Provizionare și offboarding SCIM cu Entra ID și Okta

Gândește-te la Kasia, singura persoană din echipa IT a unei companii cu 180 de angajați. Vineri după-amiază pleacă un agent de vânzări. Kasia îi dezactivează contul în furnizorul de identitate, scoate laptopul din sistemul de gestionare a dispozitivelor și închide tichetul.

La ce nu se gândește este instrumentul de rezervare a birourilor. Contul celui care a plecat rămâne activ acolo. Mai rău, avea un loc de parcare atribuit permanent, P-14. Luni, locul este încă marcat ca fiind al lui, așa că nimeni nu îl rezervă, iar el stă gol trei săptămâni, până când cineva de la recepție întreabă de ce.

În aceeași zi de luni sosește o angajată nouă, care nu poate rezerva un birou, pentru că nimeni nu i-a creat contul. Două mici goluri, câte unul la fiecare capăt al ciclului de viață al angajatului, și ambele provin din gestionarea manuală a listei de utilizatori.

SCIM le închide pe amândouă. Iată cum funcționează în Desk & Park, pas cu pas.

Pasul 1: generează tokenul în Desk & Park

În setările organizației, un administrator deschide cardul Provizionarea utilizatorilor (SCIM). Acesta afișează două lucruri de copiat:

• endpointul SCIM (Tenant URL-ul pe care îl apelează furnizorul tău de identitate);
• un token, creat cu Generează token.

Tokenul este afișat o singură dată. Desk & Park păstrează doar un hash al lui, așa că, dacă îl pierzi, îl rotești în loc să-l cauți. Rotește tokenul îl invalidează imediat pe cel vechi, iar Revocă oprește provizionarea pe loc. Cardul îți spune apoi dacă tokenul încă așteaptă prima sincronizare sau când a sincronizat ultima dată furnizorul de identitate.

Pasul 2: conectează Microsoft Entra ID sau Okta

Microsoft Entra ID. În Entra admin center, mergi la Enterprise applications → New application → Create your own application (o aplicație din afara galeriei). La Provisioning, alege Automatic, lipește endpointul ca Tenant URL și tokenul ca Secret Token și rulează Test Connection. În asocierile de atribute, userName trebuie să fie adresa de e-mail (userPrincipalName sau mail); prenumele și numele de familie se asociază câmpurilor corespunzătoare; active controlează activarea și dezactivarea; department este opțional. Atribuie persoanele care trebuie să aibă acces și pornește provizionarea.

Okta. Folosește SCIM 2.0 Test App (OAuth Bearer Token) din catalog sau propria aplicație cu SCIM activat. Setează URL-ul de bază al conectorului SCIM la endpoint, câmpul de identificator unic la userName și autentificarea la un bearer token în antetul HTTP. Activează Create Users, Update User Attributes și Deactivate Users, apoi atribuie persoanele.

SCIM este disponibil în toate planurile.

Pasul 3: ce se întâmplă când cineva se alătură

Când Entra sau Okta trimite o persoană nouă, Desk & Park creează contul cu:

• e-mailul ca nume de autentificare, prenumele și numele, ID-ul extern și, dacă îl asociezi, departamentul;
• rolul Angajat;
• fără parolă. Oamenii se autentifică prin single sign-on sau cu un cod unic primit pe e-mail.

Astfel, luni dimineață, noua angajată deschide Desk & Park, se autentifică prin furnizorul de identitate al companiei și rezervă un birou. Nimeni din IT nu a atins instrumentul de rezervare.

Niciun plan nu limitează numărul de utilizatori, așa că provizionarea nu se lovește niciodată de o cotă de utilizatori: fiecare persoană pe care o aloci în furnizorul de identitate primește un cont, inclusiv în planul gratuit Start.

Pasul 4: ce se întâmplă când cineva schimbă echipa sau numele

O modificare în furnizorul de identitate, de exemplu un nume de familie nou sau mutarea într-un alt departament, se propagă la următoarea sincronizare. În Desk & Park, aceste câmpuri sunt apoi blocate pentru utilizatorul respectiv: un administrator care încearcă să editeze numele sau departamentul vede că sunt gestionate de furnizorul de identitate și trebuie modificate acolo. O singură sursă de adevăr și nicio deviere tăcută între două sisteme.

Pasul 5: ce se întâmplă când cineva pleacă

Aceasta este partea care o interesează pe Kasia. Când furnizorul de identitate trimite active: false sau șterge utilizatorul, Desk & Park dezactivează contul. Dezactivarea face trei lucruri deodată:

1. Toate sesiunile se încheie imediat. Inclusiv tokenurile de acces deja emise pentru browserul sau telefonul persoanei, nu doar posibilitatea de a se autentifica din nou.
2. Atribuirile permanente sunt eliberate. Un birou sau un loc de parcare atribuit permanent se întoarce în fondul comun, iar jurnalul de audit listează ce spații au fost eliberate. Locul P-14 poate fi rezervat luni.
3. Istoricul rămâne. Rezervările anterioare sunt păstrate și contează în continuare în rapoartele pentru perioadele cărora le aparțin. Nimic nu este șters definitiv.

Dacă persoana revine și este reactivată în furnizorul de identitate, contul devine din nou activ, cu istoricul său. Atribuirile permanente nu sunt restaurate automat; un administrator le atribuie din nou, dacă este nevoie.

Aceeași curățenie se face și atunci când un administrator dezactivează manual pe cineva în Desk & Park, așa că rezultatul nu depinde de calea folosită.

Măsuri de siguranță integrate

Un token de provizionare este o credențială puternică, așa că SCIM este limitat în mod deliberat:

• Nu dezactivează niciodată ultimul administrator activ al organizației. Cererea este refuzată, astfel încât o atribuire greșit configurată în furnizorul de identitate nu poate bloca accesul tuturor.
• Nu schimbă niciodată e-mailul de autentificare al unui cont cu un rol privilegiat. Schimbarea adresei de autentificare a unui administrator este modul în care un token furat ar putea prelua acel cont, așa că aceste adrese sunt modificate doar de un administrator, în Desk & Park.
• Fiecare modificare SCIM este înregistrată în jurnalul de audit sub actorul scim-provisioning, alături de tot ce fac administratorii.

Sfaturi practice

• Combină SCIM cu SSO. SCIM creează contul; single sign-on autentifică persoana. Desk & Park nu creează conturi la prima autentificare prin SSO, așa că SCIM este cel care menține lista de utilizatori completă.
• Asociază departamentul. El alimentează rapoartele pe departamente, astfel încât cifrele din dimensionarea unui departament rămân corecte fără editări manuale.
• Testează mai întâi cu o singură persoană. Atribuie un singur utilizator de test, verifică dacă contul apare cu numele și departamentul corecte, dezactivează-l și confirmă că sesiunile se încheie și că orice spațiu permanent este eliberat.
• Păstrează tokenul doar în furnizorul de identitate. Dacă a ajuns și în altă parte, rotește-l.
• Păstrează doi administratori. Regula ultimului administrator te protejează, dar doi administratori activi fac orice modificare mai ușoară.

Ce nu face SCIM

Desk & Park provizionează doar utilizatori. Grupurile nu sunt sincronizate, iar rolurile nu sunt setate prin SCIM: toată lumea ajunge ca Angajat, iar administratorii atribuie celelalte roluri în Desk & Park. Nici echipele nu sunt asociate; departamentul este. Nu există o integrare directă cu sisteme HR; SCIM funcționează între furnizorul tău de identitate și Desk & Park. Entra ID și Okta sunt acceptate prin conexiunile lor SCIM standard (o aplicație personalizată în Entra, aplicația de test SCIM sau propria aplicație în Okta), nu printr-o listare certificată în galerie.

Întrebări frecvente