Hoe stel ik SCIM provisioning in via Microsoft Entra ID?

Om het beheer van gebruikers in ZorgDomein te automatiseren, kun je SCIM provisioning via Microsoft Entra ID instellen. In dit artikel lees je stap voor stap hoe je de applicatie aanmaakt, de provisioning configureert, attributen toewijst en de juiste ZorgDomein-rollen instelt zodat gebruikersaccounts naadloos worden gesynchroniseerd.

Dit heb je nodig

•    Toegang tot de Microsoft Entra ID portal. 
•    Een Client ID (deze ontvang je van de ZorgDomein consultant). 
•    Een Secret Token (deze ontvang je van de ZorgDomein consultant). 
•    Een overzicht van de verschillende ZorgDomein-rollen en de bijbehorende waardes (values) voor jouw organisatie (deze ontvang je van de ZorgDomein consultant).

Zo doe je het

Stap 1 - Het aanmaken van de applicatie in Entra ID

1. Navigeer naar de Entra ID portal. 
2. Klik in het linkermenu op Identity, vervolgens op Applications en daarna op Enterprise Applications. Of klik op deze URLklik op deze URL.
3. Klik op + New application en in het volgende scherm op + Create your own application. 
4. Vul ZorgDomein in als naam voor de app. 
5. Kies voor de optie Integrate any other application you don't find in the gallery (Non-gallery) en klik op Create. (Gaat het om een bestaande applicatie? Zoek deze dan op bij je Enterprise applications en ga direct door naar stap 2).

Stap 2 - Provisioning inrichten en testen

1. Navigeer in het linkermenu van de aangemaakte app onder Manage naar Provisioning. 
2. Klik in het nieuwe scherm onder Manage nogmaals op Provisioning. 
3. Zet het uitklapmenu Provisioning Mode op Automatic. 
4. Vul bij Tenant URL de volgende link in: https://zorgdomein.nl/api/account-provisioning/scim/[clientid]/v2?aadOptscim062020. Vervang [clientid] door het Client ID dat je hebt ontvangen. 
5. Vul onder Secret Token het secret in dat je hebt ontvangen.
6. Klik op Test Connection om te controleren of de verbinding werkt. 
7. Zodra de melding verschijnt dat de connectie succesvol is, klik je op Save. 

Stap 3 - Mappings configureren: Groepen uitschakelen

1. Klap het nieuwe onderdeel Mappings open. 
2. Klik op Provision Microsoft Entra ID Groups. 
3. Zet de instelling Enabled op No en klik op Save. 
4. Sluit dit scherm via het kruisje rechtsboven.

Stap 4 - Mappings configureren: Gebruikersattributen aanpassen

1. Klik onder Mappings op Provision Microsoft Entra ID Users.
2. Klik op Edit bij het object customappsso Attribute genaamd externalId. Zet hier Match objects using this attribute op Yes en Matching precedence op 1, en klik op Ok. 
3. Klik daarna op Edit bij het customappsso Attribute genaamd userName. Zet Match objects using this attribute op No en klik op Ok. 
4. Verwijder vervolgens deze twee attributen (externalId en userName) met de 'Delete' knop. 
5. Klik onderin het scherm op Show advanced options en daarna op Edit attribute list for customappsso. 
6. Voeg een nieuw attribuut toe en klik vervolgens op Save:
   • Name: roles
   • Type: String
   • Multi-Value:  √
7. Ga terug en klik in het Attribute Mapping scherm op Add New Mapping. 
8. Vul de velden als volgt in:
   • Mapping type: Expression
   • Expression: AssertiveAppRoleAssignmentsComplex([appRoleAssignments])
   • Target attribute : roles
9. Klik op Ok, daarna bovenaan op Save en bevestig de wijziging door op Yes te klikken. Sluit het venster met het kruisje.

Stap 5 - App roles (rollen) aanmaken

1. Ga in Entra ID naar App registrations en selecteer onder All applications de ZorgDomein app. 
2. Kies in het linkermenu voor App roles en creëer de rollen die van toepassing zijn op jouw organisatie. 
3. Vul per rol een duidelijke Display name en Description in (bijvoorbeeld Huisarts). 
4. Zet Allowed member types op Users/Groups. 
5. Zorg ervoor dat het veld Value exact correspondeert met de code die je van de consultant hebt gekregen (bijvoorbeeld 1 voor Huisarts of 11 voor Anesthesioloog). 
6. Vink de optie Do you want to enable this app role? aan en sla op. Herhaal dit voor elke benodigde rol.

Stap 6 - Gebruikers koppelen en provisioning starten

1. Ga in het linkermenu naar Provisioning en klik op Overview.  
2. Klik op Start provisioning om de synchronisatie te starten.  
3. Navigeer vervolgens terug naar de hoofdpagina van de ZorgDomein app onder Enterprise Applications.
4. Voeg onder Users and groups de gebruikers of groepen toe die je naar ZorgDomein wilt provisionen. Voeg je een groep toe? Dan worden alle leden van die groep automatisch meegenomen.
5. Wijs de personen of groepen direct de juiste rol toe. Let op: Als een specifieke gebruiker meer dan één rol nodig heeft, moet je de rollen direct aan deze gebruiker toewijzen; dit kan niet via een groep.

Goed om te weten

• De standaard synchronisatiecyclus van Microsoft duurt 40 minuten en kan niet worden aangepast.
• Wil je een persoon sneller synchroniseren en niet 40 minuten wachten? Gebruik dan de functie Provision on demand om een gebruiker direct te provisionen.