SCIM سے صارفین فراہم کریں

یہ گائیڈ تب استعمال کریں جب آپ کو لائف سائیکل کنٹرول درکار ہو — آف بورڈنگ کو رسائی خودکار طور پر منسوخ کرنی چاہیے، نہ کہ صرف مستقبل کے لاگ اِن بلاک کرنے چاہیے۔ SCIM وہ پش پروٹوکول ہے جو IdP (Okta، Entra ID اور دیگر) بالکل اسی کام کے لیے استعمال کرتے ہیں۔

شروع کرنے سے پہلے

• SSO پہلے سے کام کر رہا ہو (SSO ٹیوٹوریل یا OIDC گائیڈ)،
• ایک سرور جس تک IdP HTTPS کے ذریعے پہنچ سکے — SCIM کالز IdP سے آتی ہیں، صارف کے براؤزر سے نہیں۔ بلٹ اِن ٹنل (ترتیبات → سرور → کنکشن اور اسٹیٹس → یہ سرور شیئر کریں → Cloudflared/ngrok/Tailscale) یا کوئی پبلک URL استعمال کریں۔ جو سرور صرف WebSocket ریلے کے ذریعے قابلِ رسائی ہو، وہ SCIM پش موصول نہیں کر سکتا؛ وہاں JIT پروویژنگ پھر بھی کام کرتی ہے، یہ گائیڈ نہیں۔

مراحل

1. ترتیبات → سرور → سنگل سائن آن → صارف پروویژنگ (SCIM) کارڈ کھولیں۔ کارڈ اینڈ پوائنٹ دکھاتا ہے، مثلاً https://<your-server>/scim/v2/Users۔
2. ٹوکن بنائیں دبائیں (یا اگر پہلے سے موجود ہو تو ٹوکن دوبارہ بنائیں) — bearer ٹوکن ایک بار ڈائیلوگ میں ظاہر ہوتا ہے اور کلپ بورڈ پر کاپی ہو جاتا ہے۔ اسے اپنے پاس ورڈ مینیجر میں محفوظ کریں؛ سرور صرف ایک مستقل وقت میں تصدیق کے قابل کاپی رکھتا ہے۔
3. اپنے IdP کی پروویژنگ ترتیبات میں، درج ذیل کے ساتھ SCIM فعال کریں:
   • بنیادی URL: اوپر والا اینڈ پوائنٹ
   • تصدیق: Authorization: Bearer <token>
   • صارف ID: userName (ای میل) یا externalId — دونوں مطابقت رکھتے ہیں
4. ایک صارف کے ساتھ آزمائیں: اسے IdP سے پش کریں، تصدیق کریں کہ وہ ظاہر ہوتا ہے (SCIM تخلیق فراہم کنندہ کا externalId اکاؤنٹ پر محفوظ کر دیتی ہے، وہی محفوظ بندی جو پہلا SSO لاگ اِن سیٹ کرتا ہے)۔

ڈی پروویژنگ کیا کرتی ہے

جب IdP active: false (یا DELETE) بھیجتا ہے، تو SCIM پہلے انکار کرتا ہے اگر اکاؤنٹ ورک اسپیس کا مالک ہو (پہلے ملکیت منتقل کریں)۔ ورنہ:

1. پہلے ہر ڈیوائس کریڈینشل منسوخ ہوتا ہے — فعال سیشنز سیکنڈوں میں گر جاتے ہیں،
2. ہر ورک اسپیس رکنیت ہٹا دی جاتی ہے،
3. اکاؤنٹ غیر فعال کے طور پر نشان زد ہو جاتا ہے (وہ کبھی لاگ اِن نہیں کر سکتا، چاہے IdP بعد میں کچھ بھی کہے، جب تک اسے واضح طور پر دوبارہ فعال نہ کیا جائے)۔

صارف کی قطار بذاتِ خود باقی رہتی ہے — ٹکٹس، پیغامات اور کمٹس پر انتساب مستقل ہے۔ دوبارہ فعال کرنا (SCIM active: true) لاگ اِن بحال کرتا ہے مگر رکنیتیں نہیں: اُن کے لیے نئی دعوت یا لاگ اِن کے وقت کی آٹو ممبر پالیسی درکار ہے۔

مسائل کا حل

• ہر کال پر 401 — ٹوکن بدل گیا؛ دوبارہ بنائیں اور IdP اپ ڈیٹ کریں۔
• اینڈ پوائنٹ قابلِ رسائی نہیں — ٹنل بند ہے، یا سرور صرف ریلے پر ہے۔ SCIM کو براہِ راست HTTPS درکار ہے؛ JIT بہرحال کام کرتا رہتا ہے۔
• گروپ پش کی خرابیاں (501) — دانستہ: گروپ → رول میپنگ لاگ اِن کے وقت SAML/OIDC گروپ ایٹریبیوٹس سے ہوتی ہے، پش کردہ گروپس سے نہیں۔