SCIM

Das System für das bereichsübergreifende Identitätsmanagement, auch bekannt als SCIM, bietet eine automatisierte Bereitstellung und ein Benutzermanagement für Enterprise-Abos von Miro über deinen Identitätsanbieter (IdP).

Verfügbar für: Enterprise-Preisplan
Einrichtung durch: Firmen-Admins

Wichtig zu wissen

• SAML-basiertes SSO muss in deinem Enterprise-Preisplan ordnungsgemäß eingerichtet und funktionell sein, bevor du mit der Konfiguration der automatisierten Bereitstellung beginnen kannst.
  Siehe dazu den Leitfaden zur Konfiguration von SAML SSO.

• Alle zugewiesenen Gruppen müssen in deinem Miro-Abo als Teams mit den gleichen Namen existieren, bevor du sie verknüpfen kannst. 
  Teams können mit Teams API erstellt und verwaltet werden.
  Wenn du deine Gruppen und Teams anders benennen möchtest, kannst du eins oder beide nach der Synchronisation umbenennen.

• Das Ändern von Kennwörtern wird nicht unterstützt.
  Es gibt keine unmittelbaren Pläne, diese Änderung zu unterstützen.

• Wenn ein*e Nutzer*in Mitglied von zwei oder mehr Enterprise-Konten ist, kannst du seinen*ihren Benutzernamen (E-Mail-Adresse) nicht aktualisieren: Dies dient dazu, Konflikte mit den eingerichteten Freigaberichtlinien zu vermeiden.
  Um den*die Nutzer*in zu aktualisieren, vergewissere dich, dass er*sie zuerst aus dem zweiten Konto entfernt wird. Wenn du Hilfe benötigst, wende dich an den Miro-Support. 

Regeln, die Miro SCIM zugrunde liegen

• Die mit SCIM synchronisierten Änderungen werden in erster Linie auf neu zugewiesene Benutzer angewendet. Der Status derjenigen, die sich bereits in deinem Abonnement befinden, wird ergänzt, aber nicht überschrieben, da die Änderungen auf Gruppen-/Teamebene angewendet werden. Ein Beispiel:
  a) wenn ein Benutzer ein Mitglied von Team1 bei Miro ist und dein IDP ein Update sendet, um ihn zu Team2 hinzuzufügen, bleibt sein Status in Team1 unberührt.
  b) wenn dein IDP ein Update sendet, das Änderungen zu Benutzer1 enthält, sind die anderen Teammitglieder davon nicht betroffen. Wie in den Unterstützte Funktionen > Gruppen synchronisieren und pushen erwähnt, initiiere einen neuen Push, um den Teamstatus zu überschreiben und alle Nutzer*innen auf einmal neu zu synchronisieren.
  
• Allen unter SCIM eingerichteten Benutzern wird die Standardlizenz deines Abonnements zugewiesen: 
  a) Für Enterprise-Abonnements ohne Flexibles Lizenzierungsprogramm: eine Volllizenz. Wenn dein Abo keine Lizenzen mehr hat, erhalten die Nutzer*innen eine eingeschränkte kostenlose Lizenz.
  b) Für Enterprise-Abos mit einem aktivierten flexiblen Lizenzmodell: eine kostenlose Lizenz oder eine eingeschränkte kostenlose Lizenz, abhängig von der Standardlizenz des Abos.
  - Wenn du einigen Nutzer*innen eine andere Lizenz als die Standardlizenz zur Verfügung stellen möchtest:
  Wie oben erwähnt, erhalten alle Nutzer*innen die Standardlizenz. Du kannst jedoch alle oder einige davon sofort aktualisieren, indem du das Attribut UserType mit dem Wert Full verwendest. Benutzer, die mit dem Attribut aktualisiert wurden, erhalten eine Volllizenz, ohne dass es zu Verzögerungen auf der Benutzerseite kommt.  
• Alle unter SCIM eingerichteten Benutzer werden ebenfalls von der Funktion Domänen-Steuerung erfasst. Das bedeutet, dass ein Benutzer, der in deinem Identitätsanbieter nur Mitglied einer Sicherheitsgruppe ist, in deinen Domänensteuerungseinstellungen jedoch drei Teams als die vorgesehenen Teams definiert sind, auch zu diesen drei Teams hinzugefügt wird. 
• Um den Dienst zu schützen, begrenzt Miro die Anzahl der verfügbaren API-Aufrufe alle 30 Sekunden:
  
  

  Art der Anfrage	Limit Levels
  GET scim/users   GET scim/users/{userId}	1. Rate Limit Level 1
  POST scim/users/{userId}   PUT scim/users/{userId}   PATCH scim/users/{userId}   DELETE scim/users/{userId}	3. Rate Limit Level 3
  GET scim/Groups   PATCH scim/Groups/{groupId}	4. Rate Limit Level 4
  GET scim/Groups/{groupId}	3. Rate Limit Level 4

  
  Details zu den Limit Levels findest du hier. Wenn die Anzahl der Anfragen das Limit übersteigt, schickt Miro die Standardmeldung 429 zu viele Anfragen zurück.  

Unterstützte Funktionen

Das detaillierte Miro SCIM-Schema findest du hier.

Miro unterstützt die folgenden Bereitstellungsfunktionen:

• Neue Nutzer*innen erstellen
  Neue Nutzer*innen, die der Miro-Anwendung über IdP zugewiesen werden, werden in deinem Enterprise-Abo bei Miro als Enterprise-Mitglieder hinzugefügt. Benutzer, die einer Benutzergruppe hinzugefügt werden, die mit einem Miro-Team mit demselben Namen synchronisiert ist, werden dem Team als Teammitglieder hinzugefügt
• Aktualisierungen des Nutzerprofils übermitteln
  Im Folgenden findest du die unterstützten Attribute und Änderungen.
  
• Gruppen synchronisieren und pushen
  Synchronisiere deine IDP-Gruppen und ihre Mitglieder mit den Teams in deinem Enterprise-Abo von Miro, um die Mitgliedschaft von Nutzer*innen automatisch zu verwalten. Laufende Synchronisierung sendet spezifische Aktualisierungen in Bezug auf die Benutzer deiner Gruppe an das synchronisierte Miro-Team, während ein Push den Status des Teams überschreibt, wobei die Gruppe als Quelle der Wahrheit behandelt wird (wenn es irgendwelche manuellen Änderungen durch deine Unternehmensadministratoren bei Miro gab)
  
• Namen der Gruppe/des Teams entkoppeln
  Miro synchronisiert Gruppen und Teams nach dem Namen, sodass sie den gleichen Namen haben müssen. Nach der ersten Synchronisierung kannst du jedoch einem oder sogar beiden einen Namen geben, der dir am besten passt. Ein Beispiel für eine Entkopplung findest du hier.
• Entferne Nutzer*innen aus der Gruppe/dem Team (nicht aus dem Enterprise-Abo – siehe unten)
  Das Entfernen von Nutzer*innen aus einer Gruppe entfernt sie aus dem synchronisierten Miro-Team (beim nächsten Gruppen-Push)
• Nutzer*innen deaktivierenDas Deaktivieren/Löschen von Nutzer*innen oder das Deaktivieren des Zugriffs von Nutzer*innen auf die Anwendung in der IDP führt zur Deaktivierung der Nutzer*innen in deinem Enterprise-Abo bei Miro. Wenn Nutzer*innen über SCIM deaktiviert werden, ändert sich ihre Team-Mitgliedschaft aufseiten von Miro nicht und ihre Inhalte werden nicht neu zugewiesen – ihr Status (sowie der Nutzer*innen-Bereich) ändert sich einfach von aktiv auf deaktiviert und sie verbrauchen keine Lizenz mehr.
  Das Entfernen von Nutzer*innen aus dem Enterprise-Abo wird standardmäßig nicht unterstützt. Dennoch kannst du die Funktionalität mit der API manuell hinzufügen, um Nutzer*innen vollständig aus dem Abo zu entfernen, anstatt ihren Status auf deaktiviert zu setzen. In diesem Szenario wird der Inhalt den jeweiligen Team-Mitgliedern zugeteilt. Es kann nicht festgelegt werden, welche Admins die Eigentumsrechte an automatisch neu zugeteilten Inhalten erhalten. Dies kann jedoch eingestellt werden, wenn du Nutzer*innen in den Miro-Einstellungen manuell deaktivierst.
  
  
• Nutzer*innen reaktivieren
  Die erneute Zuweisung von Nutzer*innen zu der Anwendung oder die erneute Aktivierung des Nutzerprofils in der IDP reaktiviert sie in deinem Enterprise-Abo von Miro, wenn sie zuvor bereitgestellt und deaktiviert wurden.
• E-Mails aktualisieren (primärer Identifikator)
  Wenn du deinen Domainnamen geändert hast oder einige Endnutzer*innen aufgrund einer Namensänderung oder ähnlichem ein E-Mail-Update benötigen, kannst du diese Änderungen aus deinem Nutzerverzeichnis an Miro übermitteln.
  Die alten und neuen E-Mail-Adressen erhalten eine Benachrichtigung, in der sie darüber informiert werden, dass sie nun ihre neue E-Mail-Adresse für die Anmeldung bei Miro verwenden sollen.

  ⚠️ Hinweise: Das E-Mail-Update muss im Profil des*der Nutzer*in erfolgen, nicht in der Liste der Zuweisungen.

Du kannst Nutzer*innen auch aus dem Enterprise-Preisplan entfernen, indem du einen direkten API-Aufruf zum Löschen sendest – die entsprechenden Informationen dazu findest du hier. Hinweis: Nur direkte Aufrufe führen zur Löschung der Nutzer*innen. Ereignisse zu löschen, die von deiner Identitätslösung initiiert wurden, werden als eine Anfrage zur Deaktivierung behandelt. 

Unterstützte Attribute

⚠️ Der Primärparameter/Unique Identifier (im Identity Provider-Dienst wahrscheinlich als userName gekennzeichnet) ist der einzige von Miro benötigte Wert und muss in Form einer E-Mail vorliegen.
Die unten aufgeführten Attribute sind nicht erforderlich und werden von Miro akzeptiert, wenn sie vorhanden sind (andere an Miro gesendete Attribute werden ignoriert). 

⚠️ Das Ändern von Kennwörtern wird nicht unterstützt und es gibt keine unmittelbaren Pläne, diese Änderung zu unterstützen.
⚠️ Der Benutzername, UserType und rollen.wert können für deaktivierte Nutzer*innen nicht aktualisiert werden.

Alle Attribute werden in der exportierten Nutzerliste (CSV-Format) angezeigt, die im Abschnitt Aktive Nutzer*innen heruntergeladen werden kann. 

Die Option, eine Liste der Nutzer*innen herunterzuladen

Konfiguration von SCIM

Schritt 1: SCIM in Miro aktivieren

Um SCIM für deinen Enterprise-Plan bei Miro zu aktivieren, geh zu den Unternehmenseinstellungen > Enterprise-Integrationen und aktiviere die Funktion SCIM-Bereitstellung. Dort erhältst du die Basis-URL und den API-Token zur Konfiguration deines IdP.

SCIM in den Einstellungen von Miro

Schritt 2: Konfiguriere deinen Identitätsanbieter

Die Einrichtung hängt von dem von dir verwendeten Identitätsanbieter ab. Miro unterstützt vorkonfigurierte Okta und Azure AD. Du kannst jedoch jeden Identitätsanbieter deiner Wahl verwenden, solange er die Einrichtung von SCIM erlaubt.

OKTA – die Anleitung zur Einrichtung findest du hier.

Azure AD – die Anleitung zur Einrichtung findest du hier. 

Mögliche Issues und wie man sie löst

1. Nutzer*innen erhalten aufgrund eines Fehlers in der Zulassungsliste keine Bereitstellung.

Ein Beispiel für eine Fehlermeldung vom Identitätsanbieter Okta

Bitte stellt sicher, dass die Domänenadresse des Benutzers zu eurer Zulassen-Liste 1---in den 2---Sicherheitseinstellungen2 hinzugefügt wurde. 

2. Wenn du deine Endbenutzer mit einer Identitätsanbieterlösung (IDP1) authentifizierst, aber SCIM über eine andere (IDP2) aktivieren möchtest, ist dies unter zwei Bedingungen möglich:

1. Die IDP2 kann API-Aufrufe mit dem Überbringer-Token durchführen.
2.  beide Identitätsanbieter sind synchronisiert (d. h. SCIM-Benutzer sind auch im IDP1 vorhanden und können sich daher bei Miro authentifizieren). 

Wenn du weitere Informationen hast, wende dich bitte an das Support-Team.