SCIM провизиране и офбординг с Entra ID и Okta

Представете си Кася, единственият човек в IT екипа на компания със 180 души. В петък следобед един търговец напуска. Кася деактивира акаунта му в доставчика на идентичност, премахва лаптопа от системата за управление на устройства и затваря заявката.

Това, за което не се сеща, е инструментът за резервиране на бюра. Акаунтът на напусналия там остава активен. По-лошото е, че той е имал постоянно присвоено паркомясто, P-14. В понеделник то все още е отбелязано като негово, затова никой не го резервира и то стои празно три седмици, докато някой от рецепцията не попита защо.

В същия понеделник пристига нова служителка и не може да резервира бюро, защото никой не е създал акаунта ѝ. Две малки пропуски, по един в двата края на жизнения цикъл на служителя, и двата идват от ръчното поддържане на списъка с потребители.

SCIM затваря и двата. Ето как работи в Desk & Park, стъпка по стъпка.

Стъпка 1: генерирайте токена в Desk & Park

В настройките на организацията администраторът отваря картата Провизиране на потребители (SCIM). Тя показва две неща за копиране:

• SCIM крайната точка (Tenant URL, която вашият доставчик на идентичност извиква);
• токен, създаден с Генериране на токен.

Токенът се показва точно веднъж. Desk & Park пази само неговия хеш, така че ако го загубите, го сменяте, а не го търсите. Смяна на токена обезсилва стария незабавно, а Отнемане спира провизирането веднага. След това картата ви показва дали токенът все още чака първата си синхронизация или кога доставчикът на идентичност е синхронизирал за последно.

Стъпка 2: свържете Microsoft Entra ID или Okta

Microsoft Entra ID. В Entra admin center отидете в Enterprise applications → New application → Create your own application (приложение извън галерията). В Provisioning изберете Automatic, поставете крайната точка като Tenant URL и токена като Secret Token и изпълнете Test Connection. В съпоставянето на атрибутите userName трябва да е имейл адресът (userPrincipalName или mail); собственото име и фамилията се съпоставят с име и фамилия; active управлява активирането и деактивирането; department е по избор. Назначете хората, които трябва да имат достъп, и включете провизирането.

Okta. Използвайте SCIM 2.0 Test App (OAuth Bearer Token) от каталога или собствено приложение с включен SCIM. Задайте базовия URL адрес на SCIM конектора да сочи към крайната точка, полето за уникален идентификатор – userName, а удостоверяването – bearer токен в HTTP заглавка. Включете Create Users, Update User Attributes и Deactivate Users, след което назначете хората.

SCIM е достъпен във всеки план.

Стъпка 3: какво става, когато някой постъпи

Когато Entra или Okta изпратят нов човек, Desk & Park създава акаунта с:

• имейла като потребителско име, собственото име и фамилията, външния идентификатор и, ако го съпоставите, отдела;
• ролята Служител;
• без парола. Хората влизат чрез единен вход (SSO) или с еднократен код по имейл.

Така в понеделник сутрин новата служителка отваря Desk & Park, влиза чрез доставчика на идентичност на компанията и резервира бюро. Никой от IT не е пипал инструмента за резервации.

Нито един план не ограничава броя на потребителите, така че провизирането никога не се сблъсква с квота за потребители: всеки, когото зададете в доставчика на идентичност, получава акаунт, включително в безплатния план Start.

Стъпка 4: какво става, когато някой смени екипа или името си

Промяна в доставчика на идентичност, например нова фамилия или преместване в друг отдел, се пренася при следващата синхронизация. В Desk & Park тези полета след това са заключени за този потребител: администратор, който се опита да редактира името или отдела, вижда, че те се управляват от доставчика на идентичност и трябва да се променят там. Един източник на истина и никакво тихо разминаване между две системи.

Стъпка 5: какво става, когато някой напусне

Това е частта, която интересува Кася. Когато доставчикът на идентичност изпрати active: false или изтрие потребителя, Desk & Park деактивира акаунта. Деактивирането прави три неща наведнъж:

1. Всички сесии приключват незабавно. Това включва и токените за достъп, вече издадени за браузъра или телефона на човека, а не само възможността да влезе отново.
2. Постоянните присвоявания се освобождават. Постоянно присвоеното бюро или паркомясто се връща в общия пул, а одитният дневник изброява кои места са освободени. Място P-14 може да бъде резервирано в понеделник.
3. Историята остава. Минали резервации се пазят и продължават да се отчитат в отчетите за периодите, към които принадлежат. Нищо не се изтрива окончателно.

Ако човекът се върне и бъде активиран отново в доставчика на идентичност, акаунтът отново става активен заедно с историята си. Постоянните присвоявания не се възстановяват автоматично; администраторът ги присвоява отново, ако е нужно.

Същото почистване се изпълнява, когато администратор деактивира някого ръчно в Desk & Park, така че резултатът не зависи от това кой път е използван.

Вградени предпазни механизми

Токенът за провизиране е мощно удостоверение, затова SCIM е нарочно ограничен:

• Никога не деактивира последния активен администратор на организацията. Заявката се отказва, така че погрешно назначение в доставчика на идентичност не може да заключи всички отвън.
• Никога не променя имейла за вход на акаунт с роля с по-високи привилегии. Промяната на адреса за вход на администратор е начинът, по който откраднат токен би могъл да превземе този акаунт, затова тези адреси се променят само от администратор в Desk & Park.
• Всяка промяна чрез SCIM се записва в одитния дневник с извършител scim-provisioning, заедно с всичко останало, което правят администраторите.

Практични съвети

• Съчетайте SCIM с SSO. SCIM създава акаунта; единният вход вписва човека. Desk & Park не създава акаунти при първо влизане чрез SSO, така че именно SCIM поддържа списъка с потребители пълен.
• Съпоставете отдела. Той захранва отчетите по отдели, така че числата при оразмеряването на един отдел остават точни без ръчни корекции.
• Тествайте първо с един човек. Назначете един тестов потребител, проверете дали акаунтът се появява с правилното име и отдел, деактивирайте го и потвърдете, че сесиите приключват и всяко постоянно място се освобождава.
• Съхранявайте токена само в доставчика на идентичност. Ако е бил някъде другаде, сменете го.
• Поддържайте двама администратори. Правилото за последния администратор ви защитава, но двама активни администратори улесняват всяка промяна.

Обхват: какво не прави SCIM

Desk & Park провизира само потребители. Групите не се синхронизират, а ролите не се задават чрез SCIM: всички пристигат като Служител, а администраторите присвояват други роли в Desk & Park. Екипите също не се съпоставят; отделът – да. Няма пряка интеграция със системи за управление на човешките ресурси; SCIM работи между вашия доставчик на идентичност и Desk & Park. Entra ID и Okta се поддържат чрез стандартните им SCIM връзки (собствено приложение в Entra, тестовото SCIM приложение или собствено приложение в Okta), а не чрез сертифициран запис в галерията.

Често задавани въпроси