Automatische Konten (SCIM) Beta

Mit automatischen Konten (SCIM), auch bekannt als SCIM provisioning, hält XFA die Konten in einer Anwendung im Einklang mit Ihrer Seite Personen. Sie richten dies in der Karte Automatische Konten (SCIM) auf einer Identity-Provider-Verbindung ein, etwa für Proton. Wenn Sie in XFA eine Person hinzufügen, deaktivieren oder entfernen, tut XFA dasselbe in der Anwendung.

Hinweis: Diese Anleitung setzt voraus, dass Sie Administrator Ihrer Organisation in XFA und Administrator der Anwendung sind, mit einem Plan, der SCIM bietet.

Bevor Sie beginnen

Prüfen Sie diese Punkte zuerst. Ist der erste nicht erledigt, hören Sie hier auf.

Single Sign-on über XFA funktioniert für die Anwendung bereits. Für Proton heißt das: Das Single Sign-on von Proton ist mit XFA als Identity Provider eingerichtet. Folgen Sie zuerst der Proton-Anleitung.
Die E-Mail-Domains Ihrer Personen sind eingetragen. Tragen Sie sie unter Erlaubte E-Mail-Domains auf der Verbindung ein oder als E-Mail-Domains Ihrer Organisation. XFA überträgt nur Personen mit einer dieser E-Mail-Domains.
XFA hat die Beta für Ihre Organisation eingeschaltet. Fragen Sie danach bei support@xfa.tech.

XFA legt für jede dieser Personen ein Konto an. Rechnet die Anwendung pro Benutzer ab, kostet jedes Konto eine Lizenz.

Was mit Konten passiert

In XFA	In der Anwendung
Sie fügen eine Person hinzu	XFA legt ein Konto an oder verknüpft eines mit derselben E-Mail-Adresse.
Sie klicken auf Deaktivieren	Das Konto wird ausgeschaltet. Seine Daten bleiben erhalten. Aktivieren schaltet es wieder ein.
Sie klicken auf Benutzer entfernen	Das Konto wird gelöscht. In vielen Anwendungen lässt sich das nicht rückgängig machen.
Die E-Mail-Domain der Person ist nicht mehr erlaubt	Das Konto wird ausgeschaltet, nicht gelöscht.
Sie schalten Automatische Konten (SCIM) aus	Nichts ändert sich. XFA überträgt nichts mehr, bis Sie es wieder einschalten.
Die E-Mail-Adresse der Person ändert sich	Siehe E-Mail-Adresse einer Person ändern.

XFA ändert nur Konten, die es angelegt oder verknüpft hat. Andere Konten in der Anwendung bleiben, wie sie sind. Auch wenn Sie die Verbindung in XFA löschen, bleiben die Konten, wie sie sind.

Wenn Sie eine Person entfernen, wird ihr Konto in der Anwendung gelöscht. Was dann mit ihren Daten passiert, hängt von der Anwendung ab. Lesen Sie bei Proton zuerst die Anleitung von Proton, bevor Sie jemanden entfernen, dessen Daten Sie brauchen. Um das Konto und seine Daten zu behalten, deaktivieren Sie die Person stattdessen.

Eine Person deaktivieren oder entfernen

Öffnen Sie auf Personen das Menü (⋮) am Ende der Zeile der Person. Wählen Sie Deaktivieren oder Benutzer entfernen.

Ist die Person aktiv, öffnet Benutzer entfernen einen Dialog, der auch Deaktivieren anbietet. Klicken Sie auf Deaktivieren, um das Konto zu behalten, oder auf Trotzdem entfernen, um es zu löschen.

Der Dialog zum Entfernen. Er sagt, dass das Proton-Konto auch gelöscht wird, und bietet Abbrechen, Trotzdem entfernen und Deaktivieren an.

E-Mail-Adresse einer Person ändern

XFA kann die E-Mail-Adresse einer Person nicht ändern. Um jemandem eine neue E-Mail-Adresse zu geben, entfernen Sie die Person in XFA und fügen Sie sie mit der neuen Adresse wieder hinzu. XFA löscht dann das alte Konto in der Anwendung und legt ein neues an. Hat die Anwendung schon ein Konto mit der neuen Adresse, verknüpft XFA stattdessen dieses. Bitten Sie die Person, vorher alles zu sichern, was sie aus dem alten Konto braucht.

SCIM-Basis-URL und SCIM-Token holen

XFA braucht zwei Dinge von der Anwendung: eine SCIM-Basis-URL und ein SCIM-Token. Kopieren Sie beides zuerst aus der Anwendung.

Proton

Gehen Sie in Proton zu Settings (⚙), Organization, Single sign-on, SCIM automatic provisioning, Configure SCIM. Kopieren Sie die SCIM base URL und das SCIM token. Single Sign-on muss in Proton zuerst eingerichtet sein.

Andere Anwendungen

Suchen Sie in den User-Provisioning- oder SCIM-Einstellungen der Anwendung. Die meisten Anwendungen bieten das in Business- oder Enterprise-Plänen an. Beispiele sind Slack, GitHub Enterprise Managed Users, Atlassian, AWS IAM Identity Center, Zoom und Notion.

In XFA einrichten

Öffnen Sie im XFA-Dashboard Identitätsanbieter in der Seitenleiste. Öffnen Sie die Verbindung.
Wählen Sie in der Karte Automatische Konten (SCIM) die Anwendung: Proton oder Andere Anwendung für jede andere Anwendung.
Fügen Sie die SCIM-Basis-URL ein. Sie beginnt mit https://.
Fügen Sie das SCIM-Token ein.
Schalten Sie den Schalter oben rechts in der Karte ein.
Klicken Sie auf Speichern. XFA testet das Token zuerst. Lehnt die Anwendung es ab, sehen Sie den Grund, und nichts wird gespeichert.
Klicken Sie auf Verbindung testen. Das prüft nur die URL und das Token. Es wird niemand übertragen. Das Ergebnis erscheint unter den Schaltflächen: "Verbindung funktioniert" oder "Verbindung fehlgeschlagen" mit dem Grund.
Klicken Sie auf Jetzt synchronisieren. Das überträgt alle Personen in den erlaubten E-Mail-Domains. Hat die Anwendung schon ein Konto mit derselben E-Mail-Adresse, verknüpft XFA es. Es legt kein zweites an. Danach überträgt XFA Änderungen von selbst.

Die Karte im Zustand Bereit. Sie sagt, dass die Verbindung funktioniert, und bittet Sie, auf Jetzt synchronisieren zu klicken.

XFA zeigt ein gespeichertes Token nie wieder an. Das Feld zeigt nur seine letzten 4 Zeichen. Um das Token zu ersetzen, fügen Sie ein neues ein und klicken Sie auf Speichern. Ändern Sie die SCIM-Basis-URL, während der Schalter aus ist, und speichern ohne neues Token, bittet XFA Sie, mit Speichern und Token löschen zu bestätigen. XFA entfernt dann das alte Token, weil es zur alten Adresse gehört. Ist der Schalter an, braucht eine neue Adresse ein neues Token.

Prüfen, ob es funktioniert

Die Karte zeigt Wird synchronisiert, solange eine Synchronisierung läuft, und Aktuell, wenn sie fertig ist. Die Karte aktualisiert sich von selbst. Sie müssen die Seite nicht neu laden. Eine erste Synchronisierung dauert meist einige Sekunden bis einige Minuten. Bei Hunderten von Personen dauert sie länger. Danach erreicht eine Änderung in XFA die Anwendung innerhalb weniger Sekunden.

Die Zeile unter dem Titel zeigt, wie viele Personen in der Anwendung sind, zum Beispiel "6 von 6 Personen an Proton übertragen".
Klicken Sie auf Personen auf Spalteneinstellungen: das Zahnrad am rechten Ende der Kopfzeile der Tabelle. Haken Sie App-Konten an. Die Spalte zeigt den Status jeder Person, etwa Übertragen an Proton, Noch nicht übertragen oder Proton: ausgeschaltet.

Die Karte im Zustand Aktuell. Sie sagt, dass alle Personen in Proton sind.

Was die Zustände bedeuten

Das Etikett neben dem Kartentitel zeigt den Zustand.

Aus: SCIM ist nicht eingerichtet, oder der Schalter ist aus. Es wird nichts übertragen. Folgen Sie In XFA einrichten.
Bereit: Die Verbindung funktioniert, aber noch nicht alle wurden übertragen. Klicken Sie auf Jetzt synchronisieren. Siehe Bereit.
Wird synchronisiert: Eine Synchronisierung läuft. Warten Sie. Die Karte aktualisiert sich von selbst.
Aktuell: Alle Personen in den erlaubten E-Mail-Domains sind in der Anwendung. Sie müssen nichts tun.
Aktion nötig: Die Anwendung hat einige Personen abgelehnt. Siehe Aktion nötig.
Nicht verbunden: Die Anwendung hat das Token abgelehnt, oder XFA erreicht sie nicht. Es wird nichts übertragen. Siehe Nicht verbunden.

Fehlerbehebung

Das Etikett neben dem Kartentitel zeigt, was nicht stimmt. Der Block darunter sagt, was zu tun ist. Unter Identitätsanbieter zeigt auch die Kachel der Verbindung, wie viele Personen nicht übertragen wurden.

Eine Verbindungskachel unter Identitätsanbieter. Sie sagt, dass 4 Personen nicht an Proton übertragen wurden, mit einem Link zum Ansehen.

Aktion nötig

Die Anwendung hat einige Personen abgelehnt. Klicken Sie auf N Personen ansehen, um die betroffenen Personen und den jeweiligen Grund zu sehen. Für Proton öffnet Proton-Verwaltung öffnen die Proton-Verwaltung in einem neuen Tab. Die Karte nennt die Anwendung, hier Proton. Die häufigsten Gründe:

Proton hat keine freien Lizenzen. Kaufen Sie mehr Lizenzen oder entfernen Sie ein Konto, das Sie nicht brauchen, in der Proton-Verwaltung. Klicken Sie dann auf Jetzt synchronisieren. Bei einer anderen Anwendung tun Sie dasselbe in dieser Anwendung.
Proton hat bereits ein Konto mit dieser E-Mail-Adresse. XFA konnte es nicht mit dieser Person verknüpfen. Entfernen oder benennen Sie dieses Konto in der Anwendung um und klicken Sie dann auf Jetzt synchronisieren.
Nicht übertragen: E-Mail-Domain in dieser Verbindung nicht eingetragen. Fügen Sie die Domain zu Erlaubte E-Mail-Domains auf der Verbindung hinzu oder zu den E-Mail-Domains Ihrer Organisation. Klicken Sie dann auf Jetzt synchronisieren.
Proton erlaubt das nicht. Prüfen Sie, ob das SCIM-Token Administratorrechte hat und ob der Plan der Anwendung SCIM enthält.

Die Karte im Zustand Aktion nötig. Sie sagt, dass 7 Personen nicht übertragen wurden, mit den Gründen und Links zum Ansehen der Personen und zur Proton-Verwaltung.

Bei anderen Gründen versucht XFA es von selbst erneut. Klicken Sie auf Jetzt synchronisieren, um es sofort erneut zu versuchen.

Nicht verbunden

Die Anwendung hat das SCIM-Token abgelehnt, zum Beispiel weil es abgelaufen ist. Die Übertragung ist pausiert. Klicken Sie auf Neues SCIM-Token einfügen, fügen Sie ein neues Token ein und klicken Sie auf Speichern. XFA überträgt dann die Änderungen, die gewartet haben.

Zeigt die Karte einen anderen Grund, prüfen Sie die SCIM-Basis-URL und das SCIM-Token und klicken Sie dann auf Verbindung testen.

Bereit

Die Verbindung funktioniert, aber noch nicht alle wurden übertragen. Klicken Sie auf Jetzt synchronisieren.

Die letzte Synchronisierung wurde nicht abgeschlossen

Eine Synchronisierung, die länger als 15 Minuten läuft, zeigt "Die letzte Synchronisierung wurde nicht abgeschlossen". Klicken Sie auf Jetzt synchronisieren.

Eine Warnung, dass XFA SCIM nicht prüfen konnte

Wenn Sie eine Person deaktivieren oder entfernen, kann der Dialog sagen: "XFA konnte die Einstellungen für automatische Konten von [Verbindung] gerade nicht lesen". XFA kann Ihnen dann nicht sagen, ob sich das Konto in der Anwendung auch ändert. Ist SCIM für diese Verbindung eingeschaltet, ändert es sich. Laden Sie die Seite neu. Wenn das weiter passiert, wenden Sie sich an support@xfa.tech.

Es klappt weiterhin nicht

Wenden Sie sich an support@xfa.tech. Nennen Sie den Namen der Verbindung und die Uhrzeit, zu der der Fehler auftrat.

Hinweise pro Anwendung

Hinweise zu Proton

Proton Pass und Proton VPN teilen sich das Single Sign-on von Proton, eine Verbindung deckt also beide ab. Proton rechnet pro Benutzer ab, jedes Konto, das XFA anlegt, belegt also eine Lizenz.

Proton dokumentiert das Anlegen und Löschen von Konten über SCIM. Um ein Konto auszuschalten, nutzt XFA einen SCIM-PATCH. Akzeptiert Proton kein PATCH, weicht XFA auf PUT aus. Lehnt Proton beides ab, zeigt die Karte Aktion nötig.

Hinweise zu anderen Anwendungen

SCIM-Provisioning funktioniert nur auf einer Identity-Provider-Verbindung, über die XFA Personen anmeldet. Es funktioniert nicht bei SAML-Proxy-Anwendungen oder Google-Workspace-Verbindungen.

Die Anwendung muss SCIM von einem eigenen Identity Provider akzeptieren, mit der E-Mail-Adresse als Benutzername. Manche Anwendungen brauchen zusätzliche Felder. Lehnt die Anwendung eine Person ab, zeigt Personen den Grund der Anwendung. Senden Sie ihn an support@xfa.tech.

Technische Details

XFA spricht SCIM 2.0 (RFC 7643, RFC 7644). XFA ist der Client, die Anwendung ist der Server.
userName ist die E-Mail-Adresse der Person, dieselbe, die XFA bei der Anmeldung nutzt.
externalId ist eine feste ID, die XFA für jede Person auf jeder Verbindung erzeugt. Sie ist nicht die XFA-Benutzer-ID.
XFA schaltet ein Konto mit PATCH (active false) aus, oder mit PUT, wenn die Anwendung kein PATCH hat. XFA entfernt ein Konto mit DELETE.
Die SCIM-Basis-URL muss eine öffentliche HTTPS-Adresse mit einem Hostnamen sein. Eine IP-Adresse, ein interner Host oder einfaches HTTP wird abgelehnt.
Eine fehlgeschlagene Übertragung wird nach 5, 15 und 60 Minuten wiederholt, dann alle 6 Stunden, bis zu 7 Tage lang.
Jede Nacht führt XFA eine vollständige Synchronisierung jeder Verbindung aus. Jetzt synchronisieren führt dieselbe Synchronisierung sofort aus. Sie repariert auch Änderungen, die jemand in der Anwendung gemacht hat.
Schutz vor Massenlöschung: Eine Synchronisierung, die mehr als 20 Konten und mehr als 20 Prozent der Konten auf der Verbindung löschen würde, löscht nichts. Die Karte zeigt Nicht verbunden mit dem Grund. Prüfen Sie Personen und die Anwendung und klicken Sie dann auf Jetzt synchronisieren. Wenn Sie wirklich so viele Personen entfernen, wenden Sie sich an support@xfa.tech.

Was XFA sendet

XFA sendet für jede Person die E-Mail-Adresse, den Vornamen, den Nachnamen und ob das Konto aktiv oder ausgeschaltet ist. Ein leerer Name in XFA löscht nie einen Namen in der Anwendung.

XFA sendet nicht die zweite E-Mail-Adresse, Passwörter, Geräte oder Richtlinien.