SCIM instellen met Microsoft Entra ID

Deze handleiding leidt je door het koppelen van Microsoft Entra ID aan mTime met SCIM-provisioning, van de eerste mTime-instelling tot een geverifieerde, draaiende synchronisatie. Volg de stappen op volgorde — alles wat je nodig hebt staat op deze pagina.

Onderweg doe je het volgende: mTime voorbereiden (stap 1–3), de Entra enterprise-applicatie aanmaken en koppelen (stap 4–6), de gebruikers en groepen aanmaken en toewijzen (stap 7–8) en testen voordat je live gaat (stap 9–11).

Stap 1 — De SCIM-provisioning-integratie inschakelen in mTime

1. Ga naar Integraties en open SCIM-provisioning.
2. Schakel de integratie in.
3. Laat Koppel externalId aan een medewerkerattribuut leeg, tenzij je wilt koppelen op personeelsnummer. Leeg is de standaard, en daarmee worden gebruikers op e-mailadres aan medewerkers gekoppeld — wat voor de meeste workspaces genoeg is. Kies alleen een attribuut als je identity provider een stabiel personeelsnummer stuurt en je wilt dat mTime daar eerst op koppelt; kies dan het attribuut dat je HR-integratie met dat nummer vult. Alleen attributen die als uniek zijn gemarkeerd kunnen worden gekoppeld — staat het attribuut dat je wilt niet in de lijst, markeer het dan eerst als uniek in de instellingen voor medewerkerattributen.

Stap 2 — De provisioning-servicegebruiker aanmaken

De identity provider heeft een eigen serviceaccount in mTime nodig:

1. Ga naar Beheer › Gebruikers en klik op Servicegebruiker aanmaken .
2. Geef hem een herkenbare naam, bijv. entra-provisioning.
3. Geef hem alleen de rol Provisioning — niets anders.

Er kan maar één provisioning-servicegebruiker per workspace bestaan. Zijn rol is afgeschermd: het account werkt uitsluitend op de SCIM-endpoints en wordt overal elders geweigerd.

Stap 3 — De API-sleutel aanmaken

1. Open de servicegebruiker die je zojuist hebt aangemaakt en voeg een API-sleutel toe.
2. Kopieer de sleutel nu — deze wordt maar één keer getoond. Dit is het “Secret Token” dat je in stap 5 in Entra plakt.

Raak je hem kwijt, trek de sleutel dan in en maak een nieuwe aan.

Stap 4 — De enterprise-applicatie aanmaken in Entra

Schakel nu over naar het Microsoft Entra-beheercentrum. Je hebt een rol nodig die enterprise-applicaties kan aanmaken en beheren (bijv. Application Administrator).

1. Ga in het linkermenu naar Enterprise apps (1) > All applications (2) en klik op New application (3) in de werkbalk boven de lijst. Dit opent de Microsoft Entra App Gallery.

2. Klik op Create your own application (1) bovenaan de gallery-pagina — rechts opent een paneel.
3. Geef de app een naam (2) — de schermafbeeldingen gebruiken mTIME SCIM test; elke naam werkt (bijv. mTime). Houd Integrate any other application you don’t find in the gallery (Non-gallery) (3) geselecteerd. Entra stelt onder het naamveld gelijkende gallery-apps voor — negeer die, mTime staat niet in de gallery. De andere twee opties maken het verkeerde soort object aan: een app-registratie (voor software die je zelf ontwikkelt) heeft geen provisioning, en Application Proxy is voor on-premises applicaties.
4. Klik op Create (4) onderaan het paneel.

5. De nieuwe applicatie opent, en verschijnt vanaf nu onder All applications (1).

In deze applicatie gebeurt al het overige: de verbinding met mTime, de attribuuttoewijzingen en de keuze welke gebruikers en groepen worden geprovisioned.

Stap 5 — De applicatie aan mTime koppelen

1. Open in het menu van de applicatie Provisioning (1) onder Manage (de kaart Provision User Accounts (2) op het Overview leidt naar dezelfde plek).

2. De eerste keer opent de pagina Get started with application provisioning. Klik op Connect your application (1) onder Create configuration. (Het menu-item Connectivity is grijs totdat de configuratie bestaat — deze knop is de weg ernaartoe; bij latere bezoeken open je Connectivity rechtstreeks.)

Stap 6 — De attribuuttoewijzingen configureren

Entra bepaalt via attribuuttoewijzingen welke gegevens mTime ontvangt. Slechts één daarvan is verplicht: userName, die het e-mailadres bevat waarmee mTime gebruikers provisioned en koppelt.

1. Open in het provisioning-paneel Provisioning onder Manage en vouw de sectie Mappings uit. Die toont twee toewijzingen — Provision Microsoft Entra ID Groups en Provision Microsoft Entra ID Users — beide standaard ingeschakeld. Laat Groups ingeschakeld: die drijft de groep-naar-rol-toewijzing in stap 8 aan.
2. Klik op Provision Microsoft Entra ID Users — de lijst Attribute Mapping opent.
3. Alleen als je in stap 1 een medewerkerattribuut hebt gekozen: zoek de rij externalId, klik rechts op Edit (1) en vervang het standaardbronattribuut door het Entra-attribuut dat het personeelsnummer bevat — meestal employeeId. Sla dit anders over en ga naar punt 5.
4. De overige standaardtoewijzingen kunnen blijven zoals ze zijn — mTime negeert attributen die het niet gebruikt. De attributen die ertoe doen:

5. Klik op Save (2) in de werkbalk bovenaan.

Stap 7 — De gebruikers en groepen aanmaken in Entra

De gebruikers en groepen die mTime moeten bereiken, staan in je Entra-directory. Je echte medewerkers staan er waarschijnlijk al — deze stap toont de velden die ertoe doen, aan de hand van een testgebruiker en een testgroep (de schermafbeeldingen gebruiken Tina Test en Team Leads).

1. Ga naar Entra ID > Users en klik op New user > Create new user. Geef de gebruiker op het tabblad Basics een principal name (1) en een weergavenaam (2).

2. Optioneel — sla dit over, tenzij je in stap 1 een medewerkerattribuut hebt gekozen. Laat Employee ID leeg en mTime koppelt de gebruiker op e-mailadres. Heb je er wel een gekozen: vul dan op het tabblad Properties onder Job Information het veld Employee ID (1) in met het stabiele personeelsnummer van de gebruiker (hier test-5000) — dit is wat de externalId-toewijzing uit stap 6 naar mTime stuurt, dus het moet overeenkomen met het nummer van de medewerker in je HR-gegevens. Klik in beide gevallen op Review + create (2) als je klaar bent.

3. Ga naar Entra ID > Groups en klik op New group. Houd Group type (1) op Security, geef de groep de naam van de mTime-rol die hij moet beheren (2), en klik onder Members op de ledenlink (3).

4. Zoek de gebruikers die de rol moeten krijgen en vink ze aan (1), klik op Select (2) — klik daarna op Create (3).

Een groep kan ook zonder leden beginnen: die maakt (of koppelt) zijn mTime-rol alsnog, en de lidmaatschappen volgen zodra je in Entra mensen toevoegt.

Stap 8 — De gebruikers en groepen aan de applicatie toewijzen

Entra provisioned alleen wat aan de applicatie is toegewezen — een groep aanmaken (stap 7) is niet genoeg; de synchronisatie negeert hem totdat hij op de toewijzingslijst van de app staat:

1. Open in het menu van de applicatie Users and groups (1) onder Manage. De lijst toont alles wat de synchronisatie op dit moment dekt. Klik op Add user/group (2) in de werkbalk.

2. Open op de pagina Add Assignment de selector Users and groups, zoek de groep, vink hem aan (1) en klik op Select (2) — klik daarna linksonder op Assign (3). Let op Entra’s waarschuwing: geneste groepen werken niet door, dus wijs elke groep rechtstreeks toe.

3. De groep staat nu in de toewijzingslijst (1). Individuele gebruikers kunnen op dezelfde manier worden toegewezen.

Deze lijst is de bron van waarheid, omdat de provisioning-instelling Scope (onder Provisioning > Settings) standaard op Sync only assigned users and groups staat — laat dat zo.

Wat er in mTime aankomt:

• Elke toegewezen gebruiker wordt een mTime-gebruiker — gekoppeld aan de medewerker via het gekoppelde personeelsnummer (indien geconfigureerd) of via het e-mailadres, of voorzien van een nieuwe minimale medewerkerrecord als geen van beide overeenkomt.
• Elke toegewezen groep wordt een mTime-rol. Een groep waarvan de naam exact overeenkomt met een bestaande rol wordt daaraan gekoppeld; elke andere groep maakt een nieuwe lege rol aan, die een beheerder vervolgens configureert op de rollenpagina.
• Groepsleden krijgen automatisch de rol van de groep — ook leden die later worden toegevoegd.

Stap 9 — Testen met on-demand provisioning

Controleer de configuratie eerst met één gebruiker voordat je de volledige synchronisatie start:

1. Open Provision on demand (1) bovenaan het menu van het provisioning-paneel, kies een testgebruiker (2) (toegewezen in stap 8) en voer de provisioning voor deze gebruiker uit. Entra doorloopt zijn vier fasen — import, scope, match, perform action — en elke fase moet eindigen in Success.

2. Open View details (1) bij Perform action om precies te zien wat mTime heeft ontvangen. De rij externalId (2) doet alleen mee als je in stap 1 een medewerkerattribuut hebt gekozen — dan hoort die het personeelsnummer te bevatten. Negeer die anders: een leeg externalId is normaal en er mislukt niets door.

3. Controleer nu de mTime-kant in Beheer › Gebruikers. De gebruiker bestaat met de status uitgenodigd en heeft de rol employee (1) (plus eventuele groepsrollen).

4. Open de gekoppelde medewerker: omdat nog geen medewerker overeenkwam, is er een minimale record aangemaakt — zonder dienstverband (1) (je HR-integratie verrijkt die later), met het personeelsnummer opgeslagen in het attribuut dat in stap 1 is gekoppeld (2).

5. Test de groep op dezelfde manier: open opnieuw Provision on demand, zet de kiezer op het tabblad Groups en voer de provisioning uit voor de groep uit stap 8 (1). Dezelfde vier fasen moeten groen worden.

6. In mTime is de groep aangekomen als rol op Beheer › Rollen. leeg aangemaakt en voorzien van de badge Beheerd door IdP-groep (1), klaar voor een beheerder om te bepalen wat de rol mag.

7. En de leden van de groep hebben hem: de testgebruiker draagt de rol nu naast employee (1).

Stap 10 — Provisioning starten

1. Klik terug op het Overview van de configuratie op Start provisioning (1) in de werkbalk.
2. Entra voert eerst een initiële cyclus uit over alles wat aan de applicatie is toegewezen, en daarna ongeveer elke 40 minuten een incrementele cyclus die wijzigingen toepast — inclusief de uitschakelingen en verwijderingen die on-demand provisioning overslaat.
3. Het Overview volgt de taak: Last cycle completed time (2) en Current cycle status (3) met voortgang en verwerkte wijzigingen. Pause provisioning en Restart provisioning staan in dezelfde werkbalk, en fouten verschijnen onder Provisioning logs (4) in de sectie Monitor, elk met de reden die mTime teruggaf (bijv. een ontbrekend personeelsnummer).

Stap 11 — De levenscyclus verifiëren

Doorloop één volledige cirkel om jezelf ervan te overtuigen dat het werkt:

1. Schakel de testgebruiker in Entra uit (blokkeer aanmelden). Na de volgende cyclus is de gebruiker in mTime geschorst en direct uitgelogd.
2. Schakel de gebruiker weer in — de volgende cyclus heractiveert de mTime-gebruiker.
3. Verwijder de testgebruiker uit de groep — de volgende synchronisatie trekt de rol in mTime in; voeg hem weer toe en de rol komt terug.

Vanaf nu vindt het beheer van gebruikers en groepen plaats in Entra. Wat elke rol mag doen blijft bij je mTime-beheerders — zie Hoe groepen rollen worden.

Problemen oplossen