Настроить пользователей через SCIM

Обратитесь к этому руководству, когда вам нужен контроль жизненного цикла: при увольнении доступ должен отзываться автоматически, а не просто блокировать будущие входы. SCIM — это протокол, с помощью которого IdP (Okta, Entra ID и другие) передают такие изменения по своей инициативе, и именно для этого он и предназначен.

Предварительные требования

• единый вход уже работает (учебник по SSO или руководство по OIDC),
• сервер, доступный IdP по HTTPS — вызовы SCIM исходят от IdP, а не из браузера пользователя. Используйте встроенный туннель (Настройки → Сервер → Подключение и состояние → Открыть доступ к серверу → Cloudflared/ngrok/Tailscale) или публичный URL. Сервер, доступный только через ретранслятор WebSocket, не может принимать push-вызовы SCIM; JIT-подготовка там по-прежнему работает, а это руководство — нет.

Шаги

1. Откройте Настройки → Сервер → Единый вход → карточку Подготовка пользователей (SCIM). Карточка показывает эндпоинт, например https://<your-server>/scim/v2/Users.
2. Нажмите Создать токен (или Перевыпустить токен, если он уже есть) — bearer-токен показывается один раз в диалоге и копируется в буфер обмена. Сохраните его в менеджере паролей; сервер хранит только копию, допускающую сравнение за постоянное время.
3. В настройках подготовки пользователей вашего IdP включите SCIM со следующими параметрами:
   • Base URL: эндпоинт, указанный выше
   • Authentication: Authorization: Bearer <token>
   • User id: userName (email) или externalId — подходят оба
4. Проверьте на одном пользователе: отправьте его из IdP и убедитесь, что он появился (при создании через SCIM externalId провайдера привязывается к учётной записи — та же привязка, которую задаёт первый вход через SSO).

Что делает отзыв доступа

Когда IdP отправляет active: false (или DELETE), SCIM сначала отказывает, если учётная запись — владелец рабочего пространства (сначала передайте владение). В остальных случаях:

1. сначала отзываются учётные данные всех устройств — активные сессии обрываются за секунды,
2. удаляется участие во всех рабочих пространствах,
3. учётная запись помечается как деактивированная (она больше не сможет войти, что бы IdP ни говорил позже, пока её явно не активируют снова).

Сама запись пользователя сохраняется — авторство тикетов, сообщений и коммитов неизменно. Повторная активация (SCIM active: true) восстанавливает вход, но не участие в рабочих пространствах: для него нужно новое приглашение или политика автоматического добавления участников при входе.

Устранение неполадок

• 401 при каждом вызове — токен изменился; перевыпустите его и обновите IdP.
• Эндпоинт недоступен — туннель не работает или сервер доступен только через ретранслятор. SCIM требуется прямой HTTPS; JIT-подготовка работает в любом случае.
• Ошибки при передаче групп (501) — это сделано намеренно: сопоставление группа→роль выполняется при входе по атрибутам групп SAML/OIDC, а не по переданным группам.