SCIM 2.0 (System for Cross-domain Identity Management) ist ein branchenweiter Standard zur automatisierten Bereitstellung von Nutzerkonten zwischen Identitätsanbietern und Anwendungen. Durch die Aktivierung von SCIM für Flip können Sie:

• Nutzer automatisch aus Ihrem Identitätsanbieter in Flip erstellen
• Nutzerinformationen synchron halten
• Deaktivierte Nutzer im Identitätsanbieter in Flip sperren

Vollständige SCIM API Dokumentation.

Einrichtungsschritte

Schritt 1: Token generieren

1. Admin Console → Zugriff & Sicherheit → SCIM
2. SCIM aktivieren
3. Token kopieren & sicher speichern
4. SCIM-Basis-URL kopieren

Schritt 2: Identitätsanbieter konfigurieren

Für Entra ID:

Verbinde Entra via SCIM

1. Unternehmens-App (benutzerdefiniert) erstellen
2. In der erstellten Unternehmens-App klicke auf Bereitstellung
3. Setze Bereitstellung Mode auf "Automatisch"
4. URL und Token bei „Administratoranmeldeinformationen“ einfügen
5. Teste die Verbindung
6. Click speichern

Konfiguriere die Attribut-Zuordnung

1. In der Unternehmens-App unter Bereitstellung klicke auf Attributzuordnung (Users)
2. Ändere oder entferne spezifische Zuordnungen (Flip Attribut Mapping)
3. Zusätzliche Attributzuordnung erstellen
   1. Klicke auf "Erweiterte Optionen anzeigen" und "auf Attributliste für customappsso bearbeiten"
   2. Füge die gewünschte Flip SCIM Extension hinzu.
      1. Beispiel für vordefinierte Attribute (hier technischer Name location):
         urn:ietf:params:scim:schemas:extension:flip:location:2.0:User:value
         Beachte :value und nicht .value am Ende!
      2. Beispiel für benutzerdefinierte Attribute (hier technischer Name soccer_team):
         urn:ietf:params:scim:schemas:extension:flip:custom:2.0:User:attributes[technicalName eq "soccer_team"].value
         Beachte .value und nicht :value am Ende!

   3. Wichtig: Custom Attributes bei der ersten Provisionierung (Entra Workaround)
      
      Microsoft Entra sendet bei der initialen Erstellung eines Benutzers komplexe Attribute (z. B. ...:custom:2.0:User:attributes[...]) nicht zuverlässig (Microsoft Source). Als Workaround unterstützt Flip eine zusätzliche JSON-Extension. 
      
      Schema URN:
      urn:ietf:params:scim:schemas:extension:flip:customJson:2.0:User:value 
      
      Wichtig: Das Zielattribut muss exakt mit :value enden. Wenn :value fehlt, funktioniert die Zuordnung nicht. 
      
      Vorgehen:

      1. Füge in der Attributliste folgendes Attribut (Typ: String) hinzu:
         urn:ietf:params:scim:schemas:extension:flip:customJson:2.0:User:value
      2. Erstelle eine neue Zuordnung mit:
         Mapping-Typ: Expression
         Zielattribut:
         urn:ietf:params:scim:schemas:extension:flip:customJson:2.0:User:value

      
      Beispiel-Expression:

      Join(
        "",
        "{\"attributes\":[{\"technicalName\":\"custom_team\",\"value\":\"",
        [department],
        "\"},{\"technicalName\":\"custom_location\",\"value\":\"",
        [city],
        "\"}]}"
      )

      
      Das Ergebnis muss wie folgt gerendert werden:

      {"attributes":[{"technicalName":"custom_team","value":"Engineering"},{"technicalName":"custom_location","value":"Berlin"}]}

      
      Für spätere Updates kann weiterhin die normale Custom-Extension (...:custom:2.0:User:attributes[...] .value) verwendet werden.

   4. Klicke "Speichern"
   5. Klicke "Neue Zuordnung hinzufügen"
   6. Wähle das Quellattribut und entsprechende Zielattribut aus
   7. Klicke "Ok"
4. Klicke "Speichern"

Wähle Benutzer oder Gruppen aus

1. In der Unternehmens-App unter Bereitstellung gehe zu Benutzer und Gruppen
2. Klicke auf "Add user/group"
3. Wähle einzelne Benutzer oder Gruppen von Benutzern aus die bereitgestellt werden sollen

Starte Bereitstellung

1. In der Unternehmens-App unter Bereitstellung gehe zu Übersicht
2. Klicke "Bereitstellung starten"

Für Okta:

SCIM in der Okta App aktivieren

1. Erstelle eine neue App-Integration mit dem Typ SAML 2.0.
2. Konfiguriere SAML Single Sign-On (SSO) wie in diesem Artikel beschrieben: 
   SAML SSO Konfiguration in Flip
3. Nach erfolgreicher SSO-Konfiguration öffne den Reiter General.
4. Klicke unter App Settings auf Edit.
5. Aktiviere unter Provisioning die Option SCIM und speichere die Änderungen.
6. Es erscheint ein neuer Reiter Provisioning.

SCIM-Verbindung konfigurieren

1. Öffne den Reiter Provisioning.
2. Klicke auf Edit und trage die SCIM-URL ein.
3. Als Unique identifier field for users verwende: userName
4. Aktiviere folgende Optionen unter Supported provisioning actions:
   • Push New Users
   • Push Profile Updates
5. Wähle bei Authentication Mode die Option HTTP Header.
6. Füge das SCIM Token im Feld Authorization ein.
7. Teste die Verbindung über Test API Credentials und speichere.
8. Aktiviere im Bereich Provisioning → To App die folgenden Aktionen:
   • Create Users
   • Update User Attributes
   • Deactivate Users

Attribut-Zuordnung konfigurieren

1. Gehe zu Provisioning → To App → Attribute Mappings.
2. Bearbeite oder entferne bestehende Attribut-Zuordnungen (siehe Flip Attribut-Mapping).
3. Um benutzerdefinierte Attribute hinzuzufügen:
   1. Gehe zum Profile Editor.
   2. Klicke auf Add Attribute.
   3. Vergib einen Display Name und Variable Name.
   4. Trage als External Name den Wert value ein.
   5. Verwende als External Namespace (siehe Flip SCIM Extensions) z. B.:
      urn:ietf:params:scim:schemas:extension:flip:location:2.0:User
   6. Klicke auf Save.
   7. Das neue Attribut erscheint nun unter Provisioning → To App → Attribute Mappings und kann dort zugeordnet werden.

Benutzer oder Gruppen zuweisen

1. Wechsle zum Reiter Assignments.
2. Klicke auf Assign → Assign to People oder Assign to Groups.
3. Wähle die Benutzer oder Gruppen aus, die provisioniert werden sollen.

Bereitstellung starten

1. Gehe erneut zu Provisioning → To App.
2. Aktiviere die folgenden Optionen:
   • Create Users
   • Update User Attributes
   • Deactivate Users
3. Stelle sicher, dass alle gewünschten Attribute korrekt zugeordnet sind.
4. Die Provisionierung startet automatisch für alle zugewiesenen Benutzer und Gruppen.

Für OneLogin:

1. „SCIM Provisioner (SCIM v2 Enterprise) - No Params“ verwenden
2. SCIM JSON, URL & Token im Tab „Konfiguration“ eintragen
3. Attribute im Tab „Parameter“ zuordnen
4. Provisioning aktivieren

Fehlerbehebung

Best Practices

• Mit wenigen Test-Nutzern starten
• externalId für eindeutige Zuordnung nutzen
• Logs regelmäßig prüfen
• Attribute frühzeitig planen & dokumentieren
• Benutzerdefinierte Attribute gut dokumentieren

Bei Problemen wenden Sie sich bitte an den Flip-Support und geben Sie an:

• Ihren Flip Tenant ID
• Fehlermeldungen und API-Beispiele