Provisioning SCIM i offboarding z Entra ID i Okta

Wyobraź sobie Kasię, która w firmie zatrudniającej 180 osób jest całym działem IT. W piątek po południu odchodzi handlowiec. Kasia wyłącza jego konto u dostawcy tożsamości, usuwa laptop z systemu zarządzania urządzeniami i zamyka zgłoszenie.

Nie myśli tylko o systemie do rezerwacji biurek. Konto byłego pracownika wciąż tam działa. Co gorsza, miał przypisane na stałe miejsce parkingowe P-14. W poniedziałek nadal figuruje jako jego, więc nikt go nie rezerwuje, i miejsce stoi puste przez trzy tygodnie, dopóki ktoś z recepcji nie zapyta, o co chodzi.

W ten sam poniedziałek przychodzi nowa osoba i nie może zarezerwować biurka, bo nikt nie założył jej konta. Dwie drobne luki, po jednej na każdym końcu cyklu życia pracownika, i obie biorą się z ręcznego prowadzenia listy użytkowników.

SCIM zamyka obie. Oto jak działa w Desk & Park, krok po kroku.

Krok 1: wygeneruj token w Desk & Park

W ustawieniach organizacji administrator otwiera kartę Provisioning użytkowników (SCIM). Są na niej dwie rzeczy do skopiowania:

endpoint SCIM (Tenant URL, który wywołuje dostawca tożsamości);
token, tworzony przyciskiem Wygeneruj token.

Token wyświetla się dokładnie raz. Desk & Park przechowuje tylko jego skrót, więc zgubionego tokenu się nie odczytuje, tylko się go wymienia. Wymień token natychmiast unieważnia stary, a Unieważnij od razu zatrzymuje provisioning. Karta pokazuje też, czy token czeka jeszcze na pierwszą synchronizację, czy kiedy dostawca tożsamości synchronizował się ostatnio.

Krok 2: połącz Microsoft Entra ID lub Oktę

Microsoft Entra ID. W centrum administracyjnym Entra przejdź do Enterprise applications → New application → Create your own application (aplikacja spoza galerii). W sekcji Provisioning wybierz Automatic, wklej endpoint jako Tenant URL, a token jako Secret Token, i uruchom Test Connection. W mapowaniu atrybutów userName musi być adresem e-mail (userPrincipalName lub mail); imię i nazwisko mapują się na givenName i surname; active steruje aktywacją i dezaktywacją; department jest opcjonalny. Przypisz osoby, które mają mieć dostęp, i włącz provisioning.

Okta. Użyj z katalogu aplikacji SCIM 2.0 Test App (OAuth Bearer Token) albo własnej aplikacji z włączonym SCIM. Jako bazowy adres konektora SCIM podaj endpoint, jako unikalny identyfikator userName, a uwierzytelnianie ustaw na token Bearer w nagłówku HTTP. Włącz Create Users, Update User Attributes i Deactivate Users, a następnie przypisz osoby.

SCIM jest dostępny w każdym planie.

Krok 3: co się dzieje, gdy ktoś dołącza

Gdy Entra lub Okta przekaże nową osobę, Desk & Park zakłada konto z:

adresem e-mail jako loginem, imieniem i nazwiskiem, identyfikatorem zewnętrznym oraz, jeśli go zmapujesz, działem;
rolą Pracownik;
bez hasła. Ludzie logują się przez SSO albo jednorazowym kodem wysłanym e-mailem.

W poniedziałek rano nowa osoba otwiera więc Desk & Park, loguje się przez firmowego dostawcę tożsamości i rezerwuje biurko. Nikt z IT nie musiał dotykać systemu rezerwacji.

Żaden plan nie ogranicza liczby użytkowników, więc provisioning nigdy nie trafi na limit kont: każda osoba, którą przypiszesz u dostawcy tożsamości, dostaje konto — także w darmowym planie Start.

Krok 4: co się dzieje, gdy ktoś zmienia dział lub nazwisko

Zmiana u dostawcy tożsamości, na przykład nowe nazwisko albo przejście do innego działu, trafia do Desk & Park przy kolejnej synchronizacji. Te pola są wtedy dla tej osoby zablokowane: administrator, który spróbuje zmienić imię, nazwisko lub dział, zobaczy, że zarządza nimi dostawca tożsamości i tam należy je zmienić. Jedno źródło prawdy i żadnego cichego rozjeżdżania się dwóch systemów.

Krok 5: co się dzieje, gdy ktoś odchodzi

Na tym Kasi zależy najbardziej. Gdy dostawca tożsamości wyśle active: false albo usunie użytkownika, Desk & Park dezaktywuje konto. Dezaktywacja robi trzy rzeczy naraz:

Wszystkie sesje kończą się natychmiast. Dotyczy to także tokenów dostępu już wydanych przeglądarce czy telefonowi tej osoby, a nie tylko możliwości ponownego zalogowania.
Stałe przypisania są zwalniane. Biurko lub miejsce parkingowe przypisane na stałe wraca do wspólnej puli, a dziennik audytu wymienia, które miejsca zostały zwolnione. Miejsce P-14 można zarezerwować już w poniedziałek.
Historia zostaje. Dawne rezerwacje są zachowane i nadal liczą się w raportach za okresy, których dotyczą. Nic nie jest trwale usuwane.

Jeśli ta osoba wróci i zostanie ponownie aktywowana u dostawcy tożsamości, konto znów staje się aktywne, razem z historią. Stałe przypisania nie wracają automatycznie; w razie potrzeby administrator przypisuje je ponownie.

To samo sprzątanie wykonuje się, gdy administrator ręcznie dezaktywuje kogoś w Desk & Park, więc efekt nie zależy od tego, którą drogą to zrobiono.

Wbudowane zabezpieczenia

Token do provisioningu to mocne poświadczenie, dlatego SCIM jest celowo ograniczony:

Nigdy nie dezaktywuje ostatniego aktywnego administratora organizacji. Takie żądanie jest odrzucane, więc źle ustawione przypisanie u dostawcy tożsamości nie odetnie wszystkich od systemu.
Nigdy nie zmienia adresu e-mail do logowania kont z wyższymi uprawnieniami. Podmiana adresu administratora to sposób, w jaki skradziony token mógłby przejąć jego konto, więc takie adresy zmienia wyłącznie administrator w Desk & Park.
Każda zmiana przez SCIM trafia do dziennika audytu jako działanie aktora scim-provisioning, obok wszystkiego, co robią administratorzy.

Praktyczne wskazówki

Połącz SCIM z SSO. SCIM zakłada konto, logowanie jednokrotne loguje użytkownika. Desk & Park nie zakłada kont przy pierwszym logowaniu przez SSO, więc to SCIM dba o kompletną listę użytkowników.
Mapuj dział. Zasila on raporty działów, więc liczby z artykułu o tym, ile biurek potrzebuje dział, pozostają aktualne bez ręcznych poprawek.
Zacznij od jednej osoby. Przypisz jednego użytkownika testowego, sprawdź, czy konto pojawia się z właściwym imieniem, nazwiskiem i działem, dezaktywuj je i potwierdź, że sesje się zakończyły, a stałe miejsce wróciło do puli.
Trzymaj token tylko u dostawcy tożsamości. Jeśli trafił gdziekolwiek indziej, wymień go.
Miej dwóch administratorów. Zasada ostatniego administratora Cię chroni, ale dwóch aktywnych administratorów ułatwia każdą zmianę.

Zakres: czego SCIM nie robi

Desk & Park synchronizuje wyłącznie użytkowników. Grupy nie są synchronizowane, a role nie są nadawane przez SCIM: każdy trafia do systemu jako Pracownik, a inne role nadaje administrator w Desk & Park. Zespoły też nie są mapowane, dział owszem. Nie ma bezpośredniej integracji z systemami kadrowymi; SCIM działa między Twoim dostawcą tożsamości a Desk & Park. Entra ID i Okta są obsługiwane przez ich standardowe połączenia SCIM (własna aplikacja w Entra, aplikacja testowa SCIM lub własna aplikacja w Okcie), a nie przez certyfikowany wpis w galerii.

FAQ

Czy SCIM kosztuje w Desk & Park dodatkowo?

Nie. Provisioning SCIM jest dostępny w każdym planie, także w darmowym planie Start. Plany nie ograniczają liczby użytkowników, więc liczba kont zakładanych przez SCIM nie ma limitu.

Co się dzieje ze stałym biurkiem lub miejscem parkingowym osoby, która odchodzi?

Gdy dostawca tożsamości dezaktywuje lub usunie użytkownika, Desk & Park zwalnia jego stałe przypisania biurek i miejsc parkingowych do wspólnej puli i zapisuje w dzienniku audytu, które miejsca zwolniono. Współpracownicy mogą je od razu zarezerwować.

Czy dezaktywowany użytkownik jest wylogowywany natychmiast?

Tak. Dezaktywacja unieważnia wszystkie sesje tej osoby, w tym już wydane tokeny dostępu, więc nie może dalej korzystać z otwartej karty przeglądarki ani telefonu.

Czy przez SCIM można nadawać role lub synchronizować grupy?

Nie. SCIM w Desk & Park obsługuje wyłącznie użytkowników. Nowe konta dostają rolę Pracownik, a role zmienia administrator w Desk & Park. Grupy nie są synchronizowane.

Czy po założeniu konta przez SCIM potrzebne jest hasło?

Nie. Konta założone przez SCIM nie mają hasła. Użytkownicy logują się przez SSO organizacji albo jednorazowym kodem wysłanym e-mailem.