SCIM-Provisionierung und Offboarding mit Entra ID und Okta

Stellen Sie sich Kasia vor, das Ein-Personen-IT-Team eines Unternehmens mit 180 Mitarbeitenden. Am Freitagnachmittag verlässt ein Vertriebsmitarbeiter das Unternehmen. Kasia deaktiviert das Konto im Identitätsanbieter, entfernt den Laptop aus der Geräteverwaltung und schließt das Ticket.

Woran sie nicht denkt, ist das Tool für die Schreibtischbuchung. Das Konto des Ausgeschiedenen bleibt dort aktiv. Schlimmer noch: Er hatte einen fest zugewiesenen Parkplatz, P-14. Am Montag ist dieser immer noch ihm zugeordnet, also bucht ihn niemand, und er steht drei Wochen leer, bis jemand am Empfang nachfragt, warum.

Am selben Montag fängt eine neue Mitarbeiterin an und kann keinen Schreibtisch buchen, weil niemand ihr Konto angelegt hat. Zwei kleine Lücken, an jedem Ende des Mitarbeiterlebenszyklus eine, und beide entstehen, weil die Benutzerliste von Hand gepflegt wird.

SCIM schließt beide. So funktioniert es in Desk & Park, Schritt für Schritt.

Schritt 1: das Token in Desk & Park erzeugen

In den Organisationseinstellungen öffnet ein Admin die Karte Benutzerbereitstellung (SCIM). Sie zeigt zwei Dinge zum Kopieren:

den SCIM-Endpunkt (die Mandanten-URL, die Ihr Identitätsanbieter aufruft);
ein Token, erzeugt mit Token generieren.

Das Token wird genau einmal angezeigt. Desk & Park speichert nur einen Hash davon; wer es verliert, rotiert es also, statt es nachzuschlagen. Token rotieren macht das alte sofort ungültig, und Widerrufen stoppt die Bereitstellung umgehend. Die Karte zeigt anschließend, ob das Token noch auf die erste Synchronisierung wartet oder wann der Identitätsanbieter zuletzt synchronisiert hat.

Schritt 2: Microsoft Entra ID oder Okta verbinden

Microsoft Entra ID. Gehen Sie im Entra Admin Center zu Enterprise applications → New application → Create your own application (eine Nicht-Katalog-App). Wählen Sie unter Provisioning den Modus Automatic, fügen Sie den Endpunkt als Tenant URL und das Token als Secret Token ein und führen Sie Test Connection aus. In den Attributzuordnungen muss userName die E-Mail-Adresse sein (userPrincipalName oder mail); Vorname und Nachname werden auf Vor- und Nachname abgebildet; active steuert Aktivierung und Deaktivierung; department ist optional. Weisen Sie die Personen zu, die Zugriff erhalten sollen, und schalten Sie die Bereitstellung ein.

Okta. Verwenden Sie die SCIM 2.0 Test App (OAuth Bearer Token) aus dem Katalog oder Ihre eigene App mit aktiviertem SCIM. Setzen Sie die SCIM connector base URL auf den Endpunkt, das Feld für den eindeutigen Bezeichner auf userName und die Authentifizierung auf ein Bearer-Token im HTTP-Header. Aktivieren Sie Create Users, Update User Attributes und Deactivate Users und weisen Sie dann Personen zu.

SCIM ist in jedem Tarif verfügbar.

Schritt 3: was passiert, wenn jemand neu anfängt

Wenn Entra oder Okta eine neue Person übermittelt, legt Desk & Park das Konto an mit:

der E-Mail-Adresse als Login, Vor- und Nachname, der externen ID und, falls Sie es zuordnen, der Abteilung;
der Rolle Mitarbeiter;
ohne Passwort. Die Anmeldung erfolgt über Single Sign-on oder mit einem Einmalcode per E-Mail.

Am Montagmorgen öffnet die neue Mitarbeiterin also Desk & Park, meldet sich über den Identitätsanbieter des Unternehmens an und bucht einen Schreibtisch. Niemand in der IT hat das Buchungstool angefasst.

Kein Tarif begrenzt die Zahl der Benutzer, deshalb stößt die Bereitstellung nie an ein Benutzerkontingent: Jede Person, die Sie im Identitätsanbieter zuweisen, erhält ein Konto, auch im kostenlosen Start-Tarif.

Schritt 4: was passiert, wenn jemand das Team oder den Namen wechselt

Eine Änderung im Identitätsanbieter, etwa ein neuer Nachname oder ein Wechsel in eine andere Abteilung, wird bei der nächsten Synchronisierung übernommen. In Desk & Park sind diese Felder für den Benutzer dann gesperrt: Ein Admin, der Name oder Abteilung bearbeiten will, sieht, dass sie vom Identitätsanbieter verwaltet werden und dort geändert werden sollten. Eine einzige Quelle der Wahrheit und kein schleichendes Auseinanderdriften zweier Systeme.

Schritt 5: was passiert, wenn jemand geht

Das ist der Teil, auf den es Kasia ankommt. Sendet der Identitätsanbieter active: false oder löscht er den Benutzer, deaktiviert Desk & Park das Konto. Die Deaktivierung bewirkt drei Dinge auf einmal:

Alle Sitzungen enden sofort. Das umfasst auch Zugriffstoken, die bereits an den Browser oder das Telefon der Person ausgegeben wurden, nicht nur die Möglichkeit, sich erneut anzumelden.
Feste Zuweisungen werden freigegeben. Ein fest zugewiesener Schreibtisch oder Parkplatz geht zurück in den gemeinsamen Pool, und das Audit-Log listet auf, welche Plätze freigegeben wurden. Platz P-14 ist am Montag buchbar.
Die Historie bleibt. Vergangene Reservierungen bleiben erhalten und zählen in den Berichten weiterhin für die Zeiträume, zu denen sie gehören. Nichts wird endgültig gelöscht.

Kommt die Person zurück und wird im Identitätsanbieter wieder aktiviert, wird das Konto samt Historie wieder aktiv. Feste Zuweisungen werden nicht automatisch wiederhergestellt; ein Admin weist sie bei Bedarf neu zu.

Dieselbe Bereinigung läuft, wenn ein Admin jemanden in Desk & Park von Hand deaktiviert. Das Ergebnis hängt also nicht davon ab, welcher Weg genutzt wurde.

Eingebaute Schutzmechanismen

Ein Bereitstellungstoken ist ein mächtiger Zugangsschlüssel, deshalb ist SCIM bewusst eingeschränkt:

Es deaktiviert nie den letzten aktiven Admin der Organisation. Die Anfrage wird abgelehnt, sodass eine falsch konfigurierte Zuweisung im Identitätsanbieter nicht alle aussperren kann.
Es ändert nie die Login-E-Mail eines Kontos mit einer höher privilegierten Rolle. Über eine geänderte Login-Adresse eines Admins könnte ein gestohlenes Token dieses Konto übernehmen; diese Adressen ändert daher nur ein Admin in Desk & Park.
Jede SCIM-Änderung wird im Audit-Log festgehalten, unter dem Akteur scim-provisioning, neben allem anderen, was Admins tun.

Tipps aus der Praxis

Kombinieren Sie SCIM mit SSO. SCIM legt das Konto an; Single Sign-on meldet die Person an. Desk & Park legt bei einer ersten SSO-Anmeldung keine Konten an; SCIM ist es also, was die Benutzerliste vollständig hält.
Ordnen Sie die Abteilung zu. Sie speist die Abteilungsberichte, sodass die Zahlen aus der Dimensionierung einer Abteilung ohne manuelle Nacharbeit stimmen.
Testen Sie zuerst mit einer Person. Weisen Sie einen einzelnen Testbenutzer zu, prüfen Sie, ob das Konto mit dem richtigen Namen und der richtigen Abteilung erscheint, deaktivieren Sie es und bestätigen Sie, dass die Sitzungen enden und ein fester Platz freigegeben wird.
Speichern Sie das Token nur in Ihrem Identitätsanbieter. War es irgendwo anders, rotieren Sie es.
Halten Sie zwei Admins vor. Die Regel zum letzten Admin schützt Sie, aber zwei aktive Admins erleichtern jede Änderung.

Umfang: was SCIM nicht leistet

Desk & Park stellt nur Benutzer bereit. Gruppen werden nicht synchronisiert, und Rollen werden nicht über SCIM gesetzt: Alle kommen als Mitarbeiter an, und Admins vergeben andere Rollen in Desk & Park. Auch Teams werden nicht zugeordnet, die Abteilung schon. Eine direkte Integration mit HR-Systemen gibt es nicht; SCIM läuft zwischen Ihrem Identitätsanbieter und Desk & Park. Entra ID und Okta werden über ihre Standard-SCIM-Verbindungen unterstützt (eine eigene App in Entra, die SCIM-Test-App oder Ihre eigene App in Okta), nicht über einen zertifizierten Katalogeintrag.

FAQ

Kostet SCIM in Desk & Park extra?

Nein. Die SCIM-Bereitstellung ist in jedem Tarif verfügbar, auch im kostenlosen Start-Tarif. Die Tarife begrenzen die Zahl der Benutzer nicht, daher gibt es auch keine Obergrenze für Konten, die über SCIM angelegt werden.

Was passiert mit dem festen Schreibtisch oder Parkplatz einer ausgeschiedenen Person?

Deaktiviert oder löscht der Identitätsanbieter den Benutzer, gibt Desk & Park dessen feste Schreibtisch- und Parkplatzzuweisungen an den gemeinsamen Pool zurück und hält im Audit-Log fest, welche Plätze freigegeben wurden. Kolleginnen und Kollegen können sie sofort buchen.

Wird ein deaktivierter Benutzer sofort abgemeldet?

Ja. Die Deaktivierung widerruft alle Sitzungen der Person, auch bereits ausgegebene Zugriffstoken. Ein offener Browser-Tab oder ein Telefon lässt sich also nicht weiter nutzen.

Können wir über SCIM Rollen vergeben oder Gruppen synchronisieren?

Nein. SCIM in Desk & Park verarbeitet nur Benutzer. Neue Konten erhalten die Rolle Mitarbeiter, und Admins ändern Rollen in Desk & Park. Gruppen werden nicht bereitgestellt.

Brauchen Personen nach der Bereitstellung ein Passwort?

Nein. Über SCIM angelegte Konten haben kein Passwort. Die Anmeldung erfolgt über das Single Sign-on Ihrer Organisation oder mit einem Einmalcode per E-Mail.