FAQ sul provisioning SCIM
SCIM crea, aggiorna e disattiva automaticamente i membri del tuo team a partire dal tuo
identity provider. Fa parte del piano Enterprise, o dell'add-on Enterprise su Presenter, Studio HD, Studio 4K e Studio 8K, e si configura dal tuo
team in Dashboard → Team → Sicurezza (/dash/team/security). Ti serve il
permesso di team Gestisci sicurezza.
Come funziona, in sintesi?
- Il tuo IdP chiama gli endpoint SCIM 2.0 di Cliqer con un bearer token.
- Il token identifica il tuo team: nell'URL non c'è alcun ID del team, quindi usi lo stesso URL di base di tutti gli altri e il token limita ogni operazione al tuo team.
- Gli utenti sottoposti a provisioning diventano membri del tuo team. Disattivare un utente lo rimuove dal team.
Come si configura?
Genera un token
Vai su Team → Sicurezza → Provisioning SCIM e fai clic su Genera token.
Copialo subito
Copia il token immediatamente: viene mostrato una sola volta. In seguito sono visibili solo gli ultimi 4 caratteri.
Inseriscilo nel tuo IdP
Nelle impostazioni di provisioning del tuo IdP, inserisci:
- URL di base / URL del tenant:
https://<your-cliqer-host>/api/scim/v2 - Bearer token: il token che hai appena generato.
Attiva il provisioning
Attiva il provisioning e (facoltativamente) mappa gli attributi.
Ruotare o revocare
- Ruotare = generare un nuovo token, aggiornare il tuo IdP, quindi revocare quello vecchio.
- Revocare disattiva immediatamente un token. I token revocati non possono mai più essere usati.
Quali operazioni sono supportate?
| Operazione | Endpoint |
|---|---|
| Creazione | POST /api/scim/v2/Users |
| Elenco / filtro | GET /api/scim/v2/Users?filter=userName eq "user@co" |
| Lettura | GET /api/scim/v2/Users/{id} |
| Sostituzione | PUT /api/scim/v2/Users/{id} |
| Modifica parziale | PATCH /api/scim/v2/Users/{id} |
| Disattivazione / eliminazione | DELETE /api/scim/v2/Users/{id} |
| Funzionalità | GET /api/scim/v2/ServiceProviderConfig |
Il filtro supporta userName eq "..." (usato da Okta ed Entra ID per la deduplicazione).
Le operazioni bulk e il provisioning dei gruppi non sono supportati.
Quali attributi utente vengono usati?
{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "user@company.com",
"name": { "givenName": "John", "familyName": "Doe" },
"emails": [{ "primary": true, "value": "user@company.com" }],
"active": true,
"externalId": "employee-123"
}
Vengono mappati userName (email), name.givenName, name.familyName, active ed
externalId. Gli altri attributi vengono accettati e ignorati.
Cosa succede con la disattivazione?
L'invio di active: false (tramite PATCH) o di un DELETE esegue un deprovisioning
soft:
- L'utente viene rimosso dal tuo team.
- Se l'account non appartiene a nessun altro team attivo, viene sospeso e la persona non può più accedere.
- I dati dell'account vengono conservati. Inviare di nuovo
active: true(o ricreare l'utente) ripristina l'appartenenza al team.
Questo significa che il deprovisioning di un utente in un team non gli impedisce mai di accedere a un altro team di cui fa parte.
Come si monitora il provisioning?
Il pannello Attività di provisioning nella pagina Sicurezza è un feed live: ogni creazione, aggiornamento, disattivazione ed eliminazione compare in tempo reale (creazioni, disattivazioni/eliminazioni ed errori sono contrassegnati da colori diversi). Questa è la dashboard di monitoraggio SCIM: non c'è nient'altro da attivare.
Sicurezza
- I token vengono memorizzati solo come hash SHA-256: Cliqer non può mostrarti di nuovo un token.
- Tutti gli endpoint SCIM richiedono HTTPS e il bearer token.
- Ogni operazione è limitata al team del token; un token non può mai leggere né modificare gli utenti di un altro team.
Risoluzione dei problemi
- 401 Unauthorized: il token è mancante, errato o revocato. Generane uno nuovo.
- 404 su un utente: quell'utente non è membro del team del token. SCIM vede solo gli utenti del tuo team.
- Utente non creato: verifica che
userNamesia un indirizzo email valido.