SCHNITTSTELLEN · ENTRA ID · SCIM · NEU
Austritte gehen nicht mehr vergessen.
Microsoft Entra ID meldet Varmo automatisch, wer eintritt, sich ändert oder austritt. Neue Personen kommen als „Mitarbeitende“ ohne weitere Rechte, Austritte sperrt Varmo sofort – Rechte vergeben Sie weiterhin in Varmo.
Enthalten ab Paket Pro
Voraussetzungen
- Varmo Pro oder Ultimate, Rolle Tenant Admin
- Anmeldung über die Firma (Single Sign-on) mit Microsoft Entra ID ist in Varmo eingerichtet und aktiv, die Domain Ihrer E-Mail-Adressen bestätigt (Verwaltung › Anmeldung und Sicherheit)
- In Entra ID: Rolle „Anwendungsadministrator“ (oder höher) und eine Lizenz, die die automatische Bereitstellung an eigene Anwendungen erlaubt (Microsoft Entra ID P1, z. B. in Microsoft 365 Business Premium)
1. Schlüssel in Varmo erzeugen
- Verwaltung › Bereitstellung aus Entra ID › „Schlüssel erzeugen“ (Laufzeit 180 Tage oder 1 Jahr)
- Varmo zeigt die Mandanten-URL (…/scim/v2) und das geheime Token einmal an – beides kopieren. Vor dem Ablauf erhalten Sie eine Pendenz
2. Bereitstellung in Entra ID einrichten
- entra.microsoft.com › Unternehmensanwendungen › die Anwendung, über die sich Ihre Personen bei Varmo anmelden (oder „Neue Anwendung“ › eigene Anwendung, die nicht im Katalog ist)
- Bereitstellung › „Erste Schritte“ › Bereitstellungsmodus „Automatisch“, unter Administratoranmeldeinformationen Mandanten-URL und geheimes Token eintragen, „Verbindung testen“ und speichern. Erst nach dem Speichern erscheint die Attributzuordnung (neue Ansicht: eigener Menüpunkt „Attributzuordnung“ mit den Reitern Benutzer und Gruppen; ältere Ansicht: Abschnitt „Zuordnungen“)
- Benutzer-Zuordnung prüfen: userName ← userPrincipalName, emails[type eq "work"].value ← mail, displayName, name.givenName, name.familyName; weitere Felder wie Ort dürfen bleiben, Varmo übernimmt sie nicht. Die Zeile für active (z. B. Switch([IsSoftDeleted], …)) fehlt in der neuen Ansicht teils oder ist nicht sichtbar – dann nichts ändern: Varmo sperrt eine Person auch, wenn Entra sie löscht
- Gruppen übernimmt Varmo nicht. In der älteren Ansicht unter Zuordnungen „Microsoft Entra ID-Gruppen bereitstellen“ auf „Nein“ stellen; die neue Ansicht hat dafür keinen Schalter. Weisen Sie der Anwendung darum einzelne Personen zu. Weisen Sie eine Gruppe zu, überträgt Entra deren Mitglieder, meldet für die Gruppe selbst aber einen Fehler im Bereitstellungsprotokoll
- In der Anwendung › Benutzer und Gruppen › „Benutzer/Gruppe hinzufügen“ die Personen zuweisen. Der Bereich „Nur zugewiesene Benutzer und Gruppen synchronisieren“ ist die Voreinstellung; „Alle Benutzer und Gruppen“ nicht wählen
- Bereitstellung › Übersicht › „Bereitstellung starten“ (ältere Ansicht: Bereitstellungsstatus „Ein“ und speichern). Der erste Durchlauf dauert einige Minuten, danach gleicht Entra etwa alle 40 Minuten ab; „Bei Bedarf bereitstellen“ überträgt eine Person sofort. Das Ergebnis je Person steht in den Bereitstellungsprotokollen
Was Varmo übernimmt
- Neue Person: Profil mit Name und E-Mail, nur „Mitarbeitende“ (melden, Richtlinien lesen) – zählt nicht als User Ihres Pakets. Fachrollen vergeben Sie in Varmo
- Gibt es die Person in Varmo schon (gleiche E-Mail-Adresse), wird sie verknüpft; Fachrollen, Zuständigkeiten und Daten bleiben
- Änderungen: Name und E-Mail-Adresse (nur innerhalb Ihrer bestätigten Domains)
- Deaktiviert, nicht mehr zugewiesen oder gelöscht: Varmo sperrt den Zugang sofort und beendet alle Sitzungen. Hat die Person Fachrollen oder Zuständigkeiten, erhalten die Tenant Admins die Pendenz, sie neu zu besetzen. Gelöscht wird in Varmo nie durch Entra
- Tenant Admins sperrt Entra nie: die anderen Tenant Admins erhalten die Pendenz „Austritt aus Entra ID prüfen“
- Wieder aktiviert in Entra: Varmo schaltet nur frei, wen Entra gesperrt hatte; von Hand gesperrte Personen bleiben gesperrt
- Personen melden sich ausschliesslich über Single Sign-on an; Varmo verschickt keine Einladungen
Sicherheit und Nachvollziehbarkeit
- Nur E-Mail-Adressen Ihrer bestätigten Domains; Personen anderer Organisationen bleiben unberührt
- Schlüssel je Organisation, nur als Hash gespeichert, mit Ablauf und Widerruf
- Jede Übernahme, Änderung, Sperre und Freischaltung steht im Verwaltungsprotokoll mit „Microsoft Entra ID“ als Quelle
Häufige Probleme
- „Verbindung testen“ schlägt fehl (401): Token neu kopieren bzw. in Varmo einen neuen Schlüssel erzeugen; abgelaufene oder widerrufene Schlüssel gelten nicht
- 403 „Single Sign-on nicht eingerichtet“: in Varmo die Anmeldung über die Firma aktivieren
- 400 „bestätigte Domain“: Die E-Mail-Adresse der Person gehört zu keiner bestätigten Domain – Domain in Varmo bestätigen oder Person nicht zuweisen
- 409 „kann nicht verwendet werden“: Die E-Mail-Adresse wird bereits anderweitig verwendet
- 403 „Gruppen werden nicht übernommen“: Die Gruppe aus der Anwendung entfernen und die Personen einzeln zuweisen (ältere Ansicht: Bereitstellung von Gruppen ausschalten)
- Die Person erscheint nicht: Ist sie der Anwendung zugewiesen, und liegt ihre E-Mail-Adresse (Eigenschaften › E-Mail, sonst der Benutzerprinzipalname) in einer bestätigten Domain? Den Grund nennt das Bereitstellungsprotokoll in Entra
Abschalten
- In Entra: Bereitstellungsstatus „Aus“
- In Varmo: Schlüssel widerrufen. Bereits übernommene Personen bleiben unverändert; Austritte sperren Sie danach wieder von Hand
Passend dazu
Sehen Sie es an Ihrem eigenen Beispiel.
In einer persönlichen Demo gehen wir Ihre Fragestellungen durch, unverbindlich. Oder Sie starten sofort mit dem Paket Free.