SCIM

System for Cross-domain Identity Management (SCIM) är ett protokoll för att etablera och hantera identitetsdata på webben.

varning

Datafisher rekommenderar starkt den Microsoft Graph-baserade lösningen där LMS hämtar relevant data från Entra ID via Datafisher Azure-applikationen.

Detta möjliggör bättre kund- och slutanvändarstöd som inte behöver insats från kundens IT.

SCIM bör övervägas om Entra ID-användarattributen innehåller känsliga data som inte får göras tillgängliga för Datafisher. Observera att endast tidigare överenskomna data under alla omständigheter lagras i LMS.

Förutsättningar (tillhandahålls av Datafisher):

1. SCIM-endpoint (Tenant URL)
2. hemlig token

Resultat (ska lämnas till Datafisher):

1. (inga)

Viktiga detaljer i SCIM-implementeringen

1. Användare tas aldrig bort, utan markeras som blockerade i stället. Användare tas bort enligt reglerna för datalagring som definierats i LMS.
2. När användare uppdateras individuellt (inte som del av en bulkbegäran) kan det finnas en mindre fördröjning innan alla deras tilldelningar och gruppmedlemskap är tillgängliga.
3. LMS-reglerna för datavalidering tillämpas också på importerade användare, till exempel:
   1. e-postadresser måste vara unika;
   2. antingen e-postadress eller medarbetar-ID (när det används) måste anges;
   3. osv.
4. SCIM-endpointen kan vara begränsad till en delmängd av användare som är tillgängliga i LMS (t.ex. endast en viss division, endast interna användare).

SCIM-konfiguration

Först behöver Datafisher Azure-applikationen konfigureras.

Därefter behöver du i Microsoft Entra admin center gå till Enterprise Applications och välja Datafisher LMS:

Välj sedan Provisioning från menyn.

Kom sedan igång.

Konfigurera anslutning

Ange sedan Provisioning mode till Automatic och fyll i Tenant URL och Secret token.

Testa sedan anslutningen. Du bör se ett lyckat meddelande längst upp till höger på sidan.

Spara sedan konfigurationen.

Därefter kan du behöva navigera till sidan Provisioning igen för att etableringsmenyn ska bli synlig:

Uppdatera användarmappningar

Öppna sedan avsnittet Mappings under Provisioning och välj Provision Microsoft Entra ID Users.

Hitta sedan externalId under Attribute mappings och klicka på Edit.

Sedan:

1. ändra Source attribute till objectId
2. ange Match objects using this attribute till Yes
3. ange Matching precedence till 2

och klicka på Ok längst ned på sidan.

Hitta sedan userName i listan Attribute Mappings och klicka på Edit.

Ange sedan Match objects using this attribute till No och klicka på Ok längst ned på sidan.

Ta sedan bort några attribut som inte stöds i listan Attribute Mappings:

1. name.formatted
2. displayName
3. alla addresses*
4. alla phoneNumbers*

vilket bör lämna endast:

1. userName
2. active
3. title
4. emails[type eq "work"].value
5. preferredLanguage
6. name.givenName
7. name.familyName
8. externalId
9. urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:employeeNumber
10. urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department
11. urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:manager

Ta dessutom bort följande fält om de inte är aktiverade i LMS för ditt företag:

1. title (befattning)
2. urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:employeeNumber (medarbetar-ID)
3. urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department (avdelningsnamn)

Spara sedan ändringarna.

Anpassade attribut

Om anpassade fält behöver läggas till behöver du markera Show advanced options och klicka på Edit attribute list for customappsso.

Längst ned på sidan fyller du i fälten Name och Type enligt vad Datafisher har tillhandahållit. Name kan till exempel vara urn:ietf:params:scim:schemas:extension:datafisher:2.0:User:source.

Klicka sedan på Add New Mapping i listan Attribute Mappings och välj relevant Source attribute och Target attribute. Du kan behöva uppdatera sidan om du inte kan hitta Target attribute som du just lade till.

Spara sedan ändringarna på sidan Attribute Mapping och navigera tillbaka till sidan Provisioning.

Uppdatera gruppmappningar

Öppna sedan avsnittet Mappings under Provisioning-hantering och välj Provision Microsoft Entra ID Groups.

Hitta sedan externalId i tabellen Attribute mappings och klicka på Edit.

Sedan:

1. se till att Source attribute är objectId
2. ange Match objects using this attribute till Yes
3. ange Matching precedence till 2

och klicka på Ok längst ned på sidan.

Hitta sedan displayName i listan Attribute Mappings och klicka på Edit.

Ange sedan Match objects using this attribute till No och klicka på Ok längst ned på sidan.

Spara sedan ändringarna på sidan Attribute Mapping och navigera tillbaka till sidan Provisioning.

Tilldela användare

Det är möjligt att etablera antingen alla användare eller endast en del av dem.

Etablera alla användare (rekommenderas inte)

För att etablera alla användare går du till hanteringssidan Provisioning, hittar avsnittet Settings och ändrar Scope till Sync all users and groups.

Klicka sedan på Save längst upp.

Etablera endast valda användare (rekommenderas)

För att etablera endast valda användare går du till hanteringssidan Provisioning, hittar avsnittet Settings och ändrar Scope till Sync only assigned users and groups.

Klicka sedan på Save längst upp.

Gå sedan till hanteringssidan Users and groups och klicka på Add user/group.

Klicka sedan på None selected.

Välj sedan relevanta grupper och klicka på Select. Dessa grupper blir också tillgängliga i LMS för tilldelning och rapportering.

Du bör åtminstone välja gruppen som innehåller alla personer, dvs. exkluderar alla noreply@, support@ osv.-adresser.

Varning

Observera att när du tilldelar en grupp inkluderas inte nästlade grupper.

Klicka sedan på Assign längst ned på sidan.

Aktivera etablering

Navigera sedan tillbaka till hanteringssidan Provisioning, aktivera etablering och klicka på Save.

Gå sedan till sidan Overview för etablering, där du bör se att etablering har aktiverats, men att den första etableringscykeln (troligen) ännu inte har körts.

Slutligen bör du efter några minuter se etableringsstatusen. Om det finns fel, kontakta Datafisher-supporten.