Provisionierung
Benutzer und Profile entstehen in primedocs in der Regel automatisch aus dem Verzeichnis und aus Fremdsystemen. Organisationseinheiten dagegen werden meist von Hand in primedocs erfasst. Dieser Abschnitt beschreibt, welcher Mechanismus welche Daten liefert und wie sie zusammenspielen.
Die beiden Themen werden häufig vermischt, beantworten aber unterschiedliche Fragen:
- Authentifizierung beantwortet «Wer ist diese Person?». Das übernimmt das Verzeichnis (Entra ID oder Active Directory) über den primedocs Identity Server. primedocs verwaltet keine eigenen Kennwörter.
- Provisionierung beantwortet «Welche Daten hat diese Person in primedocs?» (Benutzerfelder, Profil, Organisationseinheit, Berechtigungen).
Das Bindeglied ist die PrimarySid: Die Anmeldung liefert sie mit, primedocs findet darüber den passenden Benutzerdatensatz. Wie die Anmeldung funktioniert und welche Authentifizierungsarten es gibt, beschreibt Authentifizierung.
Überblick
Ein Benutzer entsteht durch die Anmeldung, seine Felder füllt die Benutzersynchronisation. Die Organisationsstruktur wird in den meisten Installationen direkt in primedocs gepflegt. Die Organisationssynchronisation ist ein optionaler Zusatz für den Fall, dass ein Fremdsystem die Struktur führt. Das Profil verbindet Benutzer- und Organisationsdaten und liefert sie an die Dokumentgenerierung.
Welcher Mechanismus wofür
| Ziel | Mechanismus |
|---|---|
| Benutzer sollen ohne Vorbereitung arbeiten können | Automatische Anlage bei der ersten Anmeldung (Standardverhalten, keine Konfiguration nötig). Siehe On- und Offboarding |
| Benutzerfelder (Anzeigename, Funktion, Telefon, …) aus dem Verzeichnis füllen | Benutzersynchronisation mit einer oder mehreren SyncSources |
| Benutzerdaten aus einem System ausserhalb des Verzeichnisses übernehmen | Benutzersynchronisation mit SQL, CSV, Http oder Static |
| Steuern, welche Benutzer in primedocs überhaupt sichtbar sind, etwa weil keine Entra-ID-Application-Permission erteilt werden darf | SCIM-Provisionierung |
| Technische Konten ohne zugehörige Person anlegen | Manuelle Anlage über die Admin API. Ein ohne Verzeichniskonto angelegtes Konto bleibt von der Benutzersynchronisation ausgenommen |
| Organisationsstruktur aufbauen und pflegen | Direkt in primedocs (der Normalfall). Siehe Organisationseinheiten |
| Eine Organisationsstruktur übernehmen, die ein Fremdsystem führt | Optional: Organisationssynchronisation über eine XML-Datei und den JobHost |
| Berechtigungen vergeben | Gruppen und Rollen |
| Ausgetretene Benutzer entfernen | Offboarding über die Benutzersynchronisation |
Ablauf bei der ersten Anmeldung
Meldet sich eine Person erstmals an, durchläuft primedocs ohne Zutun eines Administrators folgende Schritte:
- Die Anmeldung weist die Person aus und liefert deren PrimarySid.
- primedocs liest Anzeigename und Gruppenmitgliedschaften aus dem Verzeichnis nach, denn sie stehen nicht im Anmeldetoken.
- primedocs sucht den Benutzer über die PrimarySid. Findet es keinen, wird er angelegt.
- Ist die Benutzersynchronisation eingerichtet, füllt sie die Benutzerfelder unmittelbar beim Anlegen.
- Dynamische Gruppen werden ausgewertet.
- Das Standardprofil wird erstellt und, sofern eindeutig bestimmbar, einer Organisationseinheit zugewiesen.
Den vollständigen Ablauf samt Voraussetzungen und Sonderfällen beschreibt On- und Offboarding.
Schritt 6 gelingt nur, wenn sich aus den Berechtigungen eine Organisationseinheit eindeutig ergibt. Sind mehrere Einheiten desselben Astes berechtigt, gewinnt die unterste. Verteilen sich die berechtigten Einheiten auf verschiedene Äste oder ist keine berechtigt, entsteht das Profil ohne Organisationszuweisung und muss nachträglich zugeordnet werden.
Reihenfolge bei der Inbetriebnahme
Bei einer Neueinführung hat sich diese Reihenfolge bewährt:
- Authentifizierung einrichten: Entra ID oder Active Directory anbinden, damit sich Benutzer überhaupt anmelden können. Siehe Authentifizierung.
- Organisationseinheiten anlegen: in der Regel direkt in primedocs, inklusive Berechtigungen. Ohne berechtigte Organisationseinheit erhält ein neuer Benutzer kein vollständiges Standardprofil. Führt ein Fremdsystem die Struktur, kommt stattdessen die Organisationssynchronisation in Frage.
- Benutzersynchronisation konfigurieren: Felddefinitionen anlegen und die SyncSources darauf mappen.
- Benutzer anmelden lassen: Die Benutzer entstehen dabei automatisch.
In diesem Abschnitt
- Benutzersynchronisation: Benutzerfelder aus LDAP/AD, Microsoft Graph, SQL, CSV, HTTP, SCIM oder statisch befüllen.
- Organisationssynchronisation: optionaler Abgleich mit einem Fremdsystem, das die Organisationsstruktur führt.
- On- und Offboarding: Ablauf beim Eintritt und Austritt von Benutzern.
- SCIM: Benutzer und Gruppen über den SCIM-Standard bereitstellen.