Gebruikers automatisch inrichten met SCIM handleiding

Met een SCIM-koppeling stuurt jouw organisatie zelf nieuwe medewerkers, wijzigingen en vertrekkers naar 2LRN4. Dat gebeurt vanuit Microsoft Entra ID, Okta of Google. Je hoeft 2LRN4 daarvoor geen toegang tot je eigen omgeving te geven: jij bepaalt wie en wat er wordt doorgestuurd. De koppeling is gratis en werkt bij elk pakket.

Deze pagina beschrijft de inrichting in Microsoft Entra. Voor Okta en Google gelden dezelfde gegevens (de Tenant-URL en de sleutel uit het portaal); alleen de schermen zijn anders.

SCIM werkt één kant op. Wijzigingen lopen van jouw gebruikersadministratie naar 2LRN4, nooit andersom.

Wat de koppeling doet

Nieuwe medewerker. Wijs je iemand toe aan de app in Entra, dan maakt 2LRN4 het account aan en schrijft het in voor het leerprogramma van de organisatie.
Wijziging. Naam, afdeling, voorkeurstaal en rol worden bijgewerkt. Een afdeling die nog niet bestaat, maakt 2LRN4 zelf aan.
Vertrek. Haal je iemand weg uit de app, of zet je het account uit, dan wordt de medewerker in 2LRN4 op inactief gezet. Een inactief account kan niet meer inloggen en telt niet mee voor je licenties. Voortgang en certificaten blijven bewaard, zodat je ook later kunt aantonen wie welke training heeft gevolgd. Na de termijn die je organisatie kiest onder Toegang en beveiliging (standaard 365 dagen) verwijdert 2LRN4 het inactieve account automatisch. De contactpersoon krijgt elke maand een overzicht met de trainingshistorie van de verwijderde accounts, en in de gebruikerslijst zie je vooraf wanneer een account wordt verwijderd.
Rol. Met een app-rol in Entra bepaal je of iemand cursist, manager of beheerder wordt (zie Rollen hieronder).

2LRN4 neemt alleen over wat nodig is: naam, e-mailadres, afdeling, voorkeurstaal, rol en of het account actief is. Andere gegevens die Entra meestuurt, zoals functie of telefoonnummer, slaan we niet op.

Verschil met gebruikerssynchronisatie

2LRN4 kent ook de gebruikerssynchronisatie met Microsoft Entra. Daarbij haalt 2LRN4 de gebruikers zelf op, met een app-registratie die leesrechten heeft op jouw gebruikers en groepen. Bij SCIM is het andersom: Entra stuurt de gegevens, en 2LRN4 krijgt geen leesrechten op jouw tenant. Veel securityteams geven daarom de voorkeur aan SCIM.

Gebruik voor één organisatie één van de twee, niet beide tegelijk. De synchronisatie zet medewerkers op inactief die niet in haar groep zitten, ook als SCIM ze beheert.

Voordat je begint

Zet de koppeling aan. Ga als klantbeheerder in het portaal naar Koppelingen en dan SCIM-koppeling, zet het vinkje bij SCIM-koppeling aan en klik op Opslaan. Je ziet dan twee gegevens:
- de Tenant-URL, het adres waar Entra de gegevens naartoe stuurt;
- een geheime sleutel, die begint met scim_. Behandel die als een wachtwoord: met de sleutel kun je in jouw organisatie accounts aanmaken en uitzetten. Het portaal toont hem één keer. Ben je hem kwijt, maak dan een nieuwe met Nieuwe sleutel maken; de oude werkt dan meteen niet meer.
Leg vast welke rollen je wilt gebruiken. Bijvoorbeeld: app-rol Beheerder wordt klantbeheerder, app-rol Manager wordt manager. Dat stel je in op dezelfde pagina, bij Rolregels. Wie geen passende rol heeft, krijgt de standaardrol, meestal cursist. Je kunt ook de vaste waarden gebruiken die onder Rollen staan; dan hoef je niets in te stellen.
Controleer je e-maildomeinen. 2LRN4 accepteert alleen adressen op de domeinen die bij jouw organisatie zijn ingesteld. Geef nieuwe domeinen vooraf door.
Controleer je licentie van Entra ID. Losse gebruikers toewijzen kan in elke versie van Entra ID, ook de gratis. Groepen toewijzen vraagt Microsoft Entra ID P1 of P2.

Stap 1: de app aanmaken

Ga naar entra.microsoft.com en open Bedrijfsapps (Enterprise applications).
Klik op Nieuwe toepassing (New application) en daarna op Uw eigen toepassing maken (Create your own application).
Geef de app een naam, bijvoorbeeld 2LRN4.
Kies Een willekeurige andere toepassing integreren die niet aanwezig is in de galerie (Integrate any other application you don't find in the gallery) en klik op Maken (Create).

Stap 2: app-rollen maken (voor de rollen)

Sla deze stap over als iedereen cursist mag worden.

Open App-registraties (App registrations), kies Alle toepassingen en open de app die je net hebt gemaakt.
Ga naar App-rollen (App roles) en klik op App-rol maken (Create app role).
Vul in: Weergavenaam en Waarde (Value), bijvoorbeeld allebei Beheerder. Kies bij Toegestane ledentypen de optie Gebruikers/groepen, vul een beschrijving in en klik op Toepassen.
Herhaal dit voor elke rol die je wilt gebruiken, bijvoorbeeld Manager. De waarde moet precies overeenkomen met de waarde in je rolregels in het portaal, of met een van de vaste waarden.

Stap 3: de verbinding maken

Ga terug naar Bedrijfsapps, open de app en kies Inrichten (Provisioning).
Zet de Inrichtingsmodus (Provisioning mode) op Automatisch (Automatic).
Klap Referenties voor beheerder (Admin credentials) open. Toont Entra daar een melding dat de referenties zijn verplaatst, klik dan op de link in die melding.
Laat de verificatiemethode op Bearer-verificatie staan en vul in:
- Tenant-URL: de Tenant-URL uit het portaal.
- Token voor geheim (Secret token): de sleutel die je in het portaal hebt gemaakt.
Klik op Verbinding testen (Test connection). Is die geslaagd, klik dan onderaan op Maken (Create) of Opslaan (Save).

Stap 4: de rol laten meesturen

Standaard stuurt Entra naam, e-mailadres, afdeling en status al mee. Voor de rol voeg je één regel toe.

Open in de app Inrichten en daarna Kenmerktoewijzing (Attribute mapping) voor gebruikers.
Klik op Kenmerktoewijzing toevoegen (Add new mapping).
Kies bij Toewijzingstype (Mapping type) de optie Expressie (Expression) en vul als expressie in: SingleAppRoleAssignment([appRoleAssignments])
Kies als Doelkenmerk (Target attribute): roles[primary eq "True"].value
Klik op Toevoegen (Ok) en daarna op Opslaan (Save).

Controleer in dezelfde lijst dat userPrincipalName naar userName gaat. Dat is het adres waarmee medewerkers inloggen. Is bij jou het e-mailadres anders dan het inlogadres, laat ons dat dan vooraf weten.

Stap 5: medewerkers toewijzen en testen

Open in de app Gebruikers en groepen (Users and groups) en klik op Gebruiker/groep toevoegen (Add user/group).
Kies eerst één testgebruiker, selecteer de juiste app-rol en klik op Toewijzen (Assign).
Ga naar Inrichten, kies Inrichten op aanvraag (Provision on demand), zoek de testgebruiker op en klik op Inrichten (Provision). Entra laat per stap zien wat er is verstuurd en of het is gelukt.
Controleer of de medewerker in 2LRN4 staat, met de juiste afdeling en rol. Klopt het, wijs dan de overige medewerkers of groepen toe.
Ga naar het Overzicht van de inrichting en klik op Inrichten starten (Start provisioning). Entra stuurt de wijzigingen daarna ongeveer elke 40 minuten. De eerste ronde kan bij veel medewerkers langer duren.

Laat bij Instellingen het Bereik (Scope) staan op Alleen toegewezen gebruikers en groepen synchroniseren (Sync only assigned users and groups). Anders stuurt Entra je hele organisatie.

Rollen

De rol in 2LRN4 komt uit de app-rol die je in Entra toewijst. De namen van die app-rollen kies je zelf, in elke taal; in het portaal koppel je ze bij Rolregels aan de rollen hieronder. Bij elke wijziging bepaalt 2LRN4 de rol opnieuw. Verander je dus de app-rol in Entra, dan verandert de rol in 2LRN4 mee. Een rol die je met de hand in 2LRN4 aanpast, blijft niet staan zolang SCIM de medewerker beheert.

Vaste waarden. Wil je geen rolregels instellen, geef je app-rollen dan een van deze waarden. 2LRN4 herkent ze altijd, in elke organisatie: 2LRN4.Admin (klantbeheerder), 2LRN4.Manager (manager), 2LRN4.Communication (communicatie), 2LRN4.Helpdesk (helpdesk) en 2LRN4.User (cursist). Hoofdletters maken niet uit. Heeft iemand er meer, dan geldt de eerste uit deze lijst. Rolregels in het portaal gaan voor.

Via SCIM zijn alleen rollen binnen je eigen organisatie mogelijk: cursist, manager, klantbeheerder, communicatie en helpdesk. Rollen van 2LRN4 of van een partner kunnen niet via SCIM worden toegekend.
Heeft iemand geen app-rol, of een app-rol zonder rolregel, dan krijgt hij de standaardrol, meestal cursist.
Met Entra ID P1 kun je ook rollen koppelen aan groepen. Maak dan in het portaal een rolregel met bron Groep en de groepsnaam.

Een cursist telt mee voor het aantal licenties. Is je licentie vol, dan weigert 2LRN4 nieuwe actieve cursisten tot er weer plaats is. Beheerders en managers tellen niet mee.

Inloggen

Medewerkers die via SCIM zijn aangemaakt, loggen in met hun Microsoft-account. Zie Inloggen met het eigen organisatieaccount (SSO). Of ze een welkomstmail krijgen, stel je zelf in op de SCIM-pagina in het portaal. De gewone berichten over cursussen gaan zoals bij elke nieuwe gebruiker.

Problemen oplossen

Entra toont in Inrichtingslogboeken (Provisioning logs) per medewerker wat er is gebeurd. De meest voorkomende meldingen:

Verbinding testen mislukt. Controleer of de Tenant-URL precies overeenkomt met die in het portaal, en of de sleutel volledig is overgenomen. Twijfel je, maak dan een nieuwe sleutel. Werkt het nog niet, controleer dan of de SCIM-koppeling in het portaal aanstaat.
Het e-maildomein hoort niet bij deze organisatie. Het adres valt buiten de domeinen die bij jouw organisatie zijn ingesteld.
Er bestaat al een account met dit e-mailadres. Het adres is in 2LRN4 al in gebruik buiten jouw organisatie. Neem contact met ons op; wij zoeken uit bij wie het hoort. Een account dat al in jouw eigen organisatie stond, neemt SCIM gewoon over.
De licentie van deze organisatie is vol. Er is geen plaats meer voor een actieve cursist. Zet vertrokken medewerkers uit of breid je licentie uit.
Te veel deactiveringen in korte tijd. Komen er in een uur veel vertrekkers tegelijk binnen, dan houdt 2LRN4 dat tegen tot wij het hebben gecontroleerd. Zo kan een vergissing, zoals een leeggehaalde groep, niet in één keer iedereen uitzetten. Klopt het vertrek wel, neem dan contact met ons op. Na onze vrijgave verwerkt Entra de wijzigingen bij de volgende ronde vanzelf.

Kom je er niet uit, mail dan naar support@2lrn4.com. Vermeld de naam van je organisatie en het tijdstip van de melding. Wij kunnen in het logboek van de koppeling zien wat er binnenkwam.