Okta verbinden (SSO und SCIM)

Was Sie brauchen

• Die Rolle Application Administrator oder höher in der Okta Admin Console (https://(ihre-org)-admin.okta.com).
• SSO funktioniert mit Okta Single Sign-On. Für SCIM ist Lifecycle Management nötig.
• Die Administratorin oder der Administrator der Organisation in Aiyori muss in der Ansicht für Trainer „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“ öffnen können.

1. App anlegen (OpenID Connect)

1. Admin Console → Applications → Applications → Create App Integration.
2. Wählen Sie als Sign-in method OIDC - OpenID Connect und als Application type Web Application → Next.
3. Tragen Sie die Werte aus der Tabelle unten ein und wählen Sie Save.
4. Notieren Sie auf dem Tab General die Client ID und das Client secret. Das Secret zeigen Sie mit dem Augensymbol in seiner Zeile an und kopieren es.
5. Wählen Sie unter Client Credentials Edit → aktivieren Sie Require PKCE as additional verification → Save. Client authentication bleibt auf Client secret (Standard). Aiyori sendet PKCE.
6. Soll die Anmeldung auch über eine Kachel im Okta-Dashboard möglich sein (optional), setzen Sie Login initiated by auf Either Okta or App und tragen als Initiate login URI https://app.aiyori.app/api/web/sso/start?code=(Organisationscode) ein.

App integration name

Aiyori

Grant type

Nur Authorization Code (Standard)

Sign-in redirect URIs

https://app.aiyori.app/api/web/sso/callback

Sign-out redirect URIs

Kann leer bleiben

Assignments

Limit access to selected groups (später zuweisen) oder Skip group assignment for now

2. Werte in Aiyori eintragen (SSO)

Gehen Sie in der Ansicht für Trainer von Aiyori zu „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“ → „SSO“, tragen Sie die Werte ein und drücken Sie „Speichern“.

Aussteller-URL (Issuer)

https://(ihre-org).okta.com (der Org-Autorisierungsserver: die URL Ihrer Admin Console ohne -admin). Nutzt Ihr Unternehmen eine eigene Domain, verwenden Sie diese URL.

Client-ID und Client-Secret

Die in Abschnitt 1 notierten Werte

Zulässige E-Mail-Domains

Die E-Mail-Domains Ihres Unternehmens (eine pro Zeile)

Ein eigener Autorisierungsserver mit /oauth2/default am Ende funktioniert ebenfalls (für Unternehmen mit API Access Management). Um zu entscheiden, öffnen Sie die Aussteller-URL gefolgt von /.well-known/openid-configuration im Browser und tragen genau den dort angezeigten Wert von issuer ein.

Weisen Sie auf dem Tab Assignments eine Testperson zu. Kommt sie von der Anmeldeseite von Aiyori → „Mit Firmenkonto anmelden“ → Organisationscode → Anmeldung bei Okta → zurück zu Aiyori, steht die Verbindung. Administratorinnen und Administratoren können auch mit „Mit meinem Firmenkonto testen“ in „Selbst testweise anmelden“ testen.

3. SCIM (Provisioning)

1. Gehen Sie in Aiyori zu „Identitätsanbieter des Unternehmens verbinden“ → „SCIM“, geben Sie bei „Name des Schlüssels“ Okta ein und drücken Sie „Schlüssel erstellen“ → notieren Sie den angezeigten Schlüssel (er ist nur in dieser Ansicht sichtbar).
2. Öffnen Sie in Okta die App Aiyori → Tab General → Edit unter App Settings → Provisioning auf SCIM setzen → Save. Erscheint diese Option nicht, verbinden Sie wie in Abschnitt 4 unten über eine eigene App nur für SCIM.
3. Tab Provisioning → Integration → Edit: Tragen Sie die Werte aus der Tabelle unten ein und führen Sie Test Connector Configuration aus. Sind Create Users, Update User Attributes und Push Groups abgehakt, wählen Sie Save.
4. Tab Provisioning → To App → Edit → Create Users, Update User Attributes und Deactivate Users auf Enable setzen → Save. Lassen Sie Sync Password aus und schalten Sie die Option aus, die beim Anlegen neuer Benutzerkonten ein Passwort setzt (Aiyori speichert keine Passwörter).
5. Die Attributzuordnung (Aiyori User Profile Mappings) kann auf dem Standard bleiben. Prüfen Sie, dass userName die Firmen-E-Mail-Adresse ist (Standard ist der Okta-Benutzername, meist die E-Mail-Adresse).
6. Weisen Sie auf dem Tab Assignments die Gruppen zu, die Aiyori nutzen sollen. Die zugewiesenen Personen werden Teilnehmende in Aiyori.
7. Tab Push Groups → + Push Groups → Gruppen wie Abteilungen wählen → Save. Sie werden zu Gruppen in Aiyori.

SCIM connector base URL

https://app.aiyori.app/api/scim/v2

Unique identifier field for users

userName

Supported provisioning actions

Push New Users, Push Profile Updates und Push Groups aktivieren (Import New Users and Profile Updates ist nicht nötig)

Authentication Mode

HTTP Header. Unter Authorization (Bearer) den Schlüssel aus Schritt 1 eintragen

4. SCIM über eine eigene App (wenn die Option aus Abschnitt 3 fehlt)

Manchmal hat der Tab General einer OpenID-Connect-App keine Option Provisioning. Verbinden Sie SCIM dann allein über eine App aus dem Okta-Katalog.

1. Applications → Applications → Browse App Catalog → nach SCIM 2.0 Test App suchen → SCIM 2.0 Test App (Header Auth) → Add Integration.
2. General settings: Application label auf Aiyori SCIM setzen, Do not display application icon to users aktivieren (Teilnehmende sehen keine Kachel), Browser plugin auto-submit deaktivieren, dann Next.
3. Die Sign-on options können auf dem Standard bleiben (die Anmeldung läuft über die App aus Abschnitt 1, sie werden also nicht genutzt). Application username format auf Email setzen, dann Done.
4. Tab Provisioning → Configure API Integration → Enable API integration aktivieren → als Base URL https://app.aiyori.app/api/scim/v2 eintragen und den Schlüssel aus Abschnitt 3, Schritt 1 unverändert als API Token einfügen → Test API Credentials → Save.
5. Der Rest entspricht Abschnitt 3, Schritte 4–7 (To App, Attributzuordnung, Zuweisungen, Push Groups).
6. Weisen Sie der SSO-App (Aiyori) und der SCIM-App (Aiyori SCIM) dieselben Gruppen zu.

Diese App sendet den Wert von API Token unverändert, ohne vorangestelltes Bearer. Aiyori nimmt beide Formen an.

5. Am Tag der Verbindung prüfen

• Eine zugewiesene Person kommt mit dem Firmenkonto hinein. Nicht zugewiesene Personen werden schon bei Okta abgewiesen.
• Zugewiesene Personen erscheinen als Teilnehmende in Aiyori und sind in den per Push übertragenen Gruppen.
• Entfernen Sie die Zuweisung dieser Person (oder deaktivieren Sie sie in Okta mit Deactivate), erscheint sie in Aiyori als „Durch das Unternehmen gesperrt“ und kann sich nicht anmelden. Stellen Sie sie wieder her, kommt sie wieder hinein.

So arbeitet Okta mit Aiyori

• Genutzt werden diese SCIM-Vorgänge: Benutzerkonten anlegen, Attribute aktualisieren, Benutzerkonten deaktivieren (Deactivate) und Gruppen übertragen (Push). Passwortsynchronisierung und Import von Aiyori nach Okta (Import) werden nicht genutzt.
• Wenn Sie eine Zuweisung entfernen, sendet Okta active: false (kein DELETE). In Aiyori führen beide zur Sperrung, und die Schulungsnachweise bleiben erhalten.
• Wer sich per SSO anmeldet, wird über die Firmen-E-Mail-Adresse mit den per SCIM angelegten Teilnehmenden verknüpft.
• SCIM-Schlüssel laufen nicht ab. Zum Austauschen erstellen Sie in Aiyori einen neuen Schlüssel, tragen ihn in Okta unter Integration ein und widerrufen dann den alten Schlüssel mit „Widerrufen“.