Einrichtung einer automatischen Bereitstellung mit Entra ID (Legacy-Dokumentation) – Miro-Miro-Hilfecenter

Verfügbar für: Enterprise-Preisplan
Erforderliche Rolle: Unternehmens-Admin

⚠️ Der Leitfaden enthält Schritte zur Konfiguration der Funktion. Informationen zu verfügbaren Funktionen, den Regeln, denen Miro SCIM folgt, sowie zu möglichen Problemen und deren Behebung findest du zuerst hier.
Die Entwicklerdokumentation von Miro für SCIM findest du hier.

Einen ausführlichen Leitfaden zur Bereitstellung für Kunden, die das flexible Lizenzmodell nutzen, gibt es hier.

Voraussetzungen

Die Miro-SCIM-API wird von Single Sign-on (SSO)-Partnern für die Bereitstellung und Verwaltung von Nutzern und Teams (Gruppen) verwendet. SAML-basiertes Single Sign-on muss in deinem Miro Enterprise-Plan ordnungsgemäß eingerichtet und funktional sein, bevor du mit der Konfiguration der automatisierten Bereitstellung beginnst. Die Anleitungen zur Einrichtung von Single Sign-on findest du hier.

Deine Sicherheitsgruppen und Miro-Teams müssen bereits erstellt und auf die gleiche Weise benannt sein.

Provisioning einrichten

Sobald die App während der SSO-Konfiguration erstellt wurde, siehst du ihre Einstellungen:

Einstellungen der Miro-App

Wähle im linken Feld das Bereitstellung Element und ändere dann den Bereitstellungsmodus von Manuell auf Automatisch:
Gib die Admin-Anmeldeinformationen an:
a) Verwende https://miro.com/api/v1/scim/ als Mandanten-URL
b) Gib das Secret Token an. du kannst es im SSO-Abschnitt deiner Miro-Einstellungen so erhalten:
c) Klicke auf die Schaltfläche Verbindung testen direkt unter dem Bearbeitungsfeld Geheimer Schlüssel.
Wenn die Verbindung den Test besteht, erhältst du die folgende Benachrichtigung:

Benachrichtigung über erfolgreichen Verbindungstest
Wenn keine Bestätigung erfolgt, überprüfe die Mandanten-URL noch einmal und stelle sicher, dass sie nicht von Firewalls oder anderen Datenverkehrsabfangern in deinem Netzwerk blockiert wird, und vergewissere dich, dass das API-Token korrekt ist.
Speichere die Konfiguration:

Speichern der Konfiguration

Mappings

Miro SCIM API nutzt einen Teil der Metadaten, die Entra ID den Nutzern und Gruppen zuordnet. In diesem Abschnitt werden die erforderlichen Mappings zwischen Miro SCIM API und Entra ID-Attributen erläutert.

Nutzer

Wähle den Tab Provisioning auf der linken Seite und klicke dann auf Entra Active Directory-Nutzer mit Miro synchronisieren:

Aktivierung der Synchronisierung
Die standardmäßigen Zuordnungen sollten ausreichen. Vergewissere dich jedoch, dass die Synchronisierung für Nutzer aktiviert ist und alle erforderlichen Methoden (Erstellen, Aktualisieren, Löschen) eingeschaltet sind:

Zuordnung der Attribute

Bitte beachte, dass Miro Entra-Nutzer für den SP-initiierten Fluss nur anhand ihrer UPNs erkennt.

Um eines der unterstützten Attribute hinzuzufügen, klicke auf die Option Erweiterte Optionen anzeigen und wähle Attributliste für Miro bearbeiten:

Erweiterte Optionen

Gib dann den Namen des Attributs ein, das du zuordnen möchtest, und speichere es. Die vollständige Liste der unterstützten Attribute findest du in unserer SCIM-Dokumentation.

Miro-Nutzer-Attribute

Jetzt kannst du die Option Neue Zuordnung hinzufügen aufrufen und das neue Attribut auswählen, das wir gerade hinzugefügt haben:

Beachte, dass du, um ein neues Attribut zuordnen zu können, diese Option aktivieren musst, indem du Entra über die folgende URL aufrufst:

https://portal.azure.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true

Weitere Informationen zum Hinzufügen neuer Attribute findest du in der Microsoft-Dokumentation hier und hier.

⚠️ Das Attribut „ProfilePicture“ wird von Entra nicht unterstützt. Du kannst diese Funktion auf User Voice anfragen, um ihre Entwicklung zu fördern.

Gruppen

Wähle den Bereitstellung Tab auf der linken Seite und klicke dann Entra Active Directory-Gruppen mit Miro synchronisieren.
Die standardmäßigen Zuordnungen sollten ausreichen. Versichere dich, dass die Synchronisierung für Gruppen aktiviert ist und deaktiviere Erstellen und Löschen Methoden – beachte, dass die Miro SCIM API das Erstellen und Löschen von Teams nicht unterstützt.

⚠️ Wir empfehlen dringend, die Methoden zu deaktivieren, um ungeplante Änderungen zu vermeiden wenn wir mit der Unterstützung der Methoden beginnen.
Klicke auf Speichern.

Nutzer- und Gruppen-Zuweisungen

Die Miro-SCIM-Bereitstellung unterstützt dich bei der Bereitstellung und Aufhebung der Bereitstellung von Nutzern für dein Enterprise-Abo sowie dabei, sie automatisch auf Teams zu verteilen.

Nutzer oder Gruppen aus Entra Active Directory müssen der Miro SCIM Provisioner App zugewiesen werden, um automatisch in Miro verwaltet zu werden.

Um Nutzer und Gruppen der App zuzuordnen, gehe wie folgt vor.

Wähle Bereitstellung Tab links aus. Im Abschnitt Einstellungen vergewissere dich, dass der Geltungsbereich so eingestellt ist, wie er mit Miro synchronisiert werden soll. Bitte wähle "Synchronisiere nur zugewiesene Nutzer und Gruppen".
Wähle im linken Feld den Nutzer und Gruppen Tab und klicke dann auf Nutzer hinzufügen:

Tab „Nutzer und Gruppen“
Auf dem Zuweisung hinzufügen Bildschirm wählst du den Nutzer und Gruppen Tab und wählst dann Nutzer und Gruppen aus der Liste aus. HINWEIS: Miro SCIM API erstellt keine neuen Teams in Miro. Die Liste der SCIM-Funktionen findest du hier.
Klicke auf die Schaltflächen Auswählen und dann auf Zuweisen.
Zugewiesene Nutzer und Gruppen erscheinen in der Liste.

✏️ Wenn du die Gruppen-Zuweisung in Entra ID entfernst, werden die Nutzer nicht aus dem in Miro synchronisierten Team entfernt und auch nicht deaktiviert. Um Nutzer erfolgreich zu deprovisionieren, entferne sie aus allen Entra ID-Gruppen, die mit Miro verbunden sind.:

Nutzer downgraden

Gehe wie folgt vor, um einen Nutzer zu downgraden:

Gehe in Entra ID wie folgt vor:
1. Entferne den Nutzer aus der Gruppe, in der die App-Rolle Vollversion zugewiesen ist.
2. Stelle sicher, dass der Nutzer Mitglied einer anderen Gruppe ist, in der die App-Rolle Nutzer zugewiesen ist.
Aktualisiere in Miro seine Lizenz auf Kostenlos eingeschränkt.

⚠️ Wenn du einen Nutzer aus allen Entra ID-Gruppen entfernst, die der Miro-App zugewiesen sind, wird der Nutzer in Miro deaktiviert und verliert den Zugriff auf die Miro-App. Wenn der Nutzer, dessen Lizenz du downgraden willst, weiterhin mit einer kostenlosen eingeschränkten Lizenz auf Miro zugreifen muss, dann stelle sicher, dass der Nutzer Mitglied einer Entra ID-Gruppe ist, der die Rolle Nutzer zugewiesen ist.

✏️ Das Downgraden der Lizenz eines Nutzers von der Vollversion auf Kostenlos eingeschränkt über SCIM Provisioning wird noch nicht unterstützt.

Aktivieren und Deaktivieren der Bereitstellung

Wenn die ursprüngliche Einrichtung abgeschlossen ist, wechsle den Umschalter für den Bereitstellungsstatus, um die Bereitstellung zu aktivieren.

Wähle links den Tab Bereitstellung aus.
Klicke auf die Option Ein im Umschalter für den Bereitstellungsstatus.

Bereitstellungsstatus
Klicke auf Speichern. Damit beginnt die anfängliche Bereitstellung, die einige Zeit dauern kann. Kehre in etwa 20 Minuten zurück und überprüfe den Status unten auf der Seite.

Wähle bei Bedarf die Aus Option, um die Bereitstellung zu deaktivieren. Beachte, dass Entra die Daten in unregelmäßigen Abständen aktualisiert. Wenn du also eine dringende Aktualisierung benötigst, halte die Bereitstellung an und starte sie dann erneut. Die Resynchronisierung erfolgt sofort und schließt auch die Aktualisierungen mit ein.

Gruppen und Teams entkoppeln

Um SCIM zu aktivieren und deine Gruppen mit deinen Miro-Teams zu synchronisieren, müssen sie gleich benannt werden, da Miro die Synchronisierung auf der Grundlage des Namenswertes durchführt. Wenn du sie jedoch anders benennen möchtest, kannst du die Namen nach Abschluss der Synchronisierung ändern. Bitte sieh dir das nachfolgende Beispiel an.

Das geplante Ergebnis: In Entra gibt es eine Gruppe mit dem Namen sfo_hq_eng_support , während in Miro ein Team mit dem Namen Engineering Support existiert und die Synchronisierung zwischen beiden erfolgt.

Führe den curl-Befehl aus, um alle Sicherheitsgruppen aufzulisten (vergiss nicht, die Platzhalter durch deine eigenen Werte zu ersetzen):

curl \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-H "Authorization: Bearer SCIM_API_TOKEN" \
-X GET https://miro.com/api/v1/scim/Groups

Beispielantwort:

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:ListResponse"
  ],
  "totalResults": 1,
  "Resources": [
    {
      "schemas": [
        "urn:ietf:params:scim:schemas:core:2.0:Group"
      ],
      "id": "3074457345618261605",
      "displayName": "YourMiroTeamName",
      "members": [],
      "meta": {
        "resourceType": "Group",
        "location": "https://miro.com/api/v1/scim/Groups/3074457345618261605"
      }
    }
  ]
}

Zurzeit gibt es in Miro das Miro-Team namens „Engineering Support “ und die Miro-Sicherheitsgruppe „Engineering Support“ (mit der ID 3074457345618261605). Sie sind 1:1 zugeordnet.

Ziel ist es nun, den Namen der Sicherheitsgruppe Engineering Support in sfo_hq_eng_support zu ändern, während der Teamname unverändert bleibt. Um das zu erreichen, führe den curl-Befehl aus:

curl \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-H "Authorization: Bearer SCIM_API_TOKEN" \
-X PATCH https://miro.com/api/v1/scim/Groups/3074457000018261605 \
-d '{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "Replace",
      "path": "displayName",
      "value": "YourSecurityGroupName"
    }
  ]
}'

Diese Änderung wird sofort auf der Miro-Company teams-Seite angezeigt.

Entra führt die Synchronisierung im Hintergrund alle 40 Minuten durch. Bei der nächsten Synchronisierung sieht Entra die Sicherheitsgruppe sfo_hq_eng_support in Miro und verknüpft sie automatisch mit der entsprechenden Gruppe in Entra.

Zu diesem Zeitpunkt hast du deine Sicherheitsgruppe mit einem deiner Miro-Teams verbunden und hast sie anders benannt.

Mögliche Probleme und wie man sie löst

Probleme bei der Änderung der Nutzer-E-Mails

Wenn du E-Mail-Adressen einiger Nutzer aktualisiert hast, die Änderung jedoch bei Miro nicht siehst, überprüfe, ob das erwartete Attribut aktualisiert wurde. Dieses Problem tritt normalerweise auf, wenn du emails[type eq "work"]. verwendest.

emails[type eq "work"] ist ein Standardattribut in Entra, das Miro also unterstützt – allerdings nur insofern, als es schreibgeschützt ist und dynamisch aus userName erstellt wird.
Beim Lesen von Nutzern geben wir Folgendes zurück:

Da emails[type eq "work"] bei uns schreibgeschützt ist, ignoriert Miro alle Versuche, es zu ändern. Das liegt daran, dass in Miro die E-Mail-Adresse des Nutzers die primäre ID des Nutzers ist; daran erkennen wir Nutzer, daher unterstützen wir keine zusätzlichen E-Mail-Adressen. Die SCIM-Struktur verlangt jedoch ein E-Mail-Array, deshalb unterstützen wir dessen Existenz.

Um die E-Mail-Adressen von Nutzern zu ändern, muss das Update für userName gesendet werden, nicht für emails[type eq "work"].

Fehler: Nutzer-Update fehlgeschlagen

Entra-Logs zeigen den Status Failed an:

Statusgrund - "Failed to update user: Attribute emails does not have a multi-valued or complex value"
Fehlercode - SystemForCrossDomainIdentityManagementServiceIncompatible

Beiträge in diesem Abschnitt