Leden inrichten met SCIM

Met SCIM houdt je identiteitsprovider de leden in Polzy gelijk met je directory. Komt er iemand bij, verandert er iets of vertrekt iemand, dan meldt je directory dat meteen aan Polzy, en hoeft niemand mensen met de hand uit te nodigen of te verwijderen. Deze handleiding behandelt het token, de instelling in elke directory, en wat Polzy met elke wijziging doet.

Hoe het werkt

• Toegevoegd. Een nieuwe persoon in je directory wordt lid, in de werkruimte en met de rol die je voor single sign-on hebt gekozen, zonder uitnodigingsmail. Diegene logt in via je identiteitsprovider.
• Bijgewerkt. Een wijziging van de naam komt in elke werkruimte waar diegene lid van is.
• Gedeactiveerd. Wie je in je directory deactiveert, is meteen gedeactiveerd in Polzy en wordt overal uitgelogd. De plek komt vrij.
• Verwijderd. Wie je in je directory verwijdert, verliest het lidmaatschap van je organisatie. Diens antwoorden en wat diegene maakte, blijven.
• Groepen. Je directory stuurt zijn groepen mee met zijn mensen. De groepsregels in de stap Mensen van single sign-on geven de mensen in elke groep een werkruimte en een rol: één set regels voor single sign-on en SCIM.

Op Organisatie-instellingen → Leden staat bij mensen die je directory heeft aangemaakt of beheert het label Beheerd door je directory.

Voordat je begint

• Single sign-on, tot en met de stap Mensen. SCIM plaatst mensen met de werkruimte, de rol en de groepsregels die je daar kiest. Kies de werkruimte onder Automatisch een lid aanmaken; schakel je daarna over naar Alleen mensen die al zijn uitgenodigd of gesynchroniseerd, dan blijft die werkruimte bewaard voor SCIM. Zie Kiezen wie erin komt.
• Elk domein geverifieerd. Iemand met een adres op een ander domein wordt geweigerd. Zie Je domein verifiëren.
• Geen personensynchronisatie. SCIM en een synchronisatie vanuit BambooHR, Workday, Personio of Microsoft Entra ID kunnen niet allebei één organisatie beheren. Koppel de synchronisatie los onder Contacten → Synchronisatie en velden voordat je een token aanmaakt; zolang er een token is, kan er geen synchronisatie worden gekoppeld.
• Vrije plekken. Elk lidmaatschap dat een directory aanmaakt, neemt een plek in je abonnement in.

Het token aanmaken

1. Open Organisatie-instellingen → Beveiliging. Zoek in de sectie Single sign-on naar SCIM-provisioning en kies Instellen.
2. Kopieer onder Koppel je directory de SCIM-basis-URL: https://api.polzy.ai/api/scim/v2.
3. Kies onder Token voor Token aanmaken. Kopieer het uit het venster dat opent: het wordt alleen deze keer getoond. Polzy bewaart alleen een vingerafdruk ervan, en de eerste tekens om het aan te herkennen.
4. Plak beide in je directory, zoals de secties hieronder beschrijven.

• Token vervangen geeft je een nieuw token en laat het huidige nog 24 uur werken, terwijl je het nieuwe in je directory plakt.
• Intrekken stopt alle tokens tegelijk, en daarmee de provisioning. De leden die je directory heeft toegevoegd, blijven zoals ze zijn.
• Recente activiteit laat zien hoeveel wijzigingen je directory de afgelopen 30 dagen heeft gedaan.
• Werkruimtes en rollen zegt waar de mensen die je directory stuurt terechtkomen. Groepsregels bewerken opent de stap Mensen van single sign-on, waar de standaardwerkruimte, de standaardrol en de groepsregels staan.

Beheert iemand anders je directory, dan heeft de instellink die je vanuit de sectie Single sign-on stuurt een SCIM-stap waarin diegene het token zelf kan aanmaken. Vervangen blijft bij jou, en een ingetrokken link stopt ook een token dat ermee is aangemaakt. Zie Laat je IT-team het doen.

Okta

SCIM werkt in Okta in dezelfde app die je voor single sign-on hebt gemaakt. De menu's van de providers staan hier in het Engels.

1. Kies op het tabblad General van de app voor Edit onder App Settings, zet Provisioning op SCIM en sla op. Er verschijnt een tabblad Provisioning.
2. Open op het tabblad Provisioning de optie Integration en kies Edit. Plak de basis-URL in SCIM connector base URL en vul userName in als Unique identifier field for users.
3. Selecteer onder Supported provisioning actions de opties Push New Users, Push Profile Updates en Push Groups.
4. Zet Authentication Mode op HTTP Header en plak het token als bearer token in Authorization. Kies Test Connector Configuration en dan Save.
5. Kies onder To App voor Edit, zet Create Users, Update User Attributes en Deactivate Users aan, en sla op.
6. Kies op het tabblad Push Groups voor Push Groups en push de groepen die je groepsregels noemen. Een groep toewijzen op het tabblad Assignments stuurt de mensen ervan, niet de groep: alleen een gepushte groep bereikt je groepsregels.

Okta stuurt de Okta-gebruikersnaam als userName, dus die moet het e-mailadres van de persoon zijn, op een van je geverifieerde domeinen.

Handleidingen van Okta: Add SCIM provisioning to app integrations en Enable Group Push.

Microsoft Entra ID

1. Open in het Microsoft Entra-beheercentrum de enterprise-applicatie Polzy die je voor single sign-on hebt gemaakt, en ga naar Provisioning.
2. Zet Provisioning Mode op Automatic (kies in nieuwere tenants New configuration).
3. Plak onder Admin Credentials de basis-URL als Tenant URL en het token als Secret Token. Kies Test Connection en sla op.
4. Open onder Mappings de gebruikerskoppeling en controleer de bron van userName: standaard userPrincipalName, of mail als de inlognamen van je mensen niet hun e-mailadressen zijn.
5. Zet onder Settings het bereik op Sync only assigned users and groups, en wijs de mensen en groepen toe onder Users and groups.
6. Zet Provisioning Status op On en sla op.

Entra richt in in rondes van ongeveer 40 minuten. Provision on demand stuurt één persoon, of één groep van maximaal vijf, meteen door: de snelste manier om het te proberen.

Entra stuurt de groepen die aan de app zijn toegewezen met hun object-ID als externalId, dus een groepsregel kan een groep noemen bij zijn naam of bij die object-ID, die Entra's groepsclaim bij het aanmelden meestuurt.

Handleidingen van Microsoft: Develop and plan provisioning for a SCIM endpoint, Configure automatic user provisioning en Provision a user or group on demand.

OneLogin

OneLogin richt in via zijn connector SCIM Provisioner with SAML, die mensen ook met SAML laat inloggen: je kunt single sign-on in diezelfde app instellen, met de waarden uit de sectie OneLogin van de handleiding voor single sign-on.

1. Ga naar Applications → Add App en voeg SCIM Provisioner with SAML toe (het core-schema). Noem de app Polzy.
2. Plak op het tabblad Configuration de basis-URL in SCIM Base URL en het token in SCIM Bearer Token. Houd de standaard SCIM JSON Template aan, die het e-mailadres als userName stuurt. Sla op en kies dan Enable onder API Connection.
3. Selecteer op het tabblad Provisioning de optie Enable provisioning.
4. Open op het tabblad Parameters de optie Groups en selecteer Include in User Provisioning.
5. Geef de mensen die Polzy gebruiken toegang tot de app.

Handleiding van OneLogin: Create a SCIM app.

JumpCloud

1. Open in de JumpCloud Admin Portal de app Polzy onder Access → SSO Applications en ga naar het tabblad Provisioning.
2. Plak de basis-URL in Base URL en het token in Token. Vul onder Test User Email het adres in van iemand die al in Polzy staat, en kies Test Connection.
3. Zet Enable management of User Groups and Group Membership in this application aan en kies Activate. Kies je in plaats daarvan Save, dan blijft de provisioning uit.
4. Voeg op het tabblad User Groups de groepen toe die Polzy gebruiken.

Handleiding van JumpCloud: Integrate with custom SCIM.

Ping Identity

1. Ga in PingOne naar Integrations → Provisioning en voeg een New Connection toe van het soort Identity Store → SCIM Outbound.
2. Vul de basis-URL in als SCIM Base URL, /Users als Users Resource en /Groups als Groups Resource, en kies SCIM 2.0.
3. Zet Authentication Method op OAuth 2 Bearer Token, plak het token in OAuth Access Token en kies Test connection.
4. Zet de User Identifier op het e-mailadres, en sta aanmaken, bijwerken, uitschakelen en deprovisioning van gebruikers toe.
5. Voeg een outbound rule toe die de mensen en groepen noemt die moeten worden ingericht: een connectie alleen richt niemand in.

Handleidingen van Ping Identity: Creating a SCIM connection en Creating an outbound rule.

Google Workspace

Google Workspace richt apps buiten zijn catalogus in via aangepaste SCIM-profielen, een bèta voor een beperkt aantal deelnemers. Heeft je Google Workspace die, stel dan automatische provisioning in op de SAML-app Polzy met de basis-URL als Endpoint URL en het token als Access token.

Handleiding van Google: Set up automated user provisioning with custom SCIM profiles.

Een andere SCIM 2.0-directory

Elke SCIM 2.0-client die een bearer token kan sturen, werkt. Richt die op de basis-URL en stuur Authorization: Bearer gevolgd door het token.

• Gebruikers en groepen. /Users en /Groups, met filteren op userName, emails.value en externalId (de operator eq, verbonden met and; userName en emails.value ongeacht hoofdletters). Groepslidmaatschap komt binnen via /Groups, met POST, PUT of PATCH; een groups-attribuut op een gebruiker is in SCIM alleen-lezen en wordt genegeerd.
• Wat een gebruiker meebrengt. userName (het e-mailadres), name.givenName, name.familyName, externalId en active. Uit de enterprise-extensie vullen department en employeeNumber werkruimtevelden met dezelfde naam, en manager stelt de manager van de persoon in waar rapportagelijnen aan staan.
• Niet ondersteund. Bulkverzoeken, sorteren, ETags en wachtwoordwijzigingen.
• Limiet. 600 verzoeken per minuut per token.

Wat Polzy doet

• Bestaande leden. Wie al in je organisatie zit, wordt herkend aan het e-mailadres. Kwam iemand binnen door zich via je identiteitsprovider aan te melden, dan neemt je directory het lidmaatschap over zodra hij een groep stuurt waar die persoon in zit, en vanaf dan bepalen de groepsregels de rol; die overname verlaagt de rol nooit. Wie door een beheerder is uitgenodigd, houdt zijn werkruimtes en rollen.
• Groepen. Wie in een groep zit die een regel noemt, is lid van de werkruimte van die regel, met de sterkste rol die zijn groepen geven, en in de standaardwerkruimte nooit minder dan de standaardrol. De regels worden toegepast telkens als je directory iemand aan een groep toevoegt of eruit haalt: Okta en Microsoft Entra ID maken de persoon eerst aan en voegen hem even later aan de groep toe, en de rol volgt dan. Een regel herkent een groep aan zijn naam, ongeacht hoofdletters, of aan de ID die je directory als externalId stuurt. Wie de groep verlaat, verliest dat lidmaatschap weer, tenzij de standaardwerkruimte of een andere regel het nog geeft.
• Wat van jou blijft. Lidmaatschappen die een beheerder met de hand heeft gemaakt, worden door de directory nooit verwijderd of gewijzigd. De eigenaar wordt er nooit door gedeactiveerd of verwijderd, en wie de eigenaar heeft geblokkeerd, blijft geblokkeerd.
• Plekken. Elk lidmaatschap heeft een vrije plek nodig. Is er geen vrij, dan weigert Polzy de wijziging en meldt je directory de fout. Deactiveren maakt plekken vrij; weer activeren heeft vrije plekken nodig.
• Auditlog. Elke wijziging van de directory wordt vastgelegd in de auditlog, met Directory (SCIM) als uitvoerder.

Wijzig je de standaardwerkruimte of de groepsregels in de stap Mensen van single sign-on, dan worden alle mensen die je directory heeft geplaatst op de achtergrond opnieuw volgens die regels geplaatst.

Problemen oplossen

Je directory toont het antwoord van Polzy in zijn provisioninglog, in het Engels. De meest voorkomende:

Beperkingen

• SCIM 2.0, voor gebruikers en groepen, getest met de provisioning van Okta en Microsoft Entra ID.
• Eén directory per organisatie, via één token tegelijk.
• Gebruikersnamen moeten e-mailadressen op je geverifieerde domeinen zijn, en een gebruikersnaam kan niet veranderen.
• SCIM en een personensynchronisatie kunnen niet allebei dezelfde organisatie beheren.
• Iemand verwijderen haalt de lidmaatschappen weg, niet de gegevens: iemand wissen is een aparte stap die een beheerder neemt vanuit diens record. Zie Mensen, contacten en velden.

Nuttige links

• Okta: Add SCIM provisioning to app integrations
• Microsoft: Develop and plan provisioning for a SCIM endpoint
• OneLogin: Create a SCIM app
• JumpCloud: Integrate with custom SCIM
• Ping Identity: Creating a SCIM connection
• Single sign-on instellen, waarop SCIM voortbouwt.