigen Layout wie alle anderen IT-Einstellungsseiten. Die obere Navigationsleiste enthält Zugriff auf Ihr Profil, Benachrichtigungen und ggf. die Organisationsauswahl. Entlang der linken Seite zeigt eine sekundäre Seitenleiste alle IT-Einstellungsbereiche. Die Gruppe Identity & Access Management ist aufgeklappt und SCIM als aktiver Eintrag hervorgehoben – Sie sehen also immer, wo Sie sich befinden.

Der Hauptinhaltsbereich befindet sich rechts neben der sekundären Seitenleiste. Hier werden die SCIM-spezifischen Steuerelemente angezeigt: die Endpunkt-URL, das Bearer-Token sowie Schaltflächen zum Kopieren oder Neu generieren des Tokens. Zum Zeitpunkt der Erstellung dieses Artikels wird der Hauptinhaltsbereich schrittweise ausgerollt – es ist möglich, dass Sie diesen Bildschirm aufrufen und der zentrale Bereich noch leer ist. Dies ist ein bekannter, erwarteter Zustand während der Einführungsphase und kein Fehler in Ihrem Browser oder Ihrem Konto. Weitere Hinweise dazu finden Sie im Abschnitt Tipps & häufige Stolpersteine.

Ein kleiner, aber bewusster Unterschied zu den meisten anderen DPMS-Bildschirmen: Es gibt keine Breadcrumb-Navigation am oberen Rand der Seite. Zur Navigation nutzen Sie die sekundäre Seitenleiste, über die alle IT-Einstellungsbereiche mit einem Klick erreichbar sind.

Arbeiten mit diesem Bildschirm

SCIM-Verbindung zum ersten Mal einrichten

Wenn Ihre Organisation ihren Identity Provider noch nie mit Priverion verbunden hat, beginnt der Prozess hier. Sobald die SCIM-Steuerelemente im Hauptinhaltsbereich sichtbar sind, finden Sie eine SCIM Base URL – die Webadresse, an die Ihr IdP alle Bereitstellungsanfragen senden muss. Außerdem finden Sie ein Bearer-Token – einen langen, zufällig generierten geheimen Schlüssel, mit dem sich Ihr IdP gegenüber Priverion authentifiziert.

Eine typische Ersteinrichtung läuft so ab:

• Öffnen Sie den Bildschirm SCIM-Konfiguration. Kopieren Sie die angezeigte SCIM Base URL. Diese Adresse ist für Ihre Organisation in Priverion eindeutig.
• Kopieren Sie auch das Bearer-Token. Falls noch kein Token für Ihre Organisation generiert wurde, suchen Sie nach einer Schaltfläche Token generieren oder Token erstellen und klicken Sie darauf. Das Token wird einmalig angezeigt – kopieren Sie es sofort.
• Öffnen Sie die Administrationskonsole Ihres Identity Providers – zum Beispiel die Bereitstellungseinstellungen Ihrer Priverion-Anwendung in Okta oder die Unternehmensanwendung in Microsoft Entra ID – in einem separaten Browser-Tab.
• Fügen Sie die SCIM Base URL in das entsprechende Bereitstellungs-URL-Feld Ihres IdP ein und das Bearer-Token in das Feld für das Geheimnis oder den API-Schlüssel.
• Speichern Sie die Einstellungen im IdP und testen Sie die Verbindung mit der integrierten Testfunktion des IdP.
• Kehren Sie zu Priverion zurück. Weitere Aktionen auf diesem Bildschirm sind nur erforderlich, wenn Sie das Token später rotieren müssen.

Ab diesem Zeitpunkt wird Priverion Änderungen automatisch übernehmen – in der Regel innerhalb weniger Minuten nach einer Änderung im IdP.

Bearer-Token nach einem Sicherheitsvorfall rotieren

Falls ein Sicherheitsaudit ergibt, dass Ihr bestehendes SCIM-Token möglicherweise kompromittiert wurde – zum Beispiel weil es in einer Logdatei aufgetaucht ist, versehentlich geteilt wurde oder einer Person mit Zugriff darauf das Unternehmen verlassen hat –, sollten Sie es umgehend rotieren. Ein rotiertes Token ist ein neues Token; das alte hört sofort auf zu funktionieren.

• Navigieren Sie zu IT-Einstellungen → Identity & Access Management → SCIM → Konfiguration.
• Suchen Sie im Hauptinhaltsbereich die Schaltfläche Token neu generieren oder Token rotieren und klicken Sie darauf.
• Ein Bestätigungsdialog weist Sie darauf hin, dass das bisherige Token sofort ungültig wird. Lesen Sie dies sorgfältig: Ihr IdP kann erst wieder mit Priverion synchronisieren, wenn Sie das neue Token dort hinterlegt haben. Planen Sie die Rotation möglichst in einem ruhigen Zeitfenster, in dem der IdP voraussichtlich keine Synchronisierung durchführt.
• Bestätigen Sie die Aktion. Das neue Bearer-Token wird angezeigt. Kopieren Sie es sofort – nach dem Verlassen dieser Ansicht ist es möglicherweise nicht mehr einsehbar.
• Öffnen Sie die Administrationskonsole Ihres IdP und ersetzen Sie das alte Token in den Bereitstellungseinstellungen durch das neue.
• Speichern Sie die IdP-Einstellungen. Die SCIM-Bereitstellung wird sofort mit dem neuen Token fortgesetzt.

Durch eine Token-Rotation werden keine Benutzerkonten gelöscht oder deaktiviert. Das Token regelt ausschließlich, wie sich der IdP gegenüber dem SCIM-Endpunkt von Priverion authentifiziert – es hat keinen Einfluss auf die eigenen Sitzungen oder Daten der Benutzenden.

SCIM-Konfiguration für ein Audit prüfen

Compliance-Prüferinnen und -Prüfer oder Datenschutzbeauftragte müssen gelegentlich für das Prüfprotokoll bestätigen, dass eine automatisierte Benutzerverwaltung eingerichtet ist. Dafür sind keine Änderungen erforderlich – Lesezugriff genügt.

• Bitten Sie Ihren IT-Administrator, Ihrem Benutzerkonto vorübergehend Zugriff auf den Bereich IT-Einstellungen – Identity & Access Management zu erteilen.
• Navigieren Sie zu IT-Einstellungen → Identity & Access Management → SCIM → Konfiguration.
• Stellen Sie fest, ob eine SCIM Base URL angezeigt wird (Bestätigung, dass ein Endpunkt für Ihre Organisation konfiguriert ist) und ob ein Token ausgestellt wurde (Bestätigung, dass die Verbindung mindestens einmal eingerichtet wurde).
• Notieren Sie den Status im Prüfprotokoll und verlassen Sie den Bildschirm. Es müssen keine Angaben kopiert oder verändert werden.

SCIM-Konfiguration vor einem IdP-Wechsel prüfen

Wenn Ihre Organisation den Identity Provider wechselt – zum Beispiel von einem lokalen Active Directory zu Microsoft Entra ID –, sollten Sie die aktuelle SCIM-Konfiguration verstehen, bevor Sie Änderungen vornehmen.

• Öffnen Sie IT-Einstellungen → Identity & Access Management → SCIM → Konfiguration.
• Notieren Sie die aktuelle SCIM Base URL. Diese Adresse ändert sich beim Wechsel des IdP nicht; nur die IdP-seitige Konfiguration muss angepasst werden.
• Entscheiden Sie, ob Sie das vorhandene Bearer-Token weiternutzen oder für den neuen IdP ein neues generieren möchten. Ein neues Token ist die sicherere Wahl, da es verhindert, dass der alte IdP nach der Umstellung weitere Synchronisierungsversuche unternimmt.
• Richten Sie den neuen IdP mit der SCIM Base URL und dem bestehenden oder neu generierten Token ein.
• Testen Sie die Verbindung vom neuen IdP aus. Nach erfolgreicher Bestätigung entfernen Sie die SCIM-Integration beim alten IdP. Der Endpunkt in Priverion bleibt unverändert.

Wie dieser Bildschirm mit dem Rest von DPMS zusammenhängt

Der SCIM-Konfigurationsbildschirm ist einer von zwei Bildschirmen unter Identity & Access Management in den IT-Einstellungen – der zweite ist die SSO/SAML-Konfiguration. Es empfiehlt sich, diese beiden als Einheit zu betrachten:

• SCIM (dieser Bildschirm) bestimmt, wer ein Konto in Priverion hat. Wenn Ihr IdP einen neuen Mitarbeitenden synchronisiert, wird dessen Konto automatisch angelegt. Beim Austritt deaktiviert Priverion den Zugang.
• SSO (der direkt benachbarte Bildschirm) bestimmt, wie sich Benutzende anmelden. Eine korrekt konfigurierte SSO-Integration bedeutet, dass Mitarbeitende sich mit ihren bestehenden Unternehmensanmeldedaten anmelden können.

Beide Bildschirme müssen konfiguriert sein, um eine vollständig automatisierte Nutzererfahrung mit Unternehmensanmeldedaten zu gewährleisten. SCIM ohne SSO bedeutet: Konten werden automatisch angelegt, aber die Anmeldung erfolgt separat. SSO ohne SCIM bedeutet: Anmeldung mit Unternehmensanmeldedaten ist möglich, aber Konten müssen manuell erstellt und entfernt werden.

Über die Benutzerverwaltung hinaus hat die SCIM-Konfiguration direkte Auswirkungen auf weitere Bereiche von DPMS:

• Gruppensynchronisierung. Wenn Ihr IdP Gruppenmitgliedschaften per SCIM überträgt, spiegeln die Gruppen in Priverion Ihren Verzeichnisstand wider. Eine unterbrochene SCIM-Verbindung führt dazu, dass die Gruppenzuordnungen in Priverion nicht mehr mit dem Verzeichnis übereinstimmen.
• Offboarding-Compliance. Datenschutzgesetze – darunter die DSGVO – verlangen die zeitnahe Entziehung von Zugängen beim Ausscheiden von Mitarbeitenden. SCIM automatisiert diesen Prozess. Bei einer Fehlkonfiguration behalten ausgeschiedene Personen möglicherweise länger als zulässig Zugang zu Priverion – ein datenschutzrechtlich relevantes Risiko.
• Benutzerverwaltungsbildschirm. Nach der SCIM-Einrichtung können Sie im Benutzerverwaltungs- oder Personenbereich von DPMS überprüfen, ob die vom IdP bereitgestellten Konten korrekt in Priverion angekommen sind.

Nach der Konfiguration von SCIM ist der nächste logische Schritt der Besuch des SSO-Konfigurationsbildschirms (direkt benachbart in der sekundären Seitenleiste), um auch die Authentifizierungsseite der Integration abzuschließen.

Tipps & häufige Stolpersteine

Hinweis: Wenn Sie diesen Bildschirm aufrufen und der Hauptinhaltsbereich leer ist, handelt es sich nicht um einen Fehler – die SCIM-Steuerelemente werden noch schrittweise ausgerollt. Wenden Sie sich an Ihren Priverion-Administrator oder den Support, um den aktuellen Stand der Einführung zu erfragen.

Hinweis: Eine Token-Rotation ist sofort wirksam und kann nicht rückgängig gemacht werden. In dem Moment, in dem Sie die Rotation bestätigen, hört das alte Token auf zu funktionieren. Ihr IdP schlägt beim nächsten Synchronisierungsversuch fehl, bis Sie das neue Token dort hinterlegt haben. Halten Sie das neue Token zum Einfügen in den IdP bereit, bevor Sie auf „Bestätigen" klicken, und planen Sie die Rotation nach Möglichkeit für ein ruhiges Zeitfenster.

• Der Zugriff ist alles oder nichts. Wenn Kolleginnen oder Kollegen berichten, dass sie den Bildschirm gar nicht sehen – statt des Inhalts erscheint eine „403 Forbidden"-Seite –, prüfen Sie als Erstes, ob ihre Rolle die IT-Einstellungen-IAM-Berechtigung enthält. Eine Teilansicht dieses Bildschirms gibt es nicht.
• SCIM und SSO sind separate Konfigurationen. Die Einrichtung von SCIM konfiguriert SSO nicht automatisch, und umgekehrt. Beide müssen unabhängig voneinander im Bereich Identity & Access Management eingerichtet werden. Gehen Sie nicht davon aus, dass eine erfolgreiche SCIM-Verbindung bedeutet, dass sich Benutzende mit Unternehmensanmeldedaten anmelden können – dazu ist der SSO-Bildschirm erforderlich.
• Die fehlende Breadcrumb-Navigation ist gewollt. Anders als bei den meisten Detailbildschirmen in DPMS wird auf der SCIM-Konfigurationsseite keine Breadcrumb-Leiste am oberen Rand angezeigt. Nutzen Sie die sekundäre Seitenleiste für die Navigation.
• Die IAM-Gruppe muss aufgeklappt sein. Falls Sie in den IT-Einstellungen den SCIM-Eintrag nicht finden, suchen Sie nach der Gruppe Identity & Access Management und klappen Sie diese auf – SCIM erscheint als Unterpunkt innerhalb dieser Gruppe.
• Behandeln Sie das Bearer-Token wie ein Passwort. Speichern Sie es sicher im Secret-Management-System Ihres IdP – nicht in einem geteilten Dokument oder einer E-Mail. Rotieren Sie es, wenn eine Person mit Zugriff darauf das Unternehmen verlässt, wenn es in einer Logdatei auftaucht oder wenn Sie Anlass zur Vermutung haben, dass es unbefugt eingesehen wurde.
• SCIM erstellt Konten – es vergibt keine Berechtigungen. Wenn SCIM ein neues Benutzerkonto in Priverion anlegt, wird lediglich das Konto erstellt. Rollen und Berechtigungen innerhalb von DPMS werden separat vergeben – entweder über eine Gruppen-zu-Rollen-Zuordnung oder manuell. Klären Sie mit Ihrem IT-Administrator, wie Rollen nach der Bereitstellung zugewiesen werden.