Veelgestelde vragen over SCIM-provisioning
SCIM maakt de leden van je team automatisch aan, werkt ze bij en deactiveert ze vanuit je
identity provider. Het hoort bij het Enterprise-abonnement of de Enterprise-add-on bij Presenter, Studio HD, Studio 4K en Studio 8K, en wordt door je
team ingesteld via Dashboard → Team → Beveiliging (/dash/team/security). Je hebt de
teamrechten Beveiliging beheren nodig.
Hoe werkt het in het kort?
- Je IdP roept de SCIM 2.0-endpoints van Cliqer aan met een bearer token.
- Het token identificeert je team: er staat geen team-ID in de URL, dus je gebruikt dezelfde basis-URL als iedereen en het token beperkt alles tot jouw team.
- Geprovisionde gebruikers worden leden van je team. Als je een gebruiker deactiveert, wordt die uit het team verwijderd.
Hoe stel ik het in?
Maak een token aan
Ga naar Team → Beveiliging → SCIM-provisioning en klik op Token aanmaken.
Kopieer het meteen
Kopieer het token direct: het wordt maar één keer getoond. Daarna zijn alleen de laatste 4 tekens nog zichtbaar.
Voer het in bij je IdP
Voer in de provisioninginstellingen van je IdP het volgende in:
- Basis-URL / Tenant-URL:
https://<your-cliqer-host>/api/scim/v2 - Bearer token: het token dat je zojuist hebt aangemaakt.
Schakel provisioning in
Schakel provisioning in en koppel (optioneel) attributen.
Roteren of intrekken
- Roteren = een nieuw token aanmaken, je IdP bijwerken en daarna het oude token intrekken.
- Intrekken schakelt een token direct uit. Ingetrokken tokens zijn nooit meer te gebruiken.
Welke bewerkingen worden ondersteund?
| Bewerking | Endpoint |
|---|---|
| Aanmaken | POST /api/scim/v2/Users |
| Weergeven / filteren | GET /api/scim/v2/Users?filter=userName eq "user@co" |
| Lezen | GET /api/scim/v2/Users/{id} |
| Vervangen | PUT /api/scim/v2/Users/{id} |
| Patchen | PATCH /api/scim/v2/Users/{id} |
| Deactiveren / verwijderen | DELETE /api/scim/v2/Users/{id} |
| Mogelijkheden | GET /api/scim/v2/ServiceProviderConfig |
Filteren ondersteunt userName eq "..." (gebruikt door Okta en Entra ID om dubbele gebruikers te voorkomen).
Bulkbewerkingen en provisioning van groepen worden niet ondersteund.
Welke gebruikersattributen worden gebruikt?
{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "user@company.com",
"name": { "givenName": "John", "familyName": "Doe" },
"emails": [{ "primary": true, "value": "user@company.com" }],
"active": true,
"externalId": "employee-123"
}
userName (e-mailadres), name.givenName, name.familyName, active en
externalId worden gekoppeld. Andere attributen worden geaccepteerd en genegeerd.
Wat gebeurt er bij deactivering?
Als je active: false (via PATCH) of een DELETE verstuurt, volgt een zachte
deprovisioning:
- De gebruiker wordt uit je team verwijderd.
- Als het account bij geen ander actief team hoort, wordt het opgeschort, zodat die persoon niet meer kan inloggen.
- Accountgegevens blijven bewaard. Door opnieuw
active: truete versturen (of de gebruiker opnieuw aan te maken) wordt het lidmaatschap hersteld.
Zo sluit het deprovisionen van een gebruiker in het ene team die gebruiker nooit buiten uit een ander team waar die ook lid van is.
Hoe houd ik provisioning in de gaten?
Het paneel Provisioningactiviteit op de pagina Beveiliging is een live feed: elke aanmaak, update, deactivering en verwijdering verschijnt in realtime (aanmaken, deactiveren/verwijderen en fouten hebben elk een eigen kleur). Dit is het monitoringdashboard voor SCIM; je hoeft niets extra's in te schakelen.
Beveiliging
- Tokens worden alleen als SHA-256-hash opgeslagen: Cliqer kan je een token nooit opnieuw tonen.
- Alle SCIM-endpoints vereisen HTTPS en het bearer token.
- Elke bewerking is beperkt tot het team van het token; een token kan nooit de gebruikers van een ander team lezen of wijzigen.
Problemen oplossen
- 401 Unauthorized: het token ontbreekt, is onjuist of is ingetrokken. Maak een nieuw token aan.
- 404 bij een gebruiker: die gebruiker is geen lid van het team van het token. SCIM ziet alleen de gebruikers van je eigen team.
- Gebruiker niet aangemaakt: controleer of
userNameeen geldig e-mailadres is.