Даведачны цэнтр Scribble Maps
Змяніць мову

Праўлянне SCIM

Налада праўлянння карыстальнікаў SCIM

ScribbleMaps падтрымлівае SCIM 2.0 (System for Cross-domain Identity Management) для аўтаматызаванага стварэння і выдалення карыстальнікаў. Гэта дазваляе аўтаматычна сінхранізаваць карыстальнікаў з вашага пастаўшчыка ідэнтыфікацыі (IdP) у ScribbleMaps, каб склад каманды заставаўся сінхранізаваным з каталогам вашай арганізацыі.

Праўлянне SCIM даступнае на team.scribblemaps.com і зусім бясплатнае.

Змест

  1. Што такое SCIM?
  2. Перад пачаткам
  3. Крок 1: уключыце SCIM у ScribbleMaps
  4. Крок 2: стварыце токен носьбіта
  5. Крок 3: наладзьце вашага пастаўшчыка ідэнтыфікацыі
  6. Крок 4: задайце прызначэнне прадукту па змаўчанні
  7. Крок 5: праверце і прызначце карыстальнікаў
  8. Інструкцыі для канкрэтных пастаўшчыкоў
  9. Падтрымліваныя аперацыі SCIM
  10. Кіраванне жыццёвым цыклам карыстальніка
  11. Вырашэнне праблем

Што такое SCIM?

SCIM (System for Cross-domain Identity Management) — гэта адкрыты стандарт, які дазваляе аўтаматычна:

  • Ствараць карыстальнікаў — аўтаматычна ствараць акаўнты ScribbleMaps, калі карыстальнікі прызначаюцца ў вашым IdP
  • Абнаўляць карыстальнікаў — падтрымліваць сінхранізацыю звестак пра карыстальніка (імя, электронная пошта)
  • Выдаляць карыстальнікаў — аўтаматычна дэактываваць акаўнты, калі карыстальнікаў выдаляюць з вашага IdP
  • Кіраваць роллямі — прызначаць карыстальнікам ролі Адміністратар або Удзельнік праз членства ў групах

SCIM працуе разам з SSO (SAML/OIDC), забяспечваючы поўнае кіраванне жыццёвым цыклам ідэнтыфікацыі.

Перад пачаткам

  • Для налады SCIM вы павінны быць ўладальнікам каманды
  • Вам патрэбны доступ да адміністрацыйнай кансолі вашага пастаўшчыка ідэнтыфікацыі
  • Ваш IdP павінен падтрымліваць SCIM 2.0 (Okta, Microsoft Entra ID, OneLogin, JumpCloud і інш.)
  • Для найлепшага вопыту карыстання рэкамендуем наладзіць SSO перад SCIM

Крок 1: уключыце SCIM у ScribbleMaps

  1. Увайдзіце на team.scribblemaps.com
  2. Перайдзіце да SCIM Provisioning (левая бакавая панэль)
  3. Пераключыце Enable SCIM у становішча ON

Нататка: перш чым SCIM можна будзе поўнасцю ўключыць, вам трэба будзе стварыць токен носьбіта.

Крок 2: стварыце токен носьбіта

Токен носьбіта аўтэнтыфікуе вашага пастаўшчыка ідэнтыфікацыі ў ScribbleMaps.

  1. На старонцы налад SCIM націсніце Згенераваць токен
  2. Адразу скапіюйце токен і захавайце яго ў бяспечным месцы

Важныя заўвагі па бяспецы:

  • Токен паказваецца толькі адзін раз — калі вы яго згубіце, давядзецца стварыць новы
  • Ставьцеся да гэтага токена як да пароля — любы, хто мае токен, можа кіраваць карыстальнікамі вашай каманды
  • Вы можаце адклікаць і стварыць токен нанова ў любы момант, калі ён быў скампраметаваны
  • Адклік токена імгненна спыняе ўсе аперацыі SCIM, пакуль не будзе наладжаны новы токен

Крок 3: наладзьце вашага пастаўшчыка ідэнтыфікацыі

Выкарыстайце наступныя даныя, каб наладзіць ScribbleMaps як SCIM-праграму ў вашым IdP:

Налада Значэнне
SCIM Base URL https://api.scribblemaps.com/scim/v2
Метад аўтэнтыфікацыі HTTP Header / Bearer Token
Загаловак Authorization Bearer YOUR_TOKEN_HERE
Унікальны ідэнтыфікатар userName (адрас электроннай пошты)

Даведнік па канчатковых кропках SCIM

Канчатковая кропка Прызначэнне
/scim/v2/Users Стварэнне і кіраванне карыстальнікамі
/scim/v2/Groups Кіраванне членствам у ролях/групах
/scim/v2/ServiceProviderConfig Магчымасці SCIM (выяўленне)
/scim/v2/ResourceTypes Падтрымліваныя тыпы рэсурсаў (выяўленне)
/scim/v2/Schemas Схемы карыстальніка і групы (выяўленне)

Крок 4: задайце прызначэнне прадукту па змаўчанні (неабавязкова)

Вы можаце аўтаматычна прызначаць ліцэнзію на прадукт карыстальнікам пры іх стварэнні праз SCIM:

  1. На старонцы налад SCIM знайдзіце Default Product Assignment
  2. Абярыце прадукт:
    • Няма — карыстальнікі ствараюцца без прадукту (прызначыце ўручную пазней)
    • Назіральнік — доступ толькі для прагляду
    • Pro Basic — стандартныя функцыі рэдагавання
    • Pro Business — доступ да ўсіх функцый
  3. Націсніце Захаваць

Нататка: прадукт будзе прызначаны карыстальніку, толькі калі ёсць вольныя месцы. Калі вольных месцаў няма, карыстальнік ствараецца, але застаецца без прызначэння.

Крок 5: праверце і прызначце карыстальнікаў

  1. У вашым пастаўшчыку ідэнтыфікацыі выкарыстайце функцыю Test Connection, каб праверыць падключэнне SCIM
  2. Прызначце тэставага карыстальніка праграме ScribbleMaps у вашым IdP
  3. Пераканайцеся, што карыстальнік з’явіўся ў спісе ўдзельнікаў каманды ScribbleMaps
  4. Пасля пацверджання прызначайце іншых карыстальнікаў або групы па меры неабходнасці

Інструкцыі для канкрэтных пастаўшчыкоў

Okta

  1. У Okta Admin Console перайдзіце да Applications > Browse App Catalog
  2. Знайдзіце «SCIM 2.0 Test App (Header Auth)» або стварыце ўласную SCIM-праграму
  3. Перайдзіце на ўкладку Provisioning > Configure API Integration
  4. Адзначце Enable API integration
  5. Наладзьце:
    • SCIM 2.0 Base URL: https://api.scribblemaps.com/scim/v2
    • OAuth Bearer Token: уставьце ваш токен SCIM ScribbleMaps
  6. Націсніце Test API Credentials для праверкі
  7. Перайдзіце да Provisioning > To App і ўключыце:
    • Create Users
    • Update User Attributes
    • Deactivate Users
  8. Перайдзіце на ўкладку Assignments, каб прызначыць карыстальнікаў або групы

Microsoft Entra ID (Azure AD)

  1. У Azure Portal перайдзіце да Microsoft Entra ID > Enterprise Applications
  2. Абярыце вашу праграму ScribbleMaps (або стварыце новую)
  3. Перайдзіце да Provisioning > Get Started
  4. Задайце Provisioning Mode як Automatic
  5. У раздзеле Admin Credentials:
    • Tenant URL: https://api.scribblemaps.com/scim/v2
    • Secret Token: уставьце ваш токен SCIM ScribbleMaps
  6. Націсніце Test Connection для праверкі
  7. Наладзьце Mappings для атрыбутаў карыстальніка
  8. Задайце Provisioning Status як On
  9. Перайдзіце да Users and groups, каб прызначыць карыстальнікаў

OneLogin

  1. У OneLogin Admin перайдзіце да Applications > Add App
  2. Знайдзіце «SCIM Provisioner with SAML (SCIM v2 Core)» або падобнае
  3. Перайдзіце на ўкладку Configuration
  4. Наладзьце:
    • SCIM Base URL: https://api.scribblemaps.com/scim/v2
    • SCIM Bearer Token: уставьце ваш токен SCIM ScribbleMaps
  5. Перайдзіце на ўкладку Provisioning і ўключыце праўлянне
  6. Перайдзіце на ўкладку Users, каб прызначыць карыстальнікаў

JumpCloud

  1. У JumpCloud Admin перайдзіце да SSO Applications
  2. Націсніце +, каб дадаць новую праграму
  3. Абярыце Custom SCIM
  4. Наладзьце:
    • Base URL: https://api.scribblemaps.com/scim/v2
    • Token Key: уставьце ваш токен SCIM ScribbleMaps
    • Authentication: Bearer Token
  5. Націсніце Test Connection
  6. Наладзьце супастаўленне атрыбутаў
  7. Прызначце групы карыстальнікаў праграме

Падтрымліваныя аперацыі SCIM

Аперацыі з карыстальнікамі

Аперацыя Метад Падтрымліваецца Апісанне
Спіс карыстальнікаў GET /Users Так Атрыманне ўсіх карыстальнікаў са старонкавым вывадам і фільтрацыяй
Атрымаць карыстальніка GET /Users/{id} Так Атрыманне канкрэтнага карыстальніка па ID
Стварыць карыстальніка POST /Users Так Стварэнне новага карыстальніка
Замяніць карыстальніка PUT /Users/{id} Так Поўнае абнаўленне атрыбутаў карыстальніка
Абнавіць карыстальніка PATCH /Users/{id} Так Частковае абнаўленне атрыбутаў карыстальніка
Выдаліць карыстальніка DELETE /Users/{id} Так Дэактывацыя карыстальніка (мяккае выдаленне)

Аперацыі з групамі

Аперацыя Метад Падтрымліваецца Апісанне
Спіс груп GET /Groups Так Вяртае групы роляў Адміністратар і Удзельнік
Атрымаць групу GET /Groups/{id} Так Атрыманне групы са спісам удзельнікаў
Абнавіць групу PATCH /Groups/{id} Так Даданне/выдаленне ўдзельнікаў у групах роляў
Стварыць групу POST /Groups Не Не падтрымліваецца (ролі фіксаваныя)

Падтрымліваныя атрыбуты карыстальніка

Атрыбут SCIM Поле ScribbleMaps Абавязкова
userName Адрас электроннай пошты Так
externalId Знешні ідэнтыфікатар IdP Не
name.givenName Імя Не
name.familyName Прозвішча Не
displayName Адлюстроўваемае імя Не
active Статус акаўнта Не
emails[].value Адрас электроннай пошты Не

Падтрымліваныя фільтры

Фільтр Прыклад
Фільтр па электроннай пошце userName eq "[email protected]"
Фільтр па знешнім ID externalId eq "12345"
Фільтр па статусе active eq true

Кіраванне жыццёвым цыклам карыстальніка

Калі карыстальнік ствараецца

  1. У ScribbleMaps ствараецца новы акаўнт удзельніка каманды
  2. Звесткі пра карыстальніка (імя, электронная пошта) запаўняюцца з вашага IdP
  3. Калі настроены прадукт па змаўчанні і ёсць вольныя месцы, ліцэнзія прызначаецца аўтаматычна
  4. Карыстальнік можа адразу ўвайсці праз SSO (калі наладжана)

Калі карыстальнік абнаўляецца

  1. Атрыбуты карыстальніка (імя, адлюстроўваемае імя) абнаўляюцца ў адпаведнасці з вашым IdP
  2. Змены электроннай пошты сінхранізуюцца (калі карыстальнік не звязаў свой акаўнт)

Калі карыстальнік выдаляецца

  1. Акаўнт карыстальніка дэактывуецца (мяккае выдаленне)
  2. Усе ліцэнзіі на прадукты здымаюцца, вызваляючы месцы
  3. Усе актыўныя сеансы адразу аннулююцца
  4. Карыстальнік больш не можа ўвайсці
  5. Даныя карыстальніка і карты захоўваюцца (не выдаляюцца)
  6. Акаўнт можна паўторна актываваць, калі карыстальніка стварыць нанова

Кіраванне роллямі праз групы

ScribbleMaps прадастаўляе праз SCIM дзве групы роляў:

ID групы Роля Дазволы
admin Адміністратар Кіраванне наладамі каманды, карыстальнікамі і аплатай
member Удзельнік Стандартны доступ удзельніка каманды

Каб прызначыць карыстальніка адміністратарам, дадайце яго ў групу admin праз SCIM PATCH. Ролю ўладальніка нельга змяніць праз SCIM.

Вырашэнне праблем

Распаўсюджаныя праблемы

«401 Unauthorized» або «Invalid token»

  • Пераканайцеся, што токен носьбіта правільны і не быў адкліканы
  • Упэўніцеся, што токен перадаецца ў загалоўку Authorization як Bearer YOUR_TOKEN
  • Праверце, ці не скончыўся тэрмін дзеяння токена (калі быў зададзены)
  • Пры неабходнасці стварыце новы токен

«409 Conflict» — карыстальнік ужо існуе

  • Карыстальнік з такой электроннай поштай ужо існуе ў вашай камандзе
  • Калі існуючы карыстальнік быў дэактываваны, SCIM аўтаматычна актывуе яго паўторна
  • Праверце, ці няма паўторных адрасоў электроннай пошты ў вашым IdP

«400 Bad Request» — адсутнічае абавязковае поле

  • Упэўніцеся, што userName (электронная пошта) ёсць у запыце
  • Праверце, ці правільны фармат электроннай пошты
  • Праверце канфігурацыю супастаўлення атрыбутаў у вашым IdP

Карыстальнікі створаны, але прадукт не прызначаны

  • Праверце, ці наладжаны прадукт па змаўчанні ў наладах SCIM
  • Пераканайцеся, што ў вас ёсць вольныя месцы для прадукту па змаўчанні
  • Прадукты можна прызначаць карыстальнікам уручную ў наладах каманды

Змены карыстальніка не сінхранізуюцца

  • Некаторыя IdP сінхранізуюць па графіку (напрыклад, кожныя 40 хвілін для Azure AD)
  • Паспрабуйце запусціць ручную сінхранізацыю ў вашым IdP
  • Пераканайцеся, што SCIM па-ранейшаму ўключаны, а токен сапраўдны

Праверка падключэння не праходзіць

  • Пераканайцеся, што SCIM Base URL дакладна https://api.scribblemaps.com/scim/v2
  • Упэўніцеся, што няма канчатковых скосаў або памылак у напісанні
  • Праверце, што ваша сетка/брандмаўэр дазваляе зыходныя HTTPS-злучэнні да api.scribblemaps.com
     

Патрэбна дапамога?

Калі ў вас узніклі праблемы з праўлянннем SCIM, звяжыцеся з нашай службай падтрымкі і прадастаўце:

  • Назву вашай каманды
  • Пастаўшчыка ідэнтыфікацыі, якога вы выкарыстоўваеце
  • Любыя паведамленні пра памылкі з журналаў праўлянння вашага IdP
  • Здымкі экрана вашай канфігурацыі SCIM (з схаваным токенам)

Мы гатовыя дапамагчы вам наладзіць праўленне SCIM для вашай арганізацыі.

Апошняе абнаўленне