Wie richte ich User Sync ein?

ℹ️

Verfügbar ab dem Tarif Business. Dieser Artikel richtet sich an Administratoren.

📄

Kurzfassung: Mit User Sync werden Nutzer und ihre Rechtegruppen-Zugehörigkeit automatisch aus Microsoft Entra ID übernommen und gepflegt, statt sie manuell in pixx.io anzulegen. Die Einrichtung erfolgt unter Einstellungen → Authentifizierung → User Sync.

User Sync und SSO sind zwei unabhängige Funktionen

User Sync regelt ausschließlich die Nutzerverwaltung: Nutzer und ihre Rechtegruppen-Zugehörigkeit werden automatisch aus Entra übernommen. SSO (siehe Wie funktioniert die Einrichtung von MS Entra ID und SSO?) regelt unabhängig davon die Anmeldung selbst. Ihr könnt User Sync auch ohne SSO nutzen: Nutzer und Rechte werden dann automatisch synchronisiert, die Anmeldung erfolgt aber weiterhin über das lokale pixx.io-Passwort. Am häufigsten werden beide Funktionen gemeinsam genutzt, zwingend ist das aber nicht.

Voraussetzungen

Business-Paket oder höher

Ausschließlich Microsoft Entra ID (Azure Active Directory) wird unterstützt – andere Verzeichnisdienste sind nicht anbindbar

Eine in Entra registrierte Anwendung mit Tenant-ID, Client-ID und Client Secret

Die App benötigt die Microsoft-Graph-Berechtigungen User.Read.All und Group.Read.All

Die Schritte zum Registrieren der App in Entra (inkl. Clientschlüssel und API-Berechtigungen) sind identisch mit denen für SSO – eine bebilderte Anleitung findest du im Artikel "Wie funktioniert die Einrichtung von MS Entra ID und SSO?" in den Abschnitten "App registrieren", "Clientschlüssel erstellen" und "Berechtigungen erteilen". Nutzt ihr ausschließlich User Sync ohne SSO, braucht ihr davon nur diese drei Abschnitte – der eigentliche SSO-Teil ist für euch dann nicht relevant.

Einrichtung

Die Einrichtung gliedert sich in vier Schritte (Tabs):

Server: Name für die Verbindung, Tenant-ID, Client-ID und Client Secret der Entra-Anwendung.

Gruppen: Auswahl, welche Entra-Sicherheitsgruppen synchronisiert werden sollen. Jede ausgewählte Gruppe wird als eigene Rechtegruppe in pixx.io abgebildet.

Synchronisieren und Zugriff: Legt fest, ob auch verschachtelte Gruppenmitglieder berücksichtigt werden, wann automatisch synchronisiert wird und ob der Zugriff auf bestimmte IP-Adressbereiche beschränkt werden soll.

Löschverhalten: Legt fest, was mit einem pixx.io-Nutzer geschieht, wenn er in Entra entfernt wird oder aus den synchronisierten Gruppen herausfällt. Zur Auswahl stehen drei Optionen:

Immer behalten: Nutzer und Rechtegruppen bleiben bestehen, die Synchronisation wird eingestellt.

Nur Inaktive löschen: Nutzer, die keine Inhalte erstellt haben, und Rechtegruppen ohne Nutzer werden gelöscht.

Immer löschen: Nutzer und Rechtegruppen werden gelöscht. Von diesen Nutzern erstellte Inhalte werden dabei automatisch an einen anderen Nutzer übertragen.

💡

Praxistipp: Wir empfehlen grundsätzlich "Immer löschen". Bei "Immer behalten" sammeln sich mit der Zeit immer mehr verwaiste Nutzer an, die ihr am Ende mühsam einzeln von Hand durchgehen und löschen müsst – das ist auf Dauer nicht praktikabel.

ℹ️

Beachte: Die drei letzten Tabs lassen sich erst bearbeiten, nachdem der Server-Tab mit einer gültigen Verbindung gespeichert wurde.

ℹ️

Beachte: Ordner lassen sich über User Sync NICHT anlegen – dafür braucht ihr eine API-Anbindung, die meist über einen Partner umgesetzt wird.

Wie der Abgleich funktioniert

Die E-Mail-Adresse ist der eindeutige Schlüssel (Unique Identifier), über den pixx.io einen Entra-Nutzer einem pixx.io-Nutzer zuordnet. Der Name spielt dabei keine Rolle – ändert sich zum Beispiel durch Heirat nur der Name in Entra, läuft der Sync unverändert weiter. Ändert sich dagegen die E-Mail-Adresse in Entra, musst du sie einmalig auch im zugehörigen pixx.io-Nutzer manuell anpassen, danach funktioniert der Sync wieder korrekt.

ℹ️

Beachte: Die E-Mail-Adresse muss in Kleinschreibung hinterlegt sein – bei Großbuchstaben greift der Abgleich nicht.

Verschachtelte Gruppen

Ob verschachtelte (nested) Entra-Sicherheitsgruppen – also Gruppen, die wiederum andere Gruppen als Mitglied enthalten – berücksichtigt werden, legst du selbst fest: Im Tab "Synchronisieren und Zugriff" aktivierst du dazu "Gruppenmitglieder rekursiv synchronisieren". Ist die Option deaktiviert (Standard), werden nur direkte Gruppenmitglieder synchronisiert; aktivierst du sie, werden auch verschachtelte Gruppenmitglieder mit übernommen.

💡

Praxistipp: Alternativ zur rekursiven Synchronisation könnt ihr auch mit dynamischen Entra-Gruppen arbeiten (Mitgliedschaft über Regeln statt Verschachtelung) – auch diese werden unterstützt.

Wie oft wird synchronisiert?

Der automatische Abgleich läuft standardmäßig einmal täglich zu einer festgelegten Uhrzeit (im Tab "Synchronisieren und Zugriff" einstellbar). Reicht euch das nicht, etwa nach einer kurzfristigen Änderung in Entra, könnt ihr jederzeit manuell neu synchronisieren.

ℹ️

Beachte: Im selben Tab lässt sich der Zugriff zusätzlich auf bestimmte IP-Adressbereiche einschränken (CIDR-Notation, mehrere Bereiche möglich).

Rechtevergabe bleibt genauso granular

Die über User Sync synchronisierten Entra-Gruppen werden als ganz normale Rechtegruppen behandelt – die Rechtevergabe (Ordner, Bearbeitungsrechte, Download-Formate usw.) konfigurierst du für sie identisch wie für manuell angelegte Rechtegruppen (siehe Nutzer und Rechtegruppen anlegen und verwalten).