Microsoft Entra-Verzeichnissynchronisierung

Dieser Artikel beschreibt, wie Sie ein Cintoo-Konto mit Microsoft Entra ID (früher Azure Active Directory) verbinden, sodass Nutzer und Gruppen in Cintoo automatisch entsprechend dem Unternehmensverzeichnis erstellt, aktualisiert und entfernt werden.

INHALTSVERZEICHNIS

• So funktioniert die Verzeichnissynchronisierung
• Microsoft Entra einrichten
  • URL und Token in Cintoo abrufen
  • Cintoo in Microsoft Entra verbinden
  • Welche E-Mail-Adresse Cintoo verwendet
• Token verwalten
  • Token erneuern
  • Token widerrufen
  • Abgelaufenes Token
• Was synchronisiert wird
  • Nutzer
  • E-Mail-Änderungen
  • Deaktivierte, gelöschte oder nicht mehr zugewiesene Nutzer
  • Gruppen
• Synchronisierte Nutzer und Gruppen in Cintoo

So funktioniert die Verzeichnissynchronisierung

Microsoft Entra überträgt Änderungen über das Protokoll SCIM 2.0 an Cintoo: Cintoo liest das Verzeichnis selbst nie aus. Sobald die Verbindung hergestellt ist, gilt:

• Nutzer, die der Cintoo-Anwendung in Microsoft Entra zugewiesen sind, werden zum Cintoo-Konto hinzugefügt und entfernt, wenn sie deaktiviert, gelöscht oder nicht mehr zugewiesen werden
• Gruppen, die der Cintoo-Anwendung zugewiesen sind, werden in Cintoo mit ihren Mitgliedern erstellt und folgen jeder in Microsoft Entra vorgenommenen Änderung
• Rollen und Projektzugriff werden nie synchronisiert: Sie werden weiterhin in Cintoo verwaltet, wie unter Mitglieder zu einem Projekt hinzufügen beschrieben

Synchronisierte Nutzer und Gruppen sind unter Nutzer und Berechtigungen mit Microsoft Entra gekennzeichnet. Synchronisierte Nutzer können in Cintoo nicht entfernt und synchronisierte Gruppen nicht bearbeitet oder gelöscht werden.

Microsoft Entra einrichten

Microsoft Entra benötigt von Cintoo zwei Werte: eine SCIM-URL und ein geheimes Token. Rufen Sie sie zuerst in Cintoo ab und geben Sie sie dann in Microsoft Entra ein.

URL und Token in Cintoo abrufen

1. Öffnen Sie Administration im Burger-Menü oben rechts und wählen Sie die Registerkarte Verzeichnissynchronisierung.

    

2. Kopieren Sie unter Schritt 1: URL in Microsoft Entra kopieren die URL.
3. Klicken Sie unter Schritt 2: Geheimes Token für Microsoft Entra erstellen auf Token erstellen.
4. Legen Sie im Fenster Token erstellen das Ablaufdatum fest (standardmäßig ein Jahr ab heute, frühestens 30 Tage ab heute) und klicken Sie auf Bestätigen.

    

5. Das Fenster Ihr Token kopieren zeigt das Token an, standardmäßig verborgen. Klicken Sie auf das Symbol Auge, um es anzuzeigen, oder auf Kopieren, um es zu kopieren, und klicken Sie dann auf Fertig.
   Warnung: Das Token wird nur einmal angezeigt: Nach einem Klick auf Fertig kann es nicht mehr angezeigt werden. Fügen Sie es sofort in Microsoft Entra ein. Wenn es verloren geht, erneuern Sie es, um ein neues zu erhalten.

Cintoo in Microsoft Entra verbinden

Für die Einrichtung in Microsoft Entra ist in Microsoft Entra mindestens die Rolle Cloud Application Administrator erforderlich.

1. Navigieren Sie im Microsoft Entra Admin Center zu Entra ID > Enterprise apps und wählen Sie New application > Create your own application.
2. Geben Sie einen Namen für die Cintoo-Anwendung ein, wählen Sie Integrate any other application you don't find in the gallery und erstellen Sie die Anwendung.
3. Wählen Sie in der Cintoo-Anwendung Provisioning > New configuration.
4. Legen Sie Authentication method auf Bearer authentication fest.
   Warnung: Cintoo unterstützt ausschließlich Bearer authentication: OAuth2 client credentials grant wird nicht unterstützt.
5. Fügen Sie die aus Cintoo kopierte URL in Tenant URL und das Token in Secret token ein.
6. Klicken Sie auf Test connection und dann auf Create.
7. Wenn Ihre UPNs keine echten E-Mail-Adressen sind, ordnen Sie userName dem Attribut mail zu, wie unter Welche E-Mail-Adresse Cintoo verwendet beschrieben.
8. Weisen Sie unter Users and groups die Nutzer und Gruppen zu, die mit Cintoo synchronisiert werden sollen.
9. Klicken Sie unter Provisioning auf Start provisioning.

   Microsoft Entra synchronisiert die zugewiesenen Nutzer und Gruppen dann etwa alle 40 Minuten. Um einen einzelnen Nutzer sofort zu synchronisieren, verwenden Sie Provision on demand. Ergebnisse und Fehler erscheinen in den Provisioning logs der Cintoo-Anwendung.

   Hinweis: Es werden nur direkte Mitglieder einer zugewiesenen Gruppe synchronisiert, nicht jedoch Mitglieder verschachtelter Gruppen.

Welche E-Mail-Adresse Cintoo verwendet

Cintoo identifiziert jeden synchronisierten Nutzer anhand seiner E-Mail-Adresse, die aus dem SCIM-Attribut userName gelesen wird, das von Microsoft Entra gesendet wird.

Standardmäßig füllt Microsoft Entra userName mit dem User Principal Name (UPN) des Nutzers, nicht mit seinem Attribut mail. Das funktioniert, solange die UPNs die echten E-Mail-Adressen der Nutzer sind (z. B. jane.doe@company.com).

Wenn UPNs keine echten Postfächer sind (z. B. jdoe@company.onmicrosoft.com oder eine Mitarbeiter-ID):

• werden Cintoo-Einladungen an eine Adresse gesendet, die keine E-Mails empfängt
• werden Mitglieder, die in Cintoo bereits mit ihrer echten E-Mail-Adresse eingeladen wurden, nicht erkannt, und es wird ein doppelter Nutzer erstellt

Ordnen Sie in diesem Fall userName dem Attribut mail zu, bevor Sie die Bereitstellung starten:

1. Navigieren Sie im Microsoft Entra Admin Center zu Entra ID > Enterprise apps und wählen Sie Ihre Cintoo-Anwendung aus.
2. Gehen Sie zu Provisioning > Attribute mapping und wählen Sie Provision Microsoft Entra ID Users.
3. Klicken Sie auf die Zeile userName.
4. Legen Sie Source attribute auf mail fest und klicken Sie dann auf OK und Save.
5. Stellen Sie sicher, dass bei jedem der Anwendung zugewiesenen Nutzer das Attribut mail ausgefüllt ist.

   Wenn sich die E-Mail-Adresse ändert, die Microsoft Entra für einen Nutzer sendet (standardmäßig der UPN, oder mail, wenn neu zugeordnet), wird dies in Cintoo als E-Mail-Änderung behandelt.

   Warnung: Legen Sie diese Zuordnung vor der ersten Synchronisierung fest. Wird sie geändert, nachdem Nutzer synchronisiert wurden, sendet Microsoft Entra im nächsten Zyklus für jeden Nutzer eine neue E-Mail-Adresse.

Token verwalten

Sobald ein Token existiert, zeigt Schritt 2 seinen Status an (Aktiv oder Abgelaufen) mit Erstellungs- und Ablaufdatum sowie den Aktionen Erneuern und Widerrufen.

Token erneuern

Erneuern ersetzt das Token durch ein neues, das genauso lange gültig ist wie das vorherige.

1. Klicken Sie auf Erneuern.
2. Klicken Sie im Fenster Microsoft Entra-Token erneuern auf Token erneuern.
3. Kopieren Sie das neue Token, fügen Sie es sofort in Microsoft Entra ein und klicken Sie dann auf Fertig.
   Warnung: Das vorherige Token funktioniert nur noch wenige Minuten. Danach werden Nutzer und Gruppen nicht mehr synchronisiert, bis das neue Token in Microsoft Entra festgelegt ist.

Token widerrufen

Widerrufen trennt Microsoft Entra vom Cintoo-Konto.

1. Klicken Sie auf Widerrufen.
2. Klicken Sie im Fenster Microsoft Entra-Token widerrufen auf Token widerrufen.

   Microsoft Entra kann mit diesem Token keine Nutzer mehr synchronisieren. Alle Nutzer und Gruppen werden nicht mehr als synchronisiert gekennzeichnet: Sie bleiben im Konto und werden zu regulären Nutzern und Gruppen, die in Cintoo wieder entfernt und bearbeitet werden können. Gruppen behalten ihre Mitglieder.
   Da nichts mehr synchronisiert wird, erscheint die Spalte Quelle nicht mehr auf den Registerkarten Nutzer und Gruppen.

   Warnung: Das Widerrufen eines Tokens kann nicht rückgängig gemacht werden. Um Microsoft Entra erneut zu verbinden, erstellen Sie ein neues Token und legen Sie es in Microsoft Entra fest. Bei der nächsten Synchronisierung werden bestehende Nutzer erneut anhand der E-Mail-Adresse zugeordnet und behalten ihre Rollen. Zuvor synchronisierte Gruppen werden anhand ihrer Microsoft Entra-ID erkannt, auch wenn sie nach dem Widerruf in Cintoo umbenannt oder bearbeitet wurden: Ihr Name und ihre Mitglieder werden durch die aus Microsoft Entra ersetzt. Die unter Gruppen beschriebene Regel zu gleichnamigen Gruppen gilt nur für Gruppen, die nie synchronisiert wurden.

Abgelaufenes Token

Wenn das Token abläuft, ändert sich sein Status auf Abgelaufen, und Microsoft Entra kann nicht mehr synchronisieren. Erneuern ist dann nicht mehr verfügbar, Widerrufen bleibt verfügbar.

Klicken Sie auf Token erstellen, um ein neues Token zu erstellen, und legen Sie es dann in Microsoft Entra fest. Synchronisierte Nutzer und Gruppen bleiben synchronisiert, während das Token abgelaufen ist und nachdem das neue Token festgelegt wurde.

Was synchronisiert wird

Nutzer

• Ein Nutzer, der der Cintoo-Anwendung in Microsoft Entra zugewiesen ist, erscheint auf der Registerkarte Nutzer mit der Quelle Microsoft Entra. Er erhält die übliche Einladungs-E-Mail, es sei denn, seine E-Mail-Domain verwendet SSO, und hat keine Rolle, bis ein Administrator ihm eine zuweist.
• Ein Mitglied, das bereits manuell mit derselben E-Mail-Adresse eingeladen wurde, wird bei der ersten Synchronisierung zugeordnet statt dupliziert: Es behält seine Rollen und erhält keine neue E-Mail.
• Rollen und Projektzugriff werden nie synchronisiert: Weisen Sie sie in Cintoo zu, wie bei jedem anderen Nutzer.

E-Mail-Änderungen

Wenn sich die E-Mail-Adresse eines Nutzers (userName) in Microsoft Entra ändert:

• behält ein Nutzer, der nur zu diesem Cintoo-Konto gehört und dessen neue E-Mail-Adresse von keinem anderen Cintoo-Nutzer verwendet wird, denselben Cintoo-Nutzer mit der neuen E-Mail-Adresse: Seine Probleme, Anmerkungen, Rollen, Projektzugriffe und Gruppen bleiben erhalten
• in den anderen Fällen (der Nutzer gehört auch zu anderen Cintoo-Konten, oder die neue E-Mail-Adresse wird bereits von einem anderen Cintoo-Nutzer verwendet) wird der Nutzer mit der neuen E-Mail-Adresse ohne Rolle zu diesem Konto eingeladen, und der bisherige wird nur aus diesem Konto entfernt und bleibt in anderen Konten unverändert

Deaktivierte, gelöschte oder nicht mehr zugewiesene Nutzer

Wenn ein Nutzer in Microsoft Entra deaktiviert, gelöscht oder der Cintoo-Anwendung nicht mehr zugewiesen wird:

• wird er genau wie bei der manuellen Entfernung aus dem Konto entfernt: Er verliert Zugriff, Kontorollen, Projektzugriffe und Gruppenmitgliedschaften und verschwindet von der Registerkarte Nutzer
• werden die ihm gehörenden Projekte auf den Kontoeigentümer übertragen, der dessen Projekteigentümer wird und die Rolle Projektmanager erhält, falls er sie nicht hatte

Cintoo zeigt keinen Status „gesperrt“ an: Deaktivierte und gelöschte Nutzer verschwinden beide von der Registerkarte Nutzer. Prüfen Sie Microsoft Entra, um zu erfahren, welcher Fall zutrifft.

Wenn ein deaktivierter Nutzer wieder aktiviert wird, kommt er als dieselbe Person ohne Duplikat zurück, erhält eine Einladungs-E-Mail und hat keine Rolle, bis ein Administrator ihm eine zuweist. Seine synchronisierten Gruppenmitgliedschaften erhält er zurück, sobald Microsoft Entra die Gruppe erneut sendet.

Gruppen

• Der Cintoo-Anwendung zugewiesene Gruppen werden auf der Registerkarte Gruppen mit ihren Mitgliedern und der Quelle Microsoft Entra erstellt.
• Das Umbenennen einer Gruppe oder das Hinzufügen und Entfernen ihrer Mitglieder in Microsoft Entra wird in Cintoo auf dieselbe Weise übernommen.
• Wenn eine Gruppe in Microsoft Entra gelöscht oder der Cintoo-Anwendung nicht mehr zugewiesen wird, wird die Gruppe in Cintoo gelöscht, und ihre Mitglieder verlieren den Projektzugriff, den sie über diese Gruppe hatten. Mitglieder, die der Cintoo-Anwendung nur über diese Gruppe zugewiesen waren, werden ebenfalls aus dem Konto entfernt, wie bei der manuellen Entfernung. Andere Mitglieder bleiben im Konto.
• Wenn in Cintoo bereits eine manuelle Gruppe mit demselben Namen existiert, wird die Microsoft Entra-Gruppe nicht synchronisiert: Die manuelle Gruppe bleibt unverändert, und der Konflikt wird nur in den Provisioning-Protokollen von Microsoft Entra gemeldet.

Synchronisierte Nutzer und Gruppen in Cintoo

Sobald mindestens ein Nutzer oder eine Gruppe synchronisiert ist, zeigen die Registerkarten Nutzer und Gruppen unter Nutzer und Berechtigungen eine Spalte Quelle: Microsoft Entra mit seinem Logo für synchronisierte Elemente, Manuell für die übrigen.

Microsoft Entra verwaltet synchronisierte Elemente, daher sind einige Aktionen in Cintoo nicht verfügbar:

• Ein synchronisierter Nutzer kann nicht entfernt werden: Deaktivieren oder löschen Sie ihn stattdessen in Microsoft Entra oder heben Sie dort seine Zuweisung auf
• Eine synchronisierte Gruppe kann nicht bearbeitet oder gelöscht werden: Ihr Name, ihre Beschreibung und ihre Mitglieder sind schreibgeschützt
• Eine synchronisierte Gruppe kann dupliziert werden: Die Kopie ist eine manuelle Gruppe, die vollständig bearbeitet werden kann, das Original bleibt synchronisiert
• Synchronisierte Nutzer können zu manuellen Gruppen hinzugefügt und daraus entfernt werden

Rollen und Projektzugriff synchronisierter Nutzer werden in Cintoo verwaltet, wie bei jedem anderen Nutzer.