FAQ zur SCIM-Bereitstellung

Automatisieren Sie die Benutzerbereitstellung in Ihr Cliqer-Team mit SCIM 2.0.

SCIM erstellt, aktualisiert und deaktiviert die Mitglieder Ihres Teams automatisch über Ihren Identitätsanbieter. Es ist Teil des Enterprise-Plans oder des Enterprise-Add-ons für Presenter, Studio HD, Studio 4K und Studio 8K und wird von Ihrem Team unter Dashboard → Team → Sicherheit (/dash/team/security) konfiguriert. Sie benötigen die Teamberechtigung Sicherheit verwalten.

Wie funktioniert es auf einen Blick?

Ihr IdP ruft die SCIM-2.0-Endpunkte von Cliqer mit einem Bearer-Token auf.
Das Token identifiziert Ihr Team: Die URL enthält keine Team-ID, Sie verwenden also dieselbe Basis-URL wie alle anderen, und das Token beschränkt alles auf Ihr Team.
Bereitgestellte Benutzer werden Mitglieder Ihres Teams. Wird ein Benutzer deaktiviert, wird er aus dem Team entfernt.

Wie richte ich es ein?

Token erstellen

Gehen Sie zu Team → Sicherheit → SCIM-Bereitstellung und klicken Sie auf Token erstellen.

Jetzt kopieren

Kopieren Sie das Token sofort, denn es wird nur ein einziges Mal angezeigt. Danach sind nur noch die letzten 4 Zeichen sichtbar.

Im IdP eintragen

Geben Sie in den Bereitstellungseinstellungen Ihres IdP Folgendes ein:

Basis-URL / Mandanten-URL: https://<your-cliqer-host>/api/scim/v2
Bearer-Token: das gerade erstellte Token.

Bereitstellung aktivieren

Aktivieren Sie die Bereitstellung und ordnen Sie (optional) Attribute zu.

Rotieren oder widerrufen

Rotieren bedeutet: neues Token erstellen, Ihren IdP aktualisieren und dann das alte Token widerrufen.
Widerrufen deaktiviert ein Token sofort. Widerrufene Tokens können nie wieder verwendet werden.

Welche Vorgänge werden unterstützt?

Vorgang	Endpunkt
Erstellen	`POST /api/scim/v2/Users`
Auflisten / filtern	`GET /api/scim/v2/Users?filter=userName eq "user@co"`
Lesen	`GET /api/scim/v2/Users/{id}`
Ersetzen	`PUT /api/scim/v2/Users/{id}`
Patchen	`PATCH /api/scim/v2/Users/{id}`
Deaktivieren / löschen	`DELETE /api/scim/v2/Users/{id}`
Funktionsumfang	`GET /api/scim/v2/ServiceProviderConfig`

Die Filterung unterstützt userName eq "..." (wird von Okta und Entra ID zur Deduplizierung verwendet). Massenvorgänge und Gruppenbereitstellung werden nicht unterstützt.

Welche Benutzerattribute werden verwendet?

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@company.com",
  "name": { "givenName": "John", "familyName": "Doe" },
  "emails": [{ "primary": true, "value": "user@company.com" }],
  "active": true,
  "externalId": "employee-123"
}

userName (E-Mail), name.givenName, name.familyName, active und externalId werden zugeordnet. Andere Attribute werden akzeptiert und ignoriert.

Was passiert bei der Deaktivierung?

Das Senden von active: false (per PATCH) oder ein DELETE bewirkt eine sanfte Aufhebung der Bereitstellung:

Der Benutzer wird aus Ihrem Team entfernt.
Gehört das Konto keinem anderen aktiven Team an, wird es gesperrt, sodass sich die Person nicht mehr anmelden kann.
Die Kontodaten bleiben erhalten. Erneutes Senden von active: true (oder erneutes Erstellen) stellt die Mitgliedschaft wieder her.

Wird die Bereitstellung eines Benutzers in einem Team aufgehoben, sperrt ihn das also nie aus einem anderen Team aus, dem er angehört.

Wie überwache ich die Bereitstellung?

Das Panel Bereitstellungsaktivität auf der Sicherheitsseite ist ein Live-Feed: Jedes Erstellen, Aktualisieren, Deaktivieren und Löschen erscheint in Echtzeit (Erstellen, Deaktivieren/Löschen und Fehler sind farblich gekennzeichnet). Dies ist das Dashboard für die SCIM-Überwachung; Sie müssen nichts zusätzlich aktivieren.

Sicherheit

Tokens werden ausschließlich als SHA-256-Hash gespeichert, daher kann Cliqer Ihnen ein Token nie erneut anzeigen.
Alle SCIM-Endpunkte erfordern HTTPS und das Bearer-Token.
Jeder Vorgang ist auf das Team des Tokens beschränkt; ein Token kann niemals die Benutzer eines anderen Teams lesen oder ändern.

Fehlerbehebung

401 Unauthorized: Das Token fehlt, ist falsch oder wurde widerrufen. Erstellen Sie ein neues.
404 bei einem Benutzer: Dieser Benutzer ist kein Mitglied des Teams des Tokens. SCIM sieht nur die Benutzer Ihres eigenen Teams.
Benutzer nicht erstellt: Prüfen Sie, ob userName eine gültige E-Mail-Adresse ist.