SCIM 2.0 Provisioning

SCIM (System for Cross-domain Identity Management) è un protocollo standardizzato (RFC 7643/7644) che consente a un identity provider (IdP) esterno di inviare eventi del ciclo di vita degli utenti — creazione, aggiornamento, disabilitazione, eliminazione — ad Auris automaticamente. Invece di gestire manualmente gli utenti in due sistemi, l’IdP diventa la fonte di verità e Auris riflette il suo stato in tempo quasi reale.

Auris implementa SCIM 2.0 ed è compatibile con qualsiasi IdP che supporti lo standard, tra cui Okta, Microsoft Azure AD (Entra ID), OneLogin, JumpCloud, Google Workspace (tramite bridge SCIM di terze parti) e Ping Identity.

Come Funziona SCIM

Quando SCIM è configurato, l’IdP agisce come client SCIM e Auris agisce come server SCIM (service provider).

Il ciclo di vita tipico:

1. Un nuovo dipendente viene aggiunto in Okta (o un altro IdP).
2. Okta invia una richiesta POST /scim/v2/Users ad Auris con gli attributi del dipendente.
3. Auris crea l’utente sia nel suo database che nel realm Keycloak sottostante.
4. Quando il dipendente viene disabilitato in Okta (es. dopo le dimissioni), Okta invia una PATCH /scim/v2/Users/[id] con "active": false.
5. Auris disabilita l’utente e invalida tutte le sessioni attive.
6. Quando il record del dipendente viene eliminato in Okta, Okta invia DELETE /scim/v2/Users/[id].
7. Auris elimina temporaneamente l’utente.

Questo mantiene Auris sincronizzato senza alcun intervento manuale da parte degli amministratori.

Configurazione di una Connessione SCIM

{
  "name": "Okta Produzione",
  "keycloakRealm": "il-tuo-realm"
}

Endpoint SCIM

Tutti gli endpoint SCIM sono montati sotto /scim/v2. Richiedono un token Bearer corrispondente a una connessione SCIM attiva. È supportato il Content-Type: application/scim+json SCIM standard.

Mapping degli Attributi

Di default, Auris applica mappature standard da attributi SCIM a campi Auris. Puoi personalizzare queste mappature per connessione nella scheda Mappature della Console.

Mappature Default

Mappature Personalizzate

Le mappature personalizzate degli attributi consentono di mappare attributi SCIM non standard ai campi utente di Auris. Ad esempio, se il tuo IdP invia urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department e vuoi memorizzarlo in metadata.department.

{
  "scimAttribute": "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department",
  "aurisAttribute": "metadata.department",
  "direction": "INBOUND",
  "isActive": true
}

Direzioni delle mappature:

Supporto dei Filtri

Auris implementa il filtraggio SCIM RFC 7644 §3.4.2.2. La maggior parte degli IdP usa i filtri per cercare gli utenti prima di crearli o aggiornarli.

Operatori supportati:

Esempi di filtri:

# Trova un utente per email
/scim/v2/Users?filter=emails eq "[email protected]"

# Trova per userName
/scim/v2/Users?filter=userName eq "alice"

# Trova utenti attivi in un dipartimento (con estensione schema enterprise)
/scim/v2/Users?filter=active eq true and urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department eq "engineering"

I filtri supportano i combinatori and/or e le parentesi per il raggruppamento. I percorsi degli attributi con notazione puntata (es. name.givenName) vengono risolti correttamente.

Statistiche di Sincronizzazione

La Console fornisce un riepilogo dell’attività di sincronizzazione SCIM per connessione, visualizzabile nella scheda Statistiche di ogni pagina di dettaglio della connessione.

Risposta:

{
  "periods": {
    "24h": { "created": 12, "updated": 8, "deleted": 1, "errors": 0 },
    "7d":  { "created": 45, "updated": 33, "deleted": 4, "errors": 2 },
    "30d": { "created": 180, "updated": 112, "deleted": 9, "errors": 5 }
  }
}

Operazioni Bulk

L’endpoint SCIM Bulk consente a un IdP di inviare fino a 100 operazioni in una singola richiesta HTTP. Questo riduce il sovraccarico di rete durante grandi eventi di provisioning (es. una sincronizzazione directory a livello organizzazione).

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:BulkRequest"],
  "Operations": [
    {
      "method": "POST",
      "path": "/Users",
      "bulkId": "bulk-1",
      "data": {
        "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
        "userName": "[email protected]",
        "name": { "givenName": "Nuovo", "familyName": "Utente" },
        "emails": [{ "value": "[email protected]", "primary": true }]
      }
    },
    {
      "method": "PATCH",
      "path": "/Users/scim-ext-id-123",
      "data": {
        "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
        "Operations": [{ "op": "replace", "path": "active", "value": false }]
      }
    }
  ]
}

Permessi Richiesti

Pagine Correlate

• Gestione degli Utenti — Gestione manuale degli utenti tramite API e Console
• Importazione ed Esportazione Utenti — Importazione massiva una tantum da CSV o JSON
• Organizzazioni: Enterprise SSO — SSO per organizzazione per i clienti B2B
• Console: Connessioni SCIM — Guida completa alla Console