SCIM 2.0-Provisionierung

SCIM (System for Cross-domain Identity Management) ist ein standardisiertes Protokoll (RFC 7643/7644), das es einem externen Identity Provider (IdP) ermöglicht, Benutzer-Lebenszyklus-Ereignisse — Erstellen, Aktualisieren, Deaktivieren, Löschen — automatisch an Auris zu übertragen. Anstatt dass Administratoren Benutzer in zwei Systemen manuell verwalten, wird der IdP zur Quelle der Wahrheit und Auris spiegelt seinen Zustand nahezu in Echtzeit wider.

Auris implementiert SCIM 2.0 und ist mit jedem IdP kompatibel, der den Standard unterstützt, einschließlich Okta, Microsoft Azure AD (Entra ID), OneLogin, JumpCloud, Google Workspace (über SCIM-Bridge von Drittanbietern) und Ping Identity.

Wie SCIM funktioniert

Wenn SCIM konfiguriert ist, fungiert der IdP als SCIM-Client und Auris als SCIM-Server (Service Provider).

Der typische Lebenszyklus:

1. Ein neuer Mitarbeiter wird in Okta (oder einem anderen IdP) hinzugefügt.
2. Okta sendet eine POST /scim/v2/Users-Anfrage an Auris mit den Attributen des Mitarbeiters.
3. Auris erstellt den Benutzer sowohl in seiner Datenbank als auch im zugrundeliegenden Keycloak-Realm.
4. Wenn der Mitarbeiter in Okta deaktiviert wird (z.B. nach Kündigung), sendet Okta einen PATCH /scim/v2/Users/[id] mit "active": false.
5. Auris deaktiviert den Benutzer und macht alle aktiven Sitzungen ungültig.
6. Wenn der Mitarbeiterdatensatz in Okta gelöscht wird, sendet Okta DELETE /scim/v2/Users/[id].
7. Auris löscht den Benutzer weich.

Dies hält Auris synchron, ohne manuelle Administrator-Eingriffe.

SCIM-Verbindung einrichten

{
  "name": "Okta Produktion",
  "keycloakRealm": "your-realm"
}

SCIM-Endpunkte

Alle SCIM-Endpunkte sind unter /scim/v2 gemountet. Sie erfordern ein Bearer-Token, das einer aktiven SCIM-Verbindung entspricht. Standard-SCIM Content-Type: application/scim+json wird unterstützt.

Attribut-Zuordnung

Standardmäßig wendet Auris Standard-SCIM-zu-Auris-Attribut-Zuordnungen an. Diese Zuordnungen können pro Verbindung im Console-Tab “Zuordnungen” angepasst werden.

Standard-Zuordnungen

Benutzerdefinierte Zuordnungen

Benutzerdefinierte Attribut-Zuordnungen ermöglichen es, nicht-standardmäßige SCIM-Attribute Auris-Benutzerfeldern zuzuordnen. Zum Beispiel, wenn dein IdP urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department sendet und du es in metadata.department speichern möchtest.

{
  "scimAttribute": "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department",
  "aurisAttribute": "metadata.department",
  "direction": "INBOUND",
  "isActive": true
}

Zuordnungsrichtungen:

Filter-Unterstützung

Auris implementiert RFC 7644 §3.4.2.2 SCIM-Filterung. Die meisten IdPs verwenden Filter, um Benutzer vor dem Erstellen oder Aktualisieren nachzuschlagen.

Unterstützte Operatoren:

Beispielfilter:

# Benutzer nach E-Mail finden
/scim/v2/Users?filter=emails eq "[email protected]"

# Nach userName finden
/scim/v2/Users?filter=userName eq "alice"

# Aktive Benutzer in einer Abteilung finden (mit Enterprise-Schema-Erweiterung)
/scim/v2/Users?filter=active eq true and urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department eq "engineering"

Filter unterstützen and/or-Kombinatoren und Klammern zur Gruppierung. Punkt-Notation-Attributpfade (z.B. name.givenName) werden korrekt aufgelöst.

Synchronisations-Statistiken

Die Console bietet eine Aufschlüsselung der SCIM-Synchronisationsaktivität pro Verbindung, sichtbar im Tab “Statistiken” jeder Verbindungs-Detailseite.

Antwort:

{
  "periods": {
    "24h": { "created": 12, "updated": 8, "deleted": 1, "errors": 0 },
    "7d":  { "created": 45, "updated": 33, "deleted": 4, "errors": 2 },
    "30d": { "created": 180, "updated": 112, "deleted": 9, "errors": 5 }
  }
}

Massen-Operationen

Der SCIM-Bulk-Endpunkt ermöglicht es einem IdP, bis zu 100 Operationen in einer einzigen HTTP-Anfrage zu senden. Dies reduziert den Netzwerkaufwand bei großen Provisionierungsereignissen (z.B. eine organisationsweite Verzeichnissynchronisation).

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:BulkRequest"],
  "Operations": [
    {
      "method": "POST",
      "path": "/Users",
      "bulkId": "bulk-1",
      "data": {
        "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
        "userName": "[email protected]",
        "name": { "givenName": "Neuer", "familyName": "Benutzer" },
        "emails": [{ "value": "[email protected]", "primary": true }]
      }
    },
    {
      "method": "PATCH",
      "path": "/Users/scim-ext-id-123",
      "data": {
        "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
        "Operations": [{ "op": "replace", "path": "active", "value": false }]
      }
    }
  ]
}

Bulk-Antwort:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:BulkResponse"],
  "Operations": [
    { "method": "POST", "bulkId": "bulk-1", "status": { "code": 201 } },
    { "method": "PATCH", "location": "/scim/v2/Users/scim-ext-id-123", "status": { "code": 200 } }
  ]
}

Erforderliche Berechtigungen

Verwandte Seiten

• Benutzer verwalten — Manuelle Benutzerverwaltung über API und Console
• Benutzer Import & Export — Einmaliger Massen-Import aus CSV oder JSON
• Organisationen: Enterprise SSO — Organisations-spezifisches SSO für B2B-Kunden
• Console: SCIM-Verbindungen — Vollständige Console-Anleitung