SCIM-Anbindung für SSO
SCIM ergänzt SSO in tchop um automatisches Offboarding über Microsoft Entra ID und entzieht Zugänge nach dem nächsten Abgleich.
SCIM als Ergänzung zu bestehendem SSO
SCIM steht für System for Cross-domain Identity Management und ist für Organisationen gedacht, die SSO mit tchop bereits nutzen. SSO, also Single Sign-on, regelt, wer sich über den Identity Provider Ihres Unternehmens bei tchop anmelden kann. SCIM ergänzt diesen Anmeldeweg um den laufenden Abgleich der Benutzerkonten.
Der praktische Unterschied zeigt sich vor allem dann, wenn Mitarbeitende das Unternehmen verlassen und ihr Konto im Verzeichnis deaktiviert wird. Mit SSO allein steuert Ihr Identity Provider die Anmeldung, aber nicht den automatischen Entzug eines bereits vorhandenen tchop-Zugangs. Hier setzt SCIM an. Wenn ein Nutzer im Verzeichnis deaktiviert wird oder die Zuweisung zur tchop-App verliert, entzieht tchop den Zugang beim nächsten Abgleich automatisch.
Wenn Sie SCIM einrichten möchten, klären Sie die Vorabfragen mit Ihrem tchop-Ansprechpartner. tchop richtet den Endpunkt ein und begleitet den ersten Abgleich.
Was SSO heute bereits leistet und was nicht
In einer bestehenden SSO-Einrichtung legt tchop Nutzer in der Regel bei der ersten erfolgreichen SSO-Anmeldung an. Das Konto bleibt danach bestehen, bis es jemand entfernt.
Wird ein Nutzer später im Identity Provider deaktiviert, kann diese Person keine neue SSO-Anmeldung mehr starten. Das vorhandene Konto in tchop bleibt jedoch bestehen, ebenso offene Sitzungen, bis ein Admin den Zugang manuell bereinigt. SSO verhindert in diesem Fall also die nächste Anmeldung, meldet tchop aber nicht automatisch, dass der Zugang entzogen werden soll.
Was SCIM zusätzlich übernimmt
SCIM ist ein offener Standard zum Abgleich von Benutzerkonten zwischen Systemen. Ist SCIM aktiv, übermittelt der Identity Provider Statusänderungen an einen tchop-Endpunkt. Wird ein Nutzer aus der Zuweisung der tchop-App entfernt oder im Verzeichnis deaktiviert, entzieht tchop beim nächsten Abgleich den Zugang. Sitzungen in der Web-App und in den mobilen Apps enden, und eine erneute Anmeldung ist nicht mehr möglich.
Optional kann SCIM Nutzer auch schon vor der ersten Anmeldung anlegen und Profildaten aktuell halten, etwa Name oder Abteilung. Für das automatische Offboarding ist das jedoch nicht erforderlich.
Einrichtung mit Microsoft Entra ID
Im folgenden Beispiel ist Microsoft Entra ID der Identity Provider. Wenn Sie einen anderen Identity Provider mit SCIM-Unterstützung einsetzen, begleitet tchop die entsprechende Einrichtung.
tchop stellt Ihnen die SCIM-Endpunkt-URL Ihrer Organisation, also die Tenant-URL, sowie ein geheimes Token zur Verfügung.
Öffnen Sie im Microsoft Entra Admin Center die bestehende tchop-Unternehmensanwendung. Wählen Sie „Bereitstellung“, setzen Sie den Modus auf „Automatisch“ und geben Sie Tenant-URL und Token ein. Mit „Verbindung testen“ sehen Sie, ob Entra tchop erreicht.
Weisen Sie die Nutzer oder die Gruppe zu, die Zugang zu tchop haben sollen. Dieselbe Zuweisung steuert sowohl den SSO-Zugang als auch die Bereitstellung.
Starten Sie die Bereitstellung. Entra führt zunächst einen vollständigen Abgleich durch und danach etwa alle 40 Minuten einen inkrementellen Abgleich. Einzelne Nutzer können im Portal auch sofort bereitgestellt werden.
Danach gilt: Wenn Sie einen Nutzer aus der Zuweisung entfernen oder in Entra deaktivieren, endet der tchop-Zugang beim nächsten Abgleich.
Was Sie vorab entscheiden sollten
Tenant und Gruppe
Klären Sie zunächst, ob der Entra-Tenant, der für das tchop-SSO verwendet wird, derselbe Tenant ist, der auch die Bereitstellung ausführt. Ebenso wichtig ist die Frage, welche Gruppe oder welche Zuweisung in Ihrem Setup bedeutet, dass jemand Zugang zu tchop hat, denn genau diese Zuweisung steuert später auch das Offboarding: Wer daraus entfernt wird, verliert den Zugang beim nächsten Abgleich.
Zuordnung der Nutzer
Das Attribut, das Entra als SCIM-Benutzername sendet, muss dieselbe E-Mail-Adresse sein, die auch bei der SSO-Anmeldung an tchop übergeben wird. Nur so kann tchop SCIM-Daten vorhandenen Konten eindeutig zuordnen.
Verhalten beim Ausscheiden
Für das Offboarding müssen Sie festlegen, wie tchop mit betroffenen Nutzern verfahren soll. Möglich ist das Sperren, bei dem der Nutzerdatensatz bestehen bleibt und nur der Zugang entzogen wird. Alternativ ist das Löschen möglich, bei dem der Nutzer aus der tchop-Organisation entfernt wird. Welche Variante sinnvoll ist, hängt von Ihren eigenen Aufbewahrungsregeln ab.
Umfang der Bereitstellung
Entscheiden Sie, ob SCIM nur für den Zugangsentzug genutzt werden soll oder zusätzlich für das Anlegen von Nutzern und die Aktualisierung von Profildaten wie Name oder Abteilung. Beides ist möglich.
Netzwerk und Erreichbarkeit
Der Bereitstellungsdienst von Entra ruft tchop aus Microsofts eigenen IP-Bereichen auf, nicht aus Ihrem Firmennetz. Wenn Sie den Zugang zu tchop per IP-Adresse einschränken, muss der SCIM-Endpunkt für diese Microsoft-Bereiche erreichbar bleiben. Andernfalls schlägt die Bereitstellung fehl, und in Entra erscheinen Fehler im Bereitstellungsprotokoll, während tchop von den Änderungen nichts erfährt.
Was tchop bereitstellt
tchop unterstützt die Einrichtung mit den folgenden Bausteinen:
SCIM-Tenant-URL Ihrer Organisation
geheimes Token zur Authentifizierung, einmalig ausgegeben und auf Anfrage erneuerbar
Unterstützung beim Verbindungstest und beim ersten Abgleich
Bestätigung, sobald das erste Offboarding vollständig geprüft ist
Was sich für Nutzer ändert
Im Alltag ändert sich nichts. Die Anmeldung per SSO läuft wie bisher, und erst wenn jemand das Unternehmen verlässt oder die Zuweisung verliert, macht sich SCIM bemerkbar: Dann endet der tchop-Zugang mit dem nächsten Abgleich automatisch, ohne dass jemand im Team daran denken muss.
