Provisioner brukere med SCIM

Bruk denne veiledningen når du vil ha livssykluskontroll — avslutning av brukere må trekke tilbake tilgangen automatisk, ikke bare blokkere framtidige innlogginger. SCIM er push-protokollen IdP-er (Okta, Entra ID og andre) bruker nettopp til dette.

Forutsetninger

• SSO som allerede fungerer (SSO-veiledningen eller OIDC-veiledningen),
• en server IdP-en kan nå over HTTPS — SCIM-kallene kommer fra IdP-en, ikke fra brukerens nettleser. Bruk den innebygde tunnelen (Innstillinger → Server → Tilkobling og status → Del denne serveren → Cloudflared/ngrok/Tailscale) eller en offentlig URL. En server som bare er nåbar gjennom WebSocket-reléet, kan ikke ta imot SCIM-push; JIT-provisjonering fungerer fortsatt der, men denne veiledningen gjør det ikke.

Fremgangsmåte

1. Åpne Innstillinger → Server → Enkel pålogging → kortet Brukerprovisjonering (SCIM). Kortet viser endepunktet, f.eks. https://<your-server>/scim/v2/Users.
2. Trykk Generer token (eller Regenerer token hvis det allerede finnes ett) — bearer-tokenet vises én gang i en dialog og kopieres til utklippstavlen. Oppbevar det i passordbehandleren din; serveren beholder bare en kopi som kan verifiseres i konstant tid.
3. Slå på SCIM i provisjoneringsinnstillingene til IdP-en din med:
   • Base URL: endepunktet ovenfor
   • Authentication: Authorization: Bearer <token>
   • User id: userName (e-post) eller externalId — begge passer
4. Test med én bruker: push vedkommende fra IdP-en og bekreft at de dukker opp (en SCIM-oppretting fester leverandørens externalId til kontoen, samme feste som den første SSO-innloggingen setter).

Hva deprovisjonering gjør

Når IdP-en sender active: false (eller DELETE), avviser SCIM først hvis kontoen er eier av et arbeidsområde (overfør eierskapet først). Ellers:

1. tilbakekalles all enhetslegitimasjon først — aktive økter faller innen sekunder,
2. fjernes alle medlemskap i arbeidsområder,
3. merkes kontoen som deaktivert (den kan aldri logge inn, uansett hva IdP-en sier senere, før den uttrykkelig reaktiveres).

Selve brukerraden består — attribusjonen på saker, meldinger og commits er permanent. Reaktivering (SCIM active: true) gjenoppretter innloggingen, men ikke medlemskapene: de trenger en ny invitasjon eller retningslinjen for automatisk medlemskap ved innlogging.

Feilsøking

• 401 på hvert kall — tokenet er endret; generer et nytt og oppdater IdP-en.
• Endepunktet er ikke nåbart — tunnelen er nede, eller serveren er bare tilgjengelig via reléet. SCIM trenger direkte HTTPS; JIT fortsetter å virke uansett.
• Feil ved gruppe-push (501) — med vilje: tilordningen gruppe→rolle skjer ved innlogging fra gruppeattributtene i SAML/OIDC, ikke fra grupper som pushes.