Opsæt SCIM med Microsoft Entra ID

Denne guide viser dig, hvordan du forbinder Microsoft Entra ID til mTime med SCIM-provisionering — fra den første indstilling i mTime til en afprøvet synkronisering, der kører. Følg trinnene i rækkefølge; alt, hvad du skal bruge, står på denne side.

Undervejs skal du: forberede mTime (trin 1–3), oprette og forbinde enterprise-applikationen i Entra (trin 4–6), oprette og tildele brugerne og grupperne (trin 7–8) og teste, før du går i drift (trin 9–11).

Trin 1 — Slå SCIM-provisioneringsintegrationen til i mTime

1. Gå til Integrationer, og åbn SCIM-provisionering.
2. Slå integrationen til.
3. Lad Kæd externalId til medarbejderattribut stå tom, medmindre du vil matche på medarbejdernummer. Tom er standarden, og så matches brugere med medarbejdere på e-mailadressen — hvilket er alt, de fleste arbejdsområder har brug for. Vælg kun en attribut, hvis din identitetsudbyder sender et fast medarbejdernummer, og du vil have mTime til at matche på det først. Vælg i så fald den attribut, som din HR-integration udfylder med nummeret. Kun attributter, der er markeret som unikke, kan kædes sammen — hvis den, du vil bruge, ikke er på listen, skal du først markere den som unik i indstillingerne for medarbejderattributter.
4. Lad Brug navne fra identitetsudbyderen som medarbejdernavne være slået fra, medmindre Entra også skal eje medarbejdernavnene. Slået fra bliver det navn, Entra sender, på brugeren, og medarbejderen beholder det navn, HR vedligeholder; slået til skrives det også til den tilknyttede medarbejder ved hver brugers næste opdatering — se Brug identitetsudbyderens navn på medarbejdere.

Trin 2 — Opret servicebrugeren til provisionering

Identitetsudbyderen skal have sin egen servicekonto i mTime:

1. Gå til Admin › Brugere, og klik på Opret servicebruger .
2. Giv den et genkendeligt navn, f.eks. entra-provisioning.
3. Giv den kun rollen Provisionering — intet andet.

Der kan kun findes én servicebruger til provisionering pr. arbejdsområde. Rollen er begrænset: Kontoen virker udelukkende på SCIM-endpoints og afvises alle andre steder.

Trin 3 — Opret API-nøglen

1. Åbn den servicebruger, du lige har oprettet, og klik på Opret API-nøgle . (Det virker først, når integrationen fra trin 1 er slået til.)
2. Kopiér nøglen nu — den vises kun én gang. Det er det “Secret Token”, du indsætter i Entra i trin 5.

Mister du den, skal du tilbagekalde nøglen og oprette en ny.

Trin 4 — Opret enterprise-applikationen i Entra

Skift nu til Microsoft Entra-administrationscenteret. Du skal have en rolle, der kan oprette og administrere enterprise-applikationer (f.eks. Application Administrator).

1. Gå til Enterprise apps (1) > All applications (2) i venstremenuen, og klik på New application (3) i værktøjslinjen over listen. Det åbner Microsoft Entra App Gallery.

2. Klik på Create your own application (1) øverst på gallerisiden — et panel åbnes i højre side.
3. Giv appen et navn (2) — skærmbillederne bruger mTIME SCIM test; ethvert navn virker (f.eks. mTime). Behold Integrate any other application you don’t find in the gallery (Non-gallery) (3) valgt. Under navnefeltet foreslår Entra lignende apps fra galleriet — ignorér dem, mTime findes ikke i galleriet. De to andre muligheder opretter den forkerte slags objekt: en app-registrering (til software, du selv udvikler) har ingen provisionering, og Application Proxy er til apps, der kører på egne servere.
4. Klik på Create (4) nederst i panelet.

5. Den nye applikation åbnes og vises fra nu af under All applications (1).

Det er i denne applikation, at alt det følgende foregår: forbindelsen til mTime, attributtilknytningerne og valget af, hvilke brugere og grupper der provisioneres.

Trin 5 — Forbind applikationen til mTime

1. Åbn Provisioning (1) under Manage i applikationens menu (kortet Provision User Accounts (2) på Overview fører samme sted hen).

2. Første gang åbnes siden Get started with application provisioning. Klik på Connect your application (1) under Create configuration. (Menupunktet Connectivity er nedtonet, indtil konfigurationen findes — det er via denne knap, du kommer dertil. Ved senere besøg åbner du Connectivity direkte.)

3. På siden Connectivity beholder du Select authentication method (1) på Bearer authentication.
4. Angiv Tenant URL (2): https://<din mTime-vært>/api/scim/v2 — for eksempel https://mtime.example.com/api/scim/v2.
5. Indsæt API-nøglen fra trin 3 i Secret token (3), lige under URL’en.
6. Klik på Test connection (4). Entra kalder mTime og kontrollerer loginoplysningerne — testen skal lykkes, før du kan gemme.
7. Klik på Save (5) i værktøjslinjen øverst.

Trin 6 — Konfigurér attributtilknytningerne

Entra afgør via attributtilknytninger, hvilke data mTime modtager. Kun én af dem er påkrævet: userName, som indeholder den e-mailadresse, mTime provisionerer og matcher på.

1. Åbn Provisioning under Manage i provisioneringspanelet, og fold sektionen Mappings ud. Den viser to tilknytninger — Provision Microsoft Entra ID Groups og Provision Microsoft Entra ID Users — begge aktiveret som standard. Lad Groups være aktiveret: Det er den, der gør, at grupper bliver til roller i trin 8.
2. Klik på Provision Microsoft Entra ID Users — listen Attribute Mapping åbnes.
3. Kun hvis du valgte en medarbejderattribut i trin 1: find rækken externalId, klik på Edit til højre (1), og erstat standardkildeattributten med den Entra-attribut, der indeholder medarbejdernummeret — typisk employeeId. Ellers skal du springe dette over og gå til trin 5.
4. De øvrige standardtilknytninger kan blive, som de er — mTime ser bort fra attributter, det ikke bruger. De attributter, der betyder noget:

5. Klik på Save (2) i værktøjslinjen øverst.

Trin 7 — Opret brugerne og grupperne i Entra

De brugere og grupper, der skal overføres til mTime, ligger i dit Entra-katalog. Dine rigtige medarbejdere er der sandsynligvis allerede — dette trin viser de felter, der betyder noget, med en testbruger og en testgruppe (skærmbillederne bruger Tina Test og Team Leads).

1. Gå til Entra ID > Users, og klik på New user > Create new user. På fanen Basics giver du brugeren et principal name (1) og et display name (2).

2. Valgfrit — spring dette over, medmindre du valgte en medarbejderattribut i trin 1. Lad Employee ID stå tomt, og mTime matcher i stedet brugeren på e-mailadressen. Har du valgt en, skal du på fanen Properties udfylde Employee ID (1) under Job Information med brugerens faste medarbejdernummer (her test-5000) — det er det, externalId-tilknytningen fra trin 6 sender til mTime, så det skal matche medarbejderens nummer i dine HR-data. Uanset hvad klikker du på Review + create (2), når du er færdig.

3. Gå til Entra ID > Groups, og klik på New group. Behold Group type (1) på Security, giv gruppen navn efter den rolle i mTime, den skal styre (2), og klik på linket under Members (3).

4. Søg de brugere frem, der skal have rollen, sæt flueben ved dem (1), og klik på Select (2) — klik derefter på Create (3).

En gruppe kan også oprettes uden medlemmer: Den opretter stadig sin rolle i mTime (eller knyttes til en eksisterende), og medlemskaberne følger med, når du tilføjer personer i Entra.

Trin 8 — Tildel brugerne og grupperne til applikationen

Entra provisionerer kun det, der er tildelt applikationen — det er ikke nok at oprette en gruppe (trin 7). Synkroniseringen ser bort fra den, indtil den står på appens tildelingsliste:

1. Åbn Users and groups (1) under Manage i applikationens menu. Listen viser alt, hvad synkroniseringen dækker lige nu. Klik på Add user/group (2) i værktøjslinjen.

2. På siden Add Assignment åbner du vælgeren Users and groups, søger gruppen frem, sætter flueben (1) og klikker på Select (2) — klik derefter på Assign (3) nederst til venstre. Læg mærke til Entras advarsel: Undergrupper kommer ikke automatisk med, så tildel hver gruppe direkte.

3. Gruppen vises nu i tildelingslisten (1). Enkeltbrugere kan tildeles på samme måde.

Det er denne liste, der afgør, hvad der synkroniseres, fordi provisioneringsindstillingen Scope (under Provisioning > Settings) som standard står på Sync only assigned users and groups — lad den blive der.

Det, der kommer over i mTime:

• Hver tildelt bruger bliver en bruger i mTime — matchet med medarbejderen via det sammenkædede medarbejdernummer (når det er sat op) eller via e-mailadressen. Matcher ingen af delene, oprettes en ny minimal medarbejderpost.
• Hver tildelt gruppe bliver en rolle i mTime. En gruppe, hvis navn matcher en eksisterende rolle præcist, knyttes til den; enhver anden gruppe opretter en ny tom rolle, som en administrator derefter konfigurerer på rollesiden.
• Gruppemedlemmer tildeles gruppens rolle automatisk — også medlemmer, der tilføjes senere.

Trin 9 — Test med provisionering efter behov

Afprøv opsætningen med en enkelt bruger, før du starter den fulde synkronisering:

1. Åbn Provision on demand (1) øverst i provisioneringspanelets menu, vælg en testbruger (2) (tildelt i trin 8), og provisionér vedkommende. Entra gennemgår sine fire stadier — import, scope, match, perform action — og hvert stadie skal ende i Success.

2. Åbn View details (1) på Perform action for at se præcis, hvad mTime modtog. Rækken externalId (2) betyder kun noget, hvis du valgte en medarbejderattribut i trin 1 — så bør den indeholde medarbejdernummeret. Ellers kan du se bort fra den: et tomt externalId er normalt, og intet fejler på grund af det.

3. Kontrollér nu resultatet i mTime under Admin › Brugere, og åbn brugeren. Brugeren findes med status inviteret og har rollen Medarbejder (1) (plus eventuelle grupperoller).

4. Åbn den tilknyttede medarbejder: da ingen medarbejder endnu matchede, blev der oprettet en minimal post — ingen ansættelse (1) (din HR-integration supplerer den senere), med medarbejdernummeret gemt i den attribut, der blev kædet sammen i trin 1 (2).

5. Test gruppen på samme måde: åbn Provision on demand igen, skift vælgeren til fanen Groups, og provisionér gruppen fra trin 8 (1). De samme fire stadier skal blive grønne.

6. I mTime er gruppen blevet til en rolle på siden Admin › Roller. Den er oprettet tom og mærket Styres af IdP-gruppe (1), så en administrator kan afgøre, hvad den må.

7. Og gruppens medlemmer har rollen: Testbrugeren har nu rollen ud over Medarbejder (1).

Trin 10 — Start provisioneringen

1. Gå tilbage til konfigurationens Overview, og klik på Start provisioning (1) i værktøjslinjen.
2. Entra kører en indledende cyklus, der omfatter alt, hvad der er tildelt applikationen, og derefter en inkrementel cyklus cirka hvert 40. minut, som overfører ændringer — herunder de deaktiveringer og sletninger, som provisionering efter behov springer over.
3. På oversigten kan du følge jobbet: Last cycle completed time (2) og Current cycle status (3) med fremdrift og behandlede ændringer. Pause provisioning og Restart provisioning findes i samme værktøjslinje, og fejl vises under Provisioning logs (4) i sektionen Monitor, hver med den årsag, mTime returnerede (f.eks. “A user with this externalId already exists”).

Trin 11 — Afprøv hele forløbet

Gennemfør én hel runde for at sikre dig, at det virker:

1. Deaktivér testbrugeren i Entra (blokér login). Efter næste cyklus er vedkommende suspenderet i mTime og logget ud med det samme.
2. Genaktivér vedkommende — næste cyklus genaktiverer mTime-brugeren.
3. Fjern testbrugeren fra gruppen — næste synkronisering tilbagekalder rollen i mTime; tilføj vedkommende igen, og den kommer tilbage.

Fra nu af administreres brugere og grupper i Entra. Hvad hver rolle må, bestemmer dine administratorer i mTime fortsat — se Sådan bliver grupper til roller.

Fejlfinding