Aprowizacja SCIM: FAQ
SCIM automatycznie tworzy, aktualizuje i dezaktywuje członków Twojego zespołu na podstawie danych
z dostawcy tożsamości. Jest częścią planu Enterprise lub dodatku Enterprise do planów Presenter, Studio HD, Studio 4K i Studio 8K, a konfiguruje go Twój
zespół w Panel → Zespół → Bezpieczeństwo (/dash/team/security). Potrzebujesz
uprawnienia zespołowego Zarządzanie bezpieczeństwem.
Jak to działa w skrócie?
- Twój IdP wywołuje endpointy SCIM 2.0 Cliqer z tokenem bearer.
- Token identyfikuje Twój zespół: w adresie URL nie ma identyfikatora zespołu, więc używasz tego samego bazowego URL co wszyscy, a token ogranicza wszystkie operacje do Twojego zespołu.
- Aprowizowani użytkownicy stają się członkami Twojego zespołu. Dezaktywacja użytkownika usuwa go z zespołu.
Jak to skonfigurować?
Wygeneruj token
Przejdź do Zespół → Bezpieczeństwo → Aprowizacja SCIM i kliknij Wygeneruj token.
Skopiuj go od razu
Skopiuj token natychmiast: jest wyświetlany tylko raz. Później widoczne są wyłącznie ostatnie 4 znaki.
Wprowadź go w swoim IdP
W ustawieniach aprowizacji swojego IdP wpisz:
- Base URL / Tenant URL:
https://<your-cliqer-host>/api/scim/v2 - Bearer token: token, który został właśnie wygenerowany.
Włącz aprowizację
Włącz aprowizację i (opcjonalnie) zmapuj atrybuty.
Rotacja lub unieważnienie
- Rotacja = wygeneruj nowy token, zaktualizuj IdP, a następnie unieważnij stary.
- Unieważnienie natychmiast wyłącza token. Unieważnionych tokenów nie można już nigdy użyć.
Jakie operacje są obsługiwane?
| Operacja | Endpoint |
|---|---|
| Utworzenie | POST /api/scim/v2/Users |
| Lista / filtrowanie | GET /api/scim/v2/Users?filter=userName eq "user@co" |
| Odczyt | GET /api/scim/v2/Users/{id} |
| Zastąpienie | PUT /api/scim/v2/Users/{id} |
| Aktualizacja częściowa | PATCH /api/scim/v2/Users/{id} |
| Dezaktywacja / usunięcie | DELETE /api/scim/v2/Users/{id} |
| Możliwości | GET /api/scim/v2/ServiceProviderConfig |
Filtrowanie obsługuje userName eq "..." (używane przez Okta i Entra ID do deduplikacji).
Operacje zbiorcze (Bulk) i aprowizacja grup nie są obsługiwane.
Jakie atrybuty użytkownika są używane?
{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "user@company.com",
"name": { "givenName": "John", "familyName": "Doe" },
"emails": [{ "primary": true, "value": "user@company.com" }],
"active": true,
"externalId": "employee-123"
}
Mapowane są userName (e-mail), name.givenName, name.familyName, active i
externalId. Pozostałe atrybuty są akceptowane i ignorowane.
Co się dzieje przy dezaktywacji?
Wysłanie active: false (przez PATCH) lub DELETE wykonuje miękką
deprowizację:
- Użytkownik zostaje usunięty z Twojego zespołu.
- Jeśli konto nie należy do żadnego innego aktywnego zespołu, zostaje zawieszone, więc ta osoba nie może się już zalogować.
- Dane konta są zachowywane. Ponowne wysłanie
active: true(lub ponowne utworzenie) przywraca członkostwo.
Oznacza to, że deprowizacja użytkownika w jednym zespole nigdy nie odcina mu dostępu do innego zespołu, do którego należy.
Jak monitorować aprowizację?
Panel Aktywność aprowizacji na stronie Bezpieczeństwo to kanał na żywo: każde utworzenie, aktualizacja, dezaktywacja i usunięcie pojawia się w czasie rzeczywistym (utworzenie, dezaktywacja/usunięcie i błędy są oznaczone kolorami). To jest panel monitorowania SCIM; nie trzeba niczego dodatkowo włączać.
Bezpieczeństwo
- Tokeny są przechowywane wyłącznie jako skrót SHA-256: Cliqer nie może ponownie pokazać Ci tokenu.
- Wszystkie endpointy SCIM wymagają HTTPS i tokenu bearer.
- Każda operacja jest ograniczona do zespołu, do którego należy token; token nigdy nie może odczytać ani zmienić użytkowników innego zespołu.
Rozwiązywanie problemów
- 401 Unauthorized: brak tokenu albo token jest nieprawidłowy lub unieważniony. Wygeneruj nowy.
- 404 dla użytkownika: ten użytkownik nie jest członkiem zespołu, do którego należy token. SCIM widzi wyłącznie użytkowników Twojego zespołu.
- Użytkownik nie został utworzony: sprawdź, czy
userNameto prawidłowy adres e-mail.