Felhasználók provisionálása SCIM-mel

Akkor használja ezt az útmutatót, ha életciklus-vezérlést szeretne — a kiléptetésnek automatikusan vissza kell vonnia a hozzáférést, nem csak a jövőbeli bejelentkezéseket kell letiltania. A SCIM az a push-protokoll, amelyet az IdP-k (Okta, Entra ID és mások) pontosan erre használnak.

Előfeltételek

• működő SSO (az SSO-oktatóanyag vagy az OIDC-útmutató),
• az IdP által HTTPS-en elérhető szerver — a SCIM-hívások az IdP-től érkeznek, nem a felhasználó böngészőjéből. Használja a beépített alagutat (Beállítások → Szerver → Kapcsolat és állapot → Szerver megosztása → Cloudflared/ngrok/Tailscale), vagy egy nyilvános URL-t. Az a szerver, amely csak a WebSocket-relayen keresztül érhető el, nem tud SCIM-pushokat fogadni; a JIT-provisioning ott is működik, ez az útmutató viszont nem.

Lépések

1. Nyissa meg a Beállítások → Szerver → Egyszeri bejelentkezés oldalt → a Felhasználó-provisioning (SCIM) kártyát. A kártya mutatja a végpontot, például: https://<your-server>/scim/v2/Users.
2. Nyomja meg a Token generálása gombot (vagy a Token újragenerálása gombot, ha már létezik token) — a bearer token egyszer jelenik meg egy párbeszédablakban, és a vágólapra másolódik. Tárolja jelszókezelőben; a szerver csak egy konstans időben ellenőrizhető másolatot őriz meg.
3. Az IdP provisioningbeállításaiban engedélyezze a SCIM-et a következőkkel:
   • Alap URL: a fenti végpont
   • Hitelesítés: Authorization: Bearer <token>
   • Felhasználói azonosító: userName (e-mail) vagy externalId — mindkettő megfelel
4. Tesztelje egyetlen felhasználóval: küldje át a felhasználót az IdP-ből, és ellenőrizze, hogy megjelenik (a SCIM-létrehozás rögzíti a szolgáltató externalId értékét a fiókon, ugyanazt a rögzítést, amelyet az első SSO-bejelentkezés is elvégez).

Mit tesz a deprovisionálás

Amikor az IdP active: false értéket (vagy DELETE műveletet) küld, a SCIM először megtagadja a műveletet, ha a fiók egy munkaterület tulajdonosa (előbb adja át a tulajdonjogot). Ellenkező esetben:

1. először minden eszközhitelesítő adat visszavonásra kerül — az élő munkamenetek másodperceken belül megszakadnak,
2. minden munkaterület-tagság eltávolításra kerül,
3. a fiók deaktiváltként jelölődik meg (soha nem tud bejelentkezni, bármit mond is később az IdP, amíg kifejezetten újra nem aktiválják).

Maga a felhasználói sor megmarad — a jegyekhez, üzenetekhez és commitokhoz fűződő hozzárendelés végleges. Az újraaktiválás (SCIM active: true) helyreállítja a bejelentkezést, de a tagságokat nem: azokhoz új meghívóra vagy a bejelentkezéskori automatikus tagsági szabályzatra van szükség.

Hibaelhárítás

• Minden hívásra 401 — a token megváltozott; generáljon újat, és frissítse az IdP-t.
• A végpont nem érhető el — az alagút nem működik, vagy a szerver csak relayen keresztül érhető el. A SCIM-nek közvetlen HTTPS-re van szüksége; a JIT ettől függetlenül tovább működik.
• Csoportpush-hibák (501) — szándékos: a csoport→szerep leképezés bejelentkezéskor történik a SAML/OIDC csoportattribútumaiból, nem a pusholt csoportokból.