Met een SCIM-koppeling stuurt jouw organisatie zelf nieuwe medewerkers, wijzigingen en vertrekkers naar 2LRN4. Dat gebeurt vanuit Microsoft Entra ID, Okta of Google. Je hoeft 2LRN4 daarvoor geen toegang tot je eigen omgeving te geven: jij bepaalt wie en wat er wordt doorgestuurd. De koppeling is gratis en werkt bij elk pakket.

Deze pagina beschrijft de inrichting in Microsoft Entra. Voor Okta en Google gelden dezelfde gegevens (de Tenant-URL en de sleutel die je van ons krijgt); alleen de schermen zijn anders.

SCIM werkt één kant op. Wijzigingen lopen van jouw gebruikersadministratie naar 2LRN4, nooit andersom.

Wat de koppeling doet

• Nieuwe medewerker. Wijs je iemand toe aan de app in Entra, dan maakt 2LRN4 het account aan en schrijft het in voor het leerprogramma van de organisatie.
• Wijziging. Naam, afdeling, voorkeurstaal en rol worden bijgewerkt. Een afdeling die nog niet bestaat, maakt 2LRN4 zelf aan.
• Vertrek. Haal je iemand weg uit de app, of zet je het account uit, dan wordt de medewerker in 2LRN4 op inactief gezet. Voortgang en certificaten blijven bewaard; daarna gelden de gewone bewaartermijnen.
• Rol. Met een app-rol in Entra bepaal je of iemand cursist, manager of beheerder wordt (zie Rollen hieronder).

2LRN4 neemt alleen over wat nodig is: naam, e-mailadres, afdeling, voorkeurstaal, rol en of het account actief is. Andere gegevens die Entra meestuurt, zoals functie of telefoonnummer, slaan we niet op.

Verschil met gebruikerssynchronisatie

2LRN4 kent ook de gebruikerssynchronisatie met Microsoft Entra. Daarbij haalt 2LRN4 de gebruikers zelf op, met een app-registratie die leesrechten heeft op jouw gebruikers en groepen. Bij SCIM is het andersom: Entra stuurt de gegevens, en 2LRN4 krijgt geen leesrechten op jouw tenant. Veel securityteams geven daarom de voorkeur aan SCIM.

Gebruik voor één organisatie één van de twee, niet beide tegelijk. De synchronisatie zet medewerkers op inactief die niet in haar groep zitten, ook als SCIM ze beheert.

Voordat je begint

1. Vraag de koppeling aan via support@2lrn4.com. Wij zetten SCIM aan voor jouw organisatie en geven je twee gegevens:
   • de Tenant-URL, het adres waar Entra de gegevens naartoe stuurt;
   • een geheime sleutel, die begint met scim_. Behandel die als een wachtwoord: met de sleutel kun je in jouw organisatie accounts aanmaken en uitzetten. Wij tonen hem één keer; ben je hem kwijt, dan maken we een nieuwe en vervalt de oude.
2. Geef door welke rollen je wilt gebruiken. Bijvoorbeeld: app-rol Beheerder wordt klantbeheerder, app-rol Manager wordt manager. Wie geen passende rol heeft, wordt cursist.
3. Controleer je e-maildomeinen. 2LRN4 accepteert alleen adressen op de domeinen die bij jouw organisatie zijn ingesteld. Geef nieuwe domeinen vooraf door.
4. Controleer je licentie van Entra ID. Losse gebruikers toewijzen kan in elke versie van Entra ID, ook de gratis. Groepen toewijzen vraagt Microsoft Entra ID P1 of P2.

Stap 1: de app aanmaken

1. Ga naar entra.microsoft.com en open Bedrijfsapps (Enterprise applications).
2. Klik op Nieuwe toepassing (New application) en daarna op Uw eigen toepassing maken (Create your own application).
3. Geef de app een naam, bijvoorbeeld 2LRN4.
4. Kies Een willekeurige andere toepassing integreren die niet aanwezig is in de galerie (Integrate any other application you don't find in the gallery) en klik op Maken (Create).

Stap 2: app-rollen maken (voor de rollen)

Sla deze stap over als iedereen cursist mag worden.

1. Open App-registraties (App registrations), kies Alle toepassingen en open de app die je net hebt gemaakt.
2. Ga naar App-rollen (App roles) en klik op App-rol maken (Create app role).
3. Vul in: Weergavenaam en Waarde (Value), bijvoorbeeld allebei Beheerder. Kies bij Toegestane ledentypen de optie Gebruikers/groepen, vul een beschrijving in en klik op Toepassen.
4. Herhaal dit voor elke rol die je hebt afgesproken, bijvoorbeeld Manager. De waarde moet precies overeenkomen met wat je aan 2LRN4 hebt doorgegeven.

Stap 3: de verbinding maken

1. Ga terug naar Bedrijfsapps, open de app en kies Inrichten (Provisioning).
2. Zet de Inrichtingsmodus (Provisioning mode) op Automatisch (Automatic).
3. Klap Referenties voor beheerder (Admin credentials) open. Toont Entra daar een melding dat de referenties zijn verplaatst, klik dan op de link in die melding.
4. Laat de verificatiemethode op Bearer-verificatie staan en vul in:
   • Tenant-URL: het adres dat je van 2LRN4 hebt gekregen.
   • Token voor geheim (Secret token): de sleutel die je van 2LRN4 hebt gekregen.
5. Klik op Verbinding testen (Test connection). Is die geslaagd, klik dan onderaan op Maken (Create) of Opslaan (Save).

Stap 4: de rol laten meesturen

Standaard stuurt Entra naam, e-mailadres, afdeling en status al mee. Voor de rol voeg je één regel toe.

1. Open in de app Inrichten en daarna Kenmerktoewijzing (Attribute mapping) voor gebruikers.
2. Klik op Kenmerktoewijzing toevoegen (Add new mapping).
3. Kies bij Toewijzingstype (Mapping type) de optie Expressie (Expression) en vul als expressie in: SingleAppRoleAssignment([appRoleAssignments])
4. Kies als Doelkenmerk (Target attribute): roles[primary eq "True"].value
5. Klik op Toevoegen (Ok) en daarna op Opslaan (Save).

Controleer in dezelfde lijst dat userPrincipalName naar userName gaat. Dat is het adres waarmee medewerkers inloggen. Is bij jou het e-mailadres anders dan het inlogadres, laat ons dat dan vooraf weten.

Stap 5: medewerkers toewijzen en testen

1. Open in de app Gebruikers en groepen (Users and groups) en klik op Gebruiker/groep toevoegen (Add user/group).
2. Kies eerst één testgebruiker, selecteer de juiste app-rol en klik op Toewijzen (Assign).
3. Ga naar Inrichten, kies Inrichten op aanvraag (Provision on demand), zoek de testgebruiker op en klik op Inrichten (Provision). Entra laat per stap zien wat er is verstuurd en of het is gelukt.
4. Controleer of de medewerker in 2LRN4 staat, met de juiste afdeling en rol. Klopt het, wijs dan de overige medewerkers of groepen toe.
5. Ga naar het Overzicht van de inrichting en klik op Inrichten starten (Start provisioning). Entra stuurt de wijzigingen daarna ongeveer elke 40 minuten. De eerste ronde kan bij veel medewerkers langer duren.

Laat bij Instellingen het Bereik (Scope) staan op Alleen toegewezen gebruikers en groepen synchroniseren (Sync only assigned users and groups). Anders stuurt Entra je hele organisatie.

Rollen

De rol in 2LRN4 komt uit de app-rol die je in Entra toewijst. Bij elke wijziging bepaalt 2LRN4 de rol opnieuw. Verander je dus de app-rol in Entra, dan verandert de rol in 2LRN4 mee. Een rol die je met de hand in 2LRN4 aanpast, blijft niet staan zolang SCIM de medewerker beheert.

• Via SCIM zijn alleen rollen binnen je eigen organisatie mogelijk: cursist, manager, klantbeheerder, communicatie en helpdesk. Rollen van 2LRN4 of van een partner kunnen niet via SCIM worden toegekend.
• Heeft iemand geen app-rol, of een app-rol die niet is afgesproken, dan wordt hij cursist.
• Met Entra ID P1 kun je ook rollen koppelen aan groepen. Geef dan de groepsnamen aan ons door.

Een cursist telt mee voor het aantal licenties. Is je licentie vol, dan weigert 2LRN4 nieuwe actieve cursisten tot er weer plaats is. Beheerders en managers tellen niet mee.

Inloggen

Medewerkers die via SCIM zijn aangemaakt, loggen in met hun Microsoft-account. Zie Inloggen met het eigen organisatieaccount (SSO). Of ze een welkomstmail krijgen, stellen wij per organisatie in. De gewone berichten over cursussen gaan zoals bij elke nieuwe gebruiker.

Problemen oplossen

Entra toont in Inrichtingslogboeken (Provisioning logs) per medewerker wat er is gebeurd. De meest voorkomende meldingen:

• Verbinding testen mislukt. Controleer of de Tenant-URL precies overeenkomt met het adres dat je van ons hebt gekregen, en of de sleutel volledig is overgenomen. Werkt het nog niet, dan staat de koppeling mogelijk uit; neem contact met ons op.
• Het e-maildomein hoort niet bij deze organisatie. Het adres valt buiten de domeinen die bij jouw organisatie zijn ingesteld.
• Er bestaat al een account met dit e-mailadres. Het adres is in 2LRN4 al in gebruik buiten jouw organisatie. Neem contact met ons op; wij zoeken uit bij wie het hoort. Een account dat al in jouw eigen organisatie stond, neemt SCIM gewoon over.
• De licentie van deze organisatie is vol. Er is geen plaats meer voor een actieve cursist. Zet vertrokken medewerkers uit of breid je licentie uit.
• Te veel deactiveringen in korte tijd. Komen er in een uur veel vertrekkers tegelijk binnen, dan houdt 2LRN4 dat tegen tot wij het hebben gecontroleerd. Zo kan een vergissing, zoals een leeggehaalde groep, niet in één keer iedereen uitzetten. Klopt het vertrek wel, neem dan contact met ons op. Na onze vrijgave verwerkt Entra de wijzigingen bij de volgende ronde vanzelf.

Kom je er niet uit, mail dan naar support@2lrn4.com. Vermeld de naam van je organisatie en het tijdstip van de melding. Wij kunnen in het logboek van de koppeling zien wat er binnenkwam.