In diesem Artikel erfahren Sie, wie Sie die Integration von Microsoft Entra ID in Personio einrichten. Die Integration von Microsoft Entra ID erleichtert Ihrem Unternehmen die On- und Offboardingprozesse. Änderungen an Mitarbeitendeninformationen werden automatisch in Personio (z. B. Rollen- oder Abteilungsänderungen) mit der entsprechenden Nutzenden-ID in Microsoft Entra ID synchronisiert. Die Integration aktualisiert Microsoft Entra ID mit den neuesten Informationen aus Personio. Mit dieser Integration können Sie Berechtigungen oder Geräte für Mitarbeitende verwalten.
Hinweis:
Die automatische Synchronisierung funktioniert nur von Personio zu Microsoft Entra ID. Das Aktualisieren von Informationen in Microsoft Entra ID löst keine automatische Synchronisation in Personio aus.
Bevor Sie beginnen
Stellen Sie vor der Integration sicher, dass Folgendes der Fall ist:
- Sie verfügen über eine Admin-Rolle oder Bearbeitungsberechtigungen für die Marketplace-Integration in Personio.
- Sie verfügen über privilegierte Admin-Rechte für Rollen für Microsoft Entra ID. Sie benötigen keine globalen Admin-Rechte. Im Oktober 2024 wurden die für die Integration erforderlichen Berechtigungen reduziert. Details finden Sie unter Integrationsberechtigungen prüfen.
Microsoft Entra ID verbinden und authentifizieren
Richten Sie die Integration von Microsoft Entra ID im Marketplace ein. Folgen Sie diesen Schritten:
- Gehen Sie zu Marketplace in Personio.
- Suchen Sie nach der Microsoft Entra ID-Integration, und wählen Sie sie aus.
- Klicken Sie auf Verbinden, um den Konfigurationsassistenten zu öffnen.
- Geben Sie Ihre Microsoft Entra ID-Mandantennummer ein.
- Fahren Sie mit dem nächsten Schritt fort, und authentifizieren Sie Microsoft Entra ID.
Microsoft Entra ID authentifizieren
Sie müssen Microsoft Entra ID über den Microsoft-Account authentifizieren, der mit der Microsoft Entra ID verknüpft ist.
- Befolgen Sie die im Konfigurationsassistenten beschriebenen Schritte.
- Authentifizieren Sie Microsoft Entra ID.
- Fahren Sie mit dem nächsten Schritt fort, und authentifizieren Sie Personio.
Authentifizieren Sie Personio
Sie müssen der Integration Zugriff auf die notwendigen Personio Daten gewähren. Folgen Sie diesen Schritten:
- Überprüfen Sie die Berechtigungen, die für die Microsoft Entra ID-Integration erforderlich sind.
- Fahren Sie mit dem nächsten Schritt fort, und definieren Sie das UPN-Schema.
Datenübertragung
Bei der Einrichtung der Integration erteilen Sie Personio die folgenden Berechtigungen für die Datenübertragung:
- User.ReadWrite.All
- User.Read
- Group.Read.All
- offline_access
Details zu den einzelnen Berechtigungen finden Sie in der Begleitdokumentation zu Berechtigungen für Microsoft Graph.
UPN-Schema definieren
Wählen Sie das Format für den Nutzendenprinzipnamen (UPN) für die Erstellung neuer Logins. Dies ist in der Regel die geschäftliche E-Mail. Zum Beispiel "john.doe@demo.com".
- Sie haben die Möglichkeit, E-Mail-Adressen vorab zuzuweisen oder manuell über ein vorhandenes Personio-Attribut zu definieren. Alternativ können Sie das Format für automatisch generierte E-Mail-Adressen konfigurieren, indem Sie die folgenden Schritte ausführen.
- Erstellen Sie das UPN-Schema, indem Sie einen UPN-Anfang aus den verfügbaren Attributen auswählen, z. B. „Vorname“. Legen Sie dann fest, ob Sie das gesamte Feld oder nur den Anfangsbuchstaben verwenden möchten.
- Optional: Fügen Sie ein Trennzeichen hinzu (z. B. „.“)
- Fügen Sie ein UPN-Ende hinzu (z. B. „Nachname“)
- Wählen Sie eine bevorzugte Microsoft Entra ID-Domain (z. B. „demo.com“).
- Fahren Sie mit dem nächsten Schritt fort, und ordnen Sie Attribute zu.
Wenn Sie kein Trennzeichen und UPN-Ende hinzufügen möchten, geben Sie Keine für beide Optionen ein. Wählen Sie auch Gesamtes Feld oder Erster Buchstabe für das UPN-Ende aus.
Hinweis:
Wenn Sie einen Mitarbeiter mit den gleichen Werten für die ausgewählten Attribute hinzufügen, erstellt Microsoft Entra ID ein Profil mit dem UPN-Schema: UPNBeginning[Separator]UPNEnd_EmployeeID@domain (z.B. johndoe_12345@demo.com).
Attribute zuordnen
Wählen Sie aus, welche Microsoft Entra ID-Attribute mit Personio synchronisiert werden sollen. Folgen Sie diesen Schritten:
- Überprüfen Sie alle Attribute. Stellen Sie sicher, dass jedes Personio Attribut mit dem entsprechenden Microsoft Entra ID-Attribut übereinstimmt.
- Fügen Sie bei Bedarf weitere Attribute hinzu.
- Klicken Sie auf Abschließen, um die Einrichtung der Integration abzuschließen.
Sie können nicht alle Attribute in Personio individuellen Microsoft Entra ID-Attributen zuordnen. Sie können Ihre Personio-Attribute den folgenden Microsoft-Entra-ID-Systemattributen zuordnen:
- Geschäftstelefone
- Ort
- Name des Unternehmens
- Land, Abteilung
- Anzeigename
- Mitarbeitendenart
- Vorname
- Anstelldatum
- Stellenbezeichnung
- Anschrift
- Führungskraft
- Mobiltelefon
- Standort des Arbeitsplatzes
- Postleitzahl
- Straße
- Nachname
Hinweis:
Die Attributzuordnung umfasst nicht den UPN. Das System generiert ihn bei der Bereitstellung anhand des UPN-Schemas, das Sie während der Einrichtung konfigurieren.
Attribut Name des Unternehmens
Personio besitzt kein Attribut namens Name des Unternehmens. Um das Feld Name des Unternehmens in Microsoft Entra ID zuzuordnen, wählen Sie in Personio Gesellschaft aus. Bei manchen Integrationen wird dieses Feld als Gesellschaft bezeichnet.
Führungskräftebeziehung synchronisieren
Um die Führungskräftebeziehung mit Microsoft Entra ID zu synchronisieren, ordnen Sie das Attribut Führungskraft in Personio dem Attribut Manager auf Entra ID-Seite zu. Führungskraft ist die Bezeichnung, die im Integrationszuordnungsbildschirm verwendet wird. Dies entspricht dem Feld Führungskraft in Personio. So funktioniert die Synchronisierung korrekt:
- Personio verweist auf die Führungskraft anhand der E-Mail-Adresse oder internen ID. Die Führungskraft muss außerdem als aktive Person in Microsoft Entra ID vorhanden sein, damit die Verknüpfung hergestellt werden kann.
- Stellen Sie sicher, dass Sie das Feld Führungskraft für alle relevanten Mitarbeitenden in Personio vollständig ausfüllen, bevor Sie die Zuordnung vornehmen.
- Testen Sie die Zuordnung zunächst an einem einzelnen Mitarbeiter und vergewissern Sie sich, dass die Synchronisierung korrekt funktioniert, bevor Sie sie für Ihre gesamte Belegschaft einführen.
Onboarding-, Offboarding- und Rollenänderungs-Workflows
Verknüpfung der nutzenden Personen
Sobald Sie die Integration eingerichtet haben, beginnt der Workflow zur Verknüpfung der Nutzenden. Bei diesem wird das UPN-Attribut in Entra ID dem Attribut E-Mail in Personio zugeordnet. Die Integration verknüpft keine inaktiven Microsoft Entra ID-Profile.
- Wenn das UPN-Attribut in Microsoft Entra ID mit dem E-Mail-Attribut in Personio übereinstimmt, fügt die Integration die entsprechende Mitarbeitenden-ID aus Personio dem Attributfeld Mitarbeitenden-ID in Microsoft Entra ID hinzu.
- Die Mitarbeitenden-ID verknüpft alle zukünftigen Nutzendenaktualisierungen und Workflows zur Deaktivierung von Nutzenden.
- Über das System werden Profile bereitgestellt, die keine entsprechende Personio-E-Mail haben und in Microsoft Entra ID nicht inaktiv sind.
Integrationsberechtigungen überprüfen
Im Oktober 2024 wurden die für die Integration erforderlichen Berechtigungen reduziert. Wenn Sie die Integration bereits nutzen und diese reduzierten Berechtigungen anwenden möchten, authentifizieren Sie sich erneut und legen Sie die entsprechenden Rechte in Microsoft Entra ID fest. Lesen Sie dazu den Abschnitt Voraussetzungen für eine erfolgreiche Integration.
Hinweis:
Falls die Integration bei bestimmten Mitarbeitenden mit der Fehlermeldung „Unzureichende Berechtigungen zum Anschließen des Vorgangs“ fehlschlägt, erfahren Sie hier, wie Sie dieses Problem beheben.
Nutzendenbereitstellung
Wenn das Attribut E-Mail eines Mitarbeiters in Personio nicht mit einem UPN-Attribut in Ihrem Microsoft Entra ID-Konto übereinstimmt:
- Durch die Integration wird ein neues Nutzendenprofil in Microsoft Entra ID erstellt.
- Personio überträgt die „Mitarbeitenden-ID“ in das entsprechende Profil.
- Die Integration löst den Passworterstellungsprozess aus. Dabei wird auch der UPN in Microsoft Entra ID erstellt.
Sie müssen den erstellten UPN als Nutzendenanmeldung in Microsoft Entra ID verwenden. Sie können das UPN-Schema Ihren Bedürfnissen entsprechend erstellen.
Zur Erstellung eines Profils in Microsoft Entra ID muss für das Mitarbeitendenprofil in Personio Folgendes zutreffen:
- Die Felder Vorname, Nachname und E-Mail müssen ausgefüllt sein.
- Der Status ist nicht Inaktiv.
Hinweis:
Umlaute im Namen werden für den UPN in Microsoft Entra ID gemäß dem Land Ihrer Rechnungsstellung umgewandelt. Für Kunden in der DACH-Region (z. B. Deutschland) werden Umlaute in ihre alternative Schreibweise umgewandelt: ä → ae, ö → oe, ü → ue, ß → ss. Für alle anderen Länder entfernt das System Umlaute: zum Beispiel ä → a.
Erneut angestellte Mitarbeitende wieder verbinden
Wenn Sie einen ehemaligen Mitarbeiter erneut anstellen, haben Sie zwei Personio Profile für diese Person: ein inaktives und ein aktives Profil. Entra ID erstellt E-Mail-Adressen basierend auf dem Vor- und Nachnamen des Mitarbeiters, sodass versucht wird, dieselbe E-Mail zu erstellen, die bereits für das inaktive Profil existiert. Da die E-Mail-Adresse bereits existiert, kann Entra ID den Prozess zur Erstellung von Nutzenden nicht abschließen. Dies blockiert den Zugriff des Mitarbeiters und verhindert, dass sich die Person bei Systemen anmelden kann.
Um dies zu beheben, aktualisieren Sie die Mitarbeitenden-ID in Entra-ID, sodass sie mit der ID des neuen Personio Profils übereinstimmt. Diese ID finden Sie in der URL, wenn Sie auf das Mitarbeitendenprofil klicken. Auf diese Weise erkennt Entra ID die vorhandene nutzende Person und versucht nicht, ein neues Profil zu erstellen.
Nutzendenaktualisierung
Damit dieser Workflow erfolgreich ist, müssen Sie die Mitarbeitenden-ID im Microsoft Entra ID-Profil eingeben.
Alle 30 Minuten führt Microsoft Entra ID den Workflow zur Nutzendenaktualisierung aus. Es wird geprüft, ob sich während des Einrichtungsprozesses zugeordnete Attribute in Personio geändert haben. Wenn sich ein Attribut ändert, aktualisiert das System das zugeordnete Attribut in Microsoft Entra ID.
Microsoft Entra ID kann diese Informationen verwenden, um Berechtigungen für bestimmte Tools zu gewähren oder zu widerrufen. Änderungen funktionieren nur von Personio zu Microsoft Entra ID. Wenn Sie ein Attribut in Microsoft Entra ID manuell ändern, wird es in Personio nicht automatisch aktualisiert. Dies umfasst den Aktivierungsstatus des Accounts. Wenn Sie eine Person in Microsoft Entra ID manuell deaktivieren, während ihr Personio Profil auf Aktiv eingestellt ist, wird ihr Microsoft-Account bei der nächsten Synchronisierung wieder aktiviert.
Der UPN wird bei der Bereitstellung festgelegt und ist nicht Teil der Attributsynchronisierung. Er wird nicht automatisch aktualisiert, wenn sich der Name eines Mitarbeiters in Personio ändert, selbst wenn vom Namen abgeleitete Felder wie Bevorzugter Name aktualisiert werden. Das bedeutet, dass sich der UPN in Microsoft Entra ID nicht ändert, wenn sich der Name eines Mitarbeiters in Personio ändert, ihre E-Mail-Adresse aber gleich bleibt. Um einen UPN nach einer Namensänderung zu aktualisieren, können Sie einen Workflow in Microsoft Entra ID einrichten. Beispielsweise können Sie Microsoft Power Automate verwenden, um den UPN zu aktualisieren, wenn sich das zugeordnete FeldE-Mail ändert. Der Personio Support kann keine Anleitung zur Konfiguration von Workflows auf Microsoft-Seite geben.
Beispiel
Ein Unternehmen hat das Systemattribut Abteilung für Personio und Microsoft Entra ID zugeordnet. Ein Mitarbeiter wechselt Abteilungen von der Kundenbetreuung in die Vertriebsabteilung. Der HR Manager nimmt diese Veränderung in Personio vor. Microsoft Entra ID erhält automatisch eine Benachrichtigung über die Änderung. Dem Mitarbeiter werden die Berechtigungen auf sein Kundensupport-Tool (z. B. Zendesk) entzogen. Zudem wird dem Mitarbeiter Zugriff auf sein CRM-Tool (z. B. Salesforce) gewährt.
Deaktivierung von Nutzenden
Microsoft Entra ID widerruft die Zugriffsberechtigung eines Mitarbeiters, sobald sich sein Attribut Status in Personio zu Inaktiv ändert. Sie können das Attribut Status manuell ändern. Es ändert sich auch automatisch, wenn ein Mitarbeiter sein Austrittsdatum in Personio überschreitet.
Der Mitarbeiter kann sich dann bei keinem seiner Accounts mehr anmelden. Der Nutzende wird jedoch nicht gelöscht. Dies hilft Ihnen, den Zugriff auf Details und verknüpfte Dienste wie E-Mail-Postfächer beizubehalten.
Microsoft-Account aktiv halten, nachdem ein Mitarbeiter auf inaktiv gesetzt wurde
Wenn Sie den Microsoft-Account eines Mitarbeiters aktiv halten müssen, nachdem Sie deren Status in Personio auf Inaktiv gesetzt haben – beispielsweise weil die Person noch vorübergehend Systemzugriff benötigt –, können Sie die Verknüpfung zwischen den beiden Accounts aufheben:
- Prüfen Sie, ob der Status in Personio auf Inaktiv gesetzt ist.
- Gehen Sie in Microsoft Entra ID zu Benutzer > Alle Benutzer, öffnen Sie das Mitarbeitendenprofil, und wählen Sie Eigenschaften .
- Löschen Sie den Wert für die Mitarbeitenden-ID aus dem Profil. Dadurch wird die Verbindung zwischen dem Personio Profil und dem Microsoft-Account aufgehoben.
- Reaktivieren Sie den Microsoft-Account in Entra ID.
Sobald Sie die Mitarbeitenden-ID entfernen, ist der Microsoft-Account nicht mehr mit Personio verknüpft und auch von zukünftigen Statusänderungen nicht mehr betroffen.
Einschränkungen
- Hybride Microsoft Entra ID-/lokale AD-Setups: Personio unterstützt nur vollständige Cloud-Setups. Es unterstützt keine Cloud/On-Prem-Hybrid-Setups. Die Integration erlaubt daher nur die Erstellung, Aktualisierung und Deaktivierung von Nutzenden in Microsoft Entra ID. Die Entra ID-Integration verwendet einen proprietären Synchronisierungsmechanismus, nicht SCIM. Für Kunden mit einer Hybridumgebung, die eine Synchronisierung mit einem lokalen Active Directory benötigen, ist ein Middleware-Konnektor erforderlich. Eine von Kunden in diesem Setup genutzte Option ist e2mod, das Daten von Personio mit lokalen Active Directory-Umgebungen synchronisieren kann.
- Zuweisen von Nutzenden zu Gruppen: Die Integration ermöglicht nur die Erstellung von Nutzenden. Es werden keine Nutzenden zu Gruppen hinzugefügt.
- Zurückschreiben von Attributen: Das System sendet alle in der Zuordnungstabelle ausgewählten Attribute von Personio an die Microsoft Entra ID. Die Integration unterstützt keine Synchronisierung von Microsoft Entra ID nach Personio.
- Diese Integration unterstützt es nicht, den Zugriff einer Person auf ihre Microsoft Entra ID vorübergehend zu widerrufen, ohne ihr Personio Profil auf Inaktiv zu setzen.
Nächster Schritt
Hier erfahren Sie mehr darüber, wie Sie Ihre Identitäts- und Zugriffsverwaltung durch eine Integration für Personio automatisieren.