SCIM-Bereitstellung

Mit der SCIM-Bereitstellung verwaltet Ihr Identitätsanbieter (IdP) – etwa Microsoft Entra ID – die Benutzer von mTime automatisch. Wird in Ihrem Verzeichnis jemand eingestellt, geändert oder ausgegliedert, ruft der IdP den SCIM-2.0-Endpunkt von mTime auf, und der Benutzer wird angelegt, aktualisiert oder deaktiviert, ohne dass jemand mTime anfassen muss.

Gruppenmitgliedschaften im IdP werden Rollen in mTime zugeordnet: Wer einer zugeordneten Gruppe hinzugefügt wird, erhält die Rolle; wer daraus entfernt wird, verliert sie.

Wer wofür zuständig ist

Der IdP kann die Berechtigungen einer Rolle nie ändern – nur ihre Existenz und ihre Mitglieder. Benutzer und Gruppen selbst werden in Ihrem IdP verwaltet: Sobald die SCIM-Bereitstellung läuft, legen Sie sie dort an, ändern und entfernen sie dort, nicht in mTime.

Wie Benutzer bereitgestellt werden

1. Der IdP sendet einen neuen Benutzer – immer mit E-Mail-Adresse und optional mit einer stabilen Personalnummer (der SCIM-externalId, die nie ausgefüllt sein muss).
2. mTime sucht die passende Person in dieser Reihenfolge:
   • Nach Personalnummer – nur wenn die Einstellung externalId mit Personalattribut verknüpfen der Integration auf ein Attribut der Mitarbeitenden verweist und der IdP eine externalId gesendet hat: Es gilt die Person, die diese Nummer im verknüpften Attribut trägt.
   • Nach E-Mail-Adresse – andernfalls (oder wenn die Nummer niemandem entsprach) wird die Person mit derselben E-Mail-Adresse verwendet, unabhängig von Groß- und Kleinschreibung.
   • Keine Übereinstimmung? Es wird noch keine Person angelegt – der Benutzer wird zum Entwurf.
3. Bei einer passenden Person wird der Benutzer als eingeladen mit der Rolle employee angelegt (plus manager, wenn er Personen führt) und erhält die Standard-Einladungs-E-Mail. Nach der Aktivierung meldet er sich wie gewohnt an (z. B. „Mit Microsoft anmelden“).

Benutzer ohne Mitarbeitendendatensatz (Entwürfe)

Nicht jeder, den Ihr IdP bereitstellt, ist Mitarbeitende bzw. Mitarbeitender – eine IT-Administration oder eine externe Prüferin braucht vielleicht nur eine Rolle wie workspace-admin oder read-only. mTime legt daher nur dann einen Mitarbeitendendatensatz an, wenn eine Rolle ihn benötigt:

• Ohne passende Person wird der Benutzer als Entwurf angelegt: ohne Mitarbeitendendatensatz, ohne Rolle und ohne Einladungs-E-Mail. Ein Entwurf kann sich nicht anmelden.
• Fügt der IdP den Benutzer einer Gruppe hinzu, erhält er die Rolle dieser Gruppe. Erfordert die Rolle einen Mitarbeitendendatensatz (employee, manager oder eine benutzerdefinierte Rolle mit Erfordert verknüpfte Mitarbeitende ), verknüpft mTime zuerst die passende Person – oder legt einen minimalen Datensatz an (Name, E-Mail-Adresse – plus Nummer, wenn verknüpft), den Ihre HR-Integration später ergänzt.
• Die erste Rolle eines Entwurfs löst die Einladungs-E-Mail aus.
• Wird ein Benutzer aus seiner letzten Gruppe entfernt, hat er keine Rolle mehr: Er kann sich nicht mehr anmelden, bis eine Gruppe ihm wieder eine Rolle gibt. Ein eventuell vorhandener Mitarbeitendendatensatz bleibt verknüpft.

Wo die Personalnummer gespeichert wird

Das Senden einer externalId ist optional, und ihre Verwendung ist standardmäßig deaktiviert. Sendet Ihr IdP eine, speichert mTime sie beim Benutzer – daran erkennt der IdP den Benutzer bei späteren Synchronisierungen wieder. Soll sie auch die Zuordnung zu Mitarbeitenden steuern, wählen Sie in der Einstellung externalId mit Personalattribut verknüpfen der Integration ein Attribut der Mitarbeitenden: Zugeordnete und neu angelegte Mitarbeitende tragen die Nummer dann in diesem Attribut (sichtbar im Attributbereich der Seite der bzw. des Mitarbeitenden), und darüber hält auch Ihre HR-Integration die Datensätze verbunden. Standardmäßig ist nichts verknüpft, und die Zuordnung erfolgt allein über die E-Mail-Adresse.

Den Namen aus dem Identitätsanbieter für Mitarbeitende verwenden

Standardmäßig bleibt der Name, den Ihr IdP sendet, beim Benutzer – der verknüpfte Mitarbeitendendatensatz behält den in mTime oder von Ihrer HR-Integration gepflegten Namen, den Dienstpläne, Berichte und Lohnexporte anzeigen. Eine Namensänderung im IdP (Heirat, Korrektur, bevorzugter Name) ändert also die Anmeldung, nicht den Mitarbeitendendatensatz. Soll Ihr IdP die Namen überall bestimmen, aktivieren Sie die Einstellung Namen des Identitätsanbieters für Mitarbeitende verwenden der Integration: Das Anlegen oder Aktualisieren eines Benutzers schreibt den Namen aus dem IdP dann auch in den verknüpften Mitarbeitendendatensatz, und jede solche Umbenennung wird unter Administration › Integrationsprotokoll mit dem ersetzten Namen festgehalten.

• Die Einstellung wirkt bei der nächsten SCIM-Aktualisierung eines Benutzers – das Aktivieren benennt bestehende Mitarbeitende nicht um. Um einen Namen sofort zu übernehmen, stellen Sie diesen Benutzer im IdP bei Bedarf bereit.
• HR-Integrationen ändern dann die Namen von Mitarbeitenden mit aktivem Benutzer nicht mehr – der von HR gesendete Name wird stillschweigend ignoriert, während alles andere weiterhin synchronisiert wird. Mitarbeitende ohne Benutzer und Mitarbeitende, die eine HR-Synchronisierung anlegt, erhalten ihren Namen weiterhin aus HR. Ist die Einstellung deaktiviert (oder SCIM ausgeschaltet), pflegt HR wieder alle Namen.

Deaktivieren und Löschen

• Deaktiviert der IdP einen Benutzer, wird er in mTime gesperrt und sofort abgemeldet. Bei erneuter Aktivierung wird er wieder freigeschaltet.
• Löscht der IdP einen Benutzer, führt mTime die übliche weiche Löschung durch – das Konto wird entfernt, der Verlauf (Zeiteinträge, Genehmigungen, der Mitarbeitendendatensatz) bleibt jedoch erhalten.

Wie Gruppen zu Rollen werden

• Eine neue IdP-Gruppe legt eine leere benutzerdefinierte Rolle (ohne Berechtigungen) mit dem Namen der Gruppe an. Sie erscheint auf der Seite Rollen, wo eine Administratorin oder ein Administrator festlegt, was sie darf.
• Eine Gruppe, deren Name genau einer bestehenden Rolle entspricht, wird stattdessen mit dieser Rolle verknüpft – ohne Duplikate.
• Gruppenmitglieder haben die zugeordnete Rolle; Änderungen der Mitgliedschaft im IdP vergeben und entziehen sie automatisch. So verwaltete Rollen tragen die Kennzeichnung „Von IdP-Gruppe verwaltet“, und manuelle Änderungen der Mitgliedschaft werden bei der nächsten Synchronisierung des IdP wieder angeglichen.

• Die Rolle owner kann nie über SCIM verwaltet werden.
• Bei einer bereits bestehenden Rolle (einschließlich integrierter Rollen wie hr-admin oder workspace-admin) darf der IdP die Mitgliedschaft erst verwalten, nachdem ein Inhaber des Arbeitsbereichs die Rolle dafür freigegeben hat: Öffnen Sie sie auf der Seite Rollen und fügen Sie unter Kann zugewiesen werden von den Eintrag Provisioning hinzu. Das Speichern einer Rolle ändert diese Liste nie von selbst.
• Das Löschen einer Gruppe im IdP löst deren Mitglieder. Die Rolle selbst wird nur gelöscht, wenn sie noch die unkonfigurierte Hülle war – eine von Admins konfigurierte Rolle bleibt bestehen.

Was wann synchronisiert wird

Ihr IdP kommuniziert auf zwei Arten mit mTime, und diese verhalten sich nicht gleich:

Die Bereitstellung bei Bedarf eignet sich hervorragend, um Verbindung und Zuordnungen zu testen. Wundern Sie sich aber nicht, wenn ein im IdP deaktivierter oder gelöschter Benutzer in mTime noch aktiv ist – diese Änderung kommt mit dem nächsten geplanten Zyklus, nicht bei Bedarf.

Einrichtung

Folgen Sie der Schritt-für-Schritt-Anleitung: SCIM mit Microsoft Entra ID einrichten. Sie führt durch alles – die Einstellungen in mTime, den Dienstbenutzer für die Bereitstellung und seinen API-Schlüssel, die Unternehmensanwendung in Entra, die Attributzuordnungen und das Testen vor dem Go-live.

Hinweise zur Sicherheit

• Der API-Schlüssel ist an Ihren Arbeitsbereich gebunden, funktioniert nur auf den SCIM-Endpunkten und kann jederzeit in der Schlüsselliste des Dienstbenutzers widerrufen werden – der Widerruf sperrt den IdP sofort aus.
• Pro Arbeitsbereich darf es nur einen Dienstbenutzer für die Bereitstellung geben; tauschen Sie Anmeldedaten auf Schlüsselebene aus (neuen Schlüssel anlegen, IdP aktualisieren, alten Schlüssel widerrufen).
• Jede über SCIM vorgenommene Änderung wird im Änderungsverlauf des Objekts festgehalten und dem Dienstbenutzer für die Bereitstellung zugeschrieben.