Управление пользователями через SCIM

SCIM синхронизирует состав организации из провайдера идентификации. Это отдельный механизм от SSO и от ключей tenant API: SSO выполняет вход, а SCIM создаёт и удаляет участие в организации.

Подключение провайдера

curl https://api.aacsearch.com/scim/v2/ServiceProviderConfig \
  -H "Authorization: Bearer $SCIM_TOKEN"

Проверка: конфигурация отвечает 200 и перечисляет поддерживаемые возможности ниже. Отсутствующий или отозванный токен даёт 401.

Что поддерживается

Смотрите это в ServiceProviderConfig, а не предполагайте полное покрытие SCIM: провайдеру, которому нужна возможность из колонки «Нет», потребуется другая стратегия синхронизации для неё.

Пользователи

SCIM-User — это пользователь консоли плюс строка его участия в организации, к которой привязан токен. Сопоставление важно при настройке провайдера:

• userName / emails — адрес, идентифицирующий учётную запись.
• displayName / name — имя человека.
• externalId — сохраняется, чтобы провайдер и платформа совпадали в идентичности.
• active — является ли пользователь участником этой организации.

GET /Users перечисляет участников и поддерживает фильтрацию; POST /Users создаёт, PUT /Users/{id} заменяет, PATCH /Users/{id} изменяет, а DELETE /Users/{id} убирает участие.

Проверка: создайте тестового пользователя через провайдера, убедитесь, что он появился в консоли в разделе Команда, затем деактивируйте его и убедитесь, что участие исчезло, а учётная запись осталась.

Группы

SCIM-Group устроена ограниченнее, чем обычно предполагает интерфейс провайдера: группа пользователя и есть его роль в организации.

GET /Groups и GET /Groups/{id} перечисляют их; PATCH /Groups/{id} меняет состав роли. POST или DELETE для Groups нет — набор ролей определяется платформой, а не создаётся провайдером.

Настройте провайдера так, чтобы его группы сопоставлялись с существующими ролями организации, и убедитесь в консоли (Команда → Роли), что нужные люди получили нужную роль.

Эксплуатация и отзыв

Просматривайте недавнюю активность SCIM и журнал аудита организации. Отзывайте неиспользуемые токены на странице настроек SCIM. Ротация:

1. Создайте новый токен.
2. Обновите его в провайдере идентификации.
3. Убедитесь, что запрос проходит.
4. Отзовите старый токен.

Никогда не вставляйте токены в тикеты, систему контроля версий или логи. Токен привязан к одной организации и не может использоваться для tenant API.

Диагностика

Далее

• Единый вход (SSO) — аутентификационная половина той же настройки.
• Аутентификация в консоли — сессии, пароли и приглашения.
• Консоль → Организация — роли и журнал аудита.