Behebung von Fehlern bei der Microsoft Entra ID SCIM-API

In diesem Artikel werden häufig auftretende Probleme beim Aufrufen der Microsoft Entra ID SCIM-APIs für die Benutzer- und Gruppenverwaltung behoben.

Fehler: 401 – Ungültiges Authentifizierungstoken

Symptome

SCIM-API-Anforderungen geben zurück:

HTTP 401 Unauthorized

Ursache

Die Anforderung enthält kein gültiges Zugriffstoken im HTTP-Header Authorization .

Resolution

1. Vergewissern Sie sich, dass die Anforderung ein Bearertoken im HTTP-Header Authorization enthält.
2. Überprüfen des Zugriffstokens mithilfe von https://jwt.ms/
3. Überprüfen Sie die folgenden Tokenansprüche:
   • iat
   • exp
4. Wenn das Problem weiterhin besteht:
   • Sammeln von Details des fehlerhaften API-Aufrufs
   • Erstellen eines Supporttickets

Fehler: 403 – Verboten

Symptome

SCIM-API-Anforderungen geben zurück:

HTTP 403 Forbidden

Ursache

Die vom SCIM-API-Client verwendete App-Registrierung verfügt nicht über die erforderlichen API-Berechtigungen oder hat keine Administratorzustimmung erteilt.

Resolution

1. Überprüfen Sie die app-Registrierung, die vom SCIM-API-Client verwendet wird.
2. Vergewissern Sie sich, dass die Microsoft Graph-API-Berechtigungen wie in der Microsoft Entra ID SCIM-API-Referenz dokumentiert zugewiesen sind:
3. Vergewissern Sie sich, dass die Administratorzustimmung für alle zugewiesenen Berechtigungen erteilt wurde.
4. Wenn das Problem weiterhin besteht:
   • Api-Anforderungsdetails sammeln
   • Erstellen eines Supporttickets

Fehler: 404 – Ressource nicht gefunden

Symptome

Die folgenden API-Aufrufe geben zurück:

HTTP 404 Not Found

• GET /users/{id}
• GET /groups/{id}

Ursache

Der {id} Wert in der Anforderung wird nicht in ein gültiges Benutzer- oder Gruppenobjekt im Microsoft Entra ID-Mandanten aufgelöst.

Resolution

1. Vergewissern Sie sich, dass der {id} Wert im Microsoft Entra ID-Mandanten vorhanden ist.
2. Wenn das Problem weiterhin besteht:
   • Api-Anforderungsdetails sammeln
   • Erstellen eines Supporttickets

Fehler: 400 – Ungültige Anforderung

Symptome

SCIM-API-Anforderungen ergeben:

HTTP 400 Bad Request

Dieser Fehler kann während der folgenden Zeit auftreten:

• Benutzererstellungs- oder Aktualisierungsvorgänge
  (POST /Users oder PATCH /Users)
• Gruppenerstellungs- oder Aktualisierungsvorgänge
  (POST /Groups oder PATCH /Groups)
• Benutzer- oder Gruppenfilterabfragen
  (GET)

Ursache

Die Anforderungsnutzlast oder Abfrageparameter erfüllen nicht die Für die SCIM-API definierten Einschränkungen oder verweisen auf ungültige SCIM-Schemaattribute.

Resolution

1. Für POST Operationen:
   • Stellen Sie sicher, dass alle erforderlichen Attribute in der Anforderungsnutzlast enthalten sind.
2. Für PATCH Vorgänge:
   • Stellen Sie sicher, dass die Anforderung den SCIM-API-Einschränkungen entspricht.
3. Für GET Vorgänge:
   • Vergewissern Sie sich, dass nur unterstützte API-Filter verwendet werden.
4. Stellen Sie sicher, dass Anforderungsattribute gültigen Microsoft Entra SCIM-Schemaattributen zugeordnet sind.
5. Senden Sie die Anforderung erneut mit Korrekturen.
6. Wenn das Problem weiterhin besteht:
   • Api-Anforderungsdetails sammeln
   • Erstellen eines Supporttickets

Fehler: 400 – SCIM-Bereitstellungs-API-Feature nicht aktiviert

Symptome

SCIM-API-Anfragen geben zurück:

HTTP 400 Bad Request

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:Error"
  ],
  "detail": "No 'scimapiconsumptions' resource found for TenantId: <tenant-id>. Please ensure 'SCIM Provisioning API' feature is enabled and only one 'scimapiconsumptions' resource exists.",
  "status": "400"
}

Ursache

Das SCIM-Bereitstellungs-API-Feature ist im Microsoft Entra Admin Center nicht aktiviert, oder das für das Feature erforderliche Abrechnungsabonnement wurde nicht verknüpft. Die Azure-Ressource wird erstellt, wenn ein Administrator das Feature aktiviert und ein Azure-Abonnement für die Abrechnung verknüpft. Ohne diese Ressource lehnt der SCIM-Dienst alle API-Aufrufe ab.

Resolution

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Navigieren Sie zum ID-Governance-Dashboard>.
3. Wählen Sie auf der Kachel "SCIM-Bereitstellungs-API " die Option "Erste Schritte " (oder "Bearbeiten" aus, falls zuvor konfiguriert).
4. Verknüpfen Sie ein Azure-Abonnement, wählen Sie eine Ressourcengruppe und dann "Aktivieren" aus.
5. Nachdem das Feature aktiviert wurde, wiederholen Sie die SCIM-API-Anforderung.

Ausführliche Schritte finden Sie unter Aktivieren der SCIM-Bereitstellungs-API.

Fehler: 500 – Interner Serverfehler

Symptome

SCIM-API-Anfragen geben zurück:

HTTP 500 Internal Server Error

Ursache

Unerwarteter serverseitiger Fehler beim Verarbeiten der SCIM-API-Anforderung.

Resolution

1. Sammeln Sie Details des fehlerhaften API-Aufrufs.
2. Erstellen Sie ein Supportticket.

Fehler: 504 – Gateway-Timeout

Symptome

SCIM-API-Anfragen geben zurück:

HTTP 504 Gateway Timeout

Ursache

504-Antworten können intermittierend vom SCIM-Dienst zurückgegeben werden.

Resolution

1. Sammeln Sie Details der fehlerhaften API-Aufrufe und des Zeitfensters für die Fehler.
2. Erstellen Sie ein Supportticket, wenn das Problem weiterhin besteht.

SCIM-API-Fehlercodereferenz

In der folgenden Tabelle sind alle Fehlercodes aufgeführt, die die Microsoft Entra ID SCIM-APIs zurückgeben können. Verwenden Sie diese Tabelle, um den Fehler und die Ursache bei der Problembehandlung von SCIM-API-Anforderungen zu identifizieren.