SSO & SCIM

Ein Login für alle, kein manuelles Nachpflegen: Mit Single Sign-On melden sich Ihre Mitarbeitenden über den Identity Provider Ihres Unternehmens an; mit SCIM verwaltet der Identity Provider die Konten automatisch — Eintritt, Rollenwechsel, Austritt. Beides richten Sie als Administrator selbst ein.

Single Sign-On (OIDC)

Unterstützt werden Microsoft Entra ID, Google Workspace, Okta und jeder weitere OIDC-kompatible Identity Provider (OpenID Connect, Authorization Code Flow mit PKCE) — etwa Keycloak, Ping oder OneLogin.

Das benötigen Sie

• Administratorrechte in Contrixt und in Ihrem Identity Provider
• Etwa 10 Minuten

Einrichtung

Der Assistent unter Administration → Single Sign-On führt in vier Schritten durch die Einrichtung (Anbieter wählen → Anleitung → Zugangsdaten → Testen & aktivieren):

1. Anbieter wählen — Microsoft Entra ID, Google Workspace, Okta oder Anderer Anbieter (OpenID Connect).
2. App beim Identity Provider registrieren. Der Assistent zeigt die passende Schritt-für-Schritt-Anleitung für Ihren Anbieter samt fertiger Werte zum Kopieren — insbesondere die Umleitungs-URI (Redirect URI), die Ihre Mandanten-Subdomain enthält. Bei Microsoft Entra ID legen Sie dazu zuerst eine Nicht-Katalog-Unternehmensanwendung an (Menü Unternehmensanwendungen → „Neue Anwendung" → „Eigene Anwendung erstellen") — Entra erzeugt dabei automatisch eine gleichnamige App-Registrierung, die Sie anschließend für die OIDC-Werte (Umleitungs-URI, Client-ID, Client-Secret) konfigurieren. Nur diese eine Anwendung nutzen Sie später auch für die SCIM-Provisionierung.
3. Zugangsdaten eintragen: je nach Anbieter Verzeichnis-ID (Mandanten-GUID) bzw. Issuer-URL, dazu Client-ID (Anwendungs-ID) und Client-Secret (wird verschlüsselt gespeichert). Legen Sie außerdem die Rolle für neue Benutzer fest und entscheiden Sie über Benutzer automatisch anlegen (JIT): Ist JIT aktiv, legt Contrixt beim ersten SSO-Login automatisch ein Konto mit der gewählten Standardrolle an; ohne JIT können sich nur bereits angelegte Benutzer per SSO anmelden.
4. Testen & aktivieren: Verbindung testen prüft die Erreichbarkeit des Identity Providers; anschließend schalten Sie die Anmeldung mit SSO aktivieren frei.

So stellen Sie sicher, dass es funktioniert

Öffnen Sie die im Assistenten angezeigte Login-URL Ihres Teams in einem privaten Browserfenster: Die Login-Seite zeigt jetzt den SSO-Button, und die Anmeldung über den Identity Provider führt direkt in die App. Teilen Sie diese Login-URL anschließend mit Ihrem Team.

Passwort-Login bleibt möglich

SSO ergänzt den Passwort-Login, ersetzt ihn aber nicht — Administratoren behalten so immer einen Zugangsweg.

SCIM-Provisionierung

SCIM 2.0 synchronisiert Benutzer und Gruppen automatisch aus Ihrem Identity Provider — neue Mitarbeitende erhalten ihr Konto ohne Zutun, Austritte werden automatisch deaktiviert.

Das benötigen Sie

• Ein SCIM-fähiger Identity Provider (z. B. Microsoft Entra ID oder Okta) mit Administratorrechten
• Für das Rollen-Mapping: die Gruppennamen aus Ihrem Identity Provider

Einrichtung (Beispiel Microsoft Entra ID)

1. Erzeugen Sie unter Administration → Provisionierung mit Token erzeugen ein Bearer-Token und kopieren Sie es sofort — es wird nur einmal angezeigt. Kopieren Sie außerdem die angezeigte Mandanten-URL (SCIM-Endpunkt) (…/api/scim/v2).
2. Öffnen Sie in Entra ID Ihre Contrixt-Unternehmensanwendung aus der SSO-Einrichtung (als Nicht-Katalog-Anwendung angelegt) — nur diese bietet den Menüpunkt Bereitstellung (Provisioning); eine automatisch aus einer App-Registrierung erzeugte Anwendung hat ihn nicht. Wählen Sie Bereitstellung (Provisioning) und stellen Sie den Modus auf Automatisch.
3. Tragen Sie die Mandanten-URL und das Token ein und klicken Sie auf Verbindung testen.
4. Weisen Sie der Anwendung unter Benutzer und Gruppen die Gruppen zu, die synchronisiert werden sollen.
5. Definieren Sie in Contrixt das Gruppen-Mapping (siehe unten).
6. Starten Sie die Bereitstellung — Entra synchronisiert initial und danach etwa alle 40 Minuten; entfernte Benutzer werden automatisch deaktiviert.

Die Einrichtung funktioniert analog mit Okta und anderen SCIM-fähigen Identity Providern.

Rollen-Mapping

Über Gruppen-Mappings ordnen Sie Identity-Provider-Gruppen den Contrixt-Rollen zu (z. B. Gruppe IT-Controlling → Rolle Controlling). Beim Sync erhält jeder Benutzer die höchste Rolle seiner gemappten Gruppen — Priorität: Administrator > Controlling > Budgetverantwortlich > Nur lesen. Ohne passendes Mapping bleibt die Rolle bestehender Benutzer unverändert; neue Benutzer erhalten Nur lesen.

Mitarbeiter-Attribute (Enterprise-Schema)

Der SCIM-Endpunkt verarbeitet jetzt zusätzlich zu den Kernattributen (Name, E-Mail-Adresse, Status) auch die Attribute des SCIM-Enterprise-User-Schemas: Abteilung (department), Kostenstelle (costCenter), Personalnummer (employeeNumber), Division (division) und Organisation (organization). Bisher wurden diese Attribute beim Sync verworfen.

Damit Contrixt die Werte erhält, müssen sie in Ihrem Identity Provider für die Übertragung freigegeben sein. Prüfen Sie das bei Microsoft Entra ID unter Unternehmensanwendungen → Ihre Contrixt-Anwendung → Bereitstellung (Provisioning) → Attribut-Zuordnungen (Attribute mappings): Für jedes benötigte Attribut muss eine Zuordnung vom Entra-Quellattribut (z. B. department, employeeId, costCenter) auf das gleichnamige Zielattribut des Enterprise-Schemas bestehen und aktiv sein — standardmäßig sind nicht alle Zuordnungen aktiviert. Fügen Sie fehlende Zuordnungen bei Bedarf über Attribut hinzufügen hinzu und starten Sie die Bereitstellung danach neu, damit die Werte beim nächsten Sync übertragen werden.

Contrixt nutzt diese Attribute für das Mitarbeiter-Verzeichnis: Dort stehen sie als wählbares Gruppierungsattribut zur Verfügung (Abteilung, Kostenstelle, Division, Organisation, Personalnummer u. a.); fehlen sie beim SCIM-Sync, ergänzt Contrixt sie — sofern verfügbar — aus dem Lizenz-Sync (M365/Google/Adobe).

So stellen Sie sicher, dass es funktioniert

Nach dem ersten Provisionierungslauf zeigt Administration → Provisionierung die übertragenen Gruppen unter Synchronisierte Gruppen, den Zeitpunkt der letzten Token-Verwendung sowie die Zahl der synchronisierten Benutzer; die angelegten Konten erscheinen mit gemappter Rolle in der Benutzerliste.

Betrieb

• Token rotieren erzeugt jederzeit ein neues Token und entwertet das alte — tragen Sie es anschließend im Identity Provider nach.
• Token löschen stoppt die Synchronisation sofort.
• Behandeln Sie das SCIM-Token wie ein Passwort.

SCIM-verwaltete Konten

Konten, die per SCIM entstehen, werden vollständig vom Identity Provider gesteuert — Einladungs-E-Mails und lokale Passwörter sind für sie nicht vorgesehen; die Anmeldung läuft über SSO.