SCIM

SCIM (System for Cross-domain Identity Management) klargør personer og fjerner deres adgang automatisk. Din identitetsudbyder (IdP) — Microsoft Entra ID, Okta eller ethvert andet SCIM 2.0-system — føjer personer til dine Status200-projekter og private statussider, når du tildeler dem, og fjerner dem, når du fjerner tildelingen.

Sådan fungerer det#

Din identitetsudbyder kalder Status200s SCIM-endepunkt, hver gang du tildeler, ændrer eller fjerner tildelingen af en person, godkendt med forbindelsens bearer-token eller med et adgangstoken, som den får med forbindelsens OAuth 2.0-klientlegitimationsoplysninger. Hvad anmodningen ændrer, afhænger af, hvor forbindelsen er:

SCIM-integrationen giver disse fordele:

• Automatisk klargøring af brugere: brugere oprettes i Status200, når de tildeles i din IdP.
• Automatisk fjernelse af brugere: brugere fjernes fra Status200, når deres tildeling fjernes i din IdP.
• Synkronisering af brugerattributter: brugeroplysningerne holdes ens i din IdP og Status200.
• Central adgangsstyring: adgangen til Status200 styres fra dit eksisterende system til identitetsstyring.

SCIM og SSO er uafhængige: SCIM afgør, hvem der er med i et projekt, SSO, hvordan de logger ind. De fleste organisationer bruger begge.

SCIM til projekter#

Med projekt-SCIM styrer identitetsudbydere teammedlemmerne i Status200-projekter.

Opsætning af projekt-SCIM#

Kun en projektejer kan tilføje eller ændre et projekts SCIM-forbindelse eller se eller nulstille dens bearer-token: via SCIM kan din identitetsudbyder føje personer til ethvert team i projektet.

For at se URL'erne igen skal du vælge Vis SCIM-URL'er i forbindelsens række. Nulstil bearer-token erstatter tokenet; opdater din identitetsudbyder med det nye.

Sådan klargøres en projektbruger#

En person, der allerede havde en Status200-konto, bliver medlem, når vedkommende accepterer invitationen på Status200 Cloud (se de ofte stillede spørgsmål). Adgang via andre teams end forbindelsens standardteams berøres ikke.

OAuth 2.0-klientlegitimationsoplysninger#

Nogle identitetsudbydere gemmer ikke et bearer-token og beder i stedet om OAuth 2.0-klientlegitimationsoplysninger. Hver forbindelse, til et projekt eller til en statusside, har dem i samme dialog som sin SCIM Base URL, under OAuth 2.0 Client Credentials:

• Token Endpoint: hvor din identitetsudbyder henter sine adgangstokens. Det er det samme for alle forbindelser: https://status200.ru/identity/scim/oauth/token på Status200 Cloud.
• Client ID: forbindelsens ID.
• Client Secret: klik på Make Client Secret, og kopiér hemmeligheden med det samme. Status200 gemmer kun en hash af den og kan ikke vise den igen. Den gælder i et år.

Din identitetsudbyder sender klient-ID'et og hemmeligheden til tokenendepunktet og får et adgangstoken, der gælder i en time. Forbindelsens bearer-token virker fortsat ved siden af.

Klik på Make New Client Secret for at erstatte en hemmelighed. Den forrige hemmelighed virker fortsat, indtil den udløber, eller du klikker på Delete Previous Secret, så din identitetsudbyder kan få den nye uden afbrydelse af klargøringen: slet den gamle, når din identitetsudbyder bruger den nye. En hemmelighed, der udløber eller slettes, afslutter straks de adgangstokens, der er udstedt med den. De, der må ændre en forbindelses bearer-token, må oprette og slette dens hemmeligheder: en projektejer eller, for en statusside, den, der må redigere statussidens single sign-on.

SCIM til statussider#

Med SCIM til statussider klargør identitetsudbydere private brugere af statussider og fjerner dem igen; disse brugere har adgang til private statussider.

Opsætning af SCIM til statussider#

For at se URL'erne igen skal du vælge Vis SCIM-endepunkts-URL'er i forbindelsens række.

SCIM til statussider understøtter kun brugere. Grupper og klargøring af grupper understøttes ikke.

Sådan klargøres en privat bruger#

Opsæt din identitetsudbyder#

Hver udbyder nedenfor starter med at oprette en SCIM-forbindelse til projektet i Status200 og forbinder derefter din identitetsudbyder med den.

Microsoft Entra ID (tidligere Azure AD)#

Microsoft Entra ID giver identitetsstyring på virksomhedsniveau med SCIM-klargøring. Du skal bruge:

• En Microsoft Entra ID-lejer med en Premium P1- eller P2-licens (påkrævet til automatisk klargøring).
• Et Status200-projekt på planen Scale eller højere på Status200 Cloud.
• Administratoradgang til både Microsoft Entra ID og Status200.

Status200-appen i Microsoft Entra-applikationsgalleriet er beregnet til single sign-on. Til klargøring skal du oprette din egen applikation som beskrevet nedenfor, selv om du har tilføjet Status200 fra galleriet til SSO.

1. Opret SCIM-forbindelsen til Entra ID#

   1. Log ind på dit Status200-dashboard
   2. Gå til Projektindstillinger > Sikkerhed > SCIM
   3. Klik på Opret SCIM
   4. Indtast et genkendeligt navn (f.eks. "Microsoft Entra ID Provisioning")
   5. Kontrollér indstillingerne:
      • Standardteams: starter med dit projekts medlemsteam; nye brugere føjes til disse teams
      • Klargør brugere automatisk og Fjern automatisk klargøring af brugere: slået til under Flere felter
      • Aktivér push-grupper: under Flere felter; slå det til, hvis du vil styre teammedlemskab via grupper i Entra ID
   6. Gem konfigurationen
   7. Kopiér SCIM Base URL og Bearer Token fra dialogen, der åbnes — du skal bruge dem i Entra ID

2. Opret en virksomhedsapplikation i Entra ID#

   1. Log ind i Microsoft Entra admin center
   2. Gå til Identity > Applications > Enterprise applications
   3. Klik på + New application og derefter på + Create your own application
   4. Indtast et navn (f.eks. "Status200")
   5. Vælg Integrate any other application you don't find in the gallery (Non-gallery), og klik på Create

3. Forbind Entra ID med Status200#

   1. Gå til Provisioning i din Status200-virksomhedsapplikation, og klik på Get started
   2. Sæt Provisioning Mode til Automatic
   3. Under Admin Credentials skal du sætte Tenant URL til SCIM Base URL fra Status200 (f.eks. https://status200.ru/identity/scim/v2/<scim-id>) og Secret Token til Bearer Token
   4. Klik på Test Connection for at kontrollere konfigurationen, og klik derefter på Save

4. Tilknyt brugerattributter i Entra ID#

   1. Klik på Mappings i sektionen Provisioning og derefter på Provision Azure Active Directory Users
   2. Opsæt følgende attributtilknytninger, fjern dem, du ikke har brug for, og klik på Save:

   Azure AD-attribut	Status200 SCIM-attribut	Påkrævet
   userPrincipalName	userName	Ja
   mail	emails[type eq "work"].value	Anbefalet
   displayName	displayName	Anbefalet
   givenName	name.givenName	Valgfri
   surname	name.familyName	Valgfri
   Switch([IsSoftDeleted], , "False", "True", "True", "False")	active	Anbefalet

5. Tilknyt grupper i Entra ID (valgfrit)#

   Hvis du har slået Aktivér push-grupper til i Status200:

   1. Gå tilbage til Mappings, og klik på Provision Azure Active Directory Groups
   2. Sæt Enabled til Yes
   3. Opsæt følgende attributtilknytninger, og klik på Save:

   Azure AD-attribut	Status200 SCIM-attribut
   displayName	displayName
   members	members

6. Tildel brugere og grupper i Entra ID#

   1. Gå til Users and groups i din Status200-virksomhedsapplikation
   2. Klik på + Add user/group, vælg de brugere og grupper, der skal klargøres i Status200, og klik på Assign

7. Start klargøringen i Entra ID#

   1. Gå til Provisioning > Overview, og klik på Start provisioning
   2. Den første klargøringscyklus starter; den første synkronisering kan tage op til 40 minutter
   3. Hold øje med fejl i Provisioning logs. De personer, du har tildelt, vises i projektets teams i Status200

Okta#

Okta giver fleksibel identitetsstyring med SCIM-understøttelse. Du skal bruge:

• En Okta-lejer med klargøring (funktionen Lifecycle Management).
• Et Status200-projekt på planen Scale eller højere på Status200 Cloud.
• Administratoradgang til både Okta og Status200.

Findes Status200 i Okta Integration Network, så tilføj appen derfra på Status200 Cloud (se SSO): den leveres med Status200s SCIM-indstillinger og attributtilknytninger og beder om forbindelsens ID og bearer-token.

1. Opret SCIM-forbindelsen til Okta#

   1. Log ind på dit Status200-dashboard
   2. Gå til Projektindstillinger > Sikkerhed > SCIM
   3. Klik på Opret SCIM
   4. Indtast et genkendeligt navn (f.eks. "Okta Provisioning")
   5. Kontrollér indstillingerne:
      • Standardteams: starter med dit projekts medlemsteam; nye brugere føjes til disse teams
      • Klargør brugere automatisk og Fjern automatisk klargøring af brugere: slået til under Flere felter
      • Aktivér push-grupper: under Flere felter; slå det til, hvis du vil styre teammedlemskab via grupper i Okta
   6. Gem konfigurationen
   7. Kopiér SCIM Base URL og Bearer Token fra dialogen, der åbnes — du skal bruge dem i Okta

2. Opret eller åbn Okta-applikationen#

   Gå til Applications > Applications i Okta Admin Console:

   • Bruger du allerede Okta til Status200s SSO, så åbn den applikation.
   • Ellers skal du tilføje Status200 fra Okta Integration Network, hvis den findes der (Browse App Catalog, søg efter Status200, Add Integration), eller klikke på Create App Integration, vælge SAML 2.0, kalde applikationen "Status200" og gøre SAML-opsætningen færdig (se SSO).

3. Slå SCIM-klargøring til i Okta#

   1. Gå til fanen General i din Status200-applikation
   2. Klik på Edit i sektionen App Settings. For applikationen fra Okta Integration Network skal du sætte Status200 SCIM Connection ID til den sidste del af SCIM Base URL, <scim-id>. For din egen applikation skal du vælge SCIM under Provisioning. Klik på Save
   3. Applikationen har nu en fane Provisioning

4. Forbind Okta med Status200#

   1. Klik på Integration på fanen Provisioning, derefter på Configure API Integration, og markér Enable API integration
   2. For applikationen fra Okta Integration Network skal du indtaste Bearer Token fra Status200 som API Token. For din egen applikation skal du opsætte følgende:
      • SCIM connector base URL: SCIM Base URL fra Status200 (f.eks. https://status200.ru/identity/scim/v2/<scim-id>)
      • Unique identifier field for users: userName
      • Supported provisioning actions: Import New Users and Profile Updates, Push New Users, Push Profile Updates samt Push Groups, hvis du bruger gruppebaseret klargøring
      • Authentication Mode: HTTP Header
      • Authorization: Bearer Token fra Status200. Status200 forventer headeren Authorization: Bearer <token>; viser Okta allerede ordet Bearer foran feltet, skal du kun indtaste tokenet
   3. Klik på Test API Credentials for at kontrollere forbindelsen, og klik derefter på Save

5. Vælg, hvad Okta klargør#

   1. Klik på To App på fanen Provisioning og derefter på Edit
   2. Slå Create Users, Update User Attributes og Deactivate Users til, og klik på Save

6. Tilknyt brugerattributter i Okta#

   Rul ned til Attribute Mappings, og kontrollér disse tilknytninger. Fjern dem, du ikke har brug for:

   Okta-attribut	Status200 SCIM-attribut	Retning
   userName	userName	Okta til app
   user.email	emails[primary eq true].value	Okta til app
   user.firstName	name.givenName	Okta til app
   user.lastName	name.familyName	Okta til app
   user.displayName	displayName	Okta til app

7. Push grupper fra Okta (valgfrit)#

   Hvis du har slået Aktivér push-grupper til i Status200:

   1. Gå til fanen Push Groups, og klik på + Push Groups
   2. Vælg Find groups by name eller Find groups by rule
   3. Søg efter og vælg de grupper, der skal pushes, og klik på Save

8. Tildel personer i Okta#

   1. Gå til fanen Assignments
   2. Klik på Assign > Assign to People eller Assign to Groups, vælg, hvem der skal klargøres, klik på Assign for hver, og derefter på Done

9. Kontrollér klargøringen i Okta#

   1. Gå til Reports > System Log i Okta Admin Console, og filtrer på din Status200-applikation
   2. Kontrollér, at klargøringshændelserne lykkedes, og at personerne vises i projektets teams i Status200

Andre identitetsudbydere#

Status200s SCIM-implementering følger SCIM v2.0-specifikationen og fungerer med enhver kompatibel identitetsudbyder:

SCIM API-reference#

Stierne er relative til forbindelsens SCIM Base URL.

Tokenendepunktet for OAuth 2.0-klientlegitimationsoplysninger ligger ikke under basis-URL'en: det er https://status200.ru/identity/scim/oauth/token for alle forbindelser på Status200 Cloud. Det tager imod grant-typen client_credentials, med klient-ID'et og hemmeligheden sendt med HTTP Basic-godkendelse eller i formularen, og svarer med et adgangstoken, der gælder i en time (expires_in på 3600).

Hvad /ServiceProviderConfig melder:

En gruppe, som din identitetsudbyder opretter, bliver til et team med samme navn i projektet; et team, der allerede har det navn, bruges i stedet for et nyt.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@example.com",
  "name": {
    "givenName": "John",
    "familyName": "Doe",
    "formatted": "John Doe"
  },
  "displayName": "John Doe",
  "emails": [
    {
      "value": "user@example.com",
      "type": "work",
      "primary": true
    }
  ],
  "active": true
}

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"],
  "displayName": "Engineering Team",
  "members": [
    {
      "value": "user-id-here",
      "display": "user@example.com"
    }
  ]
}

Planer og licenser#

På Status200 Cloud kræver SCIM planen Scale. En selvhostet installation kræver Enterprise Edition og en licens, som bemærkningen øverst på siden siger.

Under planen Scale#

På Status200 Cloud virker SCIM-klargøring kun fuldt ud, så længe projektet er på Scale eller derover. Under den — efter at en Scale-prøveperiode slutter, eller planen nedgraderes — fjerner projektets SCIM-forbindelser, og dets statussiders, kun personer, så alle, der forlader organisationen, stadig mister deres adgang:

• Virker stadig: at deaktivere en bruger (active sat til false på en forbindelse, der er sat til at fjerne de personer, den deaktiverer), at slette en bruger, at fjerne medlemmer fra en gruppe (Entra ID's Remove på members med medlemmerne som værdi, Oktas remove på members[value eq "..."], eller at erstatte medlemmerne med nogle af dem, gruppen allerede har), at slette en gruppe og en Bulk-anmodning, der kun består af DELETE'er. Opslag besvares også — at vise og filtrere brugere og grupper, hvilket identitetsudbydere gør, før de fjerner nogen —, men under planen opretter et opslag aldrig nogen.
• Afvist: at oprette en bruger eller en gruppe, at genaktivere en bruger (active sat til true for en person, som forbindelsen ville føje tilbage til et af sine teams), at føje nogen til en gruppe, de ikke er med i, og kun at ændre en brugers e-mail eller navn eller en gruppes navn. En anmodning, der tilføjer nogen, afvises helt, også hvis den samtidig fjerner personer, fordi en SCIM-PATCH er alt eller intet. Afvisningen er en 402 med en fejl i SCIM-formatet, som din identitetsudbyder viser: SCIM provisioning needs the Scale plan. This project's plan does not include it, so its SCIM connections can only remove people: requests that add or change people or groups are refused. The connections are kept: upgrade the project to Scale in Project Settings > Billing and Invoices > Billing and they work fully again. Hver afvisning står også i forbindelsens SCIM-logge.
• En fjernelse, der også ændrer en profil — en deaktivering, der sender en ny e-mail eller et nyt navn, eller en gruppeopdatering, der fjerner medlemmer og omdøber gruppen — går igennem og lader e-mailen, navnet eller gruppenavnet være uændret. Identitetsudbydere sender igen, hvad de ser er anderledes, så en ændring, der er afvist én gang, kommer igen med deres senere anmodninger, og en fjernelse venter aldrig på planen. En deaktivering på en forbindelse, der ikke fjerner de personer, den deaktiverer (automatisk fjernelse slået fra, eller grupper pushet i stedet), fjerner ingen, så en ny e-mail eller et nyt navn, der sendes med den, afvises som en selvstændig ændring.
• En anmodning, der ikke ændrer noget, besvares som normalt — Oktas PUT af en bruger, som vedkommende er, med active sat til true, for en person, der allerede er med i alle forbindelsens teams; at føje nogen til en gruppe, de allerede er med i; en e-mail, der sendes igen med andre store og små bogstaver; attributter, Status200 ikke gemmer, som en titel eller en afdeling. En statussides private bruger er på siden eller slet ikke, så active sat til true ændrer aldrig en sådan.

Intet slettes. Opgrader til Scale, og forbindelserne virker fuldt ud igen, som de er, med det samme bearer-token og intet at opsætte igen i din identitetsudbyder; en planændring træder i kraft inden for et minut. Identitetsudbydere bliver ved med at kalde efter deres egen tidsplan: Okta viser afvisningerne blandt sine klargøringsfejl, og Entra ID viser dem i sine klargøringslogge og kan sætte et job, der bliver ved med at fejle, i karantæne, hvilket sænker dets synkroniseringer — også fjernelser — til omkring én om dagen. Genstart klargøringen der efter opgraderingen, så de personer, der er tilføjet i mellemtiden, bliver klargjort.

Under Scale viser Projektindstillinger > Sikkerhed > SCIM og en statussides side SCIM forbindelserne under planens opgraderingstilbud (SCIM-forbindelser, der stadig er sat op) og fortæller, at de kun fjerner personer. Slet en forbindelse for at fjerne den. At tilføje en forbindelse, ændre en eller erstatte dens bearer-token kræver Scale. Listen viser ikke bearer-tokens, og kun projektejere kan læse et token, på alle planer.

Fejlfinding#

Start med fanen Protokoller under Projektindstillinger > Sikkerhed > SCIM (eller på statussidens side SCIM). Den viser de SCIM-anmodninger, din identitetsudbyder har sendt, med deres status, og Vis detaljer viser anmodningen og det, Status200 svarede.

Ofte stillede spørgsmål#

Næste trin#