Nicht jeder hier beschriebene Weg ist für jedes Unternehmen freigeschaltet; jeder verlinkte Artikel nennt seine eigene Voraussetzung.
Bevor du irgendetwas konfigurierst, entscheide, woher die Konten kommen. Diese eine Entscheidung bestimmt, was dein Aktivierungsprozess abdecken muss, wie das Offboarding läuft und wie viel davon du je wieder von Hand anfasst.
Es gibt vier Wege, auf denen Konten nach Flip kommen. Die meisten Unternehmen nutzen am Ende mehr als einen.
Die vier Wege
| Weg | Nimm ihn, wenn | Was er braucht |
|---|---|---|
| SCIM aus deinem Provider | Du betreibst schon einen Provider und er ist das führende System für die Personen, die du in Flip haben willst. | Eine SCIM-Verbindung aus deinem Provider. Siehe Verbinde SCIM mit deinem Identity System. |
| SCIM aus deinem HR-System | Dein HR-System hält die Frontline-Belegschaft und spricht SCIM. Häufig dort, wo die Frontline nie im Unternehmensverzeichnis auftaucht. | Dieselbe SCIM-Verbindung, auf dein HR-System gerichtet. |
| Die Sync API | Dein Quellsystem spricht kein SCIM, oder du brauchst Kontrolle darüber, wann und was synchronisiert wird. | Entwicklungsaufwand auf deiner Seite. Siehe The Flip Sync API for users and channels (nur auf Englisch). |
| Excel-Import | Du fängst an, machst ein Pilotprojekt, oder betreust eine Gruppe, die kein System abdeckt. | Keine Integration. Siehe Nutzende hinzufügen mit dem Excel-Import. |
Konten von Hand in der Admin Console anzulegen ist ein fünfter Weg, und der richtige nur für Ausnahmen. Siehe Nutzer anlegen, bearbeiten, sperren, deaktivieren und löschen.
Nimm SCIM, wo du kannst. Es ist ein Standard, es überträgt Änderungen und Deaktivierungen ohne Zusatzarbeit, und es ist der Weg, den die übrige Dokumentation voraussetzt.
Mehrere Wege gleichzeitig betreiben
Mehrere Quellen können dasselbe Unternehmen speisen, und das ist normal und keine Notlösung. Eine typische Aufteilung ist das Unternehmensverzeichnis für Büromitarbeitende und das HR-System für die Frontline.
Welche Quelle gewinnt, ist pro Attribut konfigurierbar. Du musst also nicht ein System zum Eigentümer von allem machen. Entscheide das pro Attribut, bevor du die zweite Quelle anschließt, nicht wenn sie sich schon widersprechen.
Zu vermeiden ist genau eines: zwei Quellen, die dasselbe Attribut ohne vereinbarten Eigentümer schreiben. Dann kippen Konten bei jedem Sync hin und her, und das ist von außen kaum zu diagnostizieren.
Funktioniert mein HR-System?
Entscheidend ist nicht der Herstellername, sondern das Protokoll.
- Spricht dein HR-System SCIM, wird es genauso angebunden wie ein Provider.
- Spricht es kein SCIM, braucht die Verbindung etwas dazwischen. Das baut ihr selbst oder ein Integrationspartner gegen die Sync API; Flip stellt die API und die Dokumentation bereit, nicht die Middleware.
Frage deinen Customer Success Manager, ob dein System schon einmal angebunden wurde. Bei mehreren der verbreiteten HR-Plattformen ist das der Fall, und das Muster von jemand anderem zu kennen erspart dir die Entwurfsarbeit.
Was du auf der Entra-Seite brauchst
Einfache SCIM-Provisionierung braucht keine kostenpflichtige Microsoft-Stufe. Microsofts kostenlose Stufe begrenzt, in wie viele Anwendungen du provisionieren kannst, und Flip zählt als eine davon. Prüfe also, was dir noch bleibt, bevor du planst. Eigene Attribut-Mappings sind ein Feature der kostenpflichtigen Stufe.
Diese Grenzen sind Microsofts und ändern sich. Bestätige die aktuellen in Microsofts Lizenzdokumentation, statt dich auf diese Seite zu verlassen.
Was du übertragen solltest
Das Minimum sind Vorname, Nachname und Benutzername. Alles darüber überträgst du, weil du etwas damit vorhast: automatische Gruppenzuordnung steuern, Daten an ein anderes System weitergeben, oder Personen einen Weg geben, ihren Zugang selbst wiederherzustellen.
Gruppenzuordnung ist der häufigste Grund. Regeln sind attributgesteuert und greifen auf das Attribut zu, nicht auf den Gruppennamen. Eine Gruppe umzubenennen bricht sie also nicht, und sie halten auch in großem Maßstab. Siehe Automatische Benutzergruppen-Zuordnungen (Benutzergruppen Regeln).
Attribute können außerdem vor Mitarbeitenden verborgen bleiben und trotzdem anderen Systemen zur Verfügung stehen. So reisen üblicherweise Organisationscodes und Rollen-Kennzeichen. Siehe Benutzerattribute (Profilfelder) anlegen, bearbeiten und löschen.
Offboarding läuft über denselben Weg
Welcher Weg Konten anlegt, beendet sie auch. Deaktiviere eine Person in deinem Quellsystem, und die Änderung wandert beim nächsten Sync nach Flip. Vor dem tatsächlichen Löschen liegt ein Aufbewahrungsfenster, und das ist konfigurierbar.
Zeitweilige Abwesenheit ist ein anderer Fall als Ausscheiden: ein Konto kann deaktiviert werden, ohne zum Löschen vorgemerkt zu sein.
Die genauen Zustände, Fristen und was beim Löschen entfernt wird, stehen in Benutzerkonto Lifecycle und Benutzerkonten Löschkonzept.
Danach entscheide, wie Personen aktivieren
Die Provisionierung legt das Konto an. Sie meldet die Person nicht an. Wenn du weißt, woher die Konten kommen, entscheide, wie die Personen darin aktivieren: siehe Nutzende mit einem Aktivierungscode oder QR-Code aktivieren.