הקצאת משתמשים עם SCIM

השתמשו במדריך הזה כשרוצים שליטה על מחזור החיים — יציאת משתמשים צריכה לשלול גישה באופן אוטומטי, לא רק לחסום כניסות עתידיות. SCIM הוא פרוטוקול הדחיפה שספקי זהויות (Okta, Entra ID ואחרים) משתמשים בו בדיוק לשם כך.

דרישות מוקדמות

• SSO שכבר עובד (מדריך ה-SSO או מדריך OIDC),
• שרת שה-IdP יכול להגיע אליו דרך HTTPS — קריאות SCIM יוצאות מה-IdP, ולא מהדפדפן של המשתמש. השתמשו במנהרה המובנית (הגדרות ← שרת ← חיבור וסטטוס ← שתף שרת זה ← Cloudflared/ngrok/Tailscale) או בכתובת ציבורית. שרת שנגיש רק דרך ממסר ה-WebSocket אינו יכול לקבל דחיפות SCIM; הקצאת JIT עדיין עובדת שם, המדריך הזה לא.

שלבים

1. פתחו את הגדרות ← שרת ← כניסה מאוחדת ← הכרטיס הקצאת משתמשים (SCIM). הכרטיס מציג את נקודת הקצה, למשל https://<your-server>/scim/v2/Users.
2. לחצו על יצירת אסימון גישה (או יצירת אסימון מחדש אם כבר קיים אחד) — אסימון ה-bearer מופיע פעם אחת בדיאלוג ומועתק ללוח. שמרו אותו במנהל הסיסמאות שלכם; השרת שומר רק עותק שניתן לאמת בזמן קבוע.
3. בהגדרות ההקצאה של ה-IdP, הפעילו SCIM עם:
   • Base URL: נקודת הקצה שלמעלה
   • Authentication: Authorization: Bearer <token>
   • User id: userName (דוא“ל) או externalId — שניהם מתאימים
4. בדקו עם משתמש אחד: דחפו אותו מה-IdP ואמתו שהוא מופיע (יצירה ב-SCIM מקבעת את ה-externalId של הספק על החשבון — אותו קיבוע שכניסת SSO ראשונה קובעת).

מה עושה ביטול הקצאה

כשה-IdP שולח active: false (או DELETE), SCIM מסרב תחילה אם החשבון הוא בעלים של סביבת עבודה (יש להעביר בעלות קודם). אחרת:

1. כל פרטי הגישה של המכשירים נשללים תחילה — סשנים פעילים נופלים בתוך שניות,
2. כל חברות בסביבת עבודה מוסרת,
3. החשבון מסומן כלא פעיל (הוא לא יוכל עוד להתחבר, יהא אשר יהא מה שה-IdP יגיד בהמשך, עד שיופעל מחדש במפורש).

שורת המשתמש עצמה שורדת — הייחוס בכרטיסים, בהודעות ובקומיטים הוא קבוע. הפעלה מחדש (SCIM active: true) מחזירה את הכניסה אבל לא את החברויות: אלה זקוקות להזמנה חדשה או למדיניות החברות האוטומטית בזמן הכניסה.

פתרון תקלות

• 401 בכל קריאה — האסימון השתנה; צרו אותו מחדש ועדכנו את ה-IdP.
• נקודת הקצה אינה נגישה — המנהרה לא פעילה, או שהשרת מבוסס ממסר בלבד. SCIM זקוק ל-HTTPS ישיר; JIT ממשיך לעבוד בכל מקרה.
• שגיאות בדחיפת קבוצות (501) — מכוון: מיפוי קבוצה→תפקיד מתבצע בזמן הכניסה מתוך מאפייני הקבוצה של SAML/OIDC, ולא מקבוצות שנדחפות.