SCIM Provisioning
Автоматическое создание и удаление пользователей из вашего провайдера идентификации по SCIM 2.0.
Skitflow Enterprise поддерживает provisioning пользователей по SCIM 2.0: ваш провайдер идентификации (Okta, Microsoft Entra ID, OneLogin или любой другой SCIM 2.0-совместимый каталог) автоматически создаёт и удаляет пользователей в вашей организации — вручную управлять ими не нужно.
Требования
SCIM использует тот же Enterprise-тариф, что и Single Sign-On, поэтому требования совпадают:
- Cloud — аккаунт владельца организации должен быть на тарифе Enterprise
- Self-hosted — активная лицензия Enterprise с включённой функцией
sso - Роль Owner или Admin в организации для создания или удаления SCIM-подключений
Генерация SCIM-токена
- Перейдите в Settings → Authentication → SSO
- В панели SCIM Provisioning нажмите Generate token
- Введите Connection ID — короткий слаг для этого подключения IdP (только строчные буквы, цифры и дефисы), например
okta-prod - Сразу скопируйте bearer-токен, показанный в диалоге — он хранится в виде хеша и отображается только один раз
- Скопируйте SCIM Base URL, указанный над списком подключений
Настройка провайдера идентификации
Укажите следующие значения в настройках SCIM-приложения вашего IdP:
| Параметр | Значение |
|---|---|
| SCIM Base URL | https://<your-instance>/api/auth/scim/v2 |
| Аутентификация | Bearer-токен |
| Токен | значение, сгенерированное выше |
IdP аутентифицирует каждый запрос Bearer-токеном и управляет жизненным циклом пользователей по стандарту SCIM 2.0 через этот базовый URL:
| Метод | Endpoint | Действие |
|---|---|---|
POST | /Users | Создать пользователя |
GET | /Users, /Users/:id | Список / чтение пользователя |
PUT, PATCH | /Users/:id | Обновить пользователя |
DELETE | /Users/:id | Удалить пользователя |
Пример запроса для проверки доступности подключения:
curl 'https://<your-instance>/api/auth/scim/v2/Users' \
-H 'Authorization: Bearer <your-scim-token>' \
-H 'Accept: application/scim+json'Эти запросы выполняет провайдер вашего IdP — вызывать их вручную не требуется.
Управление подключениями
В панели SCIM Provisioning отображаются все активные подключения по их Connection ID. Удаление подключения немедленно отзывает токен — IdP больше не сможет провижинить или деактивировать пользователей через него, пока вы не сгенерируете новый.
Генерация токена и удаление подключения фиксируются в журнале аудита организации.
Примечания
- Каждый токен привязан к организации, в которой он был сгенерирован.
- Connection ID уникальны в рамках всей платформы — если слаг вроде
okta-prodуже занят, выберите другой. - Пользователи, созданные через SCIM, сразу присоединяются к организации, минуя обычный процесс приглашения по email.