Provisionă utilizatori cu SCIM

Folosește acest ghid când vrei control asupra ciclului de viață — offboarding-ul trebuie să revoce accesul automat, nu doar să blocheze autentificările viitoare. SCIM este protocolul de tip push pe care IdP-urile (Okta, Entra ID și altele) îl folosesc exact în acest scop.

Cerințe preliminare

• SSO deja funcțional (tutorialul SSO sau ghidul OIDC),
• un server pe care IdP-ul îl poate accesa prin HTTPS — apelurile SCIM vin de la IdP, nu din browserul utilizatorului. Folosește tunelul integrat (Setări → Server → Conexiune și stare → Partajează acest server → Cloudflared/ngrok/Tailscale) sau un URL public. Un server accesibil doar prin releul WebSocket nu poate primi push-uri SCIM; provisionarea JIT funcționează și acolo, acest ghid nu.

Pași

1. Deschide Setări → Server → Autentificare unică → cardul Provisionare utilizatori (SCIM). Cardul afișează endpointul, de ex. https://<your-server>/scim/v2/Users.
2. Apasă Generează token (sau Regenerează tokenul dacă există deja unul) — bearer tokenul apare o singură dată într-un dialog și este copiat în clipboard. Salvează-l în managerul tău de parole; serverul păstrează doar o copie verificabilă în timp constant.
3. În setările de provisionare ale IdP-ului tău, activează SCIM cu:
   • URL de bază: endpointul de mai sus
   • Autentificare: Authorization: Bearer <token>
   • ID utilizator: userName (email) sau externalId — ambele se potrivesc
4. Testează cu un singur utilizator: trimite-l din IdP, confirmă că apare (crearea prin SCIM fixează externalId al furnizorului pe cont, aceeași fixare pe care o setează prima autentificare SSO).

Ce face deprovisionarea

Când IdP-ul trimite active: false (sau DELETE), SCIM refuză mai întâi dacă contul este proprietar al unui spațiu de lucru (transferă mai întâi proprietatea). În caz contrar:

1. fiecare credențial de dispozitiv este revocat mai întâi — sesiunile active cad în câteva secunde,
2. fiecare apartenență la un spațiu de lucru este eliminată,
3. contul este marcat ca dezactivat (nu se mai poate autentifica niciodată, indiferent ce spune IdP-ul mai târziu, până când nu este reactivat explicit).

Rândul utilizatorului în sine supraviețuiește — atribuirea pe tichete, mesaje și commit-uri este permanentă. Reactivarea (SCIM active: true) restaurează autentificarea, dar nu apartenențele: acestea au nevoie de o invitație nouă sau de politica de membru automat aplicată la autentificare.

Depanare

• 401 la fiecare apel — tokenul s-a schimbat; regenerează-l și actualizează IdP-ul.
• Endpointul nu este accesibil — tunelul este oprit sau serverul funcționează doar prin releu. SCIM are nevoie de HTTPS direct; JIT continuă să funcționeze indiferent.
• Erori de push pentru grupuri (501) — intenționat: maparea grup→rol are loc la autentificare, din atributele de grup SAML/OIDC, nu din grupurile trimise.