Provisionera användare med SCIM

Använd den här guiden när du vill ha livscykelkontroll — vid avslut måste åtkomsten återkallas automatiskt, inte bara framtida inloggningar blockeras. SCIM är push-protokollet som IdP:er (Okta, Entra ID med flera) använder för just det.

Förutsättningar

• SSO som redan fungerar (SSO-guiden eller OIDC-guiden),
• en server som IdP:n kan nå över HTTPS — SCIM-anropen kommer från IdP:n, inte från användarens webbläsare. Använd den inbyggda tunneln (Inställningar → Server → Anslutning och status → Dela den här servern → Cloudflared/ngrok/Tailscale) eller en publik URL. En server som bara nås via WebSocket-reläet kan inte ta emot SCIM-pushar; JIT-provisioneringen fungerar fortfarande där, men inte den här guiden.

Steg

1. Öppna Inställningar → Server → Enkel inloggning → kortet Användarprovisionering (SCIM). Kortet visar endpointen, t.ex. https://<your-server>/scim/v2/Users.
2. Tryck på Generera token (eller Generera om token om en redan finns) — bearer-token visas en gång i en dialog och kopieras till urklipp. Spara den i din lösenordshanterare; servern behåller bara en kopia som kan verifieras i konstant tid.
3. Aktivera SCIM i IdP:ns provisioneringsinställningar med:
   • Base URL: endpointen ovan
   • Authentication: Authorization: Bearer <token>
   • User id: userName (e-post) eller externalId — båda matchar
4. Testa med en användare: pusha användaren från IdP:n och bekräfta att den dyker upp (ett SCIM-create fäster leverantörens externalId på kontot, samma fästning som den första SSO-inloggningen gör).

Vad avprovisionering gör

När IdP:n skickar active: false (eller DELETE) vägrar SCIM först om kontot är ägare av en arbetsyta (överför ägarskapet först). Annars:

1. återkallas först alla enhetsuppgifter — aktiva sessioner faller inom sekunder,
2. tas varje arbetsytemedlemskap bort,
3. stämplas kontot som inaktiverat (det kan aldrig logga in, vad IdP:n än säger senare, förrän det uttryckligen återaktiveras).

Själva användarraden består — attributionen på ärenden, meddelanden och commits är permanent. Återaktivering (SCIM active: true) återställer inloggningen men inte medlemskapen: de kräver en ny inbjudan eller policyn för automatiskt medlemskap vid inloggning.

Felsökning

• 401 på varje anrop — token har ändrats; generera om den och uppdatera IdP:n.
• Endpointen går inte att nå — tunneln är nere, eller så nås servern bara via reläet. SCIM kräver direkt HTTPS; JIT fortsätter fungera ändå.
• Fel vid push av grupper (501) — avsiktligt: mappningen grupp→roll sker vid inloggning från SAML-/OIDC-gruppattributen, inte från pushade grupper.