SCIM

SCIM (System for Cross-domain Identity Management) klargjør personer og fjerner tilgangen deres automatisk. Identitetsleverandøren din (IdP) — Microsoft Entra ID, Okta eller et hvilket som helst annet SCIM 2.0-system — legger personer til i Status200-prosjektene og de private statussidene dine når du tildeler dem, og fjerner dem når du fjerner tildelingen.

Slik fungerer det#

Identitetsleverandøren din kaller SCIM-endepunktet til Status200 hver gang du tildeler, endrer eller fjerner tildelingen av noen, autentisert med bearer-tokenet til tilkoblingen, eller med et tilgangstoken den får med OAuth 2.0-klientlegitimasjonen til tilkoblingen. Hva forespørselen endrer, avhenger av hvor tilkoblingen er:

SCIM-integrasjonen gir disse fordelene:

• Automatisk klargjøring av brukere: brukere opprettes i Status200 når de tildeles i IdP-en din.
• Automatisk fjerning av brukere: brukere fjernes fra Status200 når tildelingen deres fjernes i IdP-en din.
• Synkronisering av brukerattributter: brukerinformasjonen holdes lik i IdP-en din og Status200.
• Sentral tilgangsstyring: tilgangen til Status200 styres fra det eksisterende systemet ditt for identitetsstyring.

SCIM og SSO er uavhengige: SCIM avgjør hvem som er med i et prosjekt, SSO hvordan de logger inn. De fleste organisasjoner bruker begge.

SCIM for prosjekter#

Med prosjekt-SCIM styrer identitetsleverandører teammedlemmene i Status200-prosjekter.

Sette opp prosjekt-SCIM#

Bare en prosjekteier kan legge til eller endre SCIM-tilkoblingen til et prosjekt, eller se eller tilbakestille bearer-tokenet: via SCIM kan identitetsleverandøren din legge personer til i hvilket som helst team i prosjektet.

For å se URL-ene igjen velger du Vis SCIM-URL-er i raden for tilkoblingen. Tilbakestill bærertoken erstatter tokenet; oppdater identitetsleverandøren din med det nye.

Slik klargjøres en prosjektbruker#

En person som allerede hadde en Status200-konto, blir med når vedkommende godtar invitasjonen på Status200 Cloud (se vanlige spørsmål). Tilgang gitt gjennom andre team enn tilkoblingens standardteam berøres ikke.

OAuth 2.0-klientlegitimasjon#

Noen identitetsleverandører tar ikke vare på et bearer-token, og ber i stedet om OAuth 2.0-klientlegitimasjon. Hver tilkobling, for et prosjekt eller for en statusside, har den i samme dialog som sin SCIM Base URL, under OAuth 2.0 Client Credentials:

• Token Endpoint: der identitetsleverandøren din henter tilgangstokenene sine. Det er det samme for alle tilkoblinger: https://status200.ru/identity/scim/oauth/token på Status200 Cloud.
• Client ID: ID-en til tilkoblingen.
• Client Secret: klikk på Make Client Secret, og kopier hemmeligheten med en gang. Status200 lagrer bare en hash av den og kan ikke vise den igjen. Den gjelder i ett år.

Identitetsleverandøren din sender klient-ID-en og hemmeligheten til tokenendepunktet og får et tilgangstoken som gjelder i én time. Bearer-tokenet til tilkoblingen fortsetter å virke ved siden av.

For å erstatte en hemmelighet klikker du på Make New Client Secret. Den forrige hemmeligheten fortsetter å virke til den utløper eller du klikker på Delete Previous Secret, slik at identitetsleverandøren din kan få den nye uten avbrudd i klargjøringen: slett den gamle når identitetsleverandøren bruker den nye. En hemmelighet som utløper eller slettes, avslutter umiddelbart tilgangstokenene som ble utstedt med den. De som kan endre bearer-tokenet til en tilkobling, kan opprette og slette hemmelighetene dens: en prosjekteier, eller for en statusside, den som kan redigere single sign-on for statussiden.

SCIM for statussider#

Med SCIM for statussider klargjør identitetsleverandører private brukere av statussider og fjerner dem igjen; disse brukerne har tilgang til private statussider.

Sette opp SCIM for statussider#

For å se URL-ene igjen velger du Vis SCIM-endepunkt-URL-er i raden for tilkoblingen.

SCIM for statussider støtter bare brukere. Grupper og klargjøring av grupper støttes ikke.

Slik klargjøres en privat bruker#

Sett opp identitetsleverandøren din#

Hver leverandør nedenfor starter med å opprette en SCIM-tilkobling for prosjektet i Status200, og kobler deretter identitetsleverandøren din til den.

Microsoft Entra ID (tidligere Azure AD)#

Microsoft Entra ID gir identitetsstyring på bedriftsnivå med SCIM-klargjøring. Du trenger:

• En Microsoft Entra ID-leietaker med en Premium P1- eller P2-lisens (påkrevd for automatisk klargjøring).
• Et Status200-prosjekt på planen Scale eller høyere på Status200 Cloud.
• Administratortilgang til både Microsoft Entra ID og Status200.

Status200-appen i Microsoft Entra-applikasjonsgalleriet er beregnet på single sign-on. For klargjøring oppretter du din egen applikasjon som beskrevet nedenfor, selv om du har lagt til Status200 fra galleriet for SSO.

1. Opprett SCIM-tilkoblingen for Entra ID#

   1. Logg inn i Status200-dashbordet ditt
   2. Gå til Prosjektinnstillinger > Sikkerhet > SCIM
   3. Klikk på Opprett SCIM
   4. Skriv inn et gjenkjennelig navn (f.eks. "Microsoft Entra ID Provisioning")
   5. Kontroller innstillingene:
      • Standardteam: starter med medlemsteamet i prosjektet; nye brukere legges til i disse teamene
      • Automatisk klargjøring av brukere og Automatisk avvikling av brukere: slått på, under Flere felt
      • Aktiver push-grupper: under Flere felt; slå det på hvis du vil styre teammedlemskap via grupper i Entra ID
   6. Lagre konfigurasjonen
   7. Kopier SCIM Base URL og Bearer Token fra dialogen som åpnes — du trenger dem i Entra ID

2. Opprett en bedriftsapplikasjon i Entra ID#

   1. Logg inn i Microsoft Entra admin center
   2. Gå til Identity > Applications > Enterprise applications
   3. Klikk på + New application og deretter på + Create your own application
   4. Skriv inn et navn (f.eks. "Status200")
   5. Velg Integrate any other application you don't find in the gallery (Non-gallery), og klikk på Create

3. Koble Entra ID til Status200#

   1. Gå til Provisioning i Status200-bedriftsapplikasjonen din, og klikk på Get started
   2. Sett Provisioning Mode til Automatic
   3. Under Admin Credentials setter du Tenant URL til SCIM Base URL fra Status200 (f.eks. https://status200.ru/identity/scim/v2/<scim-id>) og Secret Token til Bearer Token
   4. Klikk på Test Connection for å kontrollere konfigurasjonen, og klikk deretter på Save

4. Tilordne brukerattributter i Entra ID#

   1. Klikk på Mappings i delen Provisioning og deretter på Provision Azure Active Directory Users
   2. Sett opp følgende attributtilordninger, fjern dem du ikke trenger, og klikk på Save:

   Azure AD-attributt	Status200 SCIM-attributt	Påkrevd
   userPrincipalName	userName	Ja
   mail	emails[type eq "work"].value	Anbefalt
   displayName	displayName	Anbefalt
   givenName	name.givenName	Valgfritt
   surname	name.familyName	Valgfritt
   Switch([IsSoftDeleted], , "False", "True", "True", "False")	active	Anbefalt

5. Tilordne grupper i Entra ID (valgfritt)#

   Hvis du slo på Aktiver push-grupper i Status200:

   1. Gå tilbake til Mappings, og klikk på Provision Azure Active Directory Groups
   2. Sett Enabled til Yes
   3. Sett opp følgende attributtilordninger, og klikk på Save:

   Azure AD-attributt	Status200 SCIM-attributt
   displayName	displayName
   members	members

6. Tildel brukere og grupper i Entra ID#

   1. Gå til Users and groups i Status200-bedriftsapplikasjonen din
   2. Klikk på + Add user/group, velg brukerne og gruppene som skal klargjøres i Status200, og klikk på Assign

7. Start klargjøringen i Entra ID#

   1. Gå til Provisioning > Overview, og klikk på Start provisioning
   2. Den første klargjøringssyklusen starter; den første synkroniseringen kan ta opptil 40 minutter
   3. Se etter feil i Provisioning logs. Personene du tildelte, vises i prosjektets team i Status200

Okta#

Okta gir fleksibel identitetsstyring med støtte for SCIM. Du trenger:

• En Okta-leietaker med klargjøring (funksjonen Lifecycle Management).
• Et Status200-prosjekt på planen Scale eller høyere på Status200 Cloud.
• Administratortilgang til både Okta og Status200.

Finnes Status200 i Okta Integration Network, legger du til appen derfra på Status200 Cloud (se SSO): den leveres med SCIM-innstillingene og attributtilordningene til Status200, og ber om ID-en og bearer-tokenet til tilkoblingen.

1. Opprett SCIM-tilkoblingen for Okta#

   1. Logg inn i Status200-dashbordet ditt
   2. Gå til Prosjektinnstillinger > Sikkerhet > SCIM
   3. Klikk på Opprett SCIM
   4. Skriv inn et gjenkjennelig navn (f.eks. "Okta Provisioning")
   5. Kontroller innstillingene:
      • Standardteam: starter med medlemsteamet i prosjektet; nye brukere legges til i disse teamene
      • Automatisk klargjøring av brukere og Automatisk avvikling av brukere: slått på, under Flere felt
      • Aktiver push-grupper: under Flere felt; slå det på hvis du vil styre teammedlemskap via grupper i Okta
   6. Lagre konfigurasjonen
   7. Kopier SCIM Base URL og Bearer Token fra dialogen som åpnes — du trenger dem i Okta

2. Opprett eller åpne Okta-applikasjonen#

   Gå til Applications > Applications i Okta Admin Console:

   • Bruker du allerede Okta til SSO i Status200, åpner du den applikasjonen.
   • Ellers legger du til Status200 fra Okta Integration Network hvis den finnes der (Browse App Catalog, søk etter Status200, Add Integration), eller klikker på Create App Integration, velger SAML 2.0, kaller applikasjonen "Status200" og fullfører SAML-oppsettet (se SSO).

3. Slå på SCIM-klargjøring i Okta#

   1. Gå til fanen General i Status200-applikasjonen din
   2. Klikk på Edit i delen App Settings. For applikasjonen fra Okta Integration Network setter du Status200 SCIM Connection ID til den siste delen av SCIM Base URL, <scim-id>. For din egen applikasjon velger du SCIM under Provisioning. Klikk på Save
   3. Applikasjonen har nå en fane Provisioning

4. Koble Okta til Status200#

   1. Klikk på Integration på fanen Provisioning, deretter på Configure API Integration, og merk av for Enable API integration
   2. For applikasjonen fra Okta Integration Network skriver du inn Bearer Token fra Status200 som API Token. For din egen applikasjon setter du opp følgende:
      • SCIM connector base URL: SCIM Base URL fra Status200 (f.eks. https://status200.ru/identity/scim/v2/<scim-id>)
      • Unique identifier field for users: userName
      • Supported provisioning actions: Import New Users and Profile Updates, Push New Users, Push Profile Updates og, hvis du bruker gruppebasert klargjøring, Push Groups
      • Authentication Mode: HTTP Header
      • Authorization: Bearer Token fra Status200. Status200 forventer headeren Authorization: Bearer <token>; viser Okta allerede ordet Bearer foran feltet, skriver du bare inn tokenet
   3. Klikk på Test API Credentials for å kontrollere tilkoblingen, og klikk deretter på Save

5. Velg hva Okta klargjør#

   1. Klikk på To App på fanen Provisioning og deretter på Edit
   2. Slå på Create Users, Update User Attributes og Deactivate Users, og klikk på Save

6. Tilordne brukerattributter i Okta#

   Bla ned til Attribute Mappings, og kontroller disse tilordningene. Fjern dem du ikke trenger:

   Okta-attributt	Status200 SCIM-attributt	Retning
   userName	userName	Okta til app
   user.email	emails[primary eq true].value	Okta til app
   user.firstName	name.givenName	Okta til app
   user.lastName	name.familyName	Okta til app
   user.displayName	displayName	Okta til app

7. Push grupper fra Okta (valgfritt)#

   Hvis du slo på Aktiver push-grupper i Status200:

   1. Gå til fanen Push Groups, og klikk på + Push Groups
   2. Velg Find groups by name eller Find groups by rule
   3. Søk etter og velg gruppene som skal pushes, og klikk på Save

8. Tildel personer i Okta#

   1. Gå til fanen Assignments
   2. Klikk på Assign > Assign to People eller Assign to Groups, velg hvem som skal klargjøres, klikk på Assign for hver, og deretter på Done

9. Kontroller klargjøringen i Okta#

   1. Gå til Reports > System Log i Okta Admin Console, og filtrer på Status200-applikasjonen din
   2. Kontroller at klargjøringshendelsene lyktes, og at personene vises i prosjektets team i Status200

Andre identitetsleverandører#

SCIM-implementeringen i Status200 følger SCIM v2.0-spesifikasjonen og fungerer med alle kompatible identitetsleverandører:

SCIM API-referanse#

Stiene er relative til tilkoblingens SCIM Base URL.

Tokenendepunktet for OAuth 2.0-klientlegitimasjon ligger ikke under basis-URL-en: det er https://status200.ru/identity/scim/oauth/token for alle tilkoblinger på Status200 Cloud. Det tar imot grant-typen client_credentials, med klient-ID-en og hemmeligheten sendt med HTTP Basic-autentisering eller i skjemaet, og svarer med et tilgangstoken som gjelder i én time (expires_in på 3600).

Hva /ServiceProviderConfig rapporterer:

En gruppe som identitetsleverandøren din oppretter, blir et team med samme navn i prosjektet; et team som allerede har det navnet, brukes i stedet for et nytt.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@example.com",
  "name": {
    "givenName": "John",
    "familyName": "Doe",
    "formatted": "John Doe"
  },
  "displayName": "John Doe",
  "emails": [
    {
      "value": "user@example.com",
      "type": "work",
      "primary": true
    }
  ],
  "active": true
}

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"],
  "displayName": "Engineering Team",
  "members": [
    {
      "value": "user-id-here",
      "display": "user@example.com"
    }
  ]
}

Planer og lisenser#

På Status200 Cloud krever SCIM planen Scale. En selvhostet installasjon krever Enterprise Edition og en lisens, slik merknaden øverst på siden sier.

Under planen Scale#

På Status200 Cloud fungerer SCIM-klargjøring bare fullt ut så lenge prosjektet er på Scale eller høyere. Under den — etter at en Scale-prøveperiode slutter, eller planen nedgraderes — fjerner prosjektets SCIM-tilkoblinger, og statussidenes, bare personer, slik at alle som slutter, fortsatt mister tilgangen sin:

• Fungerer fortsatt: å deaktivere en bruker (active satt til false, på en tilkobling som er satt til å fjerne personene den deaktiverer), å slette en bruker, å fjerne medlemmer fra en gruppe (Entra IDs Remove på members med medlemmene som verdi, Oktas remove på members[value eq "..."], eller å erstatte medlemmene med noen av dem gruppen allerede har), å slette en gruppe, og en Bulk-forespørsel som bare består av DELETE-er. Oppslag besvares også — å liste og filtrere brukere og grupper, som identitetsleverandører gjør før de fjerner noen —, men under planen oppretter et oppslag aldri noen.
• Avvist: å opprette en bruker eller en gruppe, å reaktivere en bruker (active satt til true for noen tilkoblingen ville lagt tilbake i et av teamene sine), å legge noen til i en gruppe de ikke er med i, og å endre bare e-posten eller navnet til en bruker eller navnet til en gruppe. En forespørsel som legger til noen, avvises i sin helhet, også når den samtidig fjerner personer, fordi en SCIM-PATCH er alt eller ingenting. Avvisningen er en 402 med en feil i SCIM-formatet, som identitetsleverandøren din viser: SCIM provisioning needs the Scale plan. This project's plan does not include it, so its SCIM connections can only remove people: requests that add or change people or groups are refused. The connections are kept: upgrade the project to Scale in Project Settings > Billing and Invoices > Billing and they work fully again. Hver avvisning står også i tilkoblingens SCIM-logger.
• En fjerning som også endrer en profil — en deaktivering som sender en ny e-post eller et nytt navn, eller en gruppeoppdatering som fjerner medlemmer og gir gruppen nytt navn — går gjennom, og lar e-posten, navnet eller gruppenavnet være som før. Identitetsleverandører sender på nytt det de ser er annerledes, så en endring som er avvist én gang, kommer tilbake med de senere forespørslene deres, og en fjerning venter aldri på planen. En deaktivering på en tilkobling som ikke fjerner personene den deaktiverer (automatisk fjerning slått av, eller grupper pushet i stedet), fjerner ingen, så en ny e-post eller et nytt navn som sendes med den, avvises som en egen endring.
• En forespørsel som ikke endrer noe, besvares som vanlig — Oktas PUT av en bruker slik vedkommende er, med active satt til true, for noen som allerede er i alle tilkoblingens team; å legge noen til i en gruppe de allerede er med i; en e-post som sendes på nytt med andre store og små bokstaver; attributter Status200 ikke lagrer, som en tittel eller en avdeling. En statussides private bruker er på siden eller ikke i det hele tatt, så active satt til true endrer aldri en slik bruker.

Ingenting slettes. Oppgrader til Scale, så fungerer tilkoblingene fullt ut igjen slik de er, med det samme bearer-tokenet og ingenting å sette opp på nytt i identitetsleverandøren din; en planendring trer i kraft innen ett minutt. Identitetsleverandører fortsetter å kalle etter sin egen tidsplan: Okta viser avvisningene blant klargjøringsfeilene sine, og Entra ID viser dem i klargjøringsloggene sine og kan sette en jobb som stadig mislykkes i karantene, noe som senker synkroniseringene — også fjerninger — til omtrent én om dagen. Start klargjøringen på nytt der etter oppgraderingen, slik at personene som er lagt til i mellomtiden, blir klargjort.

Under Scale viser Prosjektinnstillinger > Sikkerhet > SCIM og siden SCIM for en statusside tilkoblingene under planens oppgraderingstilbud (SCIM-tilkoblinger som fortsatt er satt opp) og sier at de bare fjerner personer. Slett en tilkobling for å fjerne den. Å legge til en tilkobling, endre en eller erstatte bearer-tokenet krever Scale. Listen viser ikke bearer-tokener, og bare prosjekteiere kan lese et token, på alle planer.

Feilsøking#

Start med fanen Logger under Prosjektinnstillinger > Sikkerhet > SCIM (eller på statussidens side SCIM). Den viser SCIM-forespørslene identitetsleverandøren din har sendt, med status, og Vis detaljer viser forespørselen og hva Status200 svarte.

Vanlige spørsmål#

Neste steg#