SCIM

Das System für domainübergreifendes Identitätsmanagement (SCIM) ermöglicht dir, die Nutzerbereitstellung und -verwaltung zwischen Miro und deinem Identitätsanbieter (IdP) zu automatisieren.

Verfügbar für: Enterprise-Preisplan
Einrichtung durch: Unternehmens-Admins

Neues Synchronisationsmodell

Miro führt ein neues SCIM-Synchronisationsmodell ein, bei dem eine SCIM-Gruppe jetzt einer Miro-Nutzergruppe entspricht und das vorherige Modell ersetzt, in dem eine SCIM-Gruppe einem Miro-Team zugeordnet war. Wir empfehlen, so bald wie möglich auf die SCIM-Synchronisierung auf Basis von Nutzergruppen umzusteigen.

Im Gegensatz zu Teams sind Nutzergruppen nicht auf ein einzelnes Team beschränkt, sodass du Organisationsstrukturen synchronisieren kannst, die sich über mehrere Teams erstrecken, anstatt auf eine 1:1-Team-Abbildung beschränkt zu sein. Nutzergruppen sind außerdem direkt in dasselbe Berechtigungsmodell integriert, das in Miro verwendet wird. Du kannst Boards und Bereiche mit einer Gruppe teilen, eine Gruppe in Kommentaren per @Erwähnung erwähnen, um alle ihre Mitglieder zu benachrichtigen, und Gruppen programmgesteuert über die User Groups API verwalten, sodass die Provisionierung über deinen Identitätsanbieter jetzt mit der bereits in Miro vorhandenen Freigabe- und Zugriffssteuerung synchron bleibt.

Hinweis: Dies ist die aktuellste Version der API, in der eine SCIM-Gruppe einer Miro-Nutzergruppe entspricht. Das Hinzufügen oder Entfernen von Mitgliedern in einer SCIM-Gruppe ändert die Mitgliedschaft der Miro-Nutzergruppe.

Wichtig zu wissen

• Bevor du mit der Konfiguration der automatisierten Bereitstellung beginnst, muss Single Sign-on (SSO) auf SAML-Basis in deinem Enterprise-Preisplan ordnungsgemäß eingerichtet und funktionsfähig sein. Sieh dir die Anleitung zur Konfiguration von SAML-basiertem Single Sign-on (SSO) an.
• Das Synchronisieren von Identitätsanbieter-Gruppen mit Miro-Nutzergruppen ist optional. du kannst deine Identitätsanbieter-Gruppen optional mit Nutzergruppen in Miro verknüpfen und synchronisieren. Eine SCIM-Gruppe entspricht direkt einer Miro-Nutzergruppe – das Erstellen, Aktualisieren oder Löschen einer SCIM-Gruppe erstellt, aktualisiert bzw. löscht die entsprechende Nutzergruppe, und das Hinzufügen oder Entfernen von Mitgliedern ändert die Mitgliedschaft in dieser Nutzergruppe. du kannst Nutzergruppen auch direkt über die User Groups API erstellen und verwalten. Im Gegensatz zu Teams ist eine Nutzergruppe nicht auf ein einzelnes Team beschränkt, sodass du Organisationsstrukturen synchronisieren kannst, die sich über mehrere Teams erstrecken. Weitere Informationen dazu, wie die SCIM-API dir die Verwaltung von Gruppen ermöglicht, findest du in der Miro Developer documentation.

• Änderungen der E-Mail-Adresse in SCIM unterliegen den folgenden Validierungsregeln:

  • Prüfung des verwalteten Nutzers: Wenn die aktuelle Domain der E-Mail-Adresse des Nutzers nicht von der Organisation beansprucht wird, die die SCIM-Anfrage stellt, wird die E-Mail-Aktualisierung blockiert und ein 400-Fehler zurückgegeben.
  • Überprüfung der Ziel-E-Mail-Domain: Wenn die Ziel-E-Mail-Domain von einer anderen Organisation als der die SCIM-Anfrage stellenden Organisation beansprucht wird, wird die E-Mail-Aktualisierung blockiert und ein 400-Fehler zurückgegeben. Wenn die Ziel-E-Mail-Domain von der die SCIM-Anfrage stellenden Organisation beansprucht wird, ist die Aktualisierung ohne Bestätigung per E-Mail zulässig. Audit-Protokolle erfassen die Aktualisierung in jeder Organisation, deren Mitglied der Nutzer ist.
  • Domainsteuerung und Single Sign-on (SSO): E-Mail-Aktualisierungen sind zulässig, wenn die Domain durch Domainsteuerung (IDC) oder Single Sign-on (SSO) verifiziert ist. Wenn die Ziel-E-Mail-Domain vom anfragenden Unternehmen per Domainsteuerung (IDC) oder SSO verifiziert wurde, kann die Aktualisierung durchgeführt werden.

  Ein Diagramm des SCIM-Workflows zur Validierung von E-Mail-Änderungen

Regeln, die Miro SCIM zugrunde liegen

• Die mit SCIM synchronisierten Änderungen werden in erster Linie auf neu zugewiesene Nutzer angewendet. Mitgliedschaftsänderungen werden direkt und sofort angewendet: eine Hinzufügen-, Entfernen- oder Ersetzen-Operation an den Mitgliedern einer SCIM-Gruppe fügt dieses Mitglied der entsprechenden Miro-Nutzergruppe hinzu bzw. entfernt es daraus, ohne dass ein separater "push"-Schritt erforderlich ist. Zum Beispiel: a) Wenn ein Nutzer Mitglied der Nutzergruppe A auf der Miro-Seite ist und dein Identitätsanbieter eine Aktualisierung sendet, um ihn der Nutzergruppe B hinzuzufügen, bleibt seine Mitgliedschaft in Nutzergruppe A unberührt — er wird einfach zusätzlich Mitglied der Nutzergruppe B. b) Wenn dein Identitätsanbieter eine Aktualisierung mit Änderungen an Nutzer1 sendet, sind die anderen Mitglieder der Nutzergruppe nicht betroffen.
• Allen unter SCIM eingerichteten Nutzern wird die Standardlizenz deines Abos zugewiesen: a) Bei Enterprise-Abos ohne flexibles Lizenzmodell: eine Collaborate- oder Volllizenz (legacy). Wenn in deinem Abo keine Lizenzen mehr verfügbar sind, werden die Nutzer unter einer kostenlosen eingeschränkten Lizenz provisioniert. b) Bei Enterprise-Abos, bei denen das flexible Lizenzmodell aktiviert ist: Free oder kostenlose eingeschränkte Lizenz, abhängig von der Standardlizenz deines Abos.
  Wenn du möchtest, dass einige Nutzer eine andere Lizenz als die Standardlizenz erhalten: Wie oben beschrieben, erhalten alle Nutzer eine Standardlizenz. Du kannst jedoch alle oder einige davon sofort aktualisieren, indem du das Attribut UserType mit dem Wert „Collaborate“ oder „Full (legacy)“ verwendest. Nutzer, die mit diesem Attribut aktualisiert werden, werden ohne Ausfallzeiten für den Nutzer auf die Collaborate- oder Full (legacy)-Lizenz upgegradet. Hinweis: Das Hinzufügen eines Mitglieds zu einer Nutzergruppe über SCIM reaktiviert oder erstellt dieses Mitglied auch neu, falls es zuvor deaktiviert oder gelöscht wurde, und upgegradet dessen Lizenz auf Collaborate oder Full (legacy).
• Alle unter SCIM eingerichteten Nutzer werden ebenfalls von der Funktion Domainsteuerung erfasst. Das bedeutet, dass, wenn ein Nutzer in deinem Identitätsanbieter nur Mitglied einer Sicherheitsgruppe ist, er zudem in die drei Teams aufgenommen wird, die in deinen Einstellungen für die Domainsteuerung festgelegt sind.

• Um den Dienst zu schützen, begrenzt Miro die Anzahl der verfügbaren API-Aufrufe alle 30 Sekunden:

  Art der Anfrage	Limit-Level
  GET scim/users GET scim/users/{userId}	Erstes Rate-Limit-Level 1
  POST scim/users/{userId} PUT scim/users/{userId} PATCH scim/users/{userId} DELETE scim/users/{userId}	Drittes Rate-Limit-Level 3
  GET scim/Groups PATCH scim/Groups/{groupId}	Viertes Rate-Limit-Level 4
  GET scim/Groups/{groupId}	Drittes Rate-Limit-Level 4

  Details zu den Limit-Leveln findest du hier. Wenn die Anzahl der Anfragen das Limit überschreitet, gibt Miro die Standardmeldung 429 Too many requests zurück.

Unterstützte Funktionen

Das detaillierte Miro-SCIM-Schema findest du hier. Detaillierte Informationen zu den Endpunkten für Groups (Nutzergruppen) findest du in der Groups-API-Dokumentation.

Miro unterstützt die folgenden Bereitstellungsfunktionen:

• Neue Nutzer erstellen 
  Neue Nutzer, die in deinem Identitätsanbieter der Miro-App zugewiesen werden, werden in deinem Miro-Enterprise-Abo als Enterprise-Mitglieder angelegt. Nutzer, die zu einer IdP-Gruppe hinzugefügt werden, die mit einer Miro-Nutzergruppe synchronisiert ist, werden direkt als Mitglieder dieser Nutzergruppe aufgenommen.
  
• Profilaktualisierungen übermitteln 
  Im Folgenden findest du die unterstützten Attribute und Änderungen.
  
• Identitätsanbieter-Gruppen mit Nutzergruppen synchronisieren 
  Synchronisiere deine Identitätsanbieter-Gruppen mit den Nutzergruppen in deinem Miro Enterprise-Abo, um die Mitgliedschaft automatisch zu verwalten. Da eine SCIM-Gruppe direkt einer Miro-Nutzergruppe entspricht, wirken sich Hinzufügen- und Entfernen-Operationen im Identitätsanbieter sofort auf die Mitgliedschaft der Nutzergruppe aus — es ist kein separater Push-/Überschreibeschritt nötig.
  
• Nutzer aus Identitätsanbieter-Gruppe/Miro-Nutzergruppe entfernen (nicht aus dem Enterprise-Abo, siehe unten) Wenn du einen Nutzer aus einer Identitätsanbieter-Gruppe entfernst, wird er sofort aus der entsprechenden Miro-Nutzergruppe entfernt. Dadurch wird der Nutzer nur aus der Nutzergruppe entfernt. Er wird dadurch nicht aus einem Team oder von der Organisation entfernt, die Board-Eigentümerschaft wird nicht übertragen und seine Lizenz ändert sich nicht. Für Nutzergruppen gibt es keine letzte-Admin-Einschränkung, und das Entfernen eines Nutzers, der noch kein Mitglied ist, hat keine Auswirkung.
  
• Nutzer deaktivieren
  Das Deaktivieren/Löschen eines Nutzers oder das Deaktivieren des Zugriffs eines Nutzers auf die App beim Identitätsanbieter führt zur Deaktivierung des Nutzers in deinem Enterprise-Preisplan bei Miro. Der Nutzer wird vom Aktiv- in den Deaktiviert-Status (ebenfalls im Nutzerbereich) versetzt und beansprucht keine Lizenz mehr. Die Deaktivierung allein ändert weder die Mitgliedschaften des Nutzers in Nutzergruppen noch überträgt sie Board-Eigentum.
  
  Das Entfernen eines Nutzers aus dem Enterprise-Abo wird standardmäßig nicht unterstützt. Du kannst jedoch die Funktionalität manuell über die API hinzufügen, um den Nutzer vollständig aus dem Abo zu entfernen, anstatt ihn in den Deaktiviert Status. In diesem Szenario werden die Inhalte den jeweiligen Teammitgliedern neu zugewiesen. Es ist nicht möglich festzulegen, welche Admins das Eigentum an automatisch neu zugewiesenen Inhalten erhalten werden, aber das kannst du einstellen, wenn du einen Nutzer manuell in den Miro-Einstellungen deaktivierst. Das Entfernen eines Nutzers aus einer Nutzergruppe (siehe oben) löst von sich aus nie eine Neuzuweisung von Inhalten aus.
  

• Nutzer herunterstufen

  Du kannst Nutzer nur zwischen kostenpflichtigen Lizenzen downgraden. Zum Beispiel kannst du einen Nutzer von einem Accelerate-userType auf einen Collaborate-userType downgraden.
  

• Nutzer reaktivieren 
  Die erneute Zuweisung eines Nutzers zur App oder die erneute Aktivierung des Nutzerprofils beim Identitätsanbieter reaktiviert ihn in deinem Enterprise-Abo von Miro, wenn er zuvor bereitgestellt und deaktiviert wurde.
  
• Die Zuordnung von Abrechnungsgruppen automatisieren 
  Neue Nutzer automatisch per SCIM Abrechnungsgruppen zuordnen. Sobald dein Identitätsanbieter (IdP) eingerichtet ist, verknüpfe deine Kostenstellen mit deinen Abrechnungsgruppen. Dadurch wird sichergestellt, dass jeder aktuelle und zukünftige Nutzer aus diesen Kostenstellen automatisch in die richtige Abrechnungskategorie einsortiert wird.
  
• Boards und Bereiche mit einer Gruppe teilen Da eine Miro-Nutzergruppe in dasselbe Berechtigungsmodell eingebunden ist, das in ganz Miro gilt, kannst du Boards und Bereiche direkt mit einer vom Identitätsanbieter (IdP) synchronisierten Nutzergruppe teilen, statt Mitglieder einzeln hinzuzufügen.
  
• @Erwähnung einer Gruppe in Kommentaren Erwähne eine Nutzergruppe in Board-Kommentaren, um alle Mitglieder gleichzeitig zu benachrichtigen.
  
• Gruppen programmgesteuert verwalten Erstelle, aktualisiere und lösche Nutzergruppen direkt über die User Groups API, unabhängig von deiner Synchronisierung mit dem Identitätsanbieter.

Du kannst Nutzer auch aus deinem Enterprise-Preisplan entfernen, indem du einen direkten API-Aufruf zum Löschen sendest – siehe die Dokumentation hier. Bitte beachte, dass nur direkte Aufrufe zur Löschung der Nutzer führen. Löschvorgänge, die von deiner Identitätslösung initiiert werden, werden als Anfrage zur Deaktivierung behandelt.

Unterstützte Attribute

Hinweis: Die E-Mail-Adresse (der primäre Parameter / die eindeutige Kennung / der Benutzername) ist der einzige Wert, den Miro benötigt und muss im Format einer E-Mail-Adresse vorliegen. Die Aktualisierung der E-Mail-Adresse ist nur für bereits synchronisierte Nutzer möglich — die erste Synchronisierung muss erfolgen, wenn die E-Mail-Adresse beim Identitätsanbieter und in Miro identisch ist, andernfalls erkennt Miro den Nutzer nicht und es wird ein dupliziertes Miro-Profil unter der neuen E-Mail-Adresse erstellt. Die Aktualisierung der E-Mail-Adresse muss im Profil des Identitätsanbieters vorgenommen werden, nicht in der Zuweisungsliste. Anders als bei anderen Attributen löst die Aktualisierung der E-Mail-Adresse eine Benachrichtigung aus: Sowohl die alte als auch die neue E-Mail-Adresse erhalten eine Benachrichtigung, in der der Nutzer informiert wird, dass er sich nun mit seiner neuen E-Mail-Adresse bei Miro anmelden soll.

⚠️ Miro-Konten haben kein Passwort — die Anmeldung erfolgt per magischem Link, Single Sign-on (SSO) oder über ein Social-Konto — daher gibt es kein Passwortattribut, das über SCIM synchronisiert werden kann. ⚠️ Username, UserType und roles.value können für deaktivierte Nutzer nicht aktualisiert werden.

Alle Attribute werden in der exportierten Nutzerliste (CSV-Format) angezeigt, die im Abschnitt Aktive Nutzer heruntergeladen werden kann.

Konfiguration von SCIM

Schritt 1: SCIM in Miro aktivieren

Um SCIM für deinen Miro Enterprise-Preisplan zu aktivieren, geh zu den Unternehmenseinstellungen > Enterprise-Integrationen, und aktiviere die Funktion SCIM-Bereitstellung. Dort erhältst du die Basis-URL und das API-Token zur Konfiguration deines Identitätsanbieters.

Schritt 2: Konfiguriere deinen Identitätsanbieter

Die Einrichtung hängt vom Identitätsanbieter ab, den du verwendest. Miro unterstützt vorkonfigurierte Okta und Entra ID; du kannst jedoch jeden Identitätsanbieter deiner Wahl verwenden, solange er die Einrichtung von SCIM ermöglicht.

OKTA - die Anleitung zur Einrichtung findest du hier.

Entra ID - die Anleitung zur Einrichtung findest du hier.

Neues Token generieren

1. Gehe zu den Unternehmenseinstellungen > Enterprise-Integrationen.
2. Klicke im Abschnitt SCIM-Provisioning auf Neues Token generieren.
3. Klicke im Fenster Neues SCIM-Token generieren auf Generieren.
4. Nachdem du ein neues Token erstellt hast, musst du das neue Token in deinem Identitätsanbieter konfigurieren.

Mögliche Probleme und wie man sie löst

Weitere Informationen zu SCIM-Fehlern findest du in unserer Dokumentation. Wenn das Problem weiterhin besteht, kannst du dich an das Support-Team von Miro wenden.