Mit einer SCIM-Verbindung sendet Ihre Organisation neue Mitarbeitende, Änderungen und Austritte selbst an 2LRN4, aus Microsoft Entra ID, Okta oder Google. Sie müssen 2LRN4 dafür keinen Zugriff auf Ihre eigene Umgebung geben: Sie bestimmen, wer und was übermittelt wird. Die Verbindung ist kostenlos und funktioniert mit jedem Paket.

Diese Seite beschreibt die Einrichtung in Microsoft Entra. Für Okta und Google gelten dieselben Angaben (die Mandanten-URL und das geheime Token, die Sie von uns erhalten); nur die Bildschirme sind anders. Die Bezeichnungen unten folgen der englischen Oberfläche von Microsoft Entra.

SCIM funktioniert in eine Richtung. Änderungen gehen von Ihrer Benutzerverwaltung an 2LRN4, nie umgekehrt.

Was die Verbindung macht

• Neue Mitarbeitende. Wenn Sie jemanden in Entra der App zuweisen, legt 2LRN4 das Konto an und schreibt es in das Lernprogramm der Organisation ein.
• Änderung. Name, Abteilung, bevorzugte Sprache und Rolle werden aktualisiert. Eine Abteilung, die es noch nicht gibt, legt 2LRN4 selbst an.
• Austritt. Wenn Sie jemanden aus der App entfernen oder das Konto deaktivieren, wird die Person in 2LRN4 auf inaktiv gesetzt. Fortschritt und Zertifikate bleiben erhalten; danach gelten die üblichen Aufbewahrungsfristen.
• Rolle. Über eine App-Rolle in Entra bestimmen Sie, ob jemand Lernende, Manager oder Administrator wird (siehe Rollen unten).

2LRN4 übernimmt nur, was nötig ist: Name, E-Mail-Adresse, Abteilung, bevorzugte Sprache, Rolle und ob das Konto aktiv ist. Weitere Angaben, die Entra mitsendet, etwa Funktion oder Telefonnummer, speichern wir nicht.

Unterschied zur Benutzersynchronisation

2LRN4 bietet auch die Benutzersynchronisation mit Microsoft Entra. Dabei holt 2LRN4 die Benutzer selbst ab, mit einer App-Registrierung, die Leserechte auf Ihre Benutzer und Gruppen hat. Bei SCIM ist es umgekehrt: Entra sendet die Daten, und 2LRN4 erhält keine Leserechte auf Ihren Mandanten. Viele Sicherheitsteams bevorzugen deshalb SCIM.

Verwenden Sie pro Organisation eines von beiden, nicht beides gleichzeitig. Die Synchronisation setzt Mitarbeitende auf inaktiv, die nicht in ihrer Gruppe sind, auch wenn SCIM sie verwaltet.

Bevor Sie beginnen

1. Beantragen Sie die Verbindung über support@2lrn4.com. Wir schalten SCIM für Ihre Organisation ein und geben Ihnen zwei Angaben:
   • die Mandanten-URL (Tenant URL), die Adresse, an die Entra die Daten sendet;
   • ein geheimes Token, das mit scim_ beginnt. Behandeln Sie es wie ein Passwort: Mit dem Token lassen sich in Ihrer Organisation Konten anlegen und deaktivieren. Wir zeigen es einmal an; geht es verloren, erstellen wir ein neues, und das alte verliert seine Gültigkeit.
2. Teilen Sie uns mit, welche Rollen Sie verwenden möchten. Zum Beispiel: App-Rolle Administrator wird Kundenadministrator, App-Rolle Manager wird Manager. Wer keine passende Rolle hat, wird Lernende.
3. Prüfen Sie Ihre E-Mail-Domains. 2LRN4 akzeptiert nur Adressen auf den Domains, die für Ihre Organisation eingerichtet sind. Teilen Sie neue Domains vorab mit.
4. Prüfen Sie Ihre Lizenz für Entra ID. Einzelne Benutzer zuzuweisen ist in jeder Edition von Entra ID möglich, auch in der kostenlosen. Gruppen zuzuweisen erfordert Microsoft Entra ID P1 oder P2.

Schritt 1: die App anlegen

1. Öffnen Sie entra.microsoft.com und dort Enterprise applications.
2. Klicken Sie auf New application und danach auf Create your own application.
3. Geben Sie der App einen Namen, zum Beispiel 2LRN4.
4. Wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und klicken Sie auf Create.

Schritt 2: App-Rollen anlegen (für die Rollen)

Überspringen Sie diesen Schritt, wenn alle Lernende werden dürfen.

1. Öffnen Sie App registrations, wählen Sie All applications und öffnen Sie die soeben angelegte App.
2. Gehen Sie zu App roles und klicken Sie auf Create app role.
3. Füllen Sie Display name und Value aus, zum Beispiel beide mit Administrator. Wählen Sie bei Allowed member types die Option Users/Groups, geben Sie eine Beschreibung ein und klicken Sie auf Apply.
4. Wiederholen Sie das für jede vereinbarte Rolle, zum Beispiel Manager. Der Wert muss genau dem entsprechen, was Sie 2LRN4 mitgeteilt haben.

Schritt 3: die Verbindung herstellen

1. Gehen Sie zurück zu Enterprise applications, öffnen Sie die App und wählen Sie Provisioning.
2. Stellen Sie den Provisioning Mode auf Automatic.
3. Klappen Sie Admin Credentials auf. Zeigt Entra dort einen Hinweis, dass die Anmeldeinformationen verschoben wurden, klicken Sie auf den Link in diesem Hinweis.
4. Lassen Sie die Authentifizierungsmethode auf Bearer authentication und tragen Sie ein:
   • Tenant URL: die Adresse, die Sie von 2LRN4 erhalten haben.
   • Secret Token: das Token, das Sie von 2LRN4 erhalten haben.
5. Klicken Sie auf Test Connection. Ist der Test erfolgreich, klicken Sie unten auf Create oder Save.

Schritt 4: die Rolle mitsenden

Standardmäßig sendet Entra bereits Name, E-Mail-Adresse, Abteilung und Status. Für die Rolle fügen Sie eine Zuordnung hinzu.

1. Öffnen Sie in der App Provisioning und danach Attribute mapping für Benutzer.
2. Klicken Sie auf Add new mapping.
3. Wählen Sie bei Mapping type die Option Expression und geben Sie als Ausdruck ein: SingleAppRoleAssignment([appRoleAssignments])
4. Wählen Sie als Target attribute: roles[primary eq "True"].value
5. Klicken Sie auf Ok und danach auf Save.

Prüfen Sie in derselben Liste, dass userPrincipalName auf userName zugeordnet ist. Das ist die Adresse, mit der sich Mitarbeitende anmelden. Weicht bei Ihnen die E-Mail-Adresse von der Anmeldeadresse ab, teilen Sie uns das bitte vorab mit.

Schritt 5: Mitarbeitende zuweisen und testen

1. Öffnen Sie in der App Users and groups und klicken Sie auf Add user/group.
2. Wählen Sie zuerst einen Testbenutzer, wählen Sie die passende App-Rolle und klicken Sie auf Assign.
3. Gehen Sie zu Provisioning, wählen Sie Provision on demand, suchen Sie den Testbenutzer und klicken Sie auf Provision. Entra zeigt pro Schritt, was gesendet wurde und ob es geklappt hat.
4. Prüfen Sie, ob die Person in 2LRN4 mit der richtigen Abteilung und Rolle erscheint. Stimmt alles, weisen Sie die übrigen Mitarbeitenden oder Gruppen zu.
5. Gehen Sie zur Overview der Bereitstellung und klicken Sie auf Start provisioning. Entra sendet die Änderungen danach etwa alle 40 Minuten. Die erste Runde kann bei vielen Mitarbeitenden länger dauern.

Lassen Sie unter Settings den Scope auf Sync only assigned users and groups. Sonst sendet Entra Ihre gesamte Organisation.

Rollen

Die Rolle in 2LRN4 ergibt sich aus der App-Rolle, die Sie in Entra zuweisen. Bei jeder Änderung bestimmt 2LRN4 die Rolle neu. Ändern Sie also die App-Rolle in Entra, ändert sich die Rolle in 2LRN4 mit. Eine Rolle, die Sie in 2LRN4 von Hand ändern, bleibt nicht bestehen, solange SCIM die Person verwaltet.

• Über SCIM sind nur Rollen innerhalb Ihrer eigenen Organisation möglich: Lernende, Manager, Kundenadministrator, Kommunikation und Helpdesk. Rollen von 2LRN4 oder eines Partners lassen sich über SCIM nicht vergeben.
• Wer keine App-Rolle hat oder eine App-Rolle, die nicht vereinbart wurde, wird Lernende.
• Mit Entra ID P1 können Sie Rollen auch an Gruppen koppeln. Teilen Sie uns dann die Gruppennamen mit.

Lernende zählen für die Anzahl der Lizenzen. Ist Ihre Lizenz ausgeschöpft, lehnt 2LRN4 neue aktive Lernende ab, bis wieder Platz ist. Administratoren und Manager zählen nicht.

Anmelden

Mitarbeitende, die über SCIM angelegt wurden, melden sich mit ihrem Microsoft-Konto an. Siehe Anmelden mit dem eigenen Organisationskonto (SSO). Ob sie eine Willkommensmail erhalten, stellen wir pro Organisation ein. Die üblichen Nachrichten zu Kursen gehen wie bei jedem neuen Benutzer.

Fehlerbehebung

Unter Provisioning logs zeigt Entra pro Person, was passiert ist. Die häufigsten Meldungen:

• Test Connection schlägt fehl. Prüfen Sie, ob die Mandanten-URL genau der Adresse entspricht, die Sie von uns erhalten haben, und ob das Token vollständig übernommen wurde. Funktioniert es weiterhin nicht, ist die Verbindung möglicherweise ausgeschaltet; nehmen Sie bitte Kontakt mit uns auf.
• Die E-Mail-Domain gehört nicht zu dieser Organisation. Die Adresse liegt außerhalb der Domains, die für Ihre Organisation eingerichtet sind.
• Es gibt bereits ein Konto mit dieser E-Mail-Adresse. Die Adresse wird in 2LRN4 bereits außerhalb Ihrer Organisation verwendet. Nehmen Sie bitte Kontakt mit uns auf; wir klären, zu wem sie gehört. Ein Konto, das bereits in Ihrer eigenen Organisation war, übernimmt SCIM einfach.
• Die Lizenz dieser Organisation ist ausgeschöpft. Es ist kein Platz mehr für weitere aktive Lernende. Deaktivieren Sie ausgeschiedene Mitarbeitende oder erweitern Sie Ihre Lizenz.
• Zu viele Deaktivierungen in kurzer Zeit. Kommen innerhalb einer Stunde viele Austritte gleichzeitig herein, hält 2LRN4 sie zurück, bis wir sie geprüft haben. So kann ein Versehen, etwa eine geleerte Gruppe, nicht alle auf einmal deaktivieren. Sind die Austritte korrekt, nehmen Sie bitte Kontakt mit uns auf. Nach unserer Freigabe verarbeitet Entra die Änderungen in der nächsten Runde von selbst.

Kommen Sie nicht weiter, schreiben Sie an support@2lrn4.com. Nennen Sie den Namen Ihrer Organisation und den Zeitpunkt der Meldung. Im Protokoll der Verbindung sehen wir, was eingegangen ist.