SCIM ile kullanıcı sağlama

Yaşam döngüsü denetimi istediğinizde bu kılavuzu kullanın — kullanıcı çıkışında erişim otomatik olarak iptal edilmeli, yalnızca ileride yapılacak oturum açmaları engellemekle kalınmamalıdır. SCIM, IdP’lerin (Okta, Entra ID ve diğerleri) tam da bunun için kullandığı push protokolüdür.

Önkoşullar

• SSO zaten çalışıyor olmalı (SSO öğreticisi veya OIDC kılavuzu),
• IdP’nin HTTPS üzerinden erişebildiği bir sunucu — SCIM çağrıları kullanıcının tarayıcısından değil, IdP’den gelir. Yerleşik tüneli (Ayarlar → Sunucu → Bağlantı ve durum → Bu sunucuyu paylaş → Cloudflared/ngrok/Tailscale) veya herkese açık bir URL kullanın. Yalnızca WebSocket rölesi üzerinden erişilebilen bir sunucu SCIM push’larını alamaz; JIT sağlama orada hâlâ çalışır, bu kılavuz çalışmaz.

Adımlar

1. Ayarlar → Sunucu → Tek oturum açma → Kullanıcı sağlama (SCIM) kartını açın. Kart, uç noktayı gösterir, örn. https://<your-server>/scim/v2/Users.
2. Token oluştur’a (zaten varsa Tokeni yenile’ye) basın — bearer token bir iletişim kutusunda yalnızca bir kez görünür ve panoya kopyalanır. Bunu parola yöneticinizde saklayın; sunucu yalnızca sabit zamanlı doğrulanabilen bir kopya tutar.
3. IdP’nizin sağlama ayarlarında SCIM’i şunlarla etkinleştirin:
   • Base URL: yukarıdaki uç nokta
   • Authentication: Authorization: Bearer <token>
   • User id: userName (e-posta) veya externalId — ikisi de eşleşir
4. Tek bir kullanıcıyla test edin: kullanıcıyı IdP’den gönderin ve göründüğünü doğrulayın (SCIM create işlemi, sağlayıcının externalId değerini hesaba sabitler; bu, ilk SSO oturum açmasının yaptığı sabitlemenin aynısıdır).

Sağlamayı kaldırma ne yapar

IdP active: false (veya DELETE) gönderdiğinde, hesap bir çalışma alanının Sahip’i ise SCIM önce reddeder (önce sahipliği devredin). Aksi hâlde:

1. önce her cihaz kimlik bilgisi iptal edilir — canlı oturumlar saniyeler içinde düşer,
2. her çalışma alanı üyeliği kaldırılır,
3. hesap devre dışı olarak işaretlenir (sonradan IdP ne derse desin, açıkça yeniden etkinleştirilene kadar bir daha oturum açamaz).

Kullanıcı satırının kendisi kalır — biletlerdeki, mesajlardaki ve commit’lerdeki atıf kalıcıdır. Yeniden etkinleştirme (SCIM active: true) oturum açmayı geri getirir ama üyelikleri geri getirmez: bunlar için yeni bir davet ya da giriş sırasındaki otomatik üye ekleme ilkesi gerekir.

Sorun giderme

• Her çağrıda 401 — token değişmiş; yeniden oluşturun ve IdP’yi güncelleyin.
• Uç noktaya erişilemiyor — tünel çalışmıyor ya da sunucu yalnızca röle üzerinden erişilebilir. SCIM doğrudan HTTPS gerektirir; JIT ne olursa olsun çalışmaya devam eder.
• Grup push hataları (501) — kasıtlıdır: grup→rol eşlemesi, push edilen gruplardan değil, oturum açma sırasında SAML/OIDC grup özniteliklerinden yapılır.