Automatické zakládání uživatelů přes SCIM 2.0 (Microsoft Entra ID)

SCIM 2.0 je standardní protokol, kterým poskytovatel identit, například Microsoft Entra ID, sám zakládá, upravuje, deaktivuje a znovu aktivuje uživatelské účty v TAS. Odchod zaměstnance nebo změna jeho jména se tak do TAS promítne bez ručního zásahu a bez synchronizace z LDAP. Článek je pro administrátora TAS a správce Entra ID, kteří propojení nastavují.

Od verze 5.21
Rozhraní SCIM je součástí TAS od verze 5.21. Nemá vlastní obrazovku. Na straně TAS stačí připravit systémového uživatele a API token, zbytek se nastavuje v Entra ID.

Co SCIM v TAS dělá

TAS je pro SCIM takzvaný poskytovatel služby pro uživatele. Entra ID na adresu https://tas.company.com/api/scim posílá požadavky a TAS podle nich mění účty:

Událost v Entra IDCo se stane v TAS
Uživatel je přiřazen k aplikaci TASPokud v TAS účet se stejným uživatelským jménem neexistuje, TAS ho založí jako aktivního, běžného (ne systémového) uživatele. Nový účet dostane stejné výchozí nastavení jako ostatní nově založení uživatelé: roli $AllUsers, zařazení mezi nezařazené v organizační struktuře, výchozí nástěnku a zapnutá e-mailová upozornění. Pokud účet se stejným uživatelským jménem už existuje, Entra ID ho převezme a dál spravuje.
Změna jména, e-mailu nebo uživatelského jménaTAS přepíše odpovídající pole účtu.
Uživatel je v Entra ID zakázán nebo odebrán z aplikaceTAS účet zamkne. Uživatel se nepřihlásí, ale účet zůstává a SCIM ho dál vidí.
Zakázaný uživatel je znovu povolen nebo vrácen do aplikaceTAS zamčený účet znovu aktivuje. Nevzniká nový účet, uživatel má dál své případy, úkoly a role.
Uživatel je v Entra ID trvale smazánTAS účet smaže stejně jako smazání uživatele v administraci. Smazaný účet už SCIM nevidí a jeho uživatelské jméno je volné pro nový účet.

Uživatelé založení přes SCIM nemají v TAS heslo. Přihlašují se přes metodu Microsoft Entra ID, kterou nastavíte v Administraci v části Autentizace.

Které atributy se přenášejí

TAS ukládá sedm atributů uživatele. Přesně tyto atributy TAS nabízí i v popisu svého schématu (/scim/Schemas).

Atribut SCIMPole v TASPoznámka
userNameUživatelské jménoPovinné. TAS ho ukládá velkými písmeny a musí být jedinečné mezi aktivními a zamčenými uživateli.
activeUživatel je aktivnítrue = aktivní, false = zamčený.
displayNameZobrazované jméno
name.givenNameJméno
name.familyNamePříjmení
emails[type eq "work"].valueE-mailTAS ukládá jednu adresu. Když jich přijde víc, použije primární, jinak první.
externalIdExterní IDIdentifikátor uživatele u poskytovatele identit.
Jiné atributy TAS odmítne
Změnu, která obsahuje atribut, jenž TAS neukládá (například title, phoneNumbers, addresses, preferredLanguage nebo rozšíření enterprise s oddělením a nadřízeným), TAS odmítne celou a účet nezmění. Entra ID pak hlásí chybu v protokolu zřizování a uživatele může dát do karantény. Proto v mapování atributů v Entra ID ponechte jen sedm atributů z tabulky.

Chráněné účty

Účty uvedené v Konfiguraci v poli Protected User Names (klíč application.authentication.protectedUserNames) SCIM nesmí založit, změnit, zamknout ani smazat a v odpovědích je vůbec nevidí. Výchozí hodnota je ADMIN, takže chybně nastavený poskytovatel identit nemůže zamknout lokální účet administrátora. Stejný seznam přeskakuje i synchronizace z LDAP / Active Directory.

Seznam otevřete v Administrace › Konfigurace, nejrychleji vyhledáním slova „protected“. Jména zapisujte velkými písmeny. Účet ADMIN v seznamu ponechte. Přidejte sem i servisní účty, které nemá Entra ID spravovat.

Příprava v TAS

Entra ID se k TAS přihlašuje statickým API tokenem. Token vystupuje jako systémový uživatel a ten musí mít roli $Administrator. Bez ní TAS požadavky SCIM odmítne. Požadavky přihlášené běžnou relací v prohlížeči TAS nepřijímá.

  1. Založte systémového uživatele. V Uživatelé vytvořte uživatele, například SCIM.PROVISIONING, a zaškrtněte Systémový uživatel. Tuto volbu může nastavit jen superadministrátor. Uživatel musí být aktivní a nesmí mít roli superadministrátora ani $ApiTokenAdmin.
  2. Přidělte mu roli $Administrator.
  3. Vygenerujte token. Uživatel s rolí $ApiTokenAdmin otevře Administrace › Přístup k API, na záložce API tokeny klepne na Vygenerovat token a vyplní okno podle obrázku.
  4. Token hned zkopírujte. Zobrazí se jen jednou a vložíte ho do Entra ID jako tajný token.
Č.PoleCo vyplnit
1Systémový uživatelSystémový uživatel s rolí $Administrator, například SCIM Provisioning.
2Expirace (dny)Platnost tokenu. Prázdné pole znamená 365 dní, nejvýše lze zadat 730 dní.
3PopisPodle popisu token později v seznamu najdete, například „Microsoft Entra ID provisioning (SCIM)“.
4Vygenerovat tokenVytvoří token a zobrazí ho.
Token vyprší
Po vypršení tokenu Entra ID přestane uživatele zřizovat. Před koncem platnosti vygenerujte nový token, vložte ho do Entra ID a starý v Přístupu k API zneplatněte.

Nastavení zřizování v Microsoft Entra ID

Kroky provádí správce Entra ID v Microsoft Entra admin center. Názvy položek jsou podle anglického rozhraní Entra.

  1. V Enterprise applications zvolte New application › Create your own application a vytvořte aplikaci mimo galerii (Non-gallery), například „TAS“. Pokud už pro TAS máte aplikaci kvůli přihlašování přes Entra ID, můžete zřizování zapnout v ní.
  2. Otevřete Provisioning a nastavte Provisioning Mode na Automatic.
  3. V části Admin Credentials zadejte Tenant URL https://tas.company.com/api/scim (adresa vaší instance TAS a za ní /api/scim) a do Secret Token vložte API token z TAS.
  4. Klepněte na Test Connection. Úspěšný test potvrdí, že TAS token přijal a uživatel tokenu má roli $Administrator.
  5. V Mappings vypněte zřizování skupin (Provision Microsoft Entra ID Groups › Enabled: No). TAS skupiny přes SCIM nepřijímá.
  6. Otevřete Provision Microsoft Entra ID Users a ponechte jen mapování sedmi atributů z tabulky výše: userName, active, displayName, name.givenName, name.familyName, emails[type eq "work"].value a externalId. Ostatní řádky smažte. Jako párovací atribut ponechte userName.
  7. Do userName mapujte hodnotu, kterou uživatel používá při přihlášení do TAS přes Entra ID. Metoda Entra ID ve výchozím nastavení hledá uživatele podle e-mailu, proto se obvykle hodí userPrincipalName, pokud se shoduje s e-mailem.
  8. V Users and groups aplikace přiřaďte uživatele nebo skupiny, které mají mít účet v TAS, a v Settings nastavte Scope na Sync only assigned users and groups.
  9. Pro ověření použijte Provision on demand u jednoho uživatele a zkontrolujte jeho účet v TAS v Uživatelé.
  10. Nastavte Provisioning Status na On a uložte. Entra ID pak změny posílá v pravidelných cyklech.
Ověření mapování
Microsoft SCIM Validator nechte načíst schéma volbou Discover schema s adresou https://tas.company.com/api/scim. Atributy nezaškrtávejte ručně. Validátor pak testuje přesně ty atributy, které TAS ukládá.

Omezení

  • Přenášejí se jen uživatelé. Skupiny, role, kompetence ani organizační struktura se přes SCIM nesynchronizují. Role přidělujte v TAS ručně, přes organizační strukturu nebo kompetence.
  • SCIM nenastavuje heslo. Uživatelé se přihlašují přes metodu Microsoft Entra ID.
  • Hromadné operace (bulk) a změna hesla přes SCIM nejsou podporované.
  • Ve filtrech TAS podporuje operátory eq, ne, co, sw, ew, gt, ge, lt, le a pr spojené pomocí and a or. Závorky a not odmítne. Entra ID je při běžném zřizování nepoužívá.
  • Uživatelské jméno musí být jedinečné. Pokus o založení nebo přejmenování na jméno, které už má jiný aktivní nebo zamčený uživatel, TAS odmítne.
  • Účty z chráněného seznamu SCIM nespravuje.
  • Pokud stejné účty spravuje i synchronizace z LDAP / Active Directory, mohou se obě strany navzájem přepisovat. Pro jednu skupinu uživatelů používejte jen jeden zdroj.

Související: Přístup k API, Autentizace, Přihlášení přes Microsoft Entra ID, Uživatelé, Konfigurace.

SMTP OAuth autentizace

Autentizace v5.21
Team assistant (opens in a new tab)

Powered by HelpDocs (opens in a new tab)