通过 Entra ID 和 Okta 实现 SCIM 开通与离职处理

设想一下 Kasia，一家 180 人公司里唯一的 IT 人员。周五下午，一名销售人员离职。Kasia 在身份提供商中禁用了他的帐号，把笔记本电脑从设备管理中移除，然后关闭了工单。

她没有想到的是工位预订工具。离职者在那里的帐号依然有效。更糟的是，他有一个固定分配的车位 P-14。周一它仍然标记在他名下，所以没人预订，就这样空了三周，直到前台有人问起为什么。

同一个周一，一名新员工入职，却无法预订工位，因为没人给她创建帐号。员工生命周期的两端各有一个小缺口，都源于手工维护用户名单。

SCIM 可以同时补上这两个缺口。下面一步步介绍它在 Desk & Park 中如何运作。

第 1 步：在 Desk & Park 中生成令牌

管理员在组织设置中打开用户开通 (SCIM) 卡片。卡片上有两样需要复制的东西：

SCIM 端点（身份提供商调用的租户 URL）；
一个令牌，通过生成令牌创建。

令牌只显示一次。Desk & Park 只保存它的哈希值，所以如果丢失了，需要轮换令牌，而不是去查找它。轮换令牌会立即使旧令牌失效，吊销则会立即停止开通。随后卡片会显示令牌是否仍在等待首次同步，或身份提供商最近一次同步的时间。

第 2 步：连接 Microsoft Entra ID 或 Okta

Microsoft Entra ID。 在 Entra 管理中心，进入企业应用程序 → 新建应用程序 → 创建你自己的应用程序（非库应用）。在预配下选择自动，将端点粘贴为租户 URL，将令牌粘贴为机密令牌，然后运行测试连接。在属性映射中，userName 必须是电子邮件地址（userPrincipalName 或 mail）；名和姓分别映射到名字和姓氏；active 控制激活和停用；department 为可选项。分配需要访问权限的人员，然后启用预配。

Okta。 使用目录中的 SCIM 2.0 Test App (OAuth Bearer Token)，或启用了 SCIM 的自有应用。将 SCIM 连接器基础 URL 设为该端点，唯一标识符字段设为 userName，身份验证设为 HTTP 标头 Bearer 令牌。启用 Create Users、Update User Attributes 和 Deactivate Users，然后分配人员。

SCIM 适用于所有方案。

第 3 步：有人入职时会发生什么

当 Entra 或 Okta 推送一位新员工时，Desk & Park 会创建帐号，包含：

作为登录名的电子邮件、名和姓、外部 ID，以及（如已映射）部门；
员工角色；
没有密码。员工通过单点登录或一次性电子邮件验证码登录。

于是，周一早上新员工打开 Desk & Park，通过公司的身份提供商登录，就能预订工位。IT 部门完全不用碰预订工具。

所有方案都不限制用户数，因此预配永远不会遇到用户配额：您在身份提供商中分配的每个人都会获得帐号，免费的 Start 方案也是如此。

第 4 步：有人换团队或改名时会发生什么

身份提供商中的变更，例如新的姓氏或调到另一个部门，会在下一次同步时传递过来。随后，这些字段在 Desk & Park 中对该用户锁定：管理员如果尝试编辑姓名或部门，会看到提示，说明这些字段由身份提供商管理，应在那里修改。只有一个可信来源，两个系统之间也不会悄悄产生偏差。

第 5 步：有人离职时会发生什么

这正是 Kasia 关心的部分。当身份提供商发送 active: false 或删除该用户时，Desk & Park 会停用该帐号。停用会同时做三件事：

所有会话立即终止。 包括已经发放到此人浏览器或手机上的访问令牌，而不仅仅是阻止其再次登录。
释放固定分配。 固定分配的工位或车位会回到共享可用池，审计日志会列出释放了哪些空间。车位 P-14 周一就可以被预订。
保留历史记录。 过去的预订会被保留，并继续计入所属时间段的报告。任何内容都不会被硬删除。

如果此人回到公司并在身份提供商中被重新激活，帐号会连同其历史记录恢复为有效状态。固定分配不会自动恢复；如有需要，由管理员重新分配。

管理员在 Desk & Park 中手动停用某人时，也会执行同样的清理，因此结果不取决于走的是哪条路径。

内置安全护栏

开通令牌是一种权限很高的凭据，因此 SCIM 被有意加以限制：

永远不会停用组织中最后一个有效的管理员。 该请求会被拒绝，因此身份提供商中的分配配置错误不会把所有人都锁在门外。
永远不会更改高权限角色帐号的登录电子邮件。 修改管理员的登录地址，正是被盗令牌接管该帐号的手段，因此这些地址只能由管理员在 Desk & Park 中修改。
每一项 SCIM 变更都会记录在审计日志中，操作者为 scim-provisioning，与管理员的其他所有操作并列。

实用建议

SCIM 与 SSO 搭配使用。 SCIM 负责创建帐号；单点登录负责让人登录。Desk & Park 不会在首次 SSO 登录时创建帐号，因此正是 SCIM 让用户名单保持完整。
映射部门。 部门会进入部门报告，因此核定部门规模时用到的数字无需手工修改也能保持准确。
先用一个人测试。 分配一个测试用户，检查帐号是否以正确的姓名和部门出现，然后停用它，确认会话终止、所有固定空间都已释放。
令牌只保存在身份提供商中。 如果它在其他地方出现过，请轮换。
保留两名管理员。 "最后一个管理员"规则可以保护您，但有两名有效管理员，每次变更都会更轻松。

适用范围：SCIM 不做什么

Desk & Park 只开通用户。不同步组，也不通过 SCIM 设置角色：所有人都以员工角色进入，其他角色由管理员在 Desk & Park 中分配。团队也不做映射，映射的是部门。不与 HR 系统直接集成；SCIM 运行在您的身份提供商与 Desk & Park 之间。Entra ID 和 Okta 通过其标准 SCIM 连接获得支持（Entra 中的自定义应用，Okta 中的 SCIM 测试应用或自有应用），而不是通过经过认证的应用库条目。

常见问题

在 Desk & Park 中使用 SCIM 需要额外付费吗？

不需要。SCIM 开通适用于所有方案，包括免费的 Start 方案。方案不限制用户数，因此通过 SCIM 创建的帐号也没有数量上限。

离职者的固定工位或车位会怎样？

当身份提供商停用或删除该用户时，Desk & Park 会把其固定工位和车位分配释放回共享可用池，并在审计日志中记录释放了哪些空间。同事可以立即预订。

被停用的用户会立即被登出吗？

会。停用会吊销此人的所有会话，包括已经发放的访问令牌，因此他无法继续使用已打开的浏览器标签页或手机。

可以通过 SCIM 分配角色或同步组吗？

不可以。Desk & Park 中的 SCIM 只处理用户。新帐号获得员工角色，角色由管理员在 Desk & Park 中更改。不开通组。

开通后员工需要密码吗？

不需要。通过 SCIM 创建的帐号没有密码。员工通过组织的单点登录，或通过电子邮件发送的一次性验证码登录。