Peruntukkan pengguna dengan SCIM

Gunakan panduan ini apabila anda mahukan kawalan kitaran hayat — pengeluaran pengguna mesti menarik balik akses secara automatik, bukan sekadar menyekat log masuk pada masa hadapan. SCIM ialah protokol tolak yang digunakan oleh IdP (Okta, Entra ID dan lain-lain) tepat untuk tujuan itu.

Prasyarat

• SSO sudah berfungsi (tutorial SSO atau panduan OIDC),
• pelayan yang boleh dicapai oleh IdP melalui HTTPS — panggilan SCIM datang daripada IdP, bukan daripada penyemak imbas pengguna. Gunakan terowong terbina dalam (Tetapan → Pelayan → Sambungan & status → Kongsi pelayan ini → Cloudflared/ngrok/Tailscale) atau URL awam. Pelayan yang boleh dicapai hanya melalui geganti WebSocket tidak dapat menerima tolakan SCIM; peruntukan JIT masih berfungsi di situ, panduan ini tidak.

Langkah-langkah

1. Buka Tetapan → Pelayan → Daftar masuk tunggal → kad Peruntukan pengguna (SCIM). Kad itu menunjukkan titik akhir, contohnya https://<your-server>/scim/v2/Users.
2. Tekan Jana token (atau Jana semula token jika satu sudah wujud) — token pembawa muncul sekali dalam dialog dan disalin ke papan klip. Simpan dalam pengurus kata laluan anda; pelayan hanya menyimpan salinan yang boleh disahkan dalam masa malar.
3. Dalam tetapan peruntukan IdP anda, dayakan SCIM dengan:
   • Base URL: titik akhir di atas
   • Authentication: Authorization: Bearer <token>
   • User id: userName (e-mel) atau externalId — kedua-duanya sepadan
4. Uji dengan seorang pengguna: tolak mereka dari IdP, sahkan mereka muncul (penciptaan SCIM menyematkan externalId penyedia pada akaun itu, penyematan yang sama seperti yang ditetapkan oleh log masuk SSO pertama).

Apa yang berlaku semasa nyahperuntukan

Apabila IdP menghantar active: false (atau DELETE), SCIM akan menolak terlebih dahulu jika akaun itu ialah pemilik ruang kerja (pindahkan pemilikan dahulu). Jika tidak:

1. setiap kelayakan peranti ditarik balik terlebih dahulu — sesi langsung digugurkan dalam beberapa saat,
2. setiap keahlian ruang kerja dibuang,
3. akaun ditetapkan sebagai dinyahaktifkan (ia tidak boleh log masuk, apa pun yang IdP katakan kemudian sehingga diaktifkan semula secara eksplisit).

Baris pengguna itu sendiri kekal — atribusi pada tiket, mesej dan commit adalah kekal. Pengaktifan semula (SCIM active: true) memulihkan log masuk tetapi bukan keahlian: keahlian memerlukan jemputan baharu atau polisi ahli automatik semasa log masuk.

Penyelesaian masalah

• 401 pada setiap panggilan — token telah berubah; jana semula dan kemas kini IdP.
• Titik akhir tidak dapat dicapai — terowong terputus, atau pelayan itu hanya boleh dicapai melalui geganti. SCIM memerlukan HTTPS langsung; JIT tetap berfungsi walau apa pun.
• Ralat tolakan kumpulan (501) — disengajakan: pemetaan kumpulan→peranan berlaku semasa log masuk daripada atribut kumpulan SAML/OIDC, bukan daripada kumpulan yang ditolak.