Mit der Bereitstellung verwaltet der Identitätsanbieter deiner Organisation, etwa Okta oder Microsoft Entra ID, wer in deinen 50heads-Teams ist. Er fügt Personen hinzu, wenn sie in deiner Firma anfangen, legt ihre Rolle nach ihren Gruppen fest und entfernt sie, wenn sie gehen. Dafür wird SCIM 2.0 genutzt, der Standard, den die meisten Identitätsanbieter dafür verwenden.

Sicherheitsrichtlinien sind Anmelderegeln für alle in den Teams deiner Organisation: Anmeldung in zwei Schritten, wie lange man angemeldet bleibt und wie oft man bestätigt, dass man es ist.

Wir schalten beides nach und nach für Organisationen frei. Wenn du Bereitstellung (SCIM) oder Sicherheitsrichtlinien nicht unter Einstellungen, dann Organisation siehst, ist es für deine Organisation noch nicht an. Schreib uns, wenn du es nutzen möchtest.

Bevor du anfängst

  • Deine Organisation braucht mindestens eine bestätigte Domain. Wir fügen nur Personen hinzu, deren E-Mail-Adresse auf einer bestätigten Domain liegt. Siehe Deine Organisation und ihre Domains.
  • Du musst Inhaber oder Admin eines Teams der Organisation sein und auf der Website angemeldet.
  • Jede Änderung braucht eine frische Bestätigung, dass du es bist. Wähl Bestätige, dass du es bist, wenn danach gefragt wird. Die Bestätigung gilt 10 Minuten.

Einen Token erstellen

Wähl unter Bereitstellung (SCIM) die Option Token erstellen und gib ihm eine Bezeichnung, etwa Okta. Du siehst zwei Angaben für deinen Identitätsanbieter:

Was Wert
SCIM-Basis-URL https://api.50heads.com/scim/v2
Token Beginnt mit scim_. Wird einmal angezeigt.

Kopiere den Token sofort. Wir speichern nur einen Fingerabdruck davon, deshalb kann ihn dir niemand noch einmal zeigen. Wenn du ihn verlierst, erstelle einen neuen.

  • Bis zu 5 Token können gleichzeitig gelten. Die Liste zeigt die ersten Zeichen jedes Tokens und wann er zuletzt genutzt wurde.
  • Ersetzen gibt dir einen neuen Token. Der alte gilt noch so lange, wie du wählst, standardmäßig 1 Tag und bis zu 7 Tage, damit du deinen Identitätsanbieter ohne Lücke umstellen kannst.
  • Widerrufen beendet einen Token sofort.

Ein Token kann nur die Personen und Gruppen deiner eigenen Organisation lesen und ändern.

Okta einrichten

  1. Geh in der Admin Console zu Applications, dann Browse App Catalog, und füge SCIM 2.0 Test App (OAuth Bearer Token) hinzu. Oder schalte SCIM-Bereitstellung in deiner eigenen App-Integration ein.
  2. Gib unter Provisioning, dann Integration, die SCIM-Basis-URL ein, wähl userName als eindeutige Kennung und HTTP Header als Authentifizierung mit dem Token.
  3. Schalte Push New Users, Push Profile Updates und Push Groups ein und wähl dann Test Connector Configuration.
  4. Schalte unter To App die Optionen Create Users, Update User Attributes und Deactivate Users ein.
  5. Weise die Personen und Gruppen zu, die 50heads nutzen sollen.

Die Standardzuordnungen der Attribute passen:

50heads Okta
userName user.email
name.givenName user.firstName
name.familyName user.lastName
emails (Arbeit) user.email
active Setzt Okta, wenn du jemanden zuweist oder die Zuweisung entfernst

Microsoft Entra ID einrichten

  1. Geh im Entra Admin Center zu Enterprise applications, dann New application, dann Create your own application (nicht aus dem Katalog).
  2. Wähl unter Provisioning die Option Automatic. Gib die SCIM-Basis-URL als Tenant URL und den Token als Secret token ein und wähl Test connection.
  3. Prüfe die Zuordnungen unten. Schalte die Gruppenbereitstellung mit displayName und members ein.
  4. Wähl unter Settings die Option Sync only assigned users and groups und weise dann Personen und Gruppen zu.
  5. Stell Provisioning Status auf On. Entra läuft etwa alle 40 Minuten. Provision on demand stellt eine Person sofort bereit.
50heads Entra ID
userName userPrincipalName, oder mail, wenn eure Anmeldenamen keine Adressen auf einer bestätigten Domain sind
name.givenName givenName
name.familyName surname
emails (Arbeit) mail
active Der Standard Switch([IsSoftDeleted], …)
externalId objectId oder mailNickname

Andere Attribute wie Jobtitel oder Telefonnummer können zugeordnet bleiben. Wir nehmen sie an und speichern sie nicht.

Rollen nach Gruppe vergeben

Übertrage die Gruppen, deren Mitglieder eine Rolle bekommen sollen. Wähl dann unter Rollen nach Gruppe eine Gruppe, ein Team und eine Rolle: Admin, Mitglied, Abrechnung oder Betrachter. Dein Identitätsanbieter macht nie jemanden zum Inhaber.

  • Wer in mehreren Gruppen ist, bekommt in jedem Team die höchste Rolle: Admin, dann Mitglied, dann Abrechnung, dann Betrachter.
  • Wer in keiner zugeordneten Gruppe ist, bekommt die Rolle für Personen ohne zugeordnete Gruppe in deinem Standardteam. Das ist Mitglied, außer du änderst es.
  • Wird jemand aus einer Gruppe genommen, verliert er die Rolle sofort. Eine umbenannte Gruppe behält ihre Rollen.
  • Die Bereitstellung ändert nur Mitgliedschaften, die sie selbst angelegt hat. Wen ein Admin von Hand hinzugefügt hat, behält die Rolle, die der Admin vergeben hat.

Wenn jemand hinzugefügt wird

  • Hat die Person schon ein 50heads-Konto mit dieser E-Mail-Adresse, verknüpfen wir es. Wir führen nie Konten zusammen. Sie behält ihre Credits, Fragen und Schlüssel und kommt in deine Teams.
  • Sonst legen wir ein Konto an. Die Person meldet sich mit einem E-Mail-Code an oder mit eurer Firmenanmeldung, wenn ihr Single Sign-on nutzt.

Wenn jemand abgeschaltet oder entfernt wird

Schaltet dein Identitätsanbieter jemanden ab oder löscht die Person, endet jeder Zugang zu deiner Organisation bei ihrer nächsten Anfrage:

  • jede Sitzung endet, im Web und in der App, und sie wird abgemeldet;
  • API-Schlüssel und verbundene Apps, die sie in deinen Teams erstellt hat, funktionieren nicht mehr;
  • Webhooks, die sie für deine Teams eingerichtet hat, stoppen;
  • sie verlässt deine Teams.

Ihre Fragen und Ergebnisse bleiben beim Team. Die Credits des Teams bleiben, wo sie sind, und laufende Fragen werden wie gewohnt fertig. Schlüssel aus ihrem eigenen persönlichen Konto gehören ihr und funktionieren weiter. Jeder Schritt steht im Aktivitätsprotokoll und im Audit-Protokoll, wenn es für deine Organisation an ist.

Schaltet dein Identitätsanbieter die Person wieder ein, kommt sie zurück in deine Teams. Beendete Schlüssel, verbundene Apps und Sitzungen bleiben beendet.

Inhaber und Notfall-Inhaber

  • Wem eines deiner Teams gehört, kann nicht abgeschaltet werden, bis ein anderes Mitglied Inhaber ist. Dein Identitätsanbieter bekommt einen Fehler, der das Team nennt. Öffne Einstellungen, dann Organisation, wähl beim Team Übergeben und den neuen Inhaber. Das kann nur der Inhaber des Teams oder der Inhaber eures Hauptteams.
  • Wenn ihr Single Sign-on nutzt, kann ein Notfall-Inhaber nicht abgeschaltet werden, solange er Notfall-Zugang hat. Ein Inhaber entfernt diesen Zugang zuerst, dann kann dein Identitätsanbieter die Person abschalten.

Wie viele Anfragen dein Identitätsanbieter senden kann

Jeder Token kann bis zu 1.200 Anfragen pro Minute senden. Deine Organisation kann mit allen Tokens zusammen bis zu 2.400 pro Minute senden, sodass ein Token-Wechsel das Limit nie halbiert. Das ist für eine erste Synchronisierung eines großen Verzeichnisses ausgelegt.

Geht dein Identitätsanbieter darüber, antworten wir mit dem HTTP-Status 429 und einem Retry-After-Header, der sagt, wie viele Sekunden zu warten ist. Diese Anfrage ändert nichts. Dein Identitätsanbieter sollte warten und sie noch einmal senden. Schlägt eine Anfrage weiter fehl, erscheint sie bei deinem Identitätsanbieter als Bereitstellungsfehler, und du kannst sie dort wiederholen. Auch das Bereitstellungsprotokoll zeigt diese Anfragen.

Das Bereitstellungsprotokoll

Das Bereitstellungsprotokoll zeigt die letzten Anfragen deines Identitätsanbieters, die neuesten zuerst: die Anfrage, ihren Status, was passiert ist und wann. Wir bewahren es 90 Tage auf, ohne Token und ohne Inhalt der Anfragen. So siehst du, warum jemand nicht hinzugefügt wurde.

Sicherheitsrichtlinien

Alle Richtlinien sind aus, bis ein Admin sie einschaltet. Sie gelten für alle in den Teams deiner Organisation, egal wo sie sich anmelden. Wer in zwei Organisationen ist, bekommt die strengere Regel.

Richtlinie Was sie tut
Anmeldung in zwei Schritten oder Passkey verlangen Ohne eins davon kann man sich anmelden, aber nichts tun, wofür man bestätigen muss, dass man es ist, etwa einen Schlüssel erstellen, bis man eins einrichtet.
Maximale Sitzungsdauer Von 15 Minuten bis 90 Tage. Danach meldet man sich neu an, egal wie aktiv man ist.
Abmeldung bei Inaktivität Von 5 Minuten bis 30 Tage. Wer 50heads so lange nicht nutzt, wird abgemeldet.
Gültigkeit der Bestätigung Von 1 bis 10 Minuten. Wie lange eine Bestätigung vor einer sensiblen Änderung gilt. 10 Minuten ist der Standard.

Die Richtlinien gelten auch für bestehende Sitzungen. Wenn du die maximale Sitzungsdauer oder die Abmeldung bei Inaktivität verkürzt, zeigen wir, wen es betrifft, und fragen vor dem Speichern nach. Sitzungen, die älter als die neue Grenze sind, enden bei ihrer nächsten Anfrage. Verbundene Apps verbinden sich neu, sobald sie älter als die maximale Sitzungsdauer sind.

Was die Mitglieder deiner Teams sehen

  • Ist die Anmeldung in zwei Schritten Pflicht, sehen alle ohne sie auf jeder Seite einen Hinweis, sie oder einen Passkey einzurichten. Die App fragt nach der Anmeldung ebenfalls. Das Einrichten ist nie gesperrt.
  • Endet eine Sitzung wegen einer Richtlinie oder weil ein Admin sie beendet hat, melden Website und App die Person ab und sagen es ihr, damit sie sich neu anmelden kann.
  • Alle können die Richtlinien deiner Organisation unter Einstellungen, dann Organisation sehen.

Alle in deiner Organisation sehen

Personen zeigt alle aus den Teams deiner Organisation an einem Ort. Öffne Einstellungen, dann Organisation und wähl Personen öffnen. Nur Inhaber und Admins der Teams der Organisation sehen sie.

Für jede Person zeigt Personen:

  • ihre Teams, ihre Rolle in jedem und ob dein Identitätsanbieter diese Rolle vergeben hat;
  • ob dein Identitätsanbieter sie angelegt oder abgeschaltet hat;
  • ob sie Single Sign-on nutzt;
  • wann sie sich zuletzt angemeldet hat und auf wie vielen Geräten sie gerade angemeldet ist.

Wen dein Identitätsanbieter abgeschaltet hat, bleibt in der Liste, ohne Team. Such jemanden mit einem Teil des Namens oder der E-Mail-Adresse. Die Liste zeigt 50 Personen auf einmal.

Die Sitzungen einer Person beenden

Wähl unter Personen neben jemandem Sitzungen, um zu sehen, wo die Person angemeldet ist, im Web und in der App, und wie sie sich angemeldet hat. Alle Sitzungen beenden meldet sie überall ab: Jede Sitzung endet bei ihrer nächsten Anfrage. Ihre Schlüssel funktionieren weiter. Das hilft, wenn ein Laptop oder Handy verloren geht. Die Schaltfläche steht neben allen, die irgendwo angemeldet sind, und braucht eine frische Bestätigung, dass du es bist.

Siehe auch