Zum Hauptinhalt springen
Die SCIM-Bereitstellung ist im Tarif Enterprise verfügbar. Die Verzeichnisintegration (Microsoft Graph) ist in den Tarifen Teams und Enterprise verfügbar. Beide gelten auf Organisationsebene und werden von einem Administrator konfiguriert.
Es gibt zwei Möglichkeiten, Microsoft Entra ID (früher Azure Active Directory) mit Wave Connect zu verbinden. Beide erstellen und aktualisieren Wave Connect-Benutzer aus Ihrem Verzeichnis. Sie unterscheiden sich darin, wer synchronisiert wird, wie das Offboarding funktioniert und wovon die Verbindung abhängt.

Welche Variante sollte ich verwenden?

Die SCIM-Bereitstellung ist der von Microsoft empfohlene Ansatz, um eine App mit Entra ID synchron zu halten. Wählen Sie die Graph-Integration nur im Tarif Teams oder für einen einmaligen Import.

SCIM-Bereitstellung einrichten

1

SCIM-Token in Wave Connect erstellen

Gehen Sie zu Einstellungen → Sicherheit und suchen Sie die Karte Verzeichnis-Synchronisierung. Klicken Sie auf Konfigurieren, um das Modal SCIM konfigurieren zu öffnen. Kopieren Sie den SCIM-Endpunkt (https://app.wavecnct.com/api/scim) und klicken Sie dann auf Token erstellen. Geben Sie dem Token einen Namen und klicken Sie auf Erstellen. Kopieren Sie das Token jetzt. Es wird nur einmal angezeigt.
2

Unternehmensanwendung erstellen

Gehen Sie im Microsoft Entra Admin Center zu Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen. Geben Sie einen Namen wie “Wave Connect” ein, wählen Sie Integrieren Sie eine beliebige andere Anwendung, die Sie nicht im Katalog finden (Nicht-Katalog) und klicken Sie auf Erstellen.
3

SCIM-Anmeldeinformationen eingeben

Öffnen Sie die neue Anwendung und gehen Sie zu Bereitstellung → Erste Schritte. Setzen Sie den Bereitstellungsmodus auf Automatisch. Fügen Sie unter Administratoranmeldeinformationen den SCIM-Endpunkt in Mandanten-URL und das Token in Geheimes Token ein. Klicken Sie auf Verbindung testen und dann auf Speichern.
4

Attributzuordnungen prüfen

Öffnen Sie unter Zuordnungen den Eintrag Microsoft Entra ID-Benutzer bereitstellen und vergleichen Sie ihn mit der Tabelle unten. Die Standardwerte von Entra decken die meisten Zeilen ab. Sie müssen nur die Zeilen für die primäre E-Mail, locale und externalId bearbeiten. Lassen Sie Microsoft Entra ID-Gruppen bereitstellen aktiviert, wenn Entra-Gruppen zu Wave Connect-Teams werden sollen.
5

Benutzer und Gruppen zuweisen

Gehen Sie zu Benutzer und Gruppen und weisen Sie die Personen und Gruppen zu, die ein Wave Connect-Konto erhalten sollen. Nur zugewiesene Benutzer werden bereitgestellt.
6

Bereitstellung starten

Setzen Sie zurück unter Bereitstellung den Bereitstellungsstatus auf Ein und klicken Sie auf Speichern, oder klicken Sie auf Bereitstellung starten. Entra führt einen ersten Zyklus aus und danach etwa alle 40 Minuten einen inkrementellen Zyklus. Um einen einzelnen Benutzer ohne Wartezeit zu prüfen, verwenden Sie Bedarfsgesteuerte Bereitstellung.

Attributzuordnung

Wave Connect liest diese SCIM-Attribute. Die Spalte Wave Connect-Feld zeigt, wo jeder Wert landet.
Die Standardzuordnungen von Entra decken userName, name.givenName, name.familyName, title, die Telefonnummern, addresses[type eq "work"].locality und active bereits ab. Nur drei Zeilen müssen bearbeitet werden: Stellen Sie sicher, dass die Zuordnung der Arbeits-E-Mail primary auf True setzt, ändern Sie das Ziel von preferredLanguage von preferredLanguage auf locale und ändern Sie die Quelle von externalId von mailNickname auf objectId.
Weitere Hinweise zur Zuordnung:
  • Telefonnummern werden validiert und im internationalen Format gespeichert. Platzhalter und Werte, die nur aus einer Durchwahl bestehen, werden verworfen, statt die Synchronisierung fehlschlagen zu lassen.
  • roles[].value mit dem Wert USER, ADMIN oder OWNER (in Großbuchstaben) setzt die Organisationsrolle. Entra sendet standardmäßig keine Rollen, daher werden neue Benutzer als Benutzer erstellt.
  • Die Enterprise-Erweiterung department wird nicht im Profil gespeichert. Eine abteilungsbasierte Team-Zuweisung kann vom Wave Connect-Support aktiviert werden.
  • Ein locale-Wert muss eine der von Wave Connect unterstützten Sprachen sein, andernfalls erhält der Benutzer Englisch.

Gruppen werden zu Teams

Wenn die Gruppenbereitstellung aktiviert ist, wird jede der Anwendung zugewiesene Entra-Gruppe zu einem Wave Connect-Team. Der displayName der Gruppe wird zum Teamnamen und die objectId der Gruppe wird als externe ID des Teams gespeichert. Wenn in Wave Connect bereits ein Team mit demselben Namen existiert, wird die Gruppe darin zusammengeführt. Ein Wave Connect-Benutzer gehört zu einem Team. Wenn ein Benutzer in mehreren zugewiesenen Gruppen ist, gewinnt die Gruppe, die Entra zuletzt bereitstellt. Eine Organisation kann bis zu 75 Teams haben. Das Löschen einer Gruppe in Entra löscht das Team in Wave Connect. Seine Benutzer bleiben erhalten und seine Kontakte werden in die Organisation verschoben. Jedem Team kann eine andere Vorlage zugewiesen werden, sodass Benutzer in verschiedenen Gruppen automatisch das richtige Kartenlayout, Branding und die richtigen gesperrten Felder erhalten. Siehe Vorlagen.

Offboarding

Wenn die Zuweisung eines Benutzers zur Anwendung aufgehoben wird oder er in Entra deaktiviert oder vorläufig gelöscht wird, sendet der Bereitstellungsdienst active = false. Wave Connect deaktiviert den Benutzer:
  • Er kann sich nicht mehr anmelden und seine Sitzungen werden widerrufen.
  • Er erscheint mit dem Badge SUSPENDED unter Benutzer.
  • Seine NFC-Karte, sein Profil und seine Kontakte bleiben erhalten.
  • Er zählt weiterhin als Lizenz.
Entra behält einen vorläufig gelöschten Benutzer 30 Tage lang und sendet dann eine Löschanfrage. Wave Connect entfernt den Benutzer daraufhin dauerhaft, löscht sein Profil und seine Kontakte und trennt seine NFC-Karte, damit sie jemand anderem zugewiesen werden kann. Wenn Sie die 30-tägige Kulanzfrist nicht möchten, öffnen Sie Einstellungen → Sicherheit → Verzeichnis-Synchronisierung → Konfigurieren und aktivieren Sie Benutzer sofort löschen, anstatt ihn zu sperren. Die Deaktivierung löscht den Benutzer dann sofort dauerhaft. Um einen deaktivierten Benutzer zurückzuholen, weisen Sie ihn in Entra erneut der Anwendung zu. Der nächste Bereitstellungszyklus sendet active = true und reaktiviert das Konto.
Sie können Single Sign-On in derselben Unternehmensanwendung aktivieren. Siehe Single Sign-On (SAML).

Verzeichnisintegration (Microsoft Graph)

Die Verzeichnisintegration verbindet Wave Connect über die Microsoft Graph API mit Ihrem Mandanten und verwendet dafür das Konto eines Administrators. Sie ist einfacher einzurichten als SCIM, synchronisiert aber den gesamten Mandanten und hängt von dem Konto ab, das die Verbindung hergestellt hat.

Verbindung herstellen

Es gibt zwei Einstiegspunkte. Sie erstellen dieselbe Integration, aber mit einer anderen Standardeinstellung für Benutzersynchronisierung, den Schalter, der Verzeichnisänderungen automatisch anwendet.
  1. Gehen Sie zu Integrationen → Microsoft Entra ID und klicken Sie auf App installieren.
  2. Lassen Sie Neue Benutzer automatisch aus Microsoft Entra ID importieren aktiviert, oder deaktivieren Sie es, wenn Sie nur einen manuellen Import möchten. Klicken Sie auf Fortsetzen.
  3. Melden Sie sich mit einem Microsoft-Konto an, das die Administratorzustimmung für den Mandanten erteilen kann, und akzeptieren Sie die Zustimmungsaufforderung.
Mit aktiviertem Schalter wird jeder Benutzer im Mandanten in Wave Connect erstellt, sobald Änderungsbenachrichtigungen eintreffen, und zukünftige Änderungen werden automatisch übernommen. Dies erscheint als Benutzersynchronisierung in den Einstellungen der Integration.
Mit aktivierter Benutzersynchronisierung fügt diese Integration für jeden Benutzer im Mandanten, einschließlich Gäste, einen Wave Connect-Benutzer und eine Lizenz hinzu. Es gibt keine Möglichkeit, sie auf eine Gruppe zu beschränken.

Berechtigungen

Wave Connect fordert die delegierten Bereiche openid, offline_access, profile, User.Read.All und Directory.Read.All für das Konto des verbindenden Administrators an. Wave Connect liest das Verzeichnis nur. Es schreibt nie in Entra. Die Integration läuft mit dem Refresh-Token dieses Administrators. Wenn das Token widerrufen wird (zum Beispiel weil der Administrator das Unternehmen verlässt, sein Passwort mit Sitzungswiderruf zurückgesetzt wird oder eine Richtlinie für bedingten Zugriff die Aktualisierung blockiert), löscht Wave Connect die Integration und ein Administrator muss sie erneut verbinden.

Was synchronisiert wird

Synchronisierungsrichtung: Entra ID → Wave Connect (nur eingehend). Profilfotos werden nur während eines manuellen Imports oder einer Vorschau abgerufen und als Kopie in Wave Connect gespeichert. Benutzer, die von der Benutzersynchronisierung erstellt werden, erhalten kein Foto.

Benutzersynchronisierung und Deaktivierung

Nach dem Verbinden abonniert Wave Connect Microsoft Graph-Änderungsbenachrichtigungen für Benutzer (erstellt, aktualisiert, gelöscht). Abonnements gelten drei Tage und werden automatisch über Graph-Lebenszyklusbenachrichtigungen erneuert. Benachrichtigungen werden ignoriert, solange Benutzersynchronisierung deaktiviert ist. Wenn ein Benutzer in Entra gelöscht oder sein Konto deaktiviert wird (accountEnabled = false), deaktiviert Wave Connect ihn: Die Anmeldung wird blockiert, er erscheint mit dem Badge SUSPENDED unter Benutzer, und seine Karte, sein Profil und seine Kontakte bleiben erhalten. Er zählt weiterhin als Lizenz. Das erneute Aktivieren des Kontos in Entra reaktiviert ihn nicht in Wave Connect. Kontaktieren Sie support@wavecnct.com, um einen Benutzer zu reaktivieren, oder löschen Sie ihn unter Benutzer.

Einschränkungen

  • Der gesamte Mandant wird synchronisiert. Gäste sind eingeschlossen. Es gibt keine Einschränkung über Zuweisungen.
  • Entra-Gruppen und Abteilungen werden nicht synchronisiert. Teams müssen in Wave Connect verwaltet werden.
  • Kein Foto für Benutzer, die von der Benutzersynchronisierung erstellt werden.
  • Die Verbindung hängt von einem einzelnen Administratorkonto ab und wird entfernt, wenn das Token dieses Kontos widerrufen wird.
  • Benutzer werden von der Integration nie gelöscht, nur deaktiviert.

Verbindung trennen

Gehen Sie zu Integrationen → Microsoft Entra ID → Einstellungen und klicken Sie auf Trennen. Dies löscht die gespeicherte Verbindung in Wave Connect. Bei Microsoft wird nichts widerrufen, und das Graph-Abonnement läuft innerhalb von drei Tagen einfach ab. Vorhandene Wave Connect-Benutzer bleiben erhalten und werden nicht mehr aktualisiert. Um den Zugriff von Wave Connect auf Microsoft-Seite zu entfernen, widerrufen Sie die Zustimmung der Unternehmensanwendung im Entra Admin Center.

Beide zusammen verwenden

SCIM und die Graph-Integration können gleichzeitig aktiv sein. In diesem Fall erhalten über SCIM bereitgestellte Benutzer ihr Profilfoto aus der Graph-Verbindung, abgeglichen per E-Mail. Lassen Sie Benutzersynchronisierung in der Graph-Integration deaktiviert, wenn Sie SCIM verwenden. Ist sie aktiviert, erstellt die Graph-Integration jeden Benutzer im Mandanten, was die Zuweisungseinschränkung umgeht, die Sie in der Unternehmensanwendung eingerichtet haben.

Fehlerbehebung

Prüfen Sie, ob die Mandanten-URL genau https://app.wavecnct.com/api/scim ohne abschließenden Schrägstrich lautet und ob das Geheime Token das vollständige Token aus dem Modal SCIM konfigurieren ist. Ein Token kann nur bei der Erstellung kopiert werden. Erstellen Sie also ein neues, wenn Sie es verloren haben. Tokens werden gelöscht, wenn die Organisation den Tarif Enterprise verlässt.
Entra stellt in Zyklen von etwa 40 Minuten bereit. Verwenden Sie Bedarfsgesteuerte Bereitstellung für den Benutzer, um ihn sofort zu übertragen, und prüfen Sie das Ergebnis in den Bereitstellungsprotokollen. Eine fehlgeschlagene Anfrage bedeutet meist, dass ein erforderliches Attribut fehlt: name.givenName, name.familyName oder eine primäre E-Mail bei einer Aktualisierung.
Bei SCIM muss der Benutzer der Anwendung zugewiesen sein. Wurde seine Zuweisung aufgehoben, weisen Sie ihn erneut zu, und Entra sendet active = true. Bei der Graph-Integration reaktiviert das erneute Aktivieren den Benutzer nie. Kontaktieren Sie support@wavecnct.com, um ihn zu reaktivieren.
Wenn SCIM einen Benutzer erstellt, dessen E-Mail bereits zu einem persönlichen (nicht zu einer Organisation gehörenden) Wave Connect-Konto gehört, und die E-Mail-Domain eine Ihrer verifizierten Domains ist, wird dieses Konto in Ihre Organisation verschoben und aktualisiert, statt ein neues zu erstellen. Seine vorhandene Karte und Kontakte bleiben erhalten. Verifizieren Sie die Domain vor der Bereitstellung, damit diese Konten migriert statt dupliziert werden.
Bei SCIM ist die Anmelde-E-Mail die primäre E-Mail, die die empfohlene Zuordnung aus mail übernimmt. Bei der Graph-Integration ist es userPrincipalName (oder mail für Gäste). Wenn ein Benutzer unterschiedliche Werte für mail und UPN hat, ordnen Sie in Entra stattdessen userPrincipalName der primären E-Mail zu, damit beide Ansätze übereinstimmen.