Jobs und Schnittstellen

Im Reiter Jobs / Schnittstellen der Portalverwaltung werden die nächtlichen Jobs des qualido managers und die Schnittstellen zu Fremdsystemen (Active Directory, Microsoft Entra ID, Mitarbeiter-CSV, DRK-Lerncampus, SENSO, Timecount, WaveWare, WebTV) an einer Stelle verwaltet. Der Reiter ist für Superadministratoren sichtbar. Portaladministratoren sehen ihn nur bei aktiver AD-Schnittstelle und dann ausschließlich mit der Portalzuordnung (Active Directory). Eingerichtet und geändert werden Jobs und Schnittstellen in der Regel durch den qualido Support. Diese Seite richtet sich daher vor allem an qualido-Techniker und an Superadministratoren, die nachvollziehen möchten, was eingestellt ist.

Wer darf was?

Alle Superadministratoren sehen die Jobliste, die Logs und die Einstellungen der Jobs und Schnittstellen. Geheime Werte (Passwörter, Schlüssel, Token) werden dabei nur maskiert angezeigt. Schnittstellen-Jobs (Kategorie Schnittstelle) dürfen sie über Jetzt ausführen sofort starten.
Der qualido-Systembenutzer (qualido Support) darf zusätzlich Jobs aktivieren und deaktivieren, bearbeiten (Zeitplan, Optionen) und umsortieren, alle Jobs sofort ausführen, Schnittstellen einrichten und ändern, Instanzen anlegen und löschen, neue AD-Domains anlegen, den AD-Probeabruf starten und die AD-Feldzuordnung pflegen.
Portaladministratoren sehen den Reiter nur, wenn die AD-Schnittstelle aktiv ist, und darin nur die Liste Portalzuordnung (Active Directory) – keine Jobs, keine Schnittstellen, keine AD-Einstellungen. Dort sehen und pflegen sie die Zuordnungen des in der Portalverwaltung gewählten Portals und seiner Unterportale, soweit sie diese verwalten dürfen. Superadministratoren pflegen dort die Zuordnungen aller Portale.
Ausnahme Microsoft Entra ID: Die Einstellungen der Entra-ID-Schnittstelle (AzureAD) darf weiterhin jeder Superadministrator bearbeiten und testen.

Hinweis: Alle Berechtigungen werden zusätzlich auf dem Server geprüft. Ausgeblendete oder gesperrte Schaltflächen sind also kein bloßer Sichtschutz.

Tägliche Jobs

Das Grid zeigt alle Jobs der nächtlichen Sequenz in ihrer Ausführungsreihenfolge, dahinter – falls vorhanden – die Schnittstellen ohne Job. Jobs der Kategorie Standard laufen bei jedem Kunden (z. B. Mitarbeiter bereinigen, Suchindex pflegen). Jobs der Kategorie Schnittstelle laufen nur dort, wo die zugehörige Schnittstelle eingerichtet und eingeschaltet ist. Aktive Jobs sind fett und leicht grün hinterlegt.

Spalten

Schloss-Symbol: gesperrter Job. Er läuft immer, kann nicht abgeschaltet oder verschoben werden, und sein Zeitplan ist fest.
aktiv: schaltet den Job ein oder aus. Die Änderung wird sofort gespeichert (nur qualido-Systembenutzer).
Titel, Job, Kategorie, Beschreibung: Bezeichnung, technischer Schlüssel (z. B. interface.ad_sync), Kategorie und Kurzbeschreibung.
Zeitplan und Tag: täglich, an einem Wochentag (1 = Montag bis 7 = Sonntag) oder an einem Monatstag (1 bis 31).
bei Fehler weiter: legt fest, ob die Sequenz nach einem Fehler dieses Jobs mit den folgenden Jobs fortfährt.
Optionen: nur bei einigen Schnittstellen-Jobs, z. B. Testlauf ohne Änderungen (dry_run), ausführliche Ausgabe (verbose) oder eine abweichende Konfigurationsdatei bei SENSO und Timecount.
Letzter Start, Dauer, Ergebnis: Angaben zum letzten Lauf. Die Ampel zeigt grün (erfolgreich), gelb (mit Warnungen), rot (Fehler) oder grau (noch nicht gelaufen). Die Meldung des letzten Laufs erscheint als Tooltip.

Schaltflächen in der Werkzeugleiste

Kategorie- und Freitextfilter: Vorne in der Werkzeugleiste lässt sich die Liste nach Kategorie (Alle Kategorien, Schnittstelle, Standard) und nach Text in Titel, Job oder Beschreibung filtern. Die Filter erfassen auch die Schnittstellen ohne Job (Kategorie Schnittstelle; Text auch im Schnittstellen-Schlüssel und Instanznamen). Solange ein Filter gesetzt ist, ist das Umsortieren gesperrt.
Bearbeiten: öffnet den markierten Job zur Bearbeitung in der Zeile (auch per Doppelklick). Nur für den qualido-Systembenutzer sichtbar.
Jetzt ausführen: startet den markierten Job sofort einmal, unabhängig vom Zeitplan. Ist die zugehörige Schnittstelle nicht eingerichtet, wird der Job nicht gestartet, und rechts in der Werkzeugleiste erscheint der Hinweis „nicht eingerichtet – wird nicht ausgeführt“ mit der Begründung.
Log: zeigt die letzte Ausgabe des Jobs in der nächtlichen Sequenz und, falls vorhanden, die jobeigenen Logdateien (z. B. ADSyncFetchErrors.log beim AD-Abruf).
Einstellungen: gehört der markierte Job zu einer Schnittstelle (z. B. AD, Entra ID, Mitarbeiter-CSV, DRK-Lerncampus, SENSO), öffnet die Schaltfläche das Einstellungsfenster der Schnittstelle (bei AD mit dem Reiter AD allgemein). Gibt es für die Schnittstelle noch keine Konfiguration, fragt der qualido manager, ob sie angelegt werden soll (nur mit Bearbeitungsrecht; sonst erscheinen die Job-Details). Bei Jobs ohne Schnittstelle zeigt die Schaltfläche wie bisher die Konfiguration des Jobs nur lesend an (Job-Details). Bei einer Schnittstelle ohne Job öffnet sie deren Einstellungsfenster.
Standardsortierung: kehrt nach dem Sortieren über einen Spaltenkopf zur Ausführungsreihenfolge zurück. Nur in der Ausführungsreihenfolge kann die Reihenfolge per Drag & Drop geändert werden.
Neu laden: lädt Jobs und Schnittstellen neu.

Aufklapper je Job

Jobs mit Schnittstelle haben am Zeilenanfang einen Aufklapper. Er zeigt nur zur Information die Instanzen der Schnittstelle (z. B. je AD-Domain oder je Mitarbeiter-CSV-Quelle eine Instanz, dazu die Haupteinstellungen) mit Status (an/aus bzw. eingerichtet/nicht eingerichtet). Bearbeitet, angelegt und um neue AD-Domains ergänzt wird über Einstellungen in der Werkzeugleiste.

Schnittstellen ohne Job

Schnittstellen, die nicht nachts laufen, sondern bei Bedarf gelesen werden (z. B. die Benutzerquellen), stehen als eigene Zeilen am Ende der Jobliste – nur, wenn es solche Schnittstellen gibt. Sie haben die Kategorie Schnittstelle, in der Spalte Job den Schnittstellen-Schlüssel (ggf. mit Instanz), in der Spalte Zeitplan „ohne Job“ und unter Ergebnis den Status (an/aus bzw. eingerichtet/nicht eingerichtet). Sie haben keinen Schalter aktiv, lassen sich nicht verschieben, nicht ausführen und haben kein Log. Über Einstellungen oder per Doppelklick öffnet sich das Einstellungsfenster (bearbeiten darf der qualido-Systembenutzer, sonst nur ansehen).

Eine eigene Schaltfläche zum Anlegen von Schnittstellen gibt es nicht. Fehlt einer Schnittstelle die Konfiguration, legt Einstellungen sie nach Rückfrage an (nur mit Bearbeitungsrecht); weitere AD-Domains legen Sie im Einstellungsfenster der AD-Schnittstelle mit Neue Domain anlegen an (siehe Schritt 2: Neue Domain aus der Vorlage anlegen).

Das Einstellungsfenster

Das Einstellungsfenster einer Schnittstelle zeigt die fachliche Maske (sofern es für die Schnittstelle eine gibt) und darunter den eingeklappten Bereich Experten. Reiter gibt es nur bei der AD-Schnittstelle (AD allgemein und je Domain ein Reiter). Direkt unter dem Fenstertitel steht die Werkzeugleiste der Maske, bei AD zuerst die Reiterleiste und darunter die für alle Reiter gemeinsame Werkzeugleiste. Fehlt das Bearbeitungsrecht, weist die Maske bzw. die untere Leiste des Fensters mit „Nur Ansicht“ darauf hin.

Fachliche Masken: Active Directory, Microsoft Entra ID, Benutzerquellen, DRK-Lerncampus und Mitarbeiter-CSV. Jede Maske hat eigene Schaltflächen Speichern und Neu laden (Entra ID: Speichern, Verbindung testen und Hilfe). Neu laden lädt Maske und Bereich Experten.
Experten (am Ende der Maske bzw. des Reiters, zum Öffnen auf die Titelzeile klicken): zeigt die gesamte Konfiguration genau dieser Instanz als Liste aus Schlüssel (Pfad) und Wert (JSON), z. B. Pfad users.exclude_dn_parts[0] mit Wert "OU=Extern". Texte stehen in Anführungszeichen, Zahlen und true/false/null ohne. Mit Schlüssel hinzufügen und Schlüssel löschen werden Einträge ergänzt oder entfernt, Experten-Konfiguration speichern übernimmt die Änderungen dieses Bereichs. Für Schnittstellen ohne fachliche Maske (SENSO, Timecount, WaveWare, WebTV) zeigt das Fenster nur diese Liste (Schaltfläche Speichern).
Instanz löschen unten im Fenster entfernt die geöffnete Instanz mit ihrer ganzen Konfiguration (bei AD stattdessen Domain löschen im jeweiligen Reiter).
Job-Details unten im Fenster (nur wenn das Fenster über einen Job geöffnet wurde) zeigt die Angaben des Jobs nur lesend: Zeitplan, Ziel, Schnittstellen-Schalter, Transferdateien und wirksame Werte.

Hinweis zur Maskierung: Werte, deren Schlüssel auf ein Geheimnis hindeutet (z. B. Passwort, Secret, Token, Schlüssel, JWT, Webcode), werden nie im Klartext an den Browser geschickt, sondern maskiert. Bleibt die Maske beim Speichern unverändert stehen, behält der Server den gespeicherten Wert. Wird das Feld geleert, wird der Wert entfernt. Ein neuer Wert ersetzt den alten.

Hinweis: Fachliche Maske und Bereich Experten bearbeiten dieselbe Konfiguration und werden getrennt gespeichert. Nach dem Speichern des einen wird der andere neu geladen, sofern dort nichts Ungespeichertes steht. Ungespeicherte Änderungen in Maske oder Bereich Experten führen beim Schließen und bei Neu laden zu einer Rückfrage. Bei Benutzerquellen, DRK-Lerncampus und Mitarbeiter-CSV prüft der Server auch Eingaben aus dem Bereich Experten gegen die erlaubten Felder und Werte und lehnt unpassende Werte mit einer Meldung ab. Wurde nichts geändert, wird nichts gespeichert („Keine Änderungen.“).

Active Directory einrichten (Schritt für Schritt)

Die AD-Schnittstelle meldet Mitarbeiter mit ihrem Windows-Konto an (auch per Windows-Anmeldung/SSO) und gleicht die Mitarbeiter nachts mit dem AD ab. Sie besteht aus den Jobs AD: Benutzer abrufen und AD: Benutzer abgleichen. Die Einstellungen öffnen Sie, indem Sie einen der beiden Jobs markieren und Einstellungen anklicken. Direkt unter dem Fenstertitel stehen die Reiter: AD allgemein, je Domain ein weiterer Reiter und je unvollständiger Instanz ein Reiter „unvollständig: …“. Darunter folgt die für alle Reiter gemeinsame Werkzeugleiste mit Speichern, Neu laden, Neue Domain anlegen, Domain löschen und Portalzuordnung (öffnet das Fenster Portalzuordnung (Active Directory)), rechts die Anzahl der Domains; darunter der Inhalt des gewählten Reiters. Jeder Reiter endet mit dem eingeklappten Bereich Experten für die Rohkonfiguration genau dieser Instanz (bei AD allgemein die Haupteinstellungen samt Vorlage).

Vorab beim Kunden erfragen

Server (Domänencontroller) mit Protokoll und Port, z. B. ldaps://dc01.intern.klinikum.de mit Port 636
Dienstkonto für die Abfrage (Bind-Benutzer) und dessen Passwort
Kontodomain (FQDN) und Basis-DN, unter der die Benutzer liegen
für die Windows-Anmeldung (SSO): NetBIOS-Name der Domain
welche Konten übernommen werden sollen: Suchfilter, auszuschließende OUs oder Konten, ggf. ein Attribut zur Auswahl
ggf. das AD-Attribut, über das Mitarbeiter qualido-Gruppen zugeordnet werden (z. B. department)
OUs bzw. AD-Gruppen, die als Quellen den qualido-Gruppen zugeordnet werden
bei mehreren Portalen: welche OUs bzw. AD-Gruppen zu welchem Portal gehören (Portalzuordnung)

Schritt 1: AD allgemein

Der Reiter AD allgemein enthält die Einstellungen, die für alle Domains gelten:

AD-Schnittstelle aktiv: Anmeldung über das AD und Abruf der Benutzer. Ausgeschaltet wirkt keine der Domains.
Benutzerabgleich aus dem AD: nächtlicher Abgleich der Mitarbeiter aus allen Domains. Der Job „AD: Benutzer abrufen“ läuft nur, wenn beide Schalter an sind, „AD: Benutzer abgleichen“ nur mit dem Benutzerabgleich.
Windows-Anmeldung (SSO): Anmeldung ohne Passwort über die Windows-Anmeldung. Welche Domain zu welchem NetBIOS-Namen gehört, steht je Domain unter „Verbindung“.
Notbremse (Prozent): Der Abgleich entzieht in einem Portal keine Zuordnungen, wenn mehr als dieser Anteil der aktiven AD-Zuordnungen des Portals betroffen wäre, und meldet das stattdessen (0–100; leer = 10; 100 schaltet die Notbremse ab). Gilt für jede Domain ohne eigenen Wert.
Vorlage für neue Domains: zeigt, welche Bereiche eine neu angelegte Domain vorbelegt bekommt. Die Vorlage selbst steht im Bereich Experten des Reiters AD allgemein unter template.
Unvollständige AD-Instanzen und Deaktivierte Konten (ohne Domain) erscheinen nur, wenn es Altwerte gibt, die keiner Domain zugeordnet werden konnten. Sie wirken auf keine Domain. Jede unvollständige Instanz hat einen eigenen Reiter „unvollständig: …“, der nur den (aufgeklappten) Bereich Experten enthält; dort lässt sie sich vervollständigen oder mit Instanz löschen in der Werkzeugleiste entfernen.

Empfehlung: Schalten Sie „AD-Schnittstelle aktiv“ erst ein, wenn mindestens eine Domain eingerichtet ist und der Probeabruf erfolgreich war. Sobald die Schnittstelle aktiv ist, werden alle Domains bei der Anmeldung angeboten – auch nicht eingerichtete Platzhalter.

Erscheint der Hinweis „Es gibt noch keine Haupteinstellungen für die AD-Schnittstelle“, legen Sie zuerst über Einstellungen beim markierten AD-Job (Rückfrage „Konfiguration anlegen“) eine Instanz der Schnittstelle ad ohne Namen an.

Schritt 2: Neue Domain aus der Vorlage anlegen

Klicken Sie im Einstellungsfenster der AD-Schnittstelle auf Neue Domain anlegen und geben Sie den Namen der Domain ein, z. B. intern.klinikum.de. Erlaubt sind Buchstaben, Ziffern, Punkt, Bindestrich und Unterstrich. Die neue Domain übernimmt die Werte der Vorlage; ist keine Kontodomain vorbelegt, wird der Domainname eingesetzt. Danach öffnet sich der Reiter der neuen Domain.

Hinweis: Domains mit dem Zusatz „(Platzhalter – nicht eingerichtet)“ stammen aus der Erstausstattung (z. B. „FQDN oder IP der Domain“). Sie werden bei aktiver Schnittstelle trotzdem bei der Anmeldung angeboten. Richten Sie sie ein oder entfernen Sie sie mit Domain löschen.

Schritt 3: Verbindung

Server (Host) und Port: z. B. ldaps://dc01.intern.klinikum.de und 636. Server oder Kontodomain muss angegeben sein.
StartTLS: Bei ldaps:// (Port 636) ist die Verbindung bereits verschlüsselt. StartTLS nur bei ldap:// (Port 389) einschalten.
Kontodomain (FQDN): z. B. intern.klinikum.de.
Bind-Benutzer und Bind-Passwort: Dienstkonto für die Abfrage. Ein gespeichertes Passwort wird nur maskiert angezeigt: unverändert lassen = Passwort bleibt, leeren = Passwort entfernen.
LDAP-Protokollversion (Standard 3) und Referrals folgen (0 = nein, empfohlen für Active Directory).
Anzeigename im Login: Bezeichnung der Domain in der Auswahl der Anmeldeseite (leer = Domainname).
NetBIOS-Name (SSO) und Domain für die SSO-Anmeldung: Bei der Windows-Anmeldung wählt der NetBIOS-Teil aus „KLINIKUM\benutzer“ diese Domain.

Schritt 4: Benutzerauswahl

Neben drei Feldern steht ein Hilfe-Knopf, der Format, Beispiele und Fallstricke in einem eigenen Fenster erklärt.

Basis-DN (Pflicht): Ausgangspunkt der Suchen im AD, z. B. OU=Klinikum,DC=intern,DC=klinikum,DC=de.
LDAP-Suchfilter (Hilfe-Knopf): legt fest, welche Einträge als Benutzer gelten. Format: ein vollständig geklammerter LDAP-Filter, am besten mit (& beginnend. Standard: (&(objectClass=user)). Beispiel nur für Personen: (&(objectClass=user)(objectCategory=person)). Deaktivierte Konten muss der Filter nicht ausschließen, das erledigt der Abgleich selbst.
Suchtiefe (Anmeldung): Suchtiefe für die Anmeldung. Für den Abgleich wird die Suchtiefe je Quelle in der Gruppenverwaltung festgelegt („incl. Untergruppen“).
Schema-DN: Standard = aus der Basis-DN ableiten, None = Schema nicht abfragen, sonst ein DN.
Auszuschließende DN-Teile (Hilfe-Knopf): ein Eintrag je Zeile. Benutzer, deren DN den Text an beliebiger Stelle enthält, werden nicht übernommen, z. B. OU=Extern,OU=Benutzer. Groß-/Kleinschreibung zählt, und CN=Test trifft auch CN=Testmann.
Auszuschließende Gruppen-DNs (Hilfe-Knopf): ein vollständiger Gruppen-DN je Zeile, z. B. CN=gl-extern,OU=Gruppen,DC=intern,DC=de. Wirkt nur auf Untergruppen einer Gruppen-Quelle mit „incl. Untergruppen“; der DN muss exakt stimmen.
DN-Teile „im AD gelöscht“: gleiches Format wie die auszuschließenden DN-Teile. Mitarbeiter, die in keiner Quelle mehr auftauchen und deren Konto in einer solchen OU liegt (z. B. OU=Ausgeschieden), gelten als im AD gelöscht.
Auswahl über ein AD-Attribut: optional. AD-Attribut (z. B. extensionattribute13), Modus (nur passende Benutzer übernehmen oder passende ausschließen), Vergleichswert (leer = es zählt nur, ob das Attribut gesetzt ist) und Attribut in qualido (mit übernehmen oder nicht).
Seitenweise abrufen (Paging) und Seitengröße: nur nötig, wenn das AD mehr Treffer liefern würde, als es je Anfrage erlaubt (meist 1000).

Achtung: Wird ein bereits übernommenes Konto nachträglich ausgeschlossen (Filter, DN-Teile, Gruppen-DNs, Attributauswahl), fehlt es beim nächsten Abgleich und wird wie ein ausgeschiedener Mitarbeiter behandelt. Prüfen Sie Änderungen deshalb vorher mit dem Probeabruf.

Schritt 5: Abgleich

Deaktivierte AD-Konten übernehmen: Aus (Standard): im AD deaktivierte Konten werden nicht übernommen.
Schnittstellenübergreifende ID: An: Ein Benutzer mit gefülltem Feld unique_interface_id wird dem qualido-Mitarbeiter mit derselben ID zugeordnet, z. B. aus einer anderen Schnittstelle.
Notbremse dieser Domain (Prozent): leer = Wert aus „AD allgemein“.

Schritt 6: Gruppenzuordnung

Optional. Mitarbeiter können in der Gruppenverwaltung anhand des Werts eines AD-Attributs qualido-Gruppen zugeordnet werden. AD-Attribut (z. B. department), Feldname in der Maske (Beschriftung in der Gruppenverwaltung, z. B. Abteilung) und ein optionaler Hinweis.

Schritt 7: Status-Zuordnung

Legt fest, welchen Status ein Mitarbeiter erhält, der im AD (wieder) gefunden wird, abhängig von seinem bisherigen Status (bisher deaktiviert, aktiv, neu angemeldet, inaktiv, gelöscht). Für neue Domains kommt die Belegung aus der Vorlage; ändern Sie sie nur auf ausdrücklichen Kundenwunsch.

Schritt 8: Benachrichtigungen

Ansprechpartner (E-Mail): Empfänger der Meldungen des Abgleichs, mehrere mit Komma oder Semikolon getrennt.
Text der Mail (Id) und Kontakttext (Id oder Text): Texte der Begrüßungsmail an neue Mitarbeiter.
Benachrichtigungsadresse neuer Mitarbeiter: berufliche Adresse, private Adresse oder keine.
Mobilnummern vereinheitlichen: bringt übernommene Mobilnummern in eine einheitliche Schreibweise.

Übernehmen Sie die Eingaben mit Speichern in der Werkzeugleiste des Einstellungsfensters. Gespeichert werden alle geänderten Reiter (AD allgemein und Domains) in einem Schritt, nicht aber der Bereich Experten (eigene Schaltfläche); ungültige Eingaben werden mit einer Meldung abgelehnt.

Schritt 9: Feldzuordnung

Im Reiter der Domain (vor dem Bereich Experten) legen Sie fest, welches AD-Attribut welches qualido-Feld beim nächtlichen Abgleich befüllt. Ohne Zuordnung werden für diese Domain keine Mitarbeiterdaten übernommen. Jede Zeile wird sofort gespeichert, unabhängig von der Schaltfläche Speichern der Maske.

Standardbelegung übernehmen legt die Standardzuordnung an (siehe Tabelle). Für den Regelfall genügt dieser Klick. Bereits vorhandene Zuordnungen bleiben unverändert.
Zuordnung hinzufügen legt eine Zeile an: qualido-Feld wählen, AD-Attribut aus der Vorschlagsliste wählen oder frei eingeben. Das AD-Attribut wird klein geschrieben gespeichert.
Trennzeichen (Mehrfachwerte): Liefert ein Attribut mehrere Werte, werden sie mit diesem Trennzeichen verbunden; leer = nur der erste Wert.
Umrechnung: „ja“, wenn für die Zuordnung eine Umrechnung hinterlegt ist. Sie bleibt beim Ändern erhalten und wird vom qualido Support gepflegt.
Zuordnung entfernen löscht die markierte Zeile.

qualido-Feld (technisch)	AD-Attribut	Bedeutung
surname	sn	Nachname
firstname	givenname	Vorname
username	samaccountname	Benutzername
job_email	mail	dienstliche E-Mail
valid_to	accountexpires	Ablaufdatum des Kontos (wird vom Abgleich umgerechnet)
department	department	Abteilung
job_street	streetaddress	dienstliche Straße
position	title	Position
job_zip	postalcode	dienstliche PLZ
job_city	l	dienstlicher Ort
job_telefon	telephonenumber	dienstliche Telefonnummer
job_handy	mobile	dienstliche Mobilnummer
titlename	personaltitle	Titel
company_name	company	Firma
room_number	physicaldeliveryofficename	Raum/Büro

Schritt 10: Probeabruf

Der Knopf Probeabruf oben im Reiter der Domain testet Verbindung, Anmeldung (Bind) und Benutzersuche mit den eingegebenen Werten – auch mit noch nicht gespeicherten. Er liest nur: Es wird nichts gespeichert, kein Abgleich gestartet und kein Mitarbeiter geändert. Nach höchstens 20 Sekunden bricht er ab. Gesucht wird über die OU- und Gruppen-Quellen, die der Domain in der Gruppenverwaltung zugeordnet sind, mit Suchfilter, Ausschlüssen und Attributauswahl – so wie im nächtlichen Abruf. Das Ergebnis zeigt die Anzahl der Benutzer, die übernommen würden, und eine Stichprobe von bis zu 20 Benutzern mit den zugeordneten Feldern. Hat die Domain noch keine Feldzuordnung, wird die Stichprobe mit der Standardbelegung angezeigt.

Achtung: Der Probeabruf meldet sich mit dem Dienstkonto am Kunden-AD an. Starten Sie ihn bewusst und nur in Absprache mit dem Kunden, z. B. bei der Ersteinrichtung oder nach Änderungen an Filter und Ausschlüssen.

Meldungen deuten

Meldung	Bedeutung / Abhilfe
Verbindung und Anmeldung erfolgreich. n Benutzer würden übernommen (… gefunden, … ausgeschlossen) aus n Quelle(n).	Alles in Ordnung. Stichprobe prüfen: Stimmen Namen, Benutzernamen und E-Mail-Adressen? Sind unerwünschte Konten (Dienst-, Test-, Computerkonten) dabei, Filter oder Ausschlüsse anpassen.
Es ist kein Server (Host) angegeben …	Server unter „Verbindung“ eintragen.
Die Server-Adresse ist ungültig.	Schreibweise prüfen, z. B. ldaps://dc01.intern.klinikum.de mit Port 636.
Der Server ist nicht erreichbar …	Host, Port und Firewall prüfen; bei ldaps:// auch das Zertifikat.
Zertifikat/TLS: Die verschlüsselte Verbindung kam nicht zustande …	Zertifikat des Domänencontrollers auf dem qualido-Server prüfen (vertrauenswürdig, Name passt), ldaps:// bzw. StartTLS prüfen.
Zeitüberschreitung …	Server antwortet nicht rechtzeitig bzw. Suche zu groß. Netzwerk prüfen, Suche über Quellen oder Filter eingrenzen.
Bind fehlgeschlagen: Benutzername oder Passwort ist falsch.	Bind-Benutzer und Bind-Passwort prüfen (ggf. mit Domain, z. B. svc-qualido@intern.klinikum.de).
Bind fehlgeschlagen: Passwort abgelaufen / Konto deaktiviert / Konto abgelaufen / Passwort muss geändert werden / Konto gesperrt	Dienstkonto im AD durch die IT des Kunden prüfen lassen.
Bind fehlgeschlagen: Der Server verlangt eine gesicherte Verbindung …	ldaps:// (Port 636) verwenden oder StartTLS einschalten.
Verbindung und Anmeldung sind in Ordnung, aber es ist keine Basis-DN angegeben.	Basis-DN unter „Benutzerauswahl“ eintragen.
Der LDAP-Suchfilter ist ungültig …	Filter korrigieren (Klammern, Sonderzeichen), siehe Hilfe-Knopf am Feld.
Die Basis-DN bzw. der DN der Quelle wurde im AD nicht gefunden.	Basis-DN bzw. die in der Gruppenverwaltung zugeordnete OU/Gruppe prüfen.
Das AD liefert mehr Treffer, als es je Anfrage erlaubt …	„Seitenweise abrufen (Paging)“ einschalten.
Mindestens eine Quell-Abfrage ist fehlgeschlagen …	Der nächtliche Abruf würde diese Domain überspringen. Die genannte Quelle in der Gruppenverwaltung prüfen.

Unter der Meldung können Hinweise stehen, z. B. dass noch keine OU- oder Gruppen-Quellen zugeordnet sind (dann wurde unter der Basis-DN gesucht) oder dass der Suchfilter ohne Klammern angegeben ist (der Abruf ergänzt sie).

Schritt 11: Quellen zuordnen und einschalten

In der Gruppenverwaltung den qualido-Gruppen die OU- bzw. Gruppen-Quellen der Domain zuordnen (ggf. mit „incl. Untergruppen“; Portal unter „Zuweisen zu“).
Bei mehreren Portalen über Portalzuordnung (Portalzuordnung (Active Directory)) festlegen, welche OUs bzw. AD-Gruppen ihre Benutzer welchem Portal zuordnen. Das können danach auch die Portaladministratoren selbst pflegen. Danach den Probeabruf wiederholen.
In „AD allgemein“ AD-Schnittstelle aktiv und, falls Mitarbeiter abgeglichen werden sollen, Benutzerabgleich aus dem AD einschalten und speichern. Anmeldung eines AD-Benutzers testen.
Die Jobs AD: Benutzer abrufen und AD: Benutzer abgleichen aktivieren. Den ersten Abgleich nach Absprache mit dem Kunden über Jetzt ausführen starten und Ergebnis und Log prüfen.

Portalzuordnung (Active Directory)

Hier legen Sie fest, welche AD-OUs und AD-Gruppen zu welchem Portal gehören. Benutzer aus einer zugeordneten OU bzw. Gruppe werden beim nächtlichen AD-Abgleich dem Portal zugewiesen, unabhängig davon, in welche qualido-Gruppen sie kommen. Typischer Fall: Die AD-Benutzer eines Standorts sollen dem Portal dieses Standorts zugewiesen werden. Bisher hat der qualido Support solche Zuordnungen eingetragen; jetzt pflegen sie Superadministratoren und Portaladministratoren selbst.

Wer sieht was?

Superadministratoren öffnen die Portalzuordnung im Einstellungsfenster der AD-Schnittstelle (Job AD: Benutzer abrufen oder AD: Benutzer abgleichen markieren, Einstellungen) über die Schaltfläche Portalzuordnung in der Werkzeugleiste unter den Reitern. Sie öffnet ein eigenes Fenster (vergrößerbar). Sie sehen die Zuordnungen aller Portale, unabhängig vom gewählten Portal, und können in der Werkzeugleiste nach Portal (Alle Portale oder ein Portal) und nach Text (Portal, Domain, DN) filtern. Sie dürfen für jedes Portal anlegen, ändern und löschen.
Portaladministratoren sehen im Reiter Jobs / Schnittstellen direkt nur diese Liste (ohne Schaltfläche und Fenster), und nur bei aktiver AD-Schnittstelle. Angezeigt werden die Zuordnungen des in der Portalverwaltung gewählten Portals und seiner Unterportale, soweit sie diese verwalten dürfen. Nur dort dürfen sie anlegen, ändern und löschen.

Spalten

Portal, Typ, Domain: Zielportal, OU oder Gruppe, AD-Domain.
Klarname/DN: der DN der OU bzw. Gruppe in der Schreibweise des AD.
Status: ✓ GUID heißt, die Zuordnung ist über die ObjectGUID mit dem AD-Objekt verknüpft. Wird die OU bzw. Gruppe im AD umbenannt oder verschoben, bleibt die Zuordnung gültig, und der angezeigte DN wird nachts aktualisiert. Alt-DN, wird nachts umgestellt (mit Warnzeichen) heißt, der Eintrag ist noch über den DN verknüpft, z. B. weil ihn früher der qualido Support eingetragen hat. Er wirkt weiter; der nächtliche AD-Abgleich stellt ihn auf die ObjectGUID um.
Untergeordnete: ja = Unter-OUs bzw. verschachtelte Gruppen werden einbezogen.
Startgruppe: Gruppe, in die neue Mitarbeiter dieser Quelle zuerst kommen. Ohne eigene Auswahl: Alle Mitarbeiter (Standard).

Zuordnung anlegen oder bearbeiten

Über Anlegen bzw. Bearbeiten (auch per Doppelklick auf eine Zeile) öffnet sich der Dialog. Löschen entfernt die markierte Zuordnung nach einer Rückfrage. Ist keine AD-Domain eingerichtet, kann nichts angelegt werden; wenden Sie sich dann an den qualido Support.

Portal: Zur Auswahl stehen nur Portale, die Sie verwalten dürfen.
Domain: eine der eingerichteten AD-Domains. Bei nur einer Domain ist sie vorbelegt.
Typ: OU oder Gruppe.
OU/Gruppe: Geben Sie mindestens 3 Zeichen des Namens ein. Die Suche zeigt passende OUs bzw. Gruppen unterhalb der Basis-DN der Domain mit Name und DN (höchstens 50 Treffer; gibt es mehr, verfeinern Sie den Suchbegriff). Alternativ fügen Sie den vollständigen DN per Kopieren und Einfügen ein; Leerzeichen und Zeilenumbrüche am Rand werden entfernt.
Untergeordnete einschließen: Unter-OUs bzw. verschachtelte Gruppen einbeziehen (Standard: an).
Startgruppe: optional über Auswählen … aus dem Gruppenbaum (nur Gruppen, die Sie verwalten dürfen). Standard setzt sie auf „Alle Mitarbeiter“ zurück.
Speichern prüft die OU bzw. Gruppe im AD und verknüpft sie über ihre ObjectGUID. Wird sie nicht gefunden oder passt der Typ nicht, erscheint eine Meldung, und nichts wird gespeichert. Ist dieselbe OU bzw. Gruppe dem Portal schon zugeordnet, wird ebenfalls abgelehnt. Ein Alt-DN-Eintrag wird beim Speichern sofort auf die ObjectGUID umgestellt.

Schutz vor fremden Benutzern: Portaladministratoren können keine OU bzw. Gruppe zuordnen, die bereits einem Portal zugeordnet ist, das sie nicht verwalten dürfen, und keine OU, die eine solche OU bzw. Gruppe enthält. Die Meldung lautet dann „Diese OU/Gruppe enthält Benutzer eines anderen Portals …“; die Zuordnung muss ein Superadministrator vornehmen. Superadministratoren unterliegen dieser Einschränkung nicht. Alle Prüfungen erfolgen auf dem Server.

Was nachts passiert

Vor dem Benutzerabruf jeder Domain stellt der AD-Abgleich alle Alt-DN-Einträge auf die ObjectGUID um und aktualisiert bei GUID-Einträgen den angezeigten DN, falls die OU bzw. Gruppe im AD umbenannt oder verschoben wurde. Danach wird über die GUID abgeglichen.
Portalzuordnungen werden nie automatisch gelöscht, auch dann nicht, wenn die OU bzw. Gruppe im AD fehlt.

Achtung – eine fehlende Quelle blockiert die Domain: Wird eine zugeordnete OU bzw. Gruppe im AD nicht gefunden oder lässt sich ein Alt-DN nicht auflösen (z. B. Tippfehler, OU gelöscht), gilt das wie ein fehlgeschlagener Quellabruf: Für die ganze Domain werden in diesem Lauf keine Benutzeränderungen verarbeitet. So verliert niemand wegen eines fehlerhaften Eintrags sein Portal. Das wiederholt sich jede Nacht, bis der Eintrag korrigiert oder gelöscht ist. Solange kommen auch neue Mitarbeiter, Änderungen und Austritte dieser Domain nicht in den qualido manager. Der Fehler erscheint im Monitoring und im Log des Jobs AD: Benutzer abrufen.

Zusätzlich geht je fehlerhafter Zuordnung höchstens eine E-Mail pro Tag an die Portaladministratoren des betroffenen Portals; gibt es dort keinen mit E-Mail-Adresse, an die Superadministratoren. Die Mail nennt Portal, DN und den Ort der Korrektur (Portalverwaltung → Jobs / Schnittstellen → Portalzuordnung; Superadministratoren finden sie dort im Einstellungsfenster der AD-Schnittstelle). Korrigieren Sie den Eintrag dort (OU bzw. Gruppe über die Suche neu auswählen und speichern) oder löschen Sie ihn. Ist das AD insgesamt nicht erreichbar (Verbindung, Anmeldung), meldet das wie bisher nur das Monitoring, ohne Mails je Zuordnung.

Microsoft Entra ID (AzureAD)

Die Einstellungen der Entra-ID-Schnittstelle öffnen Sie, indem Sie den Job AzureAD-Abgleich markieren und Einstellungen anklicken: Maske Microsoft Entra ID (Zugangsdaten der App-Registrierung, Verbindung testen, Feldzuordnung). Felder und Schaltflächen sind auf der Seite Systemkonfiguration beschrieben. Die Anmeldung über Microsoft (OIDC) bleibt in der Systemkonfiguration.

Benutzerquellen

Die Benutzerquellen stehen als Zeile Benutzerquellen am Ende der Jobliste (Schnittstellen ohne Job); Einstellungen bzw. Doppelklick, Maske Benutzerquellen:

Anmeldung mit qualido-Passwort: Mitarbeiter können sich mit dem im qualido manager hinterlegten Passwort anmelden, zusätzlich zu AD bzw. Entra ID.
Sync-Mail an Administratoren / an Mitarbeiter: Info-Mails über Änderungen aus dem Abgleich der Benutzerquellen.
Prioritäten der Benutzerquellen: Liste der Quellen (qualido, AD, AzureAD, API und je Mitarbeiter-CSV-Quelle ein Eintrag), oben die höchste Priorität. Bekommt ein Mitarbeiter Daten aus mehreren Quellen, gilt die Quelle mit der höchsten Priorität. Quelle wählen und Hinzufügen, Reihenfolge mit Nach oben/Nach unten, Entfernen.

DRK-Lerncampus

Jobs DRK-Lerncampus: Kurse und DRK-Lerncampus: Teilnahmen, Maske DRK-Lerncampus:

DRK-Lerncampus aktiv: Anmeldung im DRK-Lerncampus aus dem qualido manager und Abruf der Kurse und Teilnahmen. Ausgeschaltet laufen die beiden Jobs nicht.
Adresse der Anmeldung (SSO), Adresse der Schnittstelle (API), Aussteller (iss): Werte nach Absprache mit dem DRK-Lerncampus.
Schlüssel für das Anmelde-Token (JWT), Benutzer und Passwort der API (Basic Auth), Gemeinsamer Webcode: Zugangsdaten. Gespeicherte Geheimnisse werden nur maskiert angezeigt.

Mitarbeiter-CSV

Job Mitarbeiter-CSV-Abgleich. Die Schnittstelle hat Haupteinstellungen und je Quelle eine Instanz; die Maske Mitarbeiter-CSV zeigt die im Fenster geöffnete Instanz (Haupteinstellungen oder eine Quelle). Einstellungen beim markierten Job öffnet die Haupteinstellungen.

Haupteinstellungen (Mitarbeiter-CSV allgemein): Mitarbeiter-CSV-Abgleich aktiv schaltet den Abgleich aller Quellen; Notbremse (Prozent) gilt für jede Quelle ohne eigenen Wert.
Quelle – Abgleich: Quelle aktiv (wie der Hauptschalter, an oder aus), Notbremse dieser Quelle und Sammelgruppe neuer Mitarbeiter (Id).
Transferdateien: je Datei Typ (Mitarbeiter oder Gruppen), Pfad der Datei, Trennzeichen (Tabulator als \t), Präfix für Benutzernamen und Spalte für die Dublettenprüfung. Mit Datei hinzufügen, Entfernen, Nach oben/Nach unten pflegen; eine Zelle zum Bearbeiten anklicken.
Status-Zuordnung und Benachrichtigungen: wie bei der AD-Schnittstelle.

SENSO, Timecount, WaveWare und WebTV

Diese Schnittstellen haben keine fachliche Maske. Ihr Einstellungsfenster zeigt die Konfiguration direkt als Liste aus Schlüssel (Pfad) und Wert (JSON), wie im Bereich Experten beschrieben (Jobs SENSO-Mitarbeiterabgleich, Timecount-Mitarbeiterabgleich, DeviceTypeSync Waveware, WebTV-Campus-Abgleich). Die Schlüssel sind in der technischen Dokumentation der jeweiligen Schnittstelle beschrieben.

Bei SENSO, Timecount und WaveWare zeigt der Status eingerichtet bzw. nicht eingerichtet, ob die nötigen Werte vorhanden sind. Ein nicht eingerichteter Job wird nicht ausgeführt.
SENSO und Timecount verwenden die Konfiguration aus dieser Tabelle. Über die Job-Option für eine Konfigurationsdatei kann für einen Lauf eine andere Datei angegeben werden; Testläufe sind mit der Option dry_run möglich.
WaveWare: transfer_file_path ist der Netzwerkpfad der Transferdatei.

Verwandte Themen