SCIM mit Microsoft Entra ID einrichten

Diese Anleitung führt Sie durch die Verbindung von Microsoft Entra ID mit mTime über SCIM-Bereitstellung – von der ersten Einstellung in mTime bis zu einer geprüften, laufenden Synchronisierung. Folgen Sie den Schritten der Reihe nach – alles, was Sie brauchen, steht auf dieser Seite.

Dabei werden Sie: mTime vorbereiten (Schritte 1–3), die Unternehmensanwendung in Entra anlegen und verbinden (Schritte 4–6), die Benutzer und Gruppen anlegen und zuweisen (Schritte 7–8) und vor dem Go-live testen (Schritte 9–11).

Die Bezeichnungen im Entra Admin Center werden hier so wiedergegeben, wie sie in den (englischen) Screenshots erscheinen.

Schritt 1 – Die SCIM-Bereitstellungsintegration in mTime aktivieren

1. Öffnen Sie Integrationen und dann SCIM-Bereitstellung.
2. Schalten Sie die Integration ein.
3. Lassen Sie externalId mit Personalattribut verknüpfen leer, es sei denn, Sie möchten eine Zuordnung über die Personalnummer. Leer ist der Standard, und damit werden Benutzer Mitarbeitenden über die E-Mail-Adresse zugeordnet – mehr brauchen die meisten Arbeitsbereiche nicht. Wählen Sie nur dann ein Attribut, wenn Ihr Identitätsanbieter eine stabile Personalnummer sendet und mTime zuerst darüber zuordnen soll; wählen Sie das Attribut, das Ihre HR-Integration mit dieser Nummer füllt. Nur als eindeutig gekennzeichnete Attribute können verknüpft werden – ist das gewünschte nicht aufgeführt, kennzeichnen Sie es zuerst in den Einstellungen der Mitarbeitendenattribute als eindeutig.
4. Lassen Sie Namen des Identitätsanbieters für Mitarbeitende verwenden deaktiviert, es sei denn, Entra soll auch die Namen der Mitarbeitenden bestimmen. Deaktiviert bleibt der von Entra gesendete Name beim Benutzer, und der Mitarbeitendendatensatz behält den von HR gepflegten Namen; aktiviert wird er bei der nächsten Aktualisierung jedes Benutzers auch in den verknüpften Mitarbeitendendatensatz geschrieben – siehe Den Namen aus dem Identitätsanbieter für Mitarbeitende verwenden.

Schritt 2 – Den Dienstbenutzer für die Bereitstellung anlegen

Der Identitätsanbieter braucht in mTime ein eigenes Dienstkonto:

1. Öffnen Sie Administration › Benutzer und klicken Sie auf Dienstbenutzer erstellen .
2. Geben Sie ihm einen gut erkennbaren Namen, z. B. entra-provisioning.
3. Geben Sie ihm nur die Rolle Provisioning – sonst nichts.

Pro Arbeitsbereich kann es nur einen Dienstbenutzer für die Bereitstellung geben. Seine Rolle ist abgeschottet: Das Konto funktioniert ausschließlich auf den SCIM-Endpunkten und wird überall sonst abgewiesen.

Schritt 3 – Den API-Schlüssel anlegen

1. Öffnen Sie den soeben angelegten Dienstbenutzer und klicken Sie auf API-Schlüssel erstellen . (Das funktioniert erst, wenn die Integration aus Schritt 1 aktiviert ist.)
2. Kopieren Sie den Schlüssel sofort – er wird nur einmal angezeigt. Das ist das „Secret Token“, das Sie in Schritt 5 in Entra einfügen.

Wenn Sie ihn verlieren, widerrufen Sie den Schlüssel und legen Sie einen neuen an.

Schritt 4 – Die Unternehmensanwendung in Entra anlegen

Wechseln Sie nun ins Microsoft Entra Admin Center. Sie brauchen eine Rolle, die Unternehmensanwendungen anlegen und verwalten kann (z. B. Anwendungsadministrator).

1. Öffnen Sie im linken Menü Enterprise apps (1) > All applications (2) und klicken Sie in der Symbolleiste über der Liste auf New application (3). Damit öffnet sich die Microsoft Entra App Gallery.

2. Klicken Sie oben auf der Galerieseite auf Create your own application (1) – rechts öffnet sich ein Bereich.
3. Benennen Sie die App (2) – in den Screenshots heißt sie mTIME SCIM test; jeder Name funktioniert (z. B. mTime). Lassen Sie Integrate any other application you don’t find in the gallery (Non-gallery) (3) ausgewählt. Entra schlägt unter dem Namensfeld ähnliche Galerie-Apps vor – ignorieren Sie diese, mTime ist nicht in der Galerie. Die beiden anderen Optionen legen die falsche Art von Objekt an: Eine App-Registrierung (für selbst entwickelte Software) hat keine Bereitstellung, und Application Proxy ist für lokal betriebene Anwendungen gedacht.
4. Klicken Sie unten im Bereich auf Create (4).

5. Die neue Anwendung öffnet sich und erscheint fortan unter All applications (1).

In dieser Anwendung geschieht alles Weitere: die Verbindung mit mTime, die Attributzuordnungen und die Auswahl, welche Benutzer und Gruppen bereitgestellt werden.

Schritt 5 – Die Anwendung mit mTime verbinden

1. Öffnen Sie im Menü der Anwendung unter Manage den Punkt Provisioning (1) (die Karte Provision User Accounts (2) in der Übersicht führt an dieselbe Stelle).

2. Beim ersten Mal öffnet sich die Seite Get started with application provisioning. Klicken Sie unter Create configuration auf Connect your application (1). (Der Menüpunkt Connectivity ist ausgegraut, bis die Konfiguration existiert – über diese Schaltfläche gelangen Sie dorthin; bei späteren Besuchen öffnen Sie Connectivity direkt.)

3. Lassen Sie auf der Seite Connectivity die Option Select authentication method (1) auf Bearer authentication.
4. Geben Sie die Tenant URL (2) ein: https://<Ihr mTime-Host>/api/scim/v2 – zum Beispiel https://mtime.example.com/api/scim/v2.
5. Fügen Sie den API-Schlüssel aus Schritt 3 direkt unter der URL in Secret token (3) ein.
6. Klicken Sie auf Test connection (4). Entra ruft mTime auf und prüft die Anmeldedaten – ein erfolgreicher Test ist vor dem Speichern erforderlich.
7. Klicken Sie oben in der Symbolleiste auf Save (5).

Schritt 6 – Die Attributzuordnungen konfigurieren

Entra entscheidet über Attributzuordnungen, welche Daten mTime erhält. Nur eine davon ist erforderlich: userName, die die E-Mail-Adresse überträgt, über die mTime bereitstellt und zuordnet.

1. Öffnen Sie im Bereitstellungsbereich unter Manage den Punkt Provisioning und klappen Sie den Abschnitt Mappings auf. Er listet zwei Zuordnungen – Provision Microsoft Entra ID Groups und Provision Microsoft Entra ID Users –, beide standardmäßig aktiviert. Lassen Sie Groups aktiviert: Darauf beruht die Zuordnung von Gruppen zu Rollen in Schritt 8.
2. Klicken Sie auf Provision Microsoft Entra ID Users – die Liste Attribute Mapping öffnet sich.
3. Nur wenn Sie in Schritt 1 ein Attribut der Mitarbeitenden gewählt haben: Suchen Sie die Zeile externalId, klicken Sie rechts auf Edit (1) und ersetzen Sie das Standard-Quellattribut durch das Entra-Attribut, das die Personalnummer enthält – meist employeeId. Andernfalls überspringen Sie dies und gehen zu Schritt 5.
4. Die übrigen Standardzuordnungen können bleiben, wie sie sind – mTime ignoriert Attribute, die es nicht verwendet. Wichtig sind diese:

5. Klicken Sie oben in der Symbolleiste auf Save (2).

Schritt 7 – Die Benutzer und Gruppen in Entra anlegen

Die Benutzer und Gruppen, die mTime erreichen sollen, liegen in Ihrem Entra-Verzeichnis. Ihre echten Mitarbeitenden sind dort wahrscheinlich schon vorhanden – dieser Schritt zeigt anhand eines Testbenutzers und einer Testgruppe die wichtigen Felder (in den Screenshots Tina Test und Team Leads).

1. Öffnen Sie Entra ID > Users und klicken Sie auf New user > Create new user. Geben Sie dem Benutzer auf dem Reiter Basics einen Prinzipalnamen (1) und einen Anzeigenamen (2).

2. Optional – überspringen Sie dies, es sei denn, Sie haben in Schritt 1 ein Attribut der Mitarbeitenden gewählt. Lassen Sie Employee ID leer, ordnet mTime den Benutzer stattdessen über die E-Mail-Adresse zu. Haben Sie eines gewählt: Tragen Sie auf dem Reiter Properties unter Job Information bei Employee ID (1) die stabile Personalnummer des Benutzers ein (hier test-5000) – genau diese sendet die externalId-Zuordnung aus Schritt 6 an mTime, sie muss also der Nummer der Person in Ihren HR-Daten entsprechen. Klicken Sie in beiden Fällen abschließend auf Review + create (2).

3. Öffnen Sie Entra ID > Groups und klicken Sie auf New group. Lassen Sie Group type (1) auf Security, benennen Sie die Gruppe nach der mTime-Rolle, die sie verwalten soll (2), und klicken Sie unter Members auf den Link für Mitglieder (3).

4. Suchen Sie die Benutzer, die die Rolle haben sollen, haken Sie sie an (1), klicken Sie auf Select (2) – und dann auf Create (3).

Eine Gruppe kann auch ohne Mitglieder beginnen: Sie erstellt (oder verknüpft) trotzdem ihre mTime-Rolle, und die Mitgliedschaften folgen, sobald Sie in Entra Personen hinzufügen.

Schritt 8 – Die Benutzer und Gruppen der Anwendung zuweisen

Entra stellt nur bereit, was der Anwendung zugewiesen ist – eine Gruppe anzulegen (Schritt 7) reicht nicht; die Synchronisierung ignoriert sie, bis sie in der Zuweisungsliste der App steht:

1. Öffnen Sie im Menü der Anwendung unter Manage den Punkt Users and groups (1). Die Liste zeigt alles, was die Synchronisierung derzeit abdeckt. Klicken Sie in der Symbolleiste auf Add user/group (2).

2. Öffnen Sie auf der Seite Add Assignment die Auswahl Users and groups, suchen Sie die Gruppe und haken Sie sie an (1), klicken Sie auf Select (2) – und dann unten links auf Assign (3). Beachten Sie die Warnung von Entra: Verschachtelte Gruppen werden nicht weitergegeben, weisen Sie also jede Gruppe direkt zu.

3. Die Gruppe erscheint nun in der Zuweisungsliste (1). Einzelne Benutzer können auf dieselbe Weise zugewiesen werden.

Diese Liste ist maßgeblich, weil die Bereitstellungseinstellung Scope (unter Provisioning > Settings) standardmäßig auf Sync only assigned users and groups steht – lassen Sie sie dabei.

Was in mTime ankommt:

• Jeder zugewiesene Benutzer wird zu einem mTime-Benutzer – der Person über die verknüpfte Personalnummer (falls konfiguriert) oder über die E-Mail-Adresse zugeordnet, oder mit einem neuen minimalen Mitarbeitendendatensatz, wenn keines passt.
• Jede zugewiesene Gruppe wird zu einer mTime-Rolle. Eine Gruppe, deren Name genau einer bestehenden Rolle entspricht, wird mit ihr verknüpft; jede andere Gruppe erstellt eine neue leere Rolle, die Admins dann auf der Seite Rollen konfigurieren.
• Gruppenmitglieder erhalten automatisch die Rolle der Gruppe – auch später hinzugefügte Mitglieder.

Schritt 9 – Mit Bereitstellung bei Bedarf testen

Prüfen Sie die Einrichtung vor dem Start der vollständigen Synchronisierung mit einem einzelnen Benutzer:

1. Öffnen Sie oben im Menü des Bereitstellungsbereichs Provision on demand (1), wählen Sie einen Testbenutzer (2) (in Schritt 8 zugewiesen) und stellen Sie ihn bereit. Entra durchläuft vier Phasen – Import, Umfang, Zuordnung, Aktion ausführen –, und jede muss mit Success enden.

2. Öffnen Sie bei Perform action den Punkt View details (1), um genau zu sehen, was mTime erhalten hat. Die Zeile externalId (2) ist nur relevant, wenn Sie in Schritt 1 ein Attribut der Mitarbeitenden gewählt haben – dann sollte sie die Personalnummer enthalten. Andernfalls ignorieren Sie sie: Eine leere externalId ist normal, und deshalb schlägt nichts fehl.

3. Prüfen Sie nun die Seite von mTime unter Administration › Benutzer und öffnen Sie den Benutzer. Er existiert mit dem Status eingeladen und hat die Rolle employee (1) (plus eventuelle Gruppenrollen).

4. Öffnen Sie den verknüpften Mitarbeitendendatensatz: Da noch keine Person passte, wurde ein minimaler Datensatz angelegt – ohne Anstellung (1) (Ihre HR-Integration ergänzt ihn später), mit der Personalnummer in dem in Schritt 1 verknüpften Attribut (2).

5. Testen Sie die Gruppe auf dieselbe Weise: Öffnen Sie erneut Provision on demand, wechseln Sie in der Auswahl auf den Reiter Groups und stellen Sie die Gruppe aus Schritt 8 bereit (1). Dieselben vier Phasen müssen grün werden.

6. In mTime ist die Gruppe als Rolle auf der Seite Administration › Rollen angekommen, leer angelegt und mit der Kennzeichnung Von IdP-Gruppe verwaltet (1) versehen, bereit für Admins, die festlegen, was sie darf.

7. Und die Mitglieder der Gruppe haben sie: Der Testbenutzer trägt die Rolle jetzt neben employee (1).

Schritt 10 – Die Bereitstellung starten

1. Klicken Sie zurück in der Overview der Konfiguration in der Symbolleiste auf Start provisioning (1).
2. Entra führt einen ersten Zyklus über alles aus, was der Anwendung zugewiesen ist, und danach etwa alle 40 Minuten einen inkrementellen Zyklus, der Änderungen anwendet – einschließlich der Deaktivierungen und Löschungen, die die Bereitstellung bei Bedarf auslässt.
3. Die Overview verfolgt den Job: Last cycle completed time (2) und Current cycle status (3) mit Fortschritt und verarbeiteten Änderungen. Pause provisioning und Restart provisioning befinden sich in derselben Symbolleiste, und Fehler erscheinen im Abschnitt Monitor unter Provisioning logs (4), jeweils mit dem Grund, den mTime zurückgegeben hat (z. B. „A user with this externalId already exists“).

Schritt 11 – Den Lebenszyklus prüfen

Spielen Sie einen vollständigen Durchlauf durch, um sich zu überzeugen, dass alles funktioniert:

1. Deaktivieren Sie den Testbenutzer in Entra (Anmeldung blockieren). Nach dem nächsten Zyklus ist er in mTime gesperrt und wird sofort abgemeldet.
2. Aktivieren Sie ihn wieder – der nächste Zyklus schaltet den mTime-Benutzer wieder frei.
3. Entfernen Sie den Testbenutzer aus der Gruppe – die nächste Synchronisierung entzieht ihm die Rolle in mTime; fügen Sie ihn wieder hinzu, und sie kehrt zurück.

Ab jetzt findet die Verwaltung von Benutzern und Gruppen in Entra statt. Was jede Rolle tun darf, bleibt bei Ihren Admins in mTime – siehe Wie Gruppen zu Rollen werden.

Fehlerbehebung