> For the complete documentation index, see [llms.txt](https://help.steeple.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.steeple.com/de/administration/provisioning-scim.md).

# Automatische Bereitstellung von Mitarbeitenden (Provisioning / SCIM)

### Was ist Provisioning?

Provisioning (Bereitstellung) ist die automatische und kontinuierliche Synchronisierung der Benutzer von einem Identitätsanbieter zu Steeple. Im Gegensatz zum SSO, das nur bei der Authentifizierung wirkt, hält Provisioning die Daten dauerhaft aktuell.

#### Was automatisch synchronisiert wird

* **Identitätsdaten** : Vorname, Nachname, E-Mail
* **Zugriffsrechte** auf die Communitys
* **Rollenvergabe**

#### Protokoll

Steeple verwendet das Protokoll **SCIM** (System for Cross-domain Identity Management). Die Kommunikation ist **einseitig** : vom Identitätsanbieter zu Steeple.

#### Synchronisierte Ressourcen

* Benutzer
* Gruppen
* Benutzer-Gruppen-Zugehörigkeiten

### Wichtige Voraussetzung

Das **SSO muss vor dem Provisioning konfiguriert sein**. Es ist nicht möglich, Provisioning allein zu konfigurieren, unabhängig vom Anbieter.

### Unterstützte Anbieter

* **Azure Active Directory** (Microsoft Entra ID)
* **Okta**

Google Workspace unterstützt nur SSO, nicht SCIM-Provisioning.

### Zuordnung Gruppen → Communitys

Die Gruppen des Identitätsanbieters entsprechen nicht direkt den Steeple-Communitys. Eine **Zwischenzuordnung** ist erforderlich: Jede Gruppe ist mit einem Paar (Community, Rolle) verknüpft, wodurch die Gruppenmitgliedschaft in Community-Zugriff mit einer bestimmten Rolle übersetzt wird.

**Empfehlung** : mindestens **zwei Gruppen pro Community** (Mitwirkende und Administratoren).

### Provisioning konfigurieren

Die Konfiguration erfolgt über **Administration** > **Integrationen** (`/administration/integrations`).

#### Provisioning mit Azure Active Directory

1. In Steeple: Administration > Integrationen > Installieren > in der Sektion Identifikation auf „Anzeigen“ klicken, um die**SCIM-URL** und das **Bearer-Token**
   * Das Token ist ein Geheimnis: niemals in einem ungesicherten Kanal teilen (Chat, E-Mail, öffentliches Ticket)
2. In Azure: Directory Overview > Provisioning > in den **Automatikmodus**
3. Die URL (Tenant-URL) und das Token (Secret Token) einfügen, die Verbindung testen
4. Falls Soft-Delete benötigt wird: eine Ausdruckszuordnung hinzufügen `Switch([IsSoftDeleted], , "False", "True", "True", "False")` für das Attribut **active**
5. Die vorab erstellten Gruppen in „Users and Groups“ zuweisen
6. Bereitstellung starten — **Azure synchronisiert alle 25 bis 40 Minuten**
7. In Steeple: Rollen den verknüpften Gruppen und Communitys zuweisen
8. Prüfen, ob die Anzahl der Benutzer und Gruppen übereinstimmt, dann die Synchronisierung aktivieren

#### Provisioning mit Okta

1. In Steeple: Administration > Integrationen > Okta SCIM > Installieren, um die**Tenant-URL** und das **Secret Token**
   * Das Token ist ein Geheimnis: niemals in einem ungesicherten Kanal teilen (Chat, E-Mail, öffentliches Ticket)
2. In Okta: General > App Settings > Provisioning manuell aktivieren > speichern
3. Provisioning > Integration > den SCIM-Connector konfigurieren:
   * Tenant-URL einfügen
   * Eindeutige Kennung: **userName**
   * Nur die Kästchen ankreuzen **Push**
   * Authentifizierungsmodus: **HTTP-Header** mit dem Secret Token
   * Testen und dann speichern
4. Provisioning > Einstellungen > To App: aktivieren **Benutzer erstellen**, **Benutzerattribute aktualisieren**, **Benutzer deaktivieren**
5. Benutzer/Gruppen zuweisen, Push Groups für das Mapping zu den Communitys konfigurieren
6. Die Synchronisierung in Steeple aktivieren — **Okta wendet die Änderungen nahezu sofort an**

### Wichtige Warnhinweise

* **Einen Benutzer deaktivieren oder löschen** aufseiten des Identitätsanbieters **entfernt den Benutzer aus der Steeple-Organisation** und macht seine Beiträge unsichtbar
* Nur ein manueller Eingriff des Supports kann die Beiträge eines entfernten Benutzers neu zuordnen
* Jeder Benutzer, der im Unternehmens-Verzeichnis fehlt, wird **standardmäßig alle Zugriffe entzogen** standardmäßig

### Zusätzliche Optionen

* **Automatischer Versand von Einladungs-E-Mails** an neu erstellte Benutzer (optional mit SSO, da SSO die Anmeldung ohne Einladung ermöglicht)
* **Manuelle Erstellung von Konten** außerhalb des Unternehmens-Verzeichnisses (diese Konten verwenden die klassische E-Mail-/Passwort-Authentifizierung und müssen manuell gelöscht werden)

### Sonderfall

Wenn Sie einen Ihrer Mitarbeiter im Steeple-Verzeichnis nicht finden, prüfen Sie in Ihrem Identitätsanbieter (Entra-Okta...) : 

* dass Ihr Mitarbeiter tatsächlich vorhanden ist 
* dass der Benutzer tatsächlich einer Gruppe zugeordnet ist, die Zugriff auf die Steeple-Anwendung gewährt

### Was der Assistent tun kann

Der Assistent kann den Benutzer zur Seite **Integrationen** via navigate\_to führen und die Konzepte des Provisionings erklären. Für die detaillierte technische Konfiguration auf <https://help.steeple.com/> verweisen