Provisioning SCIM e offboarding con Entra ID e Okta

Immaginate Kasia, che da sola è l'intero reparto IT di un'azienda di 180 persone. Venerdì pomeriggio un commerciale lascia l'azienda. Kasia disattiva l'account nell'identity provider, rimuove il portatile dalla gestione dei dispositivi e chiude il ticket.

A cui non pensa è lo strumento di prenotazione delle scrivanie. Lì l'account di chi se n'è andato resta attivo. Peggio ancora, aveva un posto auto assegnato in modo permanente, il P-14. Lunedì risulta ancora suo, quindi nessuno lo prenota, e resta vuoto per tre settimane finché qualcuno alla reception non chiede perché.

Lo stesso lunedì arriva una nuova assunta che non riesce a prenotare una scrivania, perché nessuno ha creato il suo account. Due piccole lacune, una a ciascuna estremità del ciclo di vita del dipendente, ed entrambe nascono dal gestire l'elenco utenti a mano.

SCIM le chiude entrambe. Ecco come funziona in Desk & Park, passo dopo passo.

Passo 1: generare il token in Desk & Park

Nelle impostazioni dell'organizzazione, un amministratore apre la scheda Provisioning utenti (SCIM). Mostra due elementi da copiare:

• l'endpoint SCIM (il Tenant URL che il vostro identity provider chiama);
• un token, creato con Genera token.

Il token viene mostrato una sola volta. Desk & Park ne conserva solo un hash, quindi se lo perdete lo rigenerate invece di andarlo a cercare. Rigenera token invalida immediatamente quello vecchio, e Revoca interrompe subito il provisioning. La scheda indica poi se il token è ancora in attesa della prima sincronizzazione o quando l'identity provider ha sincronizzato l'ultima volta.

Passo 2: collegare Microsoft Entra ID o Okta

Microsoft Entra ID. Nell'interfaccia di amministrazione di Entra, andate in Enterprise applications → New application → Create your own application (un'app non presente nella raccolta). In Provisioning scegliete Automatic, incollate l'endpoint come Tenant URL e il token come Secret Token, ed eseguite Test Connection. Nei mapping degli attributi, userName deve essere l'indirizzo e-mail (userPrincipalName o mail); nome e cognome vengono mappati su nome e cognome; active governa attivazione e disattivazione; department è facoltativo. Assegnate le persone che devono avere accesso e attivate il provisioning.

Okta. Usate la SCIM 2.0 Test App (OAuth Bearer Token) dal catalogo, oppure una vostra app con SCIM abilitato. Impostate come SCIM connector base URL l'endpoint, come campo identificativo univoco userName e come autenticazione un bearer token nell'header HTTP. Abilitate Create Users, Update User Attributes e Deactivate Users, poi assegnate le persone.

SCIM è disponibile in tutti i piani.

Passo 3: che cosa succede quando qualcuno entra in azienda

Quando Entra od Okta inviano una nuova persona, Desk & Park crea l'account con:

• l'e-mail come login, nome e cognome, l'ID esterno e, se lo mappate, il reparto;
• il ruolo Dipendente;
• nessuna password. Le persone accedono tramite single sign-on o con un codice monouso inviato via e-mail.

Così il lunedì mattina la nuova assunta apre Desk & Park, accede tramite l'identity provider aziendale e prenota una scrivania. Nessuno in IT ha toccato lo strumento di prenotazione.

Nessun piano limita il numero di utenti, quindi il provisioning non si scontra mai con una quota di utenti: ogni persona che assegnate nell'identity provider riceve il suo account, anche nel piano gratuito Start.

Passo 4: che cosa succede quando qualcuno cambia team o nome

Una modifica nell'identity provider, come un nuovo cognome o il passaggio a un altro reparto, si propaga alla sincronizzazione successiva. In Desk & Park quei campi vengono quindi bloccati per quell'utente: un amministratore che prova a modificare nome o reparto vede che sono gestiti dall'identity provider e vanno cambiati lì. Un'unica fonte di verità, e nessuna divergenza silenziosa tra due sistemi.

Passo 5: che cosa succede quando qualcuno se ne va

È la parte che interessa a Kasia. Quando l'identity provider invia active: false, o elimina l'utente, Desk & Park disattiva l'account. La disattivazione fa tre cose contemporaneamente:

1. Tutte le sessioni terminano immediatamente. Compresi i token di accesso già rilasciati al browser o al telefono della persona, non solo la possibilità di accedere di nuovo.
2. Le assegnazioni permanenti vengono rilasciate. Una scrivania o un posto auto assegnati in modo permanente tornano nel pool condiviso, e il registro di audit elenca quali spazi sono stati rilasciati. Il posto P-14 si può prenotare già lunedì.
3. Lo storico resta. Le prenotazioni passate vengono conservate e continuano a contare nei report dei periodi a cui appartengono. Nulla viene eliminato definitivamente.

Se la persona ritorna e viene riattivata nell'identity provider, l'account torna attivo con il suo storico. Le assegnazioni permanenti non vengono ripristinate automaticamente; se serve, un amministratore le riassegna.

La stessa pulizia avviene quando un amministratore disattiva qualcuno a mano in Desk & Park, quindi il risultato non dipende dalla strada seguita.

Protezioni integrate

Un token di provisioning è una credenziale potente, perciò SCIM è volutamente limitato:

• Non disattiva mai l'ultimo amministratore attivo dell'organizzazione. La richiesta viene rifiutata, così un'assegnazione configurata male nell'identity provider non può chiudere fuori tutti.
• Non modifica mai l'e-mail di login di un account con un ruolo dai privilegi più elevati. Cambiare l'indirizzo di login di un amministratore è il modo in cui un token rubato potrebbe impadronirsi di quell'account, quindi quegli indirizzi li modifica solo un amministratore in Desk & Park.
• Ogni modifica SCIM viene registrata nel registro di audit con l'autore scim-provisioning, accanto a tutto ciò che fanno gli amministratori.

Consigli pratici

• Abbinate SCIM al SSO. SCIM crea l'account; il single sign-on fa accedere la persona. Desk & Park non crea account al primo accesso SSO, quindi è SCIM a mantenere completo l'elenco utenti.
• Mappate il reparto. Alimenta i report per reparto, così i numeri usati per dimensionare un reparto restano accurati senza modifiche manuali.
• Fate prima una prova con una persona. Assegnate un solo utente di prova, verificate che l'account compaia con nome e reparto corretti, disattivatelo e controllate che le sessioni terminino e che un eventuale spazio fisso venga rilasciato.
• Conservate il token solo nel vostro identity provider. Se è finito altrove, rigeneratelo.
• Tenete due amministratori. La regola dell'ultimo amministratore vi protegge, ma due amministratori attivi rendono più semplice ogni modifica.

Ambito: che cosa non fa SCIM

Desk & Park effettua il provisioning solo degli utenti. I gruppi non vengono sincronizzati e i ruoli non si impostano tramite SCIM: tutti arrivano come Dipendente, e gli altri ruoli li assegnano gli amministratori in Desk & Park. Nemmeno i team vengono mappati; il reparto sì. Non c'è un'integrazione diretta con i sistemi HR; SCIM opera tra il vostro identity provider e Desk & Park. Entra ID e Okta sono supportati tramite le loro connessioni SCIM standard (un'app personalizzata in Entra, la SCIM test app o una vostra app in Okta), non tramite un'app certificata nella raccolta.

FAQ

SCIM costa di più in Desk & Park?

No. Il provisioning SCIM è disponibile in tutti i piani, compreso il piano gratuito Start. I piani non limitano il numero di utenti, quindi non c'è un tetto agli account creati tramite SCIM.

Che cosa succede alla scrivania o al posto auto fisso di chi lascia l'azienda?

Quando l'identity provider disattiva o elimina l'utente, Desk & Park rilascia nel pool condiviso le sue assegnazioni permanenti di scrivania e parcheggio e registra nel registro di audit quali spazi sono stati rilasciati. I colleghi possono prenotarli subito.

Un utente disattivato viene disconnesso immediatamente?

Sì. La disattivazione revoca tutte le sessioni della persona, compresi i token di accesso già rilasciati, quindi non può continuare a usare una scheda del browser aperta o il telefono.

Possiamo assegnare ruoli o sincronizzare gruppi tramite SCIM?

No. In Desk & Park SCIM gestisce solo gli utenti. I nuovi account ricevono il ruolo Dipendente, e gli amministratori cambiano i ruoli in Desk & Park. I gruppi non vengono sottoposti a provisioning.

Le persone hanno bisogno di una password dopo il provisioning?

No. Gli account creati tramite SCIM non hanno password. Le persone accedono tramite il single sign-on della vostra organizzazione o con un codice monouso inviato via e-mail.