Microsoft Entra-Gruppen
Gruppenmitglieder per SCIM-Provisioning automatisch von Microsoft Entra ID pflegen lassen
Zuletzt aktualisiert am
Mit Provisioning sendet Microsoft Entra ID Ihre Benutzer und Gruppen an Tillor. Verknüpfen Sie eine Entra-Gruppe mit einer Tillor-Gruppe, folgen die Mitglieder dieser Gruppe Entra: Wen Sie in Entra hinzufügen, erhält die Aufgaben und Ansichten der Gruppe, und wen Sie entfernen oder deaktivieren, verliert sie. Dafür muss sich niemand neu anmelden.
Entra verwendet dafür das SCIM-Protokoll. Tillor liest selbst nichts aus Ihrem Microsoft-Tenant: Entra bestimmt, welche Benutzer und Gruppen es sendet. Nur während Schnell einrichten spricht Ihr Browser mit Microsoft, um die App für Sie anzulegen.
Was passiert und was nicht
- Nur bestehende Mitglieder. Entra legt keine Tillor-Konten an. Wer noch nicht Mitglied Ihrer Organisation ist, zählt nicht mit, bis Sie die Person einladen. Sobald sie Mitglied wird, landet sie sofort in ihren verknüpften Gruppen
- Keine Daten von Nicht-Mitgliedern. Von Personen ohne Tillor-Konto speichert Tillor weder Namen noch E-Mail-Adresse, nur einen unlesbaren Code, an dem Tillor sie erkennt, wenn sie später Mitglied werden
- Nichts ohne Verknüpfung. Eine Entra-Gruppe ändert in Tillor erst etwas, wenn Sie sie unter Entra-Gruppen nicht verknüpft mit einer Tillor-Gruppe verknüpfen
- Eins zu eins. Eine Tillor-Gruppe gehört zu höchstens einer Entra-Gruppe
- Der Name bleibt bei Tillor. Benennen Sie die Gruppe in Entra um, sehen Sie den neuen Namen hinter Entra ·, aber die Tillor-Gruppe behält ihren eigenen Namen
- Verschachtelte Gruppen werden nicht aufgelöst. Eine Gruppe, die Mitglied einer anderen Gruppe ist, zählt nicht als Mitglied. Möchten Sie diese Personen ebenfalls, weisen Sie die verschachtelte Gruppe in Entra separat zu und verknüpfen Sie sie mit derselben oder einer anderen Tillor-Gruppe
- Die Anmeldung ändert sich nicht. Personen melden sich weiterhin mit Microsoft an, siehe Anmelden
Bevor Sie beginnen
Sie brauchen:
- In Tillor die Berechtigung Einstellungen bearbeiten
- In Microsoft Entra die Rolle Cloud Application Administrator oder Application Administrator (oder höher)
- Eine Entra-Lizenz, die automatisches Provisioning für eigene Apps erlaubt (Microsoft Entra ID P1 oder höher)
Achten Sie darauf, dass Ihre Kolleginnen und Kollegen in Tillor dasselbe Microsoft-Konto oder dieselbe E-Mail-Adresse haben wie in Entra. So erkennt Tillor, wer wer ist, siehe Wie Tillor Personen erkennt.
Schnell einrichten
Sind Sie selbst Entra-Administrator, richtet Tillor die Verknüpfung in einem Schritt für Sie ein.
- Gehen Sie zu Support > Einstellungen und wählen Sie Gruppen
- Klicken Sie bei Microsoft Entra auf Mit Microsoft einrichten und danach auf Anmelden und einrichten
- Melden Sie sich im Microsoft-Fenster mit Ihrem Administratorkonto an und erteilen Sie die Zustimmung. Microsoft bittet um die Erlaubnis, Apps und Provisioning zu verwalten und Ihre Gruppen zu lesen
Tillor legt dann die App in Entra an, trägt die Tenant-URL und das Token ein, lässt Benutzer an ihrem Microsoft-Konto erkennen und lässt Entra den Typ jeder Gruppe mitsenden. Danach startet die Synchronisierung, und Tillor sendet Sie und alle Ihre Gruppen sofort weiter, sodass Sie nicht auf die erste Synchronisierung warten müssen. Zum Schluss liest Tillor pro Gruppe den Typ aus und ob ein Team dazugehört. Sie sehen, wie jeder Schritt abgehakt wird. Tillor erledigt das im Hintergrund: Sie können das Fenster oder sogar die Seite schließen. Klicken Sie später erneut auf Mit Microsoft einrichten, sehen Sie, wie weit es ist, oder bis zu einer Stunde nach Abschluss, ob es geklappt hat oder fehlgeschlagen ist. Danach können Sie mit Erneut einrichten noch einmal beginnen.
Entra sendet dabei alle Ihre Benutzer und Gruppen. Sie müssen vorab nichts wählen: Die Gruppen erscheinen unter Entra-Gruppen nicht verknüpft und ändern nichts, bis Sie sie verknüpfen. Machen Sie dafür bei Gruppen in Tillor verknüpfen weiter. Die Mitglieder der Gruppen folgen mit der ersten Synchronisierung. Sie dauert einige Minuten, bei großen Organisationen einige Stunden.
Tillor verwendet den Zugriff nur für diese Einrichtung. Er geht verschlüsselt an die Hintergrundaufgabe und wird danach nirgends gespeichert; Microsoft lässt ihn nach etwa einer Stunde von selbst ablaufen. Durchlaufen Sie Mit Microsoft einrichten erneut, findet Tillor dieselbe App wieder und legt keine zweite an.
Schnell einrichten erzeugt ein neues Token. Ein Token, das Sie zuvor von Hand in Entra eingefügt haben, funktioniert danach nicht mehr. Bricht die Einrichtung auf halbem Weg ab, klicken Sie auf Erneut versuchen.
Klappt die Anmeldung nicht, zum Beispiel weil Ihre Organisation die Zustimmung für Apps blockiert, oder möchten Sie, dass Entra nur bestimmte Gruppen sendet, richten Sie die Verknüpfung wie unten beschrieben von Hand ein.
Manuell einrichten
Token in Tillor erzeugen
- Gehen Sie zu Support > Einstellungen und wählen Sie Gruppen
- Oben steht Microsoft Entra. Ist die Verknüpfung schon eingerichtet, klicken Sie auf Verbindung
- Kopieren Sie die Mandanten-URL. Sie sieht so aus:
https://…/api/orgs/<organisatie>/scim/v2 - Klicken Sie auf Token erzeugen und kopieren Sie das Token, das erscheint
Das Token wird nur ein einziges Mal angezeigt. Fügen Sie es sofort in Entra ein. Haben Sie es verloren, klicken Sie auf Token ersetzen und verwenden Sie das neue Token.
Eine App in Entra anlegen
- Öffnen Sie das Microsoft Entra Admin Center
- Gehen Sie zu Identity > Applications > Enterprise applications und klicken Sie auf New application
- Klicken Sie auf Create your own application
- Geben Sie der App einen Namen, zum Beispiel Tillor, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) und klicken Sie auf Create
Haben Sie bereits eine Enterprise Application für Tillor, können Sie auch diese verwenden.
Provisioning verknüpfen
- Öffnen Sie in der App Provisioning und klicken Sie auf Get started (oder New configuration)
- Setzen Sie Provisioning Mode auf Automatic
- Tragen Sie unter Admin Credentials ein:
- Tenant URL: die Mandanten-URL aus Tillor
- Secret Token: das Token aus Tillor
- Klicken Sie auf Test Connection. Entra muss melden, dass die Verbindung geklappt hat
- Klicken Sie auf Save
Attribute prüfen
Öffnen Sie unter Mappings die Zeile Provision Microsoft Entra ID Users:
- Setzen Sie externalId auf objectId (standardmäßig steht dort mailNickname). Dann erkennt Tillor jemanden an seinem Microsoft-Konto, auch wenn die E-Mail-Adresse abweicht
- Lassen Sie userName (← userPrincipalName), active und emails[type eq "work"].value (← mail) stehen
Lassen Sie Provision Microsoft Entra ID Groups eingeschaltet. Die Standardeinstellungen (displayName, externalId ← objectId, members) sind richtig.
Möchten Sie in Tillor sehen, um was für eine Gruppe es sich handelt, fügen Sie bei den Gruppen diese Attribute hinzu. Wählen Sie unter Show advanced options zuerst Edit attribute list for customappsso und fügen Sie die Zielattribute hinzu, danach pro Zeile Add New Mapping:
| Quelle in Entra | Zielattribut | Typ |
|---|---|---|
Ausdruck Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Fehlt eine Quelle in der Liste von Entra, überspringen Sie diese Zeile. Ob zu einer Gruppe ein Team gehört, kann Entra so nicht weitergeben; das sieht Tillor nur über Mit Microsoft einrichten.
Andere Attribute dürfen Sie stehen lassen. Tillor speichert sie nicht.
Gruppen zuweisen
- Öffnen Sie in der App Users and groups und klicken Sie auf Add user/group
- Wählen Sie die Gruppen, die Tillor erhalten soll, zum Beispiel Rezeption, und klicken Sie auf Assign
- Prüfen Sie unter Provisioning > Settings, dass Scope auf Sync only assigned users and groups steht
Entra sendet eine Gruppe zusammen mit ihren Mitgliedern. Sie müssen die Mitglieder nicht separat zuweisen.
Provisioning starten
Setzen Sie unter Provisioning den Provisioning Status auf On und klicken Sie auf Save.
Die erste Runde kann je nach Anzahl der Benutzer etwas dauern. Danach sendet Entra etwa alle 40 Minuten die Änderungen. Möchten Sie eine einzelne Person sofort aktualisieren, verwenden Sie Provision on demand in Entra.
Gruppen in Tillor verknüpfen
Aktualisieren Sie Einstellungen > Gruppen. Oben steht die Zeile Microsoft Entra mit der letzten Synchronisierung und der Anzahl verknüpfter Gruppen. Unter Ihren Tillor-Gruppen steht Entra-Gruppen nicht verknüpft mit den gesendeten Gruppen, die noch nichts bewirken. Klicken Sie auf Anzeigen, wenn die Liste zugeklappt ist, und verwenden Sie das Suchfeld, um eine Gruppe zu finden. Wählen Sie pro Gruppe bei Verknüpfen mit…, was geschehen soll, und klicken Sie danach auf Speichern. Mit Zurücksetzen verwerfen Sie Ihre Auswahl. Eine Tillor-Gruppe kann nur an einer Entra-Gruppe hängen; Gruppen, die bereits verknüpft sind, können Sie nicht noch einmal wählen.
| Auswahl | Was passiert |
|---|---|
| Neu anlegen | Tillor legt eine Gruppe mit dem Namen aus Entra an und füllt sie mit den erkannten Mitgliedern |
| Eine bestehende Gruppe | Die Mitglieder dieser Gruppe werden durch die erkannten Mitglieder aus Entra ersetzt. Hat Entra die Mitglieder dieser Gruppe noch nicht gesendet, bleiben die aktuellen Mitglieder stehen, bis die Synchronisierung sie liefert |
Ab jetzt aktualisiert Entra die Mitglieder bei jeder Synchronisierung. Die verknüpfte Gruppe verschwindet aus der Liste, und in Ihren Tillor-Gruppen steht unter der Gruppe Entra · [Name] mit dem Gruppentyp.
Verknüpft wird nur über Entra-Gruppen nicht verknüpft. Eine Tillor-Gruppe, die Sie von Hand verwalten, zum Beispiel IT, verknüpfen Sie nicht von der Gruppe selbst aus.
Hinter jedem Gruppennamen steht, um was für eine Gruppe es sich in Entra handelt. Mit den Schaltflächen über der Liste zeigen Sie nur eine Art an.
| Label | Was es ist |
|---|---|
| Sicherheit | Eine gewöhnliche Sicherheitsgruppe, oft die Gruppe, die Sie verknüpfen möchten |
| E-Mail-aktivierte Sicherheit | Eine Sicherheitsgruppe mit eigener E-Mail-Adresse |
| Verteilerliste | Nur eine E-Mail-Liste |
| Microsoft 365 | Eine Gruppe mit gemeinsamem Postfach und einer SharePoint-Website, manchmal mit einem Team |
| Windows Server AD | Stammt aus Ihrem lokalen Active Directory (hybrid) und wird dort verwaltet |
| Dynamisch | Entra bestimmt die Mitglieder selbst mit einer Regel |
| Teams | Es gehört ein Team dazu |
| Typ unbekannt | Tillor kennt den Typ noch nicht. Durchlaufen Sie Mit Microsoft einrichten erneut |
SharePoint-Websitegruppen, wie Besitzer, Mitglieder und Besucher einer Website, sind keine Entra-Gruppen. Sie gelangen nie nach Tillor. Was Sie dagegen sehen, ist die Microsoft-365-Gruppe hinter der Website.
Wie Tillor Personen erkennt
Für jeden Benutzer, den Entra sendet, sucht Tillor ein bestehendes Mitglied Ihrer Organisation:
- Zuerst über das Microsoft-Konto, mit dem sich die Person in Tillor anmeldet (die Entra-Objekt-ID, wenn Sie externalId auf objectId setzen)
- Sonst über die E-Mail-Adresse: die Arbeitsadresse aus Entra oder der userPrincipalName, wenn dieser eine E-Mail-Adresse ist
Findet Tillor niemanden oder ist der Benutzer in Entra deaktiviert, zählt er in der Gruppe nicht mit. Sobald die Person Mitglied der Organisation wird, zählt sie sofort mit. Schalten Sie sie in Entra wieder ein, zählt sie bei der nächsten Synchronisierung mit.
Was bei Änderungen in Entra passiert
| In Entra | In Tillor |
|---|---|
| Mitglied zu einer verknüpften Gruppe hinzugefügt | Kommt in die Tillor-Gruppe (wenn es Mitglied der Organisation ist) |
| Mitglied aus der Gruppe entfernt | Verlässt die Tillor-Gruppe |
| Benutzer deaktiviert (Account enabled aus) | Verlässt alle verknüpften Tillor-Gruppen. Sein Tillor-Konto bleibt bestehen |
| Benutzer oder Gruppe nicht mehr der App zugewiesen | Entra sendet eine Deaktivierung oder Entfernung, mit demselben Effekt |
| Gruppe gelöscht | Unter der Tillor-Gruppe steht In Entra entfernt. Die Mitglieder bleiben erhalten. Die Tillor-Gruppe bleibt mit ihren letzten Mitgliedern bestehen und wird nicht mehr aktualisiert |
Jemanden ganz aus Ihrer Organisation zu entfernen, tun Sie in Tillor, unter Organisation. Entra verwaltet nur die Gruppenmitglieder.
Was Sie im Aktivitätsprotokoll wiederfinden
Im Aktivitätsprotokoll sehen Sie:
- Jede Änderung an den Mitgliedern einer Tillor-Gruppe, die Entra durchführt, mit wer hinzukam oder ging. Sie steht auf den Namen des Systems, nicht eines Benutzers
- Jede Synchronisierungsrunde von Entra, eine Zeile pro Runde. Eine Runde, in der Entra nichts sendet, sehen Sie nicht
- Wer eine Entra-Gruppe mit einer Tillor-Gruppe verknüpft oder getrennt hat und wer das Token ersetzt hat
Verknüpfung ändern oder beenden
- Trennen: Klicken Sie bei der Tillor-Gruppe auf Trennen. Die Tillor-Gruppe bleibt, wie sie ist, und Sie verwalten sie wieder von Hand. Die Entra-Gruppe erscheint wieder unter Entra-Gruppen nicht verknüpft
- Andere Tillor-Gruppe: Trennen Sie und verknüpfen Sie die Entra-Gruppe danach unter Entra-Gruppen nicht verknüpft mit einer anderen Gruppe. Die vorherige Gruppe behält ihre Mitglieder, wird aber nicht mehr aktualisiert
- Ganz beenden: Setzen Sie in Entra den Provisioning Status auf Off oder löschen Sie die Enterprise Application
Token ersetzen
Klicken Sie in der Zeile Microsoft Entra auf Verbindung und danach auf Token ersetzen, wenn das Token offengelegt wurde oder Sie es erneut brauchen. Das alte Token funktioniert sofort nicht mehr. Fügen Sie das neue Token in Entra unter Provisioning > Admin Credentials > Secret Token ein und klicken Sie auf Save. Bis Sie das tun, schlägt die Synchronisierung in Entra fehl.
Probleme lösen
Mit Microsoft einrichten bricht bei einem Schritt ab
Beim Schritt steht die Meldung von Microsoft. Meist fehlt Ihrem Konto die Administratorrolle oder die Zustimmung. Prüfen Sie die Rollen unter Bevor Sie beginnen und klicken Sie auf Erneut versuchen. Tillor verwendet die App und das Provisioning wieder, die bereits angelegt waren.
Test Connection schlägt fehl
Prüfen Sie, dass die Mandanten-URL vollständig übernommen wurde, einschließlich /scim/v2, und dass das Token das zuletzt erzeugte ist. Nach Token ersetzen funktioniert ein altes Token nicht mehr.
Eine Gruppe steht nicht in der Liste
Warten Sie, bis die erste Synchronisierung durch ist, und aktualisieren Sie die Seite. Haben Sie die Verknüpfung von Hand eingerichtet, sendet Entra nur Gruppen, die der App zugewiesen sind: Prüfen Sie Users and groups in der App und warten Sie die nächste Runde ab, oder verwenden Sie Provision on demand.
Jemand fehlt in der Tillor-Gruppe
- Ist die Person Mitglied Ihrer Tillor-Organisation? Entra legt keine Konten an
- Stimmt die E-Mail-Adresse in Entra mit der in Tillor überein? Setzen Sie sonst externalId auf objectId, damit Tillor die Person an ihrem Microsoft-Konto erkennt. Das funktioniert nur, wenn sie sich schon einmal mit Microsoft in Tillor angemeldet hat
- Ist der Benutzer in Entra eingeschaltet?
- Ist er direktes Mitglied der Gruppe und nicht über eine verschachtelte Gruppe?
Meine manuelle Änderung verschwindet
Bei einer verknüpften Gruppe ist Entra die Quelle. Passen Sie die Mitglieder in Entra an oder trennen Sie die Gruppe.
Mehr Details zu einer fehlgeschlagenen Runde
Öffnen Sie in Entra Provisioning > Provisioning logs. Dort sehen Sie pro Benutzer und Gruppe, was Entra versucht hat und welche Antwort Tillor gegeben hat.