SCIM 预配常见问题

使用 SCIM 2.0 自动将用户预配到您的 Cliqer 团队。

SCIM 会根据您的身份提供商自动创建、更新和停用团队成员，无需手动操作。它包含在 Enterprise 方案中，也可通过 Presenter、Studio HD、Studio 4K 和 Studio 8K 方案上的 Enterprise 附加组件获得，由您的团队在 仪表板 → 团队 → 安全（/dash/team/security）中配置。您需要拥有 管理安全 团队权限。

工作原理概览

您的 IdP 使用 Bearer 令牌 调用 Cliqer 的 SCIM 2.0 端点。
令牌用于识别您的团队：URL 中不含团队 ID，因此您使用与所有人相同的基础 URL，令牌会将所有操作限定在您的团队范围内。
预配的用户会成为 您的团队成员。停用用户会将其从团队中移除。

如何进行设置？

生成令牌

前往 团队 → 安全 → SCIM 预配，然后点击 生成令牌。

立即复制

请立即复制令牌：它只会显示一次。之后仅可看到最后 4 个字符。

在 IdP 中输入

在 IdP 的预配设置中输入：

基础 URL / 租户 URL：https://<your-cliqer-host>/api/scim/v2
Bearer 令牌：您刚刚生成的令牌。

启用预配

启用预配，并（可选）映射属性。

轮换或撤销

轮换 = 生成新令牌，更新 IdP 配置，然后撤销旧令牌。
撤销会立即停用令牌。已撤销的令牌永远无法再次使用。

支持哪些操作？

操作	端点
创建	`POST /api/scim/v2/Users`
列出 / 筛选	`GET /api/scim/v2/Users?filter=userName eq "user@co"`
读取	`GET /api/scim/v2/Users/{id}`
替换	`PUT /api/scim/v2/Users/{id}`
修补	`PATCH /api/scim/v2/Users/{id}`
停用 / 删除	`DELETE /api/scim/v2/Users/{id}`
功能	`GET /api/scim/v2/ServiceProviderConfig`

筛选支持 userName eq "..."（Okta 和 Entra ID 用其去重）。 不支持批量操作和组预配。

使用哪些用户属性？

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@company.com",
  "name": { "givenName": "John", "familyName": "Doe" },
  "emails": [{ "primary": true, "value": "user@company.com" }],
  "active": true,
  "externalId": "employee-123"
}

userName（电子邮件）、name.givenName、name.familyName、active 和 externalId 会被映射。其他属性会被接受但予以忽略。

停用时会发生什么？

发送 active: false（通过 PATCH）或 DELETE 会执行 软性取消预配：

该用户将从您的团队中移除。
如果该账户 不属于任何其他活跃团队，则会被暂停，此人将无法再登录。
账户数据会被保留。重新发送 active: true（或重新创建）即可恢复成员资格。

这意味着在一个团队中取消预配某个用户，绝不会导致其无法访问其所属的其他团队。

如何监控预配？

安全页面上的 预配活动 面板是一个 实时动态：每一次创建、更新、停用和删除都会实时显示（创建、停用/删除和错误均以不同颜色标示）。这就是 SCIM 监控仪表板，无需额外启用任何功能。

安全性

令牌仅以 SHA-256 哈希形式存储：Cliqer 无法再次向您显示令牌。
所有 SCIM 端点均要求使用 HTTPS 和 Bearer 令牌。
每项操作都限定在令牌所属团队的范围内；令牌永远无法读取或更改其他团队的用户。

故障排除

401 Unauthorized：令牌缺失、错误或已被撤销。请生成新令牌。
用户返回 404：该用户不是令牌所属团队的成员。SCIM 只能看到您自己团队的用户。
未创建用户：请检查 userName 是否为有效的电子邮件地址。