SCIM-Übersicht

SCIM-Übersicht

Die SCIM-Übersicht ist Ihre Schaltzentrale für die automatisierte Benutzerprovisionierung in Priverion. Sie zeigt Ihnen, ob SCIM aktiv ist, wie viele Benutzer und Gruppen aus Ihrem externen Identity Provider synchronisiert wurden, und stellt Ihnen die genauen Endpunkt-URLs bereit, die Sie in die Konfiguration Ihres Identity Providers eintragen müssen. IT-Administratoren und Datenschutzbeauftragte besuchen diesen Bereich vor allem bei der Ersteinrichtung, bei der Fehlersuche nach Synchronisierungsproblemen oder beim Wechsel von einem Identity Provider zu einem anderen. Ohne die hier angezeigten Informationen hat Ihr Identity Provider keine Adressen, an die er Provisionierungsanfragen senden kann – die automatische Verwaltung des Benutzerlebenszyklus ist damit schlicht nicht möglich.

So öffnen Sie den Bereich

Navigieren Sie in der linken Hauptnavigation zu IT-Einstellungen. Wählen Sie dort IAM-Einstellungen aus, erweitern Sie das Menü und klicken Sie auf SCIM2. Die SCIM-Übersicht lädt sofort.

Sie benötigen die Berechtigung IT-Einstellungen IAM, um auf diesen Bereich zuzugreifen. Wenn Ihre Rolle diese Berechtigung nicht enthält, erscheint der Menüpunkt SCIM2 in der Seitenleiste gar nicht, und beim direkten Aufruf der URL erhalten Sie eine vollständige Zugriffsverweigerungs-Seite statt Teilinhalte.

Was Sie sehen

Oben im Inhaltsbereich befindet sich eine Brotkrumen-Navigation, die Ihren aktuellen Standort anzeigt – etwa IT-Einstellungen › IAM-Einstellungen › SCIM2 – mit zwei kleinen Pfeilschaltflächen links und rechts vom Label SCIM2, mit denen Sie ohne Umweg über das Menü zum vorherigen oder nächsten IAM-Bildschirm wechseln können.

Darunter gliedert sich der Hauptinhalt in zwei Teile. Der obere Teil ist eine Konfigurationskarte, die drei reine Anzeige-Felder enthält: den aktuellen SCIM-Status (Aktiv oder Inaktiv), die Anzahl der über SCIM provisionierten Benutzer und die Anzahl der über SCIM provisionierten Gruppen. Aktionsschaltflächen erscheinen direkt rechts neben der Überschrift Konfiguration. Unterhalb der Karte zeigen drei Zeilen die SCIM-Endpunkt-URLs an – die Basis-URL, den Benutzer-Endpunkt und den Gruppen-Endpunkt – jeweils mit einem kleinen Kopiersymbol rechts daneben.

Der Bildschirm kann in drei unterschiedlichen Zuständen erscheinen. Wenn SCIM in Ihrer Priverion-Instanz auf Plattformebene nicht aktiviert ist, sehen Sie einen Warnhinweis mit einer erklärenden Meldung und keine Endpunkt-URLs. Wenn Sie bereits die native Microsoft Entra ID-Integration eingerichtet haben, erscheint ein anderer Warnhinweis, der erklärt, dass SCIM und Entra ID nicht gleichzeitig genutzt werden können. In beiden Warnzuständen werden weder Aktionsschaltflächen noch Endpunkt-URLs angezeigt. Die nachfolgenden Schritt-für-Schritt-Anleitungen beschreiben den normalen Betriebszustand, in dem SCIM verfügbar ist und die vollständige Konfigurationskarte sowie alle drei Endpunktzeilen sichtbar sind.

Arbeiten mit diesem Bildschirm

Überprüfen, ob SCIM nach der Ersteinrichtung aktiv ist

Nachdem Sie SCIM in Ihrem Identity Provider konfiguriert haben – z. B. die Mandanten-URL und das Bearer-Token in Microsoft Entra IDs Enterprise-Application-Provisioning-Einstellungen eingetragen haben – kehren Sie zu diesem Bildschirm zurück, um alles zu bestätigen.

Schauen Sie sich die Zeile SCIM-Status in der Konfigurationskarte an. Zeigt sie Aktiv, ist der Schalter eingeschaltet und Priverion ist bereit, Provisionierungsanfragen entgegenzunehmen. Prüfen Sie anschließend die SCIM-Benutzer-Anzahl: Diese Zahl gibt an, wie viele Konten Ihr Identity Provider bereits übertragen hat. Wenn Ihr IdP seine erste Synchronisierung über Nacht durchgeführt hat, sollte der Wert dem erwarteten ersten Batch entsprechen. Klicken Sie abschließend auf das Kopiersymbol neben der Basis-URL und vergleichen Sie den kopierten Wert mit dem, was Sie in Ihren Identity Provider eingetragen haben – beide müssen identisch sein.

Beachten Sie, dass Benutzer- und Gruppenanzahl den Stand beim Laden der Seite widerspiegeln, nicht einen Live-Feed. Wenn eine große Synchronisierung gerade abgeschlossen wurde, laden Sie die Seite neu, um die aktualisierten Werte zu sehen.

Endpunkt-URLs für einen neuen Identity Provider kopieren

Wenn Sie einen neuen Identity Provider einrichten und ihm mitteilen müssen, wohin er SCIM-Anfragen senden soll, liefert dieser Bildschirm alle drei benötigten Adressen.

• Scrollen Sie unter die Konfigurationskarte zu den drei Endpunktzeilen.
• Klicken Sie auf das Kopiersymbol neben Basis-URL. Das Symbol wechselt kurz zu einem grünen Häkchen und bestätigt, dass die Adresse in der Zwischenablage ist. Fügen Sie sie in das Feld Mandanten-URL (oder ein gleichwertiges Feld) Ihres Identity Providers ein.
• Klicken Sie auf das Kopiersymbol neben Endpunkt Info — Benutzer und notieren Sie diese Adresse. Manche Identity Provider verlangen Benutzer- und Gruppen-Endpunkte separat, anstatt sie aus der Basis-URL abzuleiten.
• Klicken Sie auf das Kopiersymbol neben Endpunkt Info — Gruppen und notieren Sie auch diese Adresse.

Jedes Kopiersymbol funktioniert unabhängig – wenn Sie den Gruppen-Endpunkt kopieren, überschreibt das nicht das, was Sie bereits für die Basis-URL kopiert haben.

Hinweis: Das grüne Häkchen bestätigt, dass der Text in der Zwischenablage gelandet ist, überprüft aber nicht, ob die URL vom Netzwerk Ihres Identity Providers aus erreichbar ist. Wenn Ihr IdP nach der Einrichtung einen Verbindungsfehler meldet, kommen Sie hierher zurück und prüfen Sie, ob die angezeigte Basis-URL exakt mit dem übereinstimmt, was Sie eingetragen haben – einschließlich etwaiger abschließender Schrägstriche und des Unternehmenskennzeichnungs-Segments am Ende.

SCIM während einer IdP-Migration vorübergehend deaktivieren

Wenn Sie den Identity Provider wechseln oder die Provisionierung zu Wartungszwecken kurz anhalten möchten, können Sie SCIM stoppen, ohne Ihre Konfiguration zu verlieren.

• Vergewissern Sie sich auf der SCIM-Übersicht, dass SCIM-Status als Aktiv angezeigt wird.
• Klicken Sie auf die Schaltfläche Deaktivieren rechts neben der Überschrift Konfiguration. Priverion sendet eine Anfrage, um die Provisionierung zu beenden.
• Bei Erfolg erscheint eine grüne Erfolgsmeldung, und die Zeile SCIM-Status ändert sich sofort auf Inaktiv. Die Schaltfläche Deaktivieren verschwindet, weil sie nur sichtbar ist, wenn SCIM eingeschaltet ist.
• Nehmen Sie die notwendigen Änderungen in Ihren Identity Providern vor.
• Wenn Sie SCIM wieder aktivieren möchten, müssen Sie dies über den SAML/OAuth-Bearbeitungsbildschirm tun – auf der Übersichtsseite selbst gibt es keine Aktivieren-Schaltfläche.

Tipp: Das Deaktivieren von SCIM löscht keine provisionierten Benutzer. Es verhindert lediglich, dass neue Provisionierungsanfragen angenommen werden. Bestehende Konten bleiben unverändert, bis Sie SCIM wieder aktivieren und Ihr IdP erneut synchronisiert.

Alle SCIM-Benutzer nach der Außerbetriebnahme im Bulk löschen

Wenn Ihre Organisation die SCIM-Integration vollständig einstellt und die automatisch provisionierten Konten bereinigen möchte, bevor ein neuer Ansatz zur Identitätsverwaltung eingerichtet wird, können Sie alle SCIM-Benutzer mit einer einzigen Aktion entfernen.

Diese Option ist nur für Administratoren mit Löschrechten sichtbar – nicht jeder, der auf die IAM-Einstellungen zugreifen kann, sieht sie.

• Suchen Sie auf der SCIM-Übersicht die Schaltfläche Alle Benutzer löschen rechts neben der Überschrift Konfiguration (sie zeigt ein Papierkorb-Symbol).
• Klicken Sie darauf. Eine Bestätigungsabfrage erscheint, die Sie auffordert zu bestätigen, dass Sie alle SCIM-provisionierten Benutzer dauerhaft entfernen möchten.
• Bestätigen Sie. Die Schaltfläche wird deaktiviert und das Symbol wechselt zu einem drehenden Ladeindikator, während der Löschvorgang läuft – so können Sie nicht versehentlich eine zweite Löschung auslösen.
• Nach wenigen Sekunden erscheint eine Erfolgsmeldung, z. B.: „152 Benutzer insgesamt gelöscht."
• Laden Sie die Seite neu – der Wert SCIM-Benutzer in der Konfigurationskarte zeigt jetzt null an.

Hinweis: Diese Aktion ist sofort und kann innerhalb von Priverion nicht rückgängig gemacht werden. Der einzige Weg, gelöschte Konten wiederherzustellen, ist eine neue Synchronisierung aus Ihrem Identity Provider oder eine manuelle Neuerstellung. Stimmen Sie sich immer mit Ihrem IdP-Administrator ab, bevor Sie fortfahren.

Feldreferenz

SCIM-Status — Zeigt an, ob SCIM für Ihre Organisation aktuell Aktiv oder Inaktiv ist. Dieser Wert aktualisiert sich sofort, nachdem Sie Deaktivieren geklickt haben und die Anfrage erfolgreich war. Er spiegelt den Live-Zustand wider; Sie müssen die Seite nach einer Statusänderung nicht neu laden.

SCIM-Benutzer — Die Gesamtzahl der Benutzerkonten in Priverion, die über SCIM provisioniert wurden (im Gegensatz zu manuell angelegten Konten). Dies ist ein Snapshot vom Zeitpunkt des Seitenladens; laden Sie die Seite neu, um den aktuellen Wert nach einer Synchronisierung zu sehen.

SCIM-Gruppen — Die Gesamtzahl der Gruppen in Priverion, die über SCIM aus Ihrem Identity Provider synchronisiert wurden. Ebenfalls ein Snapshot zum Zeitpunkt des Ladens.

Basis-URL — Die SCIM-Basisadresse Ihres Priverion-Mandanten im Format https://<Ihre-Domain>/pp/scim/v2/<Unternehmenskennung>. Diese Adresse muss in Ihrem Identity Provider als SCIM-Serveradresse hinterlegt werden.

Endpunkt Info — Benutzer — Die Basis-URL mit angehängtem /Users. Dies ist der SCIM-Ressourcenendpunkt für Benutzer.

Endpunkt Info — Gruppen — Die Basis-URL mit angehängtem /Groups. Dies ist der SCIM-Ressourcenendpunkt für Gruppen.

Verbindung zu anderen Bereichen von Priverion

Die SCIM-Übersicht befindet sich im Bereich IAM-Einstellungen der IT-Einstellungen, neben den SAML/OAuth- und Active Directory-Konfigurationsbildschirmen. Nutzen Sie die linke und rechte Pfeiltaste in der Brotkrumen-Navigation, um zwischen diesen Bildschirmen zu wechseln, ohne ins Menü zurückzukehren.

Da SCIM den gesamten Benutzerlebenszyklus steuert, beeinflusst die hier vorgenommene Konfiguration nahezu jeden anderen Bereich von Priverion. Wenn SCIM aktiv ist, wird jeder neue Mitarbeitende, der in Ihrem Unternehmensverzeichnis hinzugefügt wird, automatisch in Priverion provisioniert – und das Konto eines ausscheidenden Mitarbeitenden wird ebenso automatisch deaktiviert. Funktionen wie Aufgabenzuweisungen, Verantwortlichkeiten in Verarbeitungstätigkeiten, Risikoinhaber-Felder und Lieferantenkontakte sind alle darauf angewiesen, dass diese Konten vorhanden und aktuell sind. Das Deaktivieren von SCIM stoppt den Eingang neuer Konten; das erneute Aktivieren setzt die Provisionierung fort.

Wenn Sie die Aktion Alle Benutzer löschen ausführen, verlieren alle Elemente in Priverion, die zuvor einem SCIM-provisionierten Konto zugewiesen waren – Aufgaben, Verarbeitungsverzeichnisse, Risikomodelle usw. – ihren zugewiesenen Benutzer. Priverion aktualisiert die Benutzerverwaltungslisten automatisch nach der Löschung, weist verwaiste Elemente jedoch nicht automatisch neu zu.

Schließlich sind SCIM und die native Microsoft Entra ID-Integration gegenseitig ausschließend. Wenn Entra ID aktiv ist, zeigt dieser Bildschirm eine Warnung an und es ist keine SCIM-Konfiguration verfügbar. Sie müssen sich für einen der beiden Ansätze entscheiden.

Nach der Arbeit auf diesem Bildschirm besteht Ihr logischer nächster Schritt üblicherweise darin, zu überprüfen, ob der Identity Provider erfolgreich Anfragen sendet (prüfen Sie den Wert SCIM-Benutzer nach einem erneuten Laden der Seite), und anschließend Ihre SAML/OAuth-Einstellungen auf dem benachbarten IAM-Bildschirm zu überprüfen.

Tipps und häufige Fallstricke

Hinweis: Auf der Übersichtsseite gibt es keine Aktivieren-Schaltfläche. Wenn SCIM aktuell inaktiv ist und Sie es wieder einschalten möchten, müssen Sie den SAML/OAuth-Bearbeitungsbildschirm aufrufen. Wenn Sie hier eine Umschalttaste erwarten, aber keine sehen, ist SCIM bereits ausgeschaltet – das ist beabsichtigt, kein Fehler.

Tipp: Die zwei Warnzustände – „SCIM ist auf Plattformebene deaktiviert" und „Entra ID ist aktiv" – sehen visuell ähnlich aus (beide zeigen ein Warnsymbol und einen kurzen Text). Lesen Sie die Meldung sorgfältig: Der plattformseitig deaktivierte Zustand bedeutet, dass SCIM in Ihrer Instanz überhaupt nicht verfügbar ist und eine Änderung der Deployment-Konfiguration oder einen Kontakt mit dem Priverion-Support erfordert. Der Entra ID-Konflikt hingegen bedeutet, dass Sie eine Konfigurationsentscheidung getroffen haben, die SCIM blockiert. Die Lösungsschritte sind völlig unterschiedlich.

• Benutzer- und Gruppenanzahl sind Momentaufnahmen, keine Live-Werte. Nach einer großen Synchronisierung aus Ihrem Identity Provider müssen Sie die Seite neu laden, um die aktualisierten Zahlen zu sehen. Es gibt keine automatische Aktualisierung.
• Die Aktion „Alle Benutzer löschen" kann innerhalb von Priverion nicht rückgängig gemacht werden. Der einzige Weg zur Wiederherstellung ist eine neue Synchronisierung aus Ihrem Identity Provider oder eine manuelle Neuerstellung. Gehen Sie mit dieser Schaltfläche so sorgfältig um wie mit einer Datenbankwiederherstellung.
• Die Kopiersymbole bestätigen den Zwischenablage-Erfolg, nicht die URL-Gültigkeit. Ein grünes Häkchen bedeutet, dass der Text in der Zwischenablage ist; es bedeutet nicht, dass Ihr Identity Provider die URL erreichen kann. Wenn Ihr IdP nach der Einrichtung SCIM-Verbindungsfehler meldet, überprüfen Sie hier, ob die angezeigte Basis-URL exakt mit dem übereinstimmt, was Sie im IdP eingetragen haben – einschließlich abschließender Schrägstriche und der vollständigen Unternehmenskennung am Ende.
• Löschrechte sind von der IAM-Leseberechtigung getrennt. Nicht jede Person, die diesen Bildschirm aufrufen kann, sieht die Schaltfläche Alle Benutzer löschen. Wenn Sie eine Massenlöschung durchführen müssen und die Schaltfläche nicht sichtbar ist, wenden Sie sich an einen leitenden Administrator in Ihrer Organisation.