Налаштувати користувачів через SCIM

Скористайтеся цим посібником, якщо вам потрібен контроль життєвого циклу: під час вибуття доступ має відкликатися автоматично, а не просто блокувати майбутні входи. SCIM — це протокол надсилання, який IdP (Okta, Entra ID та інші) використовують саме для цього.

Передумови

• SSO уже працює (посібник із SSO або посібник з OIDC),
• сервер, до якого IdP може дістатися через HTTPS — виклики SCIM надходять від IdP, а не з браузера користувача. Використайте вбудований тунель (Налаштування → Сервер → Підключення та стан → Надати доступ до цього сервера → Cloudflared/ngrok/Tailscale) або публічний URL. Сервер, доступний лише через WebSocket-релей, не може приймати надсилання SCIM; JIT-підготовка там усе ще працює, а цей посібник — ні.

Кроки

1. Відкрийте Налаштування → Сервер → Єдиний вхід → картку Підготовка користувачів (SCIM). Картка показує кінцеву точку, наприклад https://<your-server>/scim/v2/Users.
2. Натисніть Згенерувати токен (або Перегенерувати токен, якщо він уже існує) — bearer-токен з’являється один раз у діалозі та копіюється в буфер обміну. Збережіть його в менеджері паролів; сервер зберігає лише копію, яку можна перевірити за сталий час.
3. У налаштуваннях підготовки вашого IdP увімкніть SCIM з такими параметрами:
   • Базова URL-адреса: кінцева точка вище
   • Автентифікація: Authorization: Bearer <token>
   • Ідентифікатор користувача: userName (email) або externalId — підходять обидва
4. Перевірте на одному користувачі: надішліть його з IdP і переконайтеся, що він з’явився (створення через SCIM прив’язує externalId провайдера до облікового запису — та сама прив’язка, яку задає перший вхід через SSO).

Що робить скасування підготовки

Коли IdP надсилає active: false (або DELETE), SCIM спершу відмовляє, якщо обліковий запис є власником робочого простору (спершу передайте володіння). Інакше:

1. спершу відкликаються всі облікові дані пристроїв — активні сесії розриваються за лічені секунди,
2. видаляється кожне членство в робочих просторах,
3. обліковий запис позначається як деактивований (він більше ніколи не зможе увійти, хоч би що IdP казав пізніше, доки його явно не реактивують).

Сам рядок користувача залишається — авторство в тікетах, повідомленнях і комітах зберігається назавжди. Реактивація (SCIM active: true) відновлює вхід, але не членство: для нього потрібне нове запрошення або політика автоматичного додавання під час входу.

Усунення несправностей

• 401 на кожен виклик — токен змінився; перегенеруйте його та оновіть IdP.
• Кінцева точка недоступна — тунель не працює, або сервер працює лише через релей. SCIM потребує прямого HTTPS; JIT усе одно продовжує працювати.
• Помилки надсилання груп (501) — це навмисно: зіставлення груп із ролями відбувається під час входу за атрибутами груп SAML/OIDC, а не з надісланих груп.