以 Entra ID 與 Okta 進行 SCIM 佈建與離職處理

想像一下 Kasia，一家 180 人公司裡唯一的 IT 人員。星期五下午，一位業務離職了。Kasia 在身分識別提供者中停用他的帳號，把筆電從裝置管理中移除，然後結案。

她沒想到的是工位預訂工具。離職者在那裡的帳號仍然有效。更糟的是，他有一個固定指派的停車位 P-14。到了星期一，它仍標示為他的，所以沒有人預訂，就這樣空了三個星期，直到接待處有人問起為什麼。

同一個星期一，一位新進員工報到，卻無法預訂工位，因為沒有人替她建立帳號。兩個小缺口，分別在員工生命週期的兩端，而兩者都來自手動維護使用者名單。

SCIM 能同時補上這兩個缺口。以下逐步說明它在 Desk & Park 中如何運作。

步驟 1：在 Desk & Park 中產生權杖

在組織設定中，管理員打開 使用者佈建 (SCIM) 卡片。卡片上有兩樣東西要複製：

SCIM 端點（身分識別提供者呼叫的租用戶 URL）；
一個權杖，以 產生權杖 建立。

權杖只會顯示一次。Desk & Park 只保存它的雜湊值，所以如果弄丟了，您要做的是輪替它，而不是去查詢。輪替權杖 會立即讓舊權杖失效，撤銷則會立刻停止佈建。之後卡片會告訴您，權杖是否仍在等待第一次同步，或身分識別提供者上次同步的時間。

步驟 2：連接 Microsoft Entra ID 或 Okta

Microsoft Entra ID。 在 Entra 系統管理中心，前往 企業應用程式 → 新增應用程式 → 建立您自己的應用程式（非資源庫應用程式）。在佈建下選擇自動，把端點貼到 租用戶 URL、權杖貼到 祕密權杖，然後執行 測試連線。在屬性對應中，userName 必須是電子郵件地址（userPrincipalName 或 mail）；名字與姓氏分別對應到名和姓；active 控制啟用與停用；department 為選用。指派應該擁有存取權的人員，然後開啟佈建。

Okta。 使用目錄中的 SCIM 2.0 Test App (OAuth Bearer Token)，或是您自己啟用了 SCIM 的應用程式。將 SCIM connector base URL 設為端點，unique identifier field 設為 userName，驗證方式設為 HTTP header bearer token。啟用 Create Users、Update User Attributes 和 Deactivate Users，然後指派人員。

SCIM 適用於所有方案。

步驟 3：有人加入時會發生什麼

當 Entra 或 Okta 推送一位新人員時，Desk & Park 會建立帳號，內容包括：

以電子郵件作為登入帳號、名字與姓氏、外部 ID，以及（若您有對應的話）部門；
員工角色；
沒有密碼。使用者透過單一登入或一次性電子郵件驗證碼登入。

所以星期一早上，新進員工打開 Desk & Park，透過公司的身分識別提供者登入，然後預訂工位。IT 部門完全沒碰預訂工具。

所有方案都不限制使用者人數，因此佈建永遠不會碰到使用者配額：您在身分識別提供者中指派的每個人都會取得帳號，免費的 Start 方案也一樣。

步驟 4：有人換團隊或改名時會發生什麼

身分識別提供者中的變更，例如新的姓氏或調到另一個部門，會在下次同步時傳過來。之後在 Desk & Park 中，該使用者的這些欄位會被鎖定：管理員若試圖編輯姓名或部門，會看到它們由身分識別提供者管理，應該在那裡修改。單一可信來源，兩個系統之間也不會悄悄產生落差。

步驟 5：有人離職時會發生什麼

這是 Kasia 在意的部分。當身分識別提供者送出 active: false，或刪除該使用者時，Desk & Park 會停用這個帳號。停用會同時做三件事：

所有工作階段立即結束。 包括已經發給該人瀏覽器或手機的存取權杖，而不只是讓他無法再次登入。
固定指派被釋出。 固定指派的工位或停車位會回到共用池，稽核日誌會列出釋出了哪些空間。P-14 車位在星期一就能被預訂。
歷史紀錄保留。 過去的預訂會被保留，並仍計入所屬期間的報告。沒有任何東西被永久刪除。

如果這個人回來，並在身分識別提供者中被重新啟用，帳號會連同歷史紀錄一起恢復啟用。固定指派不會自動恢復；若有需要，由管理員重新指派。

管理員在 Desk & Park 中手動停用某人時，也會執行同樣的清理，所以結果不取決於走哪一條路。

內建的安全護欄

佈建權杖是威力強大的憑證，因此 SCIM 刻意受到限制：

它絕不會停用組織中最後一位啟用中的管理員。 這類請求會被拒絕，所以身分識別提供者中一個設定錯誤的指派，不會把所有人都鎖在門外。
它絕不會變更較高權限角色帳號的登入電子郵件。 變更管理員的登入地址，正是被竊權杖接管該帳號的手法，所以這些地址只能由管理員在 Desk & Park 中變更。
每一項 SCIM 變更都會記錄在稽核日誌中，執行者為 scim-provisioning，與管理員所做的其他一切並列。

實用建議

把 SCIM 與 SSO 搭配使用。 SCIM 建立帳號；單一登入讓人登入。Desk & Park 不會在第一次 SSO 登入時建立帳號，所以讓使用者名單保持完整的是 SCIM。
對應部門欄位。 它會餵給部門報告，讓〈一個部門到底需要多少工位？〉中的數字不必手動編輯也能保持準確。
先用一個人測試。 指派一位測試使用者，確認帳號以正確的姓名和部門出現，再將它停用，並確認工作階段已結束、任何固定空間都已釋出。
權杖只存放在身分識別提供者中。 如果它曾出現在其他地方，就輪替它。
保留兩位管理員。 最後一位管理員的規則能保護您，但有兩位啟用中的管理員，任何變更都會更容易。

範圍：SCIM 不做什麼

Desk & Park 只佈建使用者。群組不會同步，角色也不透過 SCIM 設定：每個人都以員工身分加入，由管理員在 Desk & Park 中指派其他角色。團隊也不會對應，對應的是部門。沒有與人資系統的直接整合；SCIM 是在您的身分識別提供者與 Desk & Park 之間運作。Entra ID 和 Okta 是透過它們標準的 SCIM 連線支援（Entra 中的自訂應用程式，Okta 中的 SCIM 測試應用程式或您自己的應用程式），而不是透過經認證的資源庫上架項目。

常見問題

在 Desk & Park 使用 SCIM 需要額外付費嗎？

不需要。SCIM 佈建適用於所有方案，包括免費的 Start 方案。方案不限制使用者人數，因此透過 SCIM 建立的帳號也沒有數量上限。

離職者的固定工位或停車位會怎樣？

當身分識別提供者停用或刪除該使用者時，Desk & Park 會把他的固定工位與停車位指派釋出回共用池，並在稽核日誌中記錄釋出了哪些空間。同事可以立刻預訂。

被停用的使用者會立即被登出嗎？

會。停用會撤銷該人的所有工作階段，包括已發出的存取權杖，所以他無法繼續使用已開啟的瀏覽器分頁或手機。

我們可以透過 SCIM 指派角色或同步群組嗎？

不行。Desk & Park 的 SCIM 只處理使用者。新帳號會取得員工角色，由管理員在 Desk & Park 中變更角色。群組不會被佈建。

被佈建的人需要密碼嗎？

不需要。透過 SCIM 建立的帳號沒有密碼。使用者透過貴組織的單一登入，或以電子郵件寄送的一次性驗證碼登入。