Identity Provider konfigurieren

Verdrahten Sie Ihren Identity Provider einmal in Palveron und Sie müssen die Mitgliederliste nie wieder anfassen — Nutzer synchronisieren automatisch, Gruppenänderungen mappen auf Berechtigungsstufen, und entfernte Nutzer werden innerhalb von Minuten deaktiviert.

Unterstützte Anbieter

Wählen Sie den, den Ihre Organisation bereits für SSO einsetzt. Setup dauert 10-15 Minuten; laufende Wartung ist null.

Allgemeiner Ablauf (jeder Anbieter)

1. Team → Identity Provider öffnen (nur sichtbar für owner und admin).
2. Klicken Sie Anbieter verbinden und wählen Sie Entra ID, Google Workspace oder Okta.
3. Credentials eingeben (anbieterspezifisch — siehe unten).
4. IdP-Gruppen auf Palveron-Berechtigungsstufen mappen.
5. Synchronisierung starten klicken.

Die Plattform importiert Nutzer aus jeder gemappten Gruppe und hält sie danach im oben aufgeführten Rhythmus synchron. Jeder Nutzer landet in der Rolle, die seiner IdP-Gruppe entspricht.

Entra ID (Azure AD)

In Microsoft Entra

1. Gehen Sie zu Azure-Portal → Entra ID → Unternehmensanwendungen → Neue Anwendung → Eigene Anwendung erstellen.
2. Wählen Sie „Andere Anwendung integrieren, die hier nicht aufgeführt ist" und nennen Sie sie Palveron.
3. Unter Provisionierung setzen Sie den Modus auf Automatisch. Mandanten-URL: https://app.palveron.com/api/v1/scim/{your-project-id}/v2. Secret-Token: generieren Sie einen in Palveron unter Team → IdP → SCIM-Token generieren und fügen ihn hier ein.
4. Unter Single Sign-on konfigurieren Sie OIDC. Redirect-URI: https://app.palveron.com/api/v1/auth/callback/entra. Notieren Sie sich die Anwendungs-(Client-)ID, die Verzeichnis-(Mandanten-)ID, und erstellen Sie ein Client Secret.
5. Unter Benutzer und Gruppen weisen Sie die Gruppen zu, die Sie synchronisieren möchten (typischerweise Palveron Admins, Palveron Editors, Palveron Viewers).

In Palveron

Klicken Sie Verbindung testen vor dem Speichern — der Test ruft GET /scim/v2/Users?count=1 auf und bestätigt, dass die Credentials funktionieren.

Google Workspace

In der Google Admin Console

1. Gehen Sie zu Sicherheit → API-Steuerelemente → Domain-weite Delegierung → Neu hinzufügen.
2. Client-ID: palveron-google-sync (wird generiert, wenn Sie in Palveron auf Verbinden klicken). Scopes: admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.user.security.
3. Erstellen Sie einen OAuth-Client unter APIs & Dienste → Anmeldedaten. Autorisierte Redirect-URI: https://app.palveron.com/api/v1/auth/callback/google.

In Palveron

Die erste Synchronisierung läuft sofort. Danach pollt Google Workspace stündlich. Erzwingen Sie eine sofortige Synchronisierung mit Jetzt synchronisieren.

Okta

In Okta

1. Admin Console → Applications → Browse App Catalog → SCIM 2.0 Test App (OAuth Bearer Token) (oder Create New App → SCIM 2.0).
2. SCIM-Connector-Base-URL: https://app.palveron.com/api/v1/scim/{your-project-id}/v2. Authentifizierungsmodus: HTTP-Header. Header-Name: Authorization. Wert: Bearer {token-from-Palveron}.
3. Aktivieren Sie Push Users, Push Profile Updates und Push Groups.
4. Konfigurieren Sie OIDC für SSO. Redirect-URI: https://app.palveron.com/api/v1/auth/callback/okta.
5. Weisen Sie die Anwendung den Gruppen zu, die Sie synchronisieren möchten.

In Palveron

Gruppen auf Palveron-Stufen mappen

Nach erfolgreicher Verbindung listet Palveron jede Gruppe auf, die es aus dem IdP lesen kann. Mappen Sie jede auf eine Berechtigungsstufe:

Nicht zugewiesene Gruppen erhalten standardmäßig viewer (niedrigste Berechtigung). Mitglieder mehrerer Gruppen erben die höchste gemappte Stufe.

📸 Screenshot: Gruppen-Mapping-Tabelle mit Dropdowns pro Gruppe.

Was Auto-Sync leistet

Nach der IdP-Verbindung:

• Neuer Nutzer in einer gemappten Gruppe → Nutzer erscheint in Palveron auf der gemappten Stufe (Status ACTIVE).
• Nutzer aus allen gemappten Gruppen entfernt → Nutzer in Palveron deaktiviert (kann nicht mehr einloggen, aufgeführte Responsibility-Chain-Referenzen lösen Reassignment-Warnungen aus).
• Nutzer zwischen Gruppen verschoben → Rolle aktualisiert; wird innerhalb von ~5 Minuten (Entra / Okta) oder bis zu 1 Stunde (Google Workspace) wirksam.
• Nutzer-Profil im IdP aktualisiert (Anzeigename, E-Mail) → Felder aktualisieren sich beim nächsten Sync in Palveron.

Synchronisierte Nutzer tragen ein IdP-Badge in der Mitgliederliste. Sie können nicht manuell entfernt oder umrollen — vollständig vom IdP verwaltet.

IdP trennen

1. Team → Identity Provider → Einstellungen (⚙️) → Verbindung trennen.
2. Bestätigen.

Audit-Trail

Jede Sync-Aktion (Nutzer hinzugefügt, Rolle geändert, deaktiviert) wird als TEAM_*-Governance-Event erfasst. Die vollständige Sync-Historie ist unter Monitoring → Governance Events verfügbar.