Provisioning uživatelů přes SCIM

Tenhle návod použij, když chceš řídit životní cyklus — odchod musí přístup odebrat automaticky, nestačí jen zablokovat další přihlášení. SCIM je push protokol, který na tohle používají IdP (Okta, Entra ID a další).

Předpoklady

• SSO už funguje (tutoriál SSO nebo návod k OIDC),
• server, na který se IdP dostane přes HTTPS — volání SCIM jdou z IdP, ne z prohlížeče uživatele. Použij vestavěný tunel (Nastavení → Server → Připojení a stav → Sdílet tento server → Cloudflared/ngrok/Tailscale) nebo veřejnou URL. Server dostupný jen přes WebSocket relé push SCIM nepřijme; JIT provisioning tam pořád funguje, tenhle návod ne.

Postup

1. Otevři Nastavení → Server → Jednotné přihlášení → kartu Provisionování uživatelů (SCIM). Karta ukáže endpoint, např. https://<your-server>/scim/v2/Users.
2. Stiskni Vygenerovat token (nebo Znovu vygenerovat token, když už jeden existuje) — bearer token se v dialogu objeví jen jednou a zkopíruje se do schránky. Ulož ho do správce hesel; server si nechá jen kopii ověřitelnou v konstantním čase.
3. V nastavení provisioningu u IdP zapni SCIM takto:
   • Základní URL: endpoint výše
   • Ověření: Authorization: Bearer <token>
   • Id uživatele: userName (e-mail) nebo externalId — obojí se shoduje
4. Vyzkoušej to na jednom uživateli: pošli ho z IdP a ověř, že se objeví (vytvoření přes SCIM připne na účet externalId poskytovatele, stejné připnutí jako při prvním přihlášení přes SSO).

Co deprovisioning udělá

Když IdP pošle active: false (nebo DELETE), SCIM požadavek nejdřív odmítne, pokud je účet vlastník pracovního prostoru (vlastnictví nejdřív předej). Jinak:

1. nejdřív se odvolá každý přihlašovací údaj zařízení — živé relace spadnou během sekund,
2. odebere se každé členství v pracovním prostoru,
3. účet se označí jako deaktivovaný (už se nepřihlásí, ať IdP později říká cokoli, dokud ho výslovně znovu neaktivuješ).

Řádek uživatele sám zůstane — atribuce u ticketů, zpráv a commitů je trvalá. Reaktivace (SCIM active: true) obnoví přihlášení, ale ne členství: ta potřebují novou pozvánku, nebo politiku automatického členství při přihlášení.

Řešení problémů

• 401 u každého volání — token se změnil; vygeneruj ho znovu a aktualizuj IdP.
• Na endpoint se nedá dostat — tunel neběží, nebo je server jen přes relé. SCIM potřebuje přímé HTTPS; JIT funguje dál bez ohledu na to.
• Chyby pushu skupin (501) — schválně: mapování skupina→role proběhne při přihlášení z atributů skupin SAML/OIDC, ne z natlačených skupin.