Benutzer mit SCIM provisionieren

Nutze diese Anleitung, wenn du den Lebenszyklus steuern willst — beim Offboarding muss der Zugriff automatisch entzogen werden, nicht nur künftige Anmeldungen gesperrt. SCIM ist das Push-Protokoll, mit dem IdPs (Okta, Entra ID und andere) genau das tun.

Voraussetzungen

• SSO läuft bereits (das SSO-Tutorial oder die OIDC-Anleitung),
• ein Server, den der IdP über HTTPS erreicht — die SCIM-Aufrufe kommen vom IdP, nicht aus dem Browser der Person. Nutze den eingebauten Tunnel (Einstellungen → Server → Verbindung und Status → Diesen Server teilen → Cloudflared/ngrok/Tailscale) oder eine öffentliche URL. Ein Server, der nur über das WebSocket-Relay erreichbar ist, empfängt keine SCIM-Pushes; die JIT-Provisionierung funktioniert dort weiter, diese Anleitung nicht.

Schritte

1. Öffne Einstellungen → Server → Single sign-on → die Karte Benutzerbereitstellung (SCIM). Die Karte zeigt den Endpoint, z. B. https://<your-server>/scim/v2/Users.
2. Klicke auf Token erzeugen (oder Token neu generieren, wenn schon eines existiert) — das Bearer-Token erscheint einmal in einem Dialog und liegt in der Zwischenablage. Lege es im Passwortmanager ab; der Server behält nur eine Kopie, die sich in konstanter Zeit prüfen lässt.
3. Aktiviere SCIM in den Provisionierungseinstellungen deines IdP mit:
   • Base URL: der Endpoint oben
   • Authentication: Authorization: Bearer <token>
   • User id: userName (E-Mail) oder externalId — beides passt
4. Teste mit einer Person: lege sie per Push vom IdP an und prüfe, dass sie erscheint (ein SCIM-Create schreibt die externalId des Anbieters am Konto fest, dieselbe Festschreibung wie die erste SSO-Anmeldung).

Was die Deprovisionierung bewirkt

Sendet der IdP active: false (oder DELETE), lehnt SCIM zuerst ab, wenn das Konto Eigentümer eines Arbeitsbereichs ist (übertrage die Eigentümerschaft zuerst). Sonst:

1. zuerst werden alle Geräteanmeldedaten widerrufen — laufende Sitzungen fallen innerhalb von Sekunden weg,
2. jede Mitgliedschaft im Arbeitsbereich wird entfernt,
3. das Konto wird als deaktiviert gestempelt (anmelden kann es sich nie, egal was der IdP später sagt, bis es ausdrücklich reaktiviert wird).

Die User-Zeile selbst bleibt — die Zuordnung zu Tickets, Nachrichten und Commits ist dauerhaft. Eine Reaktivierung (SCIM active: true) stellt die Anmeldung wieder her, die Mitgliedschaften aber nicht: dafür braucht es eine neue Einladung oder die Auto-Member-Richtlinie bei der Anmeldung.

Fehlersuche

• 401 bei jedem Aufruf — das Token hat sich geändert; generiere es neu und aktualisiere den IdP.
• Der Endpoint ist nicht erreichbar — der Tunnel ist ausgefallen, oder der Server ist nur über das Relay erreichbar. SCIM braucht direktes HTTPS; die JIT-Provisionierung funktioniert weiter.
• Fehler beim Gruppen-Push (501) — absichtlich: die Zuordnung Gruppe→Rolle passiert bei der Anmeldung aus den Gruppenattributen von SAML und OIDC, nicht aus per Push gelieferten Gruppen.