Anleitung: Azure Entra mit DocuWare Benutzerbereitstellung verbinden

Wenn Ihre Organisation Azure Entra verwendet, um den Zugriff der Mitarbeiter auf Tools und Dienste zu verwalten, können Sie mit der Funktion Azure Provisioning Ihren Benutzern über SCIM automatisch Zugriff auf DocuWare gewähren. Diese Anleitung führt Sie durch die Konfiguration von DocuWare und Azure Entra, um das Provisioning für Ihre Organisation einzurichten.

Die aktuelle Version von UserSync (v3) unterstützt die folgenden Provisioning-Funktionen:

• Automatische Benutzererstellung: Benutzer, die in Azure der Enterprise Application zugewiesen sind, werden automatisch als Benutzer in DocuWare angelegt.

• Attributsynchronisierung: Änderungen an Benutzerattributen (userName, email, aktiver Status) in Azure werden in DocuWare übernommen.

• Benutzerdeaktivierung: Wenn Benutzer in Azure deaktiviert werden, werden sie in DocuWare als deaktiviert markiert und können sich nicht mehr anmelden.

Neue Anwendung in Microsoft Azure Entra erstellen

1. Melden Sie sich am Azure-Portal an: Home - Microsoft Azure.

2. Öffnen Sie die Seite Enterprise Applications.

3. Klicken Sie auf New application.

4. Klicken Sie auf Create your own application.

5. Geben Sie im Feld Name einen Namen für Ihre App ein und wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) aus.

6. Klicken Sie auf Create.

7. Öffnen Sie nach dem Erstellen der Anwendung die Seite Overview.

8. Klicken Sie auf + New configuration.
   

9. Lassen Sie die Azure-Konfiguration geöffnet und wechseln Sie zu den DocuWare Konfigurationen.

Die neue Azure-Anwendung in DocuWare einbinden

1. Öffnen Sie DocuWare Konfigurationen > Allgemein > User Provisioning.

2. Aktivieren Sie im Plug-in User Provisioning die Option Enable User Provisioning.

3. Wählen Sie in der Dropdown-Liste Identity Provider den Eintrag Azure Entra aus.

4. Wählen Sie in der Dropdown-Liste Application Registration die zuvor erstellte App-Registrierung aus oder klicken Sie auf Create Application Registration.

5. Geben Sie im Feld Application Name den Namen ein.

6. Kopieren Sie aus der von Ihnen erstellten App-Registrierung folgende Werte:

   1. Application (Client) ID

   2. Client secret

7. Klicken Sie auf Done.

8. Nach dem Speichern stehen zwei Authentifizierungsmethoden zur Verfügung: OAuth2 Client Credentials Grant und Bearer Authentication.
   
   

9. Provisioning Options: Aktivieren oder deaktivieren Sie je nach Bedarf die folgenden Optionen für neu provisionierte Benutzer:

   1. Send registration email

   2. Briefkorb erstellen

10. Die nächsten Schritte hängen von Ihrer Authentifizierungsmethode ab:

    1. OAuth2 Client Credentials Grant

       • Kopieren Sie die Links Tenant URL und Token Endpoint.

       • Gehen Sie zurück zu Entra > Ihre Anwendung > Overview > New configuration > Admin credentials.

       • Stellen Sie sicher, dass in der Dropdown-Liste Authentication Method der Eintrag OAuth2 Client Credentials Grant ausgewählt ist.

       • Fügen Sie die kopierte Client ID und das kopierte Client secret ein.

       • Fügen Sie die Links Tenant URL und Token Endpoint ein.

       • Wenn alle erforderlichen Felder ausgefüllt sind, klicken Sie auf Test Connection.

       • Klicken Sie auf Create.
         

    2. Bearer Authentication

       • Kopieren Sie den Link Tenant URL und den generierten Bearer token.

       • Gehen Sie zurück zu Entra > Ihre Anwendung > Overview > New configuration > Admin credentials.

       • Stellen Sie sicher, dass in der Dropdown-Liste Authentication Method der Eintrag Bearer Authentication ausgewählt ist.

       • Fügen Sie den Link Tenant URL und den Bearer token ein.

       • Wenn alle erforderlichen Felder ausgefüllt sind, klicken Sie auf Test Connection.

       • Klicken Sie auf Create.

Benutzer- und Gruppenattribute in DocuWare und Microsoft Entra ID zuordnen

Durch die Zuordnung der Benutzer- und Gruppenattribute zwischen DocuWare und Microsoft Entra ID können Benutzer und Gruppen abgeglichen und synchronisiert werden.

1. Öffnen Sie Ihre konfigurierte Anwendung und wechseln Sie zu Overview.

2. Um Benutzer zuzuordnen, wählen Sie Attribute Mapping > Users.
   

3. Legen Sie die Zuordnungen der Benutzerattribute fest:

   1. Erforderliche Zuordnungen:

      • userName: Item(Split([userPrincipalName], "@"), 1)

      • active: Switch([IsSoftDeleted], , "False", "True", "True", "False")

      • emails[type eq "work"].value: Coalesce([mail],[userPrincipalName])

      • externalId: objectId

   2. Optionale Zuordnungen:

      • name.givenName: givenName

      • name.familyName: surname

4. Zusätzliche Informationen:

   1. Um das Attribut userName zuzuordnen, aktualisieren Sie zunächst dessen Konfiguration:

      • Öffnen Sie Edit Attribute für: userPrincipalName

      • Ändern Sie den Zuordnungstyp in Expression.

      • Ändern Sie den Ausdruck in: Item(Split([userPrincipalName], "@"), 1)

      • Klicken Sie auf Apply.
        

   2. Um das Attribut email zuzuordnen, aktualisieren Sie zunächst dessen Konfiguration:

      • Öffnen Sie Edit Attribute für: emails[type eq "work"].value

      • Ändern Sie den Zuordnungstyp in Expression.

      • Ändern Sie den Ausdruck in: Coalesce([mail],[userPrincipalName])

      • Klicken Sie auf Apply.
        

   3. Um das Attribut externalId zuzuordnen, aktualisieren Sie zunächst dessen Konfiguration:

      • Öffnen Sie Edit für das Attribut: externalId: mailNickname

      • Ändern Sie das Source attribute in: objectId

      • Klicken Sie auf Apply.

5. Löschen Sie alle überflüssigen Zuordnungen und klicken Sie auf Save. Wenn die überflüssigen Zuordnungen nicht gelöscht werden, kann das Provisioning aktualisierter Benutzer zu Fehlern führen.
   

6. Um Gruppen zuzuordnen, wechseln Sie zu Attribute Mapping > Groups.

7. Legen Sie die Gruppenzuordnungen fest:

   1. Löschen Sie die überflüssige Zuordnung externalId > objectId.

   2. Speichern Sie die Änderungen.
      

8. Legen Sie die Scoping-Filter für Gruppen fest:

   1. Wechseln Sie zu Scoping filters > Groups.

   2. Klicken Sie auf Edit > Scope settings > Groups.

   3. Deaktivieren Sie in der Dropdown-Liste Object actions die Option Delete.
      

4. Speichern Sie die Änderungen.

Benutzer und Gruppen provisionieren

Öffnen Sie in Ihrer Entra-Anwendung die Seite Overview und klicken Sie auf Start Provisioning.

Benutzer provisionieren

1. Klicken Sie auf Manage > Users and Groups > Add user/group, wählen Sie die zu provisionierenden Benutzer aus und klicken Sie auf Assign.

2. Nachdem Sie die Benutzer hinzugefügt haben, werden sie nach einiger Zeit automatisch provisioniert. Alternativ können Sie sie bei Bedarf manuell provisionieren.

3. Öffnen Sie DocuWare Konfigurationen > Allgemein > Benutzerverwaltung.

4. Prüfen Sie, ob die erwarteten Benutzer dort provisioniert wurden.

Gruppen provisionieren

1. Klicken Sie auf Manage > Users and Groups > Add user/group, wählen Sie eine zu provisionierende Gruppe aus und klicken Sie auf Assign.
   Hinweis: Um Gruppenmitglieder bei Bedarf zuzuweisen, fügen Sie diese ebenfalls zur Liste hinzu.

2. Nachdem Sie die Gruppen und Benutzer hinzugefügt haben, werden sie nach einiger Zeit automatisch provisioniert. Alternativ können Sie sie bei Bedarf manuell provisionieren.

3. Öffnen Sie DocuWare Konfigurationen > Allgemein > Benutzerverwaltung.

4. Prüfen Sie, ob die erwarteten Gruppen und Benutzer dort provisioniert wurden.

Zusätzliche Informationen zum Gruppen-Provisioning-Prozess

1. Suche nach Gruppen: Das System sucht zunächst anhand des displayName nach einer vorhandenen Gruppe. Existiert in DocuWare eine Gruppe mit diesem displayName, wird sie aktualisiert. Andernfalls wird eine neue Gruppe erstellt.

2. Erstellen und Aktualisieren von Gruppen:
   a) Neue Gruppen erstellen: Wenn in DocuWare keine vorhandene Gruppe zum displayName passt, erstellt der Dienst eine neue Gruppe mit den angegebenen Mitgliedern.
   b) Vorhandene Gruppen aktualisieren: Wird eine passende Gruppe gefunden, aktualisiert der Dienst die Gruppendetails und fügt neue Mitglieder hinzu. Vorhandene Mitglieder bleiben neben den neuen Mitgliedern erhalten.

   Sobald die Gruppen nach ihrer ersten Synchronisierung zugeordnet sind, erfolgt die weitere Zuordnung über das Attribut ID. Wenn Sie beispielsweise den Namen einer Gruppe in Entra ID ändern und die aktualisierte Gruppe anschließend provisionieren, wird die Gruppe anhand ihrer ID zugeordnet. Der Dienst aktualisiert den Gruppennamen in DocuWare entsprechend, ohne deren Mitglieder zu entfernen.

3. Verwaltung von Mitgliedern:
   a) Mitglieder hinzufügen: Beim Aktualisieren von Gruppen werden neue Mitglieder hinzugefügt, während die vorhandenen Mitglieder erhalten bleiben.
   b) Duplikate vermeiden: Das System verhindert das Hinzufügen doppelter Mitglieder, sodass jedes Mitglied innerhalb einer Gruppe nur einmal vorhanden ist.

Unterstützte Versionen: DocuWare Cloud