Cấp phát người dùng bằng SCIM

Hãy dùng hướng dẫn này khi bạn muốn kiểm soát vòng đời — quy trình cho nhân sự rời đi phải tự động thu hồi quyền truy cập, chứ không chỉ chặn các lần đăng nhập trong tương lai. SCIM là giao thức đẩy mà các IdP (Okta, Entra ID và những nhà cung cấp khác) dùng đúng cho mục đích đó.

Trước khi bắt đầu

• SSO đã hoạt động (xem hướng dẫn SSO hoặc hướng dẫn OIDC),
• một máy chủ mà IdP có thể truy cập qua HTTPS — các lệnh gọi SCIM đến từ IdP, chứ không phải từ trình duyệt của người dùng. Hãy dùng tunnel tích hợp sẵn (Cài đặt → Máy chủ → Kết nối & trạng thái → Chia sẻ máy chủ này → Cloudflared/ngrok/Tailscale) hoặc một URL công khai. Một máy chủ chỉ tiếp cận được qua relay WebSocket thì không thể nhận các đợt đẩy SCIM; việc cấp phát JIT vẫn hoạt động ở đó, còn hướng dẫn này thì không.

Các bước

1. Mở Cài đặt → Máy chủ → Đăng nhập một lần → thẻ Cấp phát người dùng (SCIM). Thẻ này hiển thị endpoint, ví dụ https://<your-server>/scim/v2/Users.
2. Nhấn Tạo token (hoặc Tạo lại token nếu đã có sẵn một token) — bearer token xuất hiện một lần trong hộp thoại và được sao chép vào clipboard. Hãy lưu nó vào trình quản lý mật khẩu của bạn; máy chủ chỉ giữ một bản sao có thể xác minh theo thời gian hằng số.
3. Trong phần cài đặt cấp phát của IdP, hãy bật SCIM với:
   • URL gốc: endpoint ở trên
   • Xác thực: Authorization: Bearer <token>
   • ID người dùng: userName (email) hoặc externalId — cả hai đều khớp
4. Kiểm thử với một người dùng: đẩy họ từ IdP, xác nhận họ xuất hiện (thao tác tạo của SCIM ghim externalId của nhà cung cấp lên tài khoản, đúng kiểu ghim mà lần đăng nhập SSO đầu tiên thiết lập).

Việc hủy cấp phát làm gì

Khi IdP gửi active: false (hoặc DELETE), SCIM từ chối trước tiên nếu tài khoản là chủ sở hữu không gian làm việc (hãy chuyển giao quyền sở hữu trước). Nếu không:

1. mọi thông tin xác thực thiết bị bị thu hồi trước — các phiên đang hoạt động biến mất trong vài giây,
2. mọi tư cách thành viên không gian làm việc bị gỡ bỏ,
3. tài khoản bị đánh dấu là đã vô hiệu hóa (nó không bao giờ đăng nhập được, bất kể sau này IdP nói gì, cho tới khi được kích hoạt lại một cách rõ ràng).

Dòng người dùng vẫn tồn tại — quy kết trên phiếu, tin nhắn và commit là vĩnh viễn. Việc kích hoạt lại (SCIM active: true) khôi phục đăng nhập nhưng không khôi phục tư cách thành viên: những thứ đó cần một lời mời mới hoặc chính sách tự động kết nạp thành viên lúc đăng nhập.

Xử lý sự cố

• Lỗi 401 ở mọi lệnh gọi — token đã thay đổi; hãy tạo lại rồi cập nhật IdP.
• Không thể tiếp cận endpoint — tunnel đã ngừng hoạt động, hoặc máy chủ chỉ dùng relay. SCIM cần HTTPS trực tiếp; JIT vẫn tiếp tục hoạt động bất kể điều đó.
• Lỗi đẩy nhóm (501) — có chủ đích: việc ánh xạ nhóm→vai trò diễn ra lúc đăng nhập từ các thuộc tính nhóm SAML/OIDC, chứ không từ các nhóm được đẩy.