Verwalten und Bereitstellen von Benutzern mit SCIM

Dieser Artikel richtet sich an:

Sicherheitsadministratoren für die Organisation

Überblick über SCIM

Wichtig: Um die SCIM-Unterstützung für Ihr Unternehmen zu konfigurieren, müssen Sie ein Org Security Admin sein.

Was ist SCIM?

System for Cross-Domain Identity Management (SCIM) ist eine offene Spezifikation, die die Verwaltung von Benutzeridentitäten einfach und automatisch gestalten soll. Mit SCIM können Sie die Erstellung und Sperrung von Workiva-Benutzern automatisch über SCIM-fähige Identitätsanbieter wie Okta, SailPoint IdentityIQ, PingFederate, OneLogin, Azure Active Directory und andere verwalten.

Darüber hinaus unterstützt SCIM Gruppen, um die Verwaltung von Organisationsrollen, Arbeitsbereichsmitgliedschaften, Arbeitsbereichsrollen und Arbeitsbereichsgruppen zu ermöglichen. So können Sie den gesamten Benutzer-Lebenszyklus über Ihren bevorzugten Identitätsanbieter verwalten.

SCIM verwendet die neueste Version der Norm, SCIM 2.0, die 2015 veröffentlicht wurde. Der Dienst wird über HTTPS erreicht, genau wie Ihr Browser es heute tut, und erfordert keine neuen Firewall-Regeln oder Netzwerkänderungen.

Hinweis: Workiva unterstützt nur Konfigurationen für kommerzielle oder frei verfügbare SCIM-Clients und hilft bei der Fehlersuche.

Unterstützte SCIM-Funktionen

Es werden die folgenden Bereitstellungsfunktionen unterstützt:

Neue Benutzer erstellen
Neue Benutzer, die im Identity Provider zugewiesen wurden, werden auch in der Workiva-Plattform erstellt.
Nicht zugewiesene Benutzer deaktivieren
Wenn Sie die Zuweisung von Benutzern im Identity Provider aufheben, wird der Benutzer in der Workiva-Plattform suspendiert.
Deaktivierung von Nutzern
Die Deaktivierung von Nutzern im Identity Provider führt zur Sperrung des Nutzers in der Workiva-Plattform
Profilaktualisierungen
Aktualisierungen, die über den Identity Provider am Profil eines Benutzers vorgenommen werden, werden in der Workiva-Plattform aktualisiert.
Neue Benutzer importieren
Neue Benutzer, die in der Workiva-Plattform erstellt wurden, können in den Identity Provider importiert und bestehenden oder neuen Benutzern zugeordnet werden.
Benutzer reaktivieren
Die Reaktivierung eines Benutzers oder die Neuzuweisung eines Benutzers im Identity Provider aktiviert diesen Benutzer in der Workiva-Plattform
Gruppen-Push
Die Workiva-Berechtigungen eines Benutzers, einschließlich Organisationsrollen, Workspace-Mitgliedschaften, Workspace-Rollen und Workspace-Gruppenmitgliedschaften, können von bestehenden Identity Provider-Gruppen verwaltet werden.

SCIM und SAML-Single Sign-On

SCIM sollte in Verbindung mit SAML-basiertem Single Sign-On (SSO) verwendet werden, das den Zugang zu Workiva über Ihren Identitätsanbieter (IdP) ermöglicht. Bevor Sie die SCIM-Einstellungen konfigurieren, vergewissern Sie sich, dass Sie Grundlagen von SAML Single Sign-On und Konfigurieren von SAML Single Sign-On gelesen haben.

Wichtig: Bitte bestätigen Sie, dass alle Workiva-Benutzernamen eine einheitliche Namenskonvention haben und mit der Art und Weise übereinstimmen, wie das SCIM-Tool Benutzer erstellen wird.

Schritt 1: Bereitstellung erstellen

So erstellen Sie die Identitätsbereitstellung und generieren die SCIM-API-Anmeldedaten:

Klicken Sie oben rechts auf das Benutzersymbol und wählen Sie Admin aus der Dropdown-Liste.
Wählen Sie dann Organization admin aus dem Dropdown-Menü.
Wählen Sie auf der Seite Organization Admin im linken Menübereich Security und dann die Registerkarte Provisioning aus.
Klicken Sie auf Identität hinzufügen oder API.
Wählen Sie Identity Provider in der Dropdown-Liste.

Die folgenden Anweisungen beziehen sich auf einen Identitätsanbieter. Für eine API-Zuteilung, siehe Erstellen und Verwalten von API-Zuteilungen in Organization Admin.
Erforderliche Felder ausfüllen:
- Legen Sie einen Vollständigen Namen für Ihre Organisation. Dieser Name sollte das System beschreiben, das die Benutzer an Workiva sendet, z.B. ‚Okta Production‘.
- Legen Sie einen Workiva-Benutzernamen fest. Die SCIM-Aktionen im Aktivitätsprotokoll werden diesem Benutzer zugeordnet, und es werden API-Anmeldeinformationen für ihn generiert.
  
  Wir empfehlen, einen speziellen SCIM-API-Benutzer mit den folgenden Rollen anzulegen:
  - Org User Admin (erforderlich zum Erstellen, Deaktivieren und Aktualisieren von Benutzern)
  - Org Security Admin (erforderlich, wenn SCIM Security Admin-Rollen verwaltet)
  - Org Workspace Admin (erforderlich, wenn SCIM Workspace-Mitgliedschaften, Rollen und Gruppen verwaltet)
  - Workiva AI User (erforderlich, wenn SCIM AI-Rollen verwaltet)
  - Org Chain Security Admin (erforderlich, wenn SCIM Chains-Rollen verwaltet)
  SCIM kann nur Rollen zuweisen und verwalten, die dieser Benutzer bereits hat.
  
  Dieses Konto muss eine gültige E-Mail-Adresse haben, um API-Tokens zu generieren. Wenn du später den Workiva-Benutzernamen änderst, wird das aktuelle Geheimnis ungültig, und nur der neue Benutzer kann auf das neue Geheimnis zugreifen.
  
  Nur dieser Benutzer kann das Geheimnis des Identitätsanbieters unter Mein Profil > Sicherheit einsehen.
  
  Hinweis: Wenn der SCIM-API-Benutzer keine Rolle hat, kann SCIM diese Rolle nicht für andere Benutzer zuweisen oder verwalten. Um zum Beispiel Workiva AI User oder Org Chain Security Admin Rollen über SCIM bereitzustellen, weisen Sie diese Rollen zuerst dem SCIM API Benutzer zu.
  
  Erfahren Sie, wie Sie unter eine Organisationsrolle aktualisieren und sehen Sie, welche Rollen zugewiesen werden müssen.
- Legen Sie einen Anmeldedatentyp fest. Schauen Sie in der Dokumentation Ihres Identitätsanbieters nach, um festzustellen, welche Sie verwenden müssen.
  - Die Workiva-Anwendung in OIN unterstützt nur Basic Auth.
  - Eine anpassbare, in Okta erstellte App kann Bearer-Token unterstützen.
  - Wenn Sie Azure verwenden, wählen Sie Bearer-Token.
- Geben Sie optional eine Beschreibung für diesen Identitätsanbieter ein.
- Geben Sie unter Administrator-Kontakt den vollständigen Namen und die E-Mail-Adresse eines technischen Ansprechpartners in Ihrer IT-Abteilung ein, den wir im Falle von Problemen oder zur Mitteilung künftiger Funktionserweiterungen kontaktieren können.
Klicken Sie zum Abschluss auf Bereitstellung erstellen.

create provisioning.png

Schritt 2: ID- und URL-Werte beziehen

Sie benötigen die Identitäts-Provisioning-ID und URL-Werte für Schritt 4: Identitätsanbieter konfigurieren. So erhalten Sie diese Werte:

Gehen Sie im Organisationsadministrator auf Sicherheit > Bereitstellung.
Suchen Sie unter dem Abschnitt Identitätsanbieter Ihre Bereitstellung und kopieren Sie die Werte ID und URL.

id and url.png

Schritt 3: Basic Auth oder Bearer-Tokens erhalten

Um die neuen Basic Auth- oder Bearer-Tokens zu erhalten, müssen Sie sich bei der Workiva-Anwendung mit dem Workiva-Benutzernamen des SCIM-Benutzers anmelden, den Sie in Schritt 1: Bereitstellung erstellen angegeben haben:

Stellen Sie sicher, dass das SCIM-Benutzerkonto eine gültige E-Mail-Adresse hat, auf die Sie zugreifen können, und dass der Benutzer einem Arbeitsbereich hinzugefügt wurde. Der Grund dafür ist, dass eine Bestätigungs-E-Mail an die E-Mail-Adresse des Benutzers geschickt wird, um sich anzumelden.

Hinweis: Wenn SAML SSO erforderlich ist, müssen Sie diesen SCIM-Benutzer als einen SAML SSO-Bypass-Benutzer hinzufügen, um sich mit Benutzernamen und Passwort anzumelden.
Rufen Sie den Workiva-Anmeldebildschirm auf und melden Sie sich mit dem Workiva-Benutzernamen und -Kennwort des SCIM-Benutzers an (wenn Sie bisher SAML SSO für die Anmeldung verwendet haben, müssen Sie zunächst auf Benutzer ändern klicken).
Klicken Sie in der Workiva-Plattform auf das Profilsymbol oben rechts und gehen Sie zu Mein Profil > Sicherheit.
Klicken Sie im Abschnitt Identitätsanbieter auf den Dropdown-Pfeil Aktionen neben Ihrer Identitäts-Provisioning und klicken Sie auf Neu generieren.
Klicken Sie zur Bestätigung auf Regenerieren.
Sie sehen das Basic Auth-Secret und Bearer-Token-Secret. Schreiben Sie diese Secrets an einem sicheren Ort auf, denn Sie werden diese Secrets nie wieder sehen können.

Schritt 4: Konfigurieren Sie Ihren Identitätsanbieter

Nachdem Sie einen Identitätsprovider erstellt haben, können Sie Ihre cloudbasierte oder lokale Identitätsanbieter-Software konfigurieren, um eine Verbindung zu Workiva herzustellen.

Stellen Sie sicher, dass Sie eine Verbindung mit SCIM 2.0 einrichten, da wir frühere Versionen des SCIM-Protokolls nicht unterstützen.
Wenn Sie den Anmeldetyp „Basisauthentifizierung“ verwenden, beachten Sie, dass Verweise auf „Benutzername“ in Ihrer Identitätsanbieter-Software gleichbedeutend mit „ID“ und „Kennwort“ gleichbedeutend mit „Anmeldedaten“ sind.

Im Folgenden erfahren Sie, wie Sie gängige Identitätsanbieter konfigurieren können, oder konsultieren Sie die Dokumentation und die Supportkanäle Ihres Anbieters, wenn Sie Hilfe benötigen.

Okta
Azure

Melden Sie sich bei Ihrer Okta-Organisation als Administrator an.
Öffnen Sie das Administratorportal.
Öffnen Sie Ihre Workiva-App-Instanz.
Gehen Sie auf die Registerkarte Bereitstellung.
Klicken Sie im Abschnitt Einstellungen auf API-Einbindung konfigurieren.
Geben Sie die URL- und ID-Werte ein, die Sie unter Schritt 2: ID- und URL-Werte beziehen.
Abhängig von der Art der Berechtigung, die Sie in Schritt 1: Bereitstellung erstellen ausgewählt haben, geben Sie das Basic Auth oder Bearer-Token ein, das Sie in Schritt 3: Basic Auth oder Bearer-Token beziehen als Kennwort ein.
Klicken Sie auf API-Anmeldedaten testen. Wenn der Test erfolgreich war, klicken Sie auf Speichern.
Klicken Sie auf Zur App und scrollen Sie nach unten, um die Bereitstellungsfunktionen auszuwählen, die Sie aktivieren möchten. Wir empfehlen die Aktivierung von Benutzer erstellen, Benutzerattribute aktualisieren und Benutzer deaktivieren. Belassen Sie die Zuordnungen der Benutzer zu den Okta-Standardattributen wie bisher.
Klicken Sie auf Speichern. Sie sind nun bereit, Benutzer über Okta auf der Workiva-Organisationsebene über die Registerkarte Zuweisungen automatisch bereitzustellen und zu deaktivieren.

Optional können Sie die Push-Gruppen-Funktion von Okta für die Verwaltung von Benutzerrollen, Arbeitsbereichsmitgliedschaften und Arbeitsbereichsgruppenmitgliedschaften nutzen:

Gehen Sie auf die Registerkarte Push-Gruppen und klicken Sie auf das Symbol „Einstellungen“.

Hinweis: Workiva unterstützt den Import von Gruppen.

Deaktivieren Sie die Einstellung App-Gruppen umbenennen, damit sie mit dem Gruppennamen in Okta übereinstimmen. Klicken Sie auf Speichern. Damit ist es nicht mehr möglich, eine Gruppe in Workiva umzubenennen, wenn Sie Verknüpfungen herstellen.
Klicken Sie auf App-Gruppen aktualisieren, um alle Importe oder Änderungen, die in Workiva vorgenommen wurden, zu aktualisieren und sicherzustellen, dass alle Gruppen aus Workiva in Okta vertreten sind.
Klicken Sie auf das Dropdown-Menü Push-Gruppen und wählen Sie Gruppen nach Namen suchen.
Um Benutzerrollen, Arbeitsbereichsmitgliedschaften und Arbeitsbereichsgruppen von Okta mit Workiva zu synchronisieren, verknüpfen Sie die Okta-Gruppen mit den Workiva-Gruppen. Dies muss für jeden Benutzer, jede Arbeitsbereichsmitgliedschaft und jede Arbeitsbereichsgruppenmitgliedschaft ausgefüllt werden, die Okta kontrollieren soll.

Hinweis: Okta muss SCIM-Gruppen anhand ihrer Anzeigenamen pushen/abrufen und dabei der unter beschriebenen Konvention folgen. Schritt 5: Verwalten von Benutzerrollen und -gruppen.

Hinweis: Es wird nur die Verknüpfung von Okta-Gruppen mit SCIM-Gruppen unterstützt.
Klicken Sie auf Speichern.
Die Push-Gruppen erscheinen dann in der Liste der Push-Gruppen mit dem Status Aktiv, wenn die Verknüpfung erfolgreich war.

Erforderliche Okta-Attribute und -Ausdrücke

Diese Tabelle listet jeden Standardattributnamen in Okta mit dem dazugehörigen Ausdruck auf.

Attributname	Okta-Ausdruck
`userName`	`userName`
`givenName`	`user.firstName`
`Familienname`	`benutzer.nachname`
`E-Mail`	`benutzer.email`
`displayName`	`user.displayName`

Erstellen Sie eine benutzerdefinierte Anwendung für die Bereitstellung, da die Workiva-Galerie-App derzeit kein SCIM unterstützt. Klicken Sie auf Eigene erstellen und geben Sie Workiva als Namen ein. Wählen Sie die Option Jede andere Anwendung integrieren, die Sie nicht in der Galerie finden (nicht Galerie) und klicken Sie dann auf Erstellen.
Sobald die benutzerdefinierte Anwendung erstellt wurde, melden Sie sich als Administrator bei Ihrer Azure-Organisation an.
Öffnen Sie das Administratorportal.
Öffnen Sie Ihre Workiva-App-Instanz.
Gehen Sie auf Bereitstellung, und klicken Sie auf Erste Schritte.
Setzen Sie den Bereitstellungsmodus auf Automatisch.
Geben Sie die URL ein, die Sie von Schritt 2: Beziehen Sie die Werte für ID und URL in das Azure-Feld Mandanten-URL.

Hinweis: Es gibt ein bekanntes Problem bei der Verwaltung von Gruppen in Azure. Um dieses Problem zu umgehen, hängen Sie "?aadOptscim062020" an das Ende der Mandanten-URL an. Siehe hier für weitere Details.
Geben Sie das Bearer-Token, das Sie in Schritt 3: Beziehen Sie Basic Auth oder Bearer-Tokens in das Azure-Feld Geheimes Token erhalten haben.
Klicken Sie auf Verbindung testen. Wenn der Test erfolgreich war, klicken Sie auf Speichern.
Klicken Sie im Abschnitt Zuordnungen auf Azure Active Directory-Benutzer bereitstellen.
Setzen Sie auf der Seite Attribut-Zuordnung Aktiviert auf Ja.
Wählen Sie unter Zielobjekt-Aktionen, Erstellen und Update. Wählen Sie nicht die Option „Löschen“, da Workiva die Benutzerprofile nicht löscht, sondern nur deaktiviert.

Ordnen Sie die Attribut-Zuordnungen wie in der folgenden Tabelle gezeigt zu:

Attribut customappsso	Microsoft Entra ID-Attribut
userName	mail
active	Switch([IsSoftDeleted], , „False“, „True“, „True“, „False“)
displayName	displayName
Titel	jobTitle
emails[type eq “work”].value	mail
preferredLanguage	preferredLanguage
name.givenName	givenName
name.familyName	surname
externalId	mailNickname

Optional können Sie die Push-Gruppen-Funktion von Azure für die Verwaltung von Benutzerrollen, Arbeitsbereichsmitgliedschaften und Arbeitsbereichsgruppenmitgliedschaften nutzen:

Klicken Sie im Abschnitt Bereitstellung > Zuordnungen auf Azure Active Directory-Gruppen bereitstellen.
Setzen Sie auf der Seite Attribut-Zuordnung Aktiviert auf Ja.
Fügen Sie dem Feld Quellenobjekt-Geltungsbereich zwei Scoping-Filter hinzu. Dieser Quellenobjekt-Geltungsbereich ermöglicht es Azure, eine übergreifende Workiva-Gruppe zu erstellen, die nicht als Gruppe synchronisiert wird, um Fehler in den Protokollen zu vermeiden.
- Für den ersten Scoping-Filter:
  - Setzen Sie Quellenattribut auf Beschreibung.
  - Setzen Sie Operator auf UMFASST.
  - Setzen Sie Klauselwert auf Arbeitsbereich:
  - Geben Sie den Titel des Scoping-Filters als Arbeitsbereichsfilter ein.
- Für den zweiten Scoping-Filter:
  - Setzen Sie Quellenattribut auf Beschreibung.
  - Setzen Sie Operator auf UMFASST.
  - Setzen Sie Klauselwert auf Rolle:
  - Geben Sie den Titel des Scoping-Filters als Rollenfilter ein.
Wählen Sie unter Zielobjekt-Aktionen, Update.

Ordnen Sie die Attribut-Zuordnungen wie in der folgenden Tabelle gezeigt zu:

Attribut customappsso	Microsoft Entra ID-Attribut
displayName	description*
externalId	objectId
Mitglieder	Mitglieder

*Dieses Quellattribut kann sich je nach Umgebung und Richtlinien ändern.

Um Benutzer, Arbeitsbereichsmitgliedschaften und Arbeitsbereichsgruppen von Azure mit Workiva zu synchronisieren, muss Azure SCIM-Gruppen anhand ihres Anzeigenamens, ihres benutzerdefinierten Ausdrucks oder ihrer Beschreibung (falls die Richtlinie dies zulässt) pushen/pullen, und zwar gemäß der spezifischen Konvention, die in Schritt 5: Verwalten von Benutzerrollen und -gruppen beschrieben ist. Dieser Prozess muss für jeden Benutzer, jede Arbeitsbereichsmitgliedschaft und jede Arbeitsbereichsgruppenmitgliedschaft ausgefüllt werden, die Azure kontrollieren soll.

Hinweis: Wenn die Richtlinie Azure erlaubt, das Attribut description einer Azure-Sicherheitskontrollgruppe zu ändern, dann können Sie SCIM-Gruppen anhand ihrer Beschreibung pushen/pullen. Dadurch kann Azure die bestehende Namenskonvention für Azure-Gruppen im Verzeichnis beibehalten. Setzen Sie dazu die Attributzuordnung auf: customappsso Attribut displayName zu Microsoft Entra ID Attribut description.
Gehen Sie zurück zu Bereitstellung, und setzen Sie im Abschnitt Einstellungen den Geltungsbereich auf Nur zugewiesene Benutzer und Gruppen synchronisieren.
Setzen Sie Bereitstellungsstatus auf Ein.
Gehen Sie zurück zur Hauptseite Bereitstellung unter der Workiva-App-Instanz und klicken Sie auf Bereitstellung auf Abruf, um zu testen, ob die Benutzer in Workiva korrekt bereitgestellt werden.

Hinweis: Es kann zu einem Fehler kommen, wenn Sie versuchen, eine Workiva All Users Gruppe zu pushen, da Azure versucht, die Gruppe als Gruppe und nicht als Benutzer zu pushen.
Sobald die Tests erfolgreich verlaufen sind, klicken Sie auf Bereitstellung starten, wodurch der erste Bereitstellungszyklus von Azure gestartet wird. Das Bereitstellungsintervall ist auf 40 Minuten eingestellt und kann je nach Bevölkerungsgröße und Push-Gruppen eine Weile dauern.

Schritt 5: Verwalten von Benutzerrollen und Gruppen

Sie können Organisationsrollen, Arbeitsbereichsmitgliedschaften, Arbeitsbereichsrollen und Arbeitsbereichsgruppen über SCIM-Gruppen zuweisen. Um SCIM-Gruppen für die Verwaltung von Mitgliedschaften und Rollen zu verwenden, muss Ihr Identitätsanbieter SCIM-Gruppen anhand ihrer Anzeigenamen (oder Beschreibungen, wenn Azure verwendet wird oder die Richtlinie dies zulässt) nach einer bestimmten, unten beschriebenen Konvention schieben/ziehen.

Anspruchsberechtigung	Namensformat anzeigen	Details
Organisationsrolle	Rolle:<role name>	Personen, die einer Gruppe mit diesem Namen zugeordnet sind, wird die angegebene Organisationsrolle zugewiesen. Wenn Sie beispielsweise einen Benutzer zur SCIM-Gruppe „Rolle:Sicherheitsadministrator der Organisation“ hinzufügen, erhält dieser Benutzer die Organisationsrolle „Sicherheitsadministrator der Organisation“.
Mitglied des Arbeitsbereichs	Arbeitsbereich:<Name des Arbeitsbereichs>	Personen, die einer Gruppe mit diesem Namen zugeordnet sind, werden als Mitglieder des angegebenen Arbeitsbereichs hinzugefügt, und eine E-Mail-Benachrichtigung, die sie im Arbeitsbereich willkommen heißt, wird ausgelöst. Wenn Sie beispielsweise einen Benutzer zur SCIM-Gruppe „Arbeitsbereich:ABC Corp internes Audit“ hinzufügen, erhält der Benutzer Zugriff auf den Arbeitsbereich „ABC Corp internes Audit“ und die Standardrolle „Arbeitsbereichsmitglied“.
Arbeitsbereichsrolle	Arbeitsbereich:<Name des Arbeitsbereichs>:Rolle:<Name der Arbeitsbereichsrolle>	Personen, die einer Gruppe mit diesem Namen zugewiesen sind, erhalten die angegebene Arbeitsbereichsrolle im angegebenen Arbeitsbereich. Sie müssen bereits Mitglied im Arbeitsbereich sein. Wenn sie noch kein Mitglied im Arbeitsbereich sind, wartet unser System bis zu 30 Sekunden lang darauf, dass Ihr Identitätsanbieter die Aufnahme des Benutzers in den Arbeitsbereich beantragt. Wenn sie vor Ablauf der Zeit hinzugefügt werden, wird die Aktion fortgesetzt und erfolgreich abgeschlossen. Das Hinzufügen eines Benutzers zur SCIM-Gruppe „Arbeitsbereich:ABC Corp internes Audit:Rolle:Manager“ beispielsweise verleiht dem Benutzer die Rolle „Manager“ im Arbeitsbereich „ABC Corp internes Audit“.
Arbeitsbereichsgruppe	Arbeitsbereich:<Name des Arbeitsbereichs>:Gruppe:<Name der Arbeitsbereichsgruppe>	Personen, die einer Gruppe mit diesem Namen zugeordnet sind, werden zu der angegebenen Arbeitsbereichsgruppe im angegebenen Arbeitsbereich hinzugefügt. Sie müssen bereits Mitglied im Arbeitsbereich sein. Wenn sie noch kein Mitglied im Arbeitsbereich sind, wartet unser System bis zu 30 Sekunden lang darauf, dass Ihr Identitätsanbieter die Aufnahme des Benutzers in den Arbeitsbereich beantragt. Wenn sie vor Ablauf der Zeit hinzugefügt werden, wird die Aktion fortgesetzt und erfolgreich abgeschlossen. Wenn Sie beispielsweise einen Benutzer zur SCIM-Gruppe „Arbeitsbereich:ABC Corp internes Audit:Gruppe:Editoren“ hinzufügen, wird der Benutzer zur Arbeitsbereichsgruppe „Editoren“ im Arbeitsbereich „ABC Corp internes Audit“ hinzugefügt.

Einschränkungen und Best Practices

Wenn Sie mit SCIM-Benutzern, -Rollen und -Gruppen arbeiten, sollten Sie einige Dinge beachten:

Wir empfehlen dringend, ein eigenes API-Benutzerkonto für die Bereitstellung einzurichten, da der SCIM-Dienst im Namen dieses Benutzers arbeitet. SCIM-Aktionen im Aktivitätsprotokoll werden dem von Ihnen ausgewählten Benutzer zugeordnet, der die Rollen Benutzeradministrator der Organisation, Arbeitsbereichsadministrator der Organisation und Sicherheitsadministrator der Organisation haben muss.
Die Kennwortsynchronisierung wird nicht unterstützt.
Benutzer, die von einer anderen Organisation in die Organisation eingeladen wurden (z.B. Auditoren oder externe Berater), können nicht von SCIM verwaltet werden. Wenn Ihr Unternehmen die vollständige Kontrolle über Benutzer von Drittanbietern innerhalb Ihrer Workiva-Organisation haben möchte, müssen Sie für diese ein Identitätsanbieterkonto erstellen, anstatt den Benutzer von einer anderen Organisation hinzuzufügen.
Die Felder Vorname, Nachname, Anzeigename und E-Mail-Adresse sind für alle Benutzer erforderlich.
Diakritische Zeichen sind in den Namensfeldern nicht erlaubt. Wenn Sie Benutzer haben, die diese Zeichen in ihrem Namen haben, empfehlen wir, die Zuordnungen zu ändern, um sie zu ersetzen.
Wenn Sie SCIM-Gruppen verwenden, um einen Benutzer zu einer Arbeitsbereichsrolle oder Arbeitsbereichsgruppe hinzuzufügen, muss der hinzuzufügende Benutzer bereits Mitglied im Arbeitsbereich sein (siehe Schritt 5: Verwalten von Benutzerrollen und -gruppen für weitere Details). Wenn sie noch kein Mitglied im Arbeitsbereich sind, wartet unser System bis zu 30 Sekunden lang darauf, dass Ihr Identitätsanbieter die Aufnahme des Benutzers in den Arbeitsbereich beantragt. Wenn sie vor Ablauf der Zeit hinzugefügt werden, wird die Aktion fortgesetzt und erfolgreich abgeschlossen.
Bei der Zuweisung von Benutzern im Bulk-Verfahren (mehr als 20) in Arbeitsbereichsrollen oder -gruppen sollte sichergestellt werden, dass die Benutzer zunächst eine Arbeitsbereichsmitgliedschaft erhalten und dann in nachfolgenden Aufrufen Ihres Identitätsanbieters Arbeitsbereichsrollen oder Arbeitsbereichsgruppen zugewiesen werden. Diese Reihenfolge stellt sicher, dass die Benutzer ordnungsgemäß zu einem Arbeitsbereich hinzugefügt wurden, bevor weitere Änderungen, wie z. B. das Hinzufügen von Arbeitsbereichsrollen, versucht werden.

Fehlermeldungen

Alte Nachricht	Neue Nachricht	Ursache des Fehlers	Lösung
'{ATTRIBUTE NAME}' nicht gefunden	Ungültiger '{ATTRIBUTE NAME}'	Der angegebene Wert für '{ATTRIBUTE NAME}' ist ungültig	Prüfen Sie, ob der Wert für '{ATTRIBUTE NAME}' korrekt ist
'{ATTRIBUTE NAME}' existiert nicht	Ungültiger '{ATTRIBUTE NAME}'	Der angegebene Wert für '{ATTRIBUTE NAME}' ist ungültig	Prüfen Sie, ob der Wert für '{ATTRIBUTE NAME}' korrekt ist
'{ATTRIBUTE NAME}' existiert bereits	Der '{ATTRIBUTE NAME}' existiert bereits	Der angegebene Wert für '{ATTRIBUTE NAME}' existiert bereits	Geben Sie einen eindeutigen Wert für '{ATTRIBUTE NAME}' ein
'{ATTRIBUTE NAME}' enthält ungültige Leerzeichen	Der '{ATTRIBUTE NAME}' enthält ungültige Leerzeichen	Der angegebene Wert für '{ATTRIBUTE NAME}' darf keine Leerzeichen enthalten	Leerzeichen entfernen
'{ATTRIBUTE NAME}' enthält ungültige Zeichen	'{ATTRIBUTE NAME}' enthält ungültige Zeichen	Der angegebene Wert für '{ATTRIBUTE NAME}' ist ungültig	Geben Sie einen gültigen Wert für '{ATTRIBUTE NAME}' ein
'{ATTRIBUTE NAME}' enthält '=', was nicht erlaubt ist	'{ATTRIBUTE NAME}' enthält das ungültige Zeichen '='	Der angegebene Wert für '{ATTRIBUTE NAME}' enthält ein ungültiges Zeichen	Geben Sie einen gültigen Wert für '{ATTRIBUTE NAME}' ein
'{ATTRIBUTE NAME}' ist zu lang	'{ATTRIBUTE NAME}' darf nicht mehr als 255 Zeichen umfassen	Der angegebene Wert für '{ATTRIBUTE NAME}' ist zu lang	Geben Sie einen Wert ein, der 255 Zeichen oder weniger umfasst
Der Endpunkt existiert nicht	Ungültiger Endpunkt	Der angegebene Endpunkt ist ungültig	Prüfen Sie die Schemadefinition
Methode nicht erlaubt	Nicht unterstützte HTTP-Methode	Sie haben versucht, eine HTTP-Methode zu verwenden, die von dem Endpunkt nicht unterstützt wird	Prüfen Sie, welche HTTP-Methoden vom Zielendpunkt unterstützt werden
Rollenname kann nicht geändert werden	Rollenname kann nicht geändert werden	Sie haben versucht, einen Rollennamen zu ändern	Rollennamen können nicht geändert werden
Sie haben Ihren Gruppennamen falsch formatiert, indem Sie eine ungültige Kennung für den Arbeitsbereich angegeben haben	Ungültiger 'workspaceName'	Der angegebene Name des Arbeitsbereichs ist ungültig	Prüfen Sie, ob der Name des Arbeitsbereichs korrekt ist
Muss eine korrekt formatierte E-Mail Adresse sein	Ungültige E-Mail Adresse	Die angegebene E-Mail Adresse ist ungültig	Geben Sie eine gültige E-Mail Adresse ein
Die E-Mail-Domäne ist nicht zulässig.	Die E-Mail-Domäne wurde eingeschränkt	Die angegebene E-Mail-Domäne wurde eingeschränkt	Verwenden Sie eine andere E-Mail-Domäne, oder entfernen Sie die E-Mail-Domäne aus den Domäneneinschränkungen unter Sicherheit > Zugriffsbeschränkungen > E-Mail-Domänen.
Ungültige Zeitzone	Ungültige Zeitzone	Die angegebene Zeitzone ist ungültig	Geben Sie eine gültige Zeitzone ein
Ungültiges Gebietsschema	Ungültiges Gebietsschema	Das angegebene Gebietsschema ist ungültig	Geben Sie ein gültiges Gebietsschema ein. Die gültigen Gebietsschemata sind "de_DE", "en_US", "es_AR", "es_ES", "es_MX", "fr_FR", "fr_CA", "it_IT", "nl_NL", "pl_PL", "zh_CN", "zh_TW", "ja_JP", "ko_KR" und "pt_BR".
OfficePhone ist zu lang	Ungültige Telefonnummer	Die angegebene Rufnummer ist ungültig	Geben Sie eine gültige Telefonnummer ein, oder wenden Sie sich an den technischen Support
Ungültiger Vergleichswert bei...	Ungültiger 'Filter'-Ausdruck	Der angegebene Filterausdruck ist ungültig	Siehe https://datatracker.ietf.org/doc/html/rfc7644#section-3.4.2.2
Unerwartetes Zeichen '@' an Position 18 für Token beginnend bei 0	Ungültiger 'Filter'-Ausdruck	Der angegebene Filterausdruck ist ungültig	Siehe https://datatracker.ietf.org/doc/html/rfc7644#section-3.4.2.2
Unerwartetes Ende der Filterzeichenfolge	Ungültiger 'Filter'-Ausdruck	Der angegebene Filterausdruck ist ungültig	Siehe https://datatracker.ietf.org/doc/html/rfc7644#section-3.4.2.2
Unbekannte Filtereigenschaft	Ungültiger 'Filter'-Ausdruck	Der angegebene Filterausdruck ist ungültig	Siehe https://datatracker.ietf.org/doc/html/rfc7644#section-3.4.2.2
Kernattribut '{ATTRIBUTE NAME}' ist für das Schema undefiniert	Undefiniertes Attribut '{ATTRIBUTE NAME}'. Prüfen Sie die Schemadefinition.	Das Attribut ist in der Schemadefinition nicht definiert	Prüfen Sie die Schemadefinition
Das Attribut '{ATTRIBUTE NAME}' hat keinen mehrwertigen oder komplexen Wert	Das Attribut '{ATTRIBUTE NAME}' kann keine mehrwertigen oder komplexen Werte annehmen	Das Attribut kann keine mehrwertigen oder komplexen Werte annehmen	Prüfen Sie in der Schemadefinition, was das Attribut erwartet
Darf nicht null sein: '{ATTRIBUTE NAME}'	Ein Wert für '{ATTRIBUTE NAME}' ist erforderlich	Werte für erforderliche Felder wurden nicht angegeben	Überprüfen Sie die Schemadefinition auf die erforderlichen Felder
Kein '{ATTRIBUTE NAME}' angegeben	Ein Wert für '{ATTRIBUTE NAME}' ist erforderlich	Werte für erforderliche Felder wurden nicht angegeben	Überprüfen Sie die Schemadefinition auf die erforderlichen Felder
Darf nicht leer sein	Ein Wert für '{ATTRIBUTE NAME}' ist erforderlich	Werte für erforderliche Felder wurden nicht angegeben	Überprüfen Sie die Schemadefinition auf die erforderlichen Felder
Der Auftraggeber ist nicht Mitglied im Arbeitsbereich	Der Benutzer ist kein Mitglied des Arbeitsbereichs	Sie haben versucht, einen Benutzer zu einer Gruppe hinzuzufügen, die zu einem anderen Arbeitsbereich gehört	Fügen Sie den Benutzer zuerst dem Arbeitsbereich hinzu. Dann fügen Sie die Benutzer der Gruppe hinzu.
Verboten	Sie haben keinen Zugang. Wenden Sie sich an den technischen Support.	Sie haben keinen Zugang	Wenden Sie sich für den Zugriff an den technischen Support
Interner Serverfehler	Es ist ein Fehler aufgetreten. Wenden Sie sich an den technischen Support.	Bei uns ist etwas schief gelaufen	Wenden Sie sich an den technischen Support

Brauchen Sie Hilfe?

Wenn Sie auf Probleme stoßen oder Hilfe bei der Einrichtung eines Identitätsanbieters benötigen, können Sie denSupport kontaktieren, wenn Sie Hilfe benötigen.

Support

Community

Workiva Support Center