System for Cross-domain Identity Management (SCIM) é um padrão usado para automatizar o provisionamento de usuários entre sistemas. O SCIM permite que um Provedor de Identidade (IdP), como Okta ou Azure Active Directory (Azure AD), crie, atualize e desative automaticamente contas de usuário em outra plataforma, sem exigir administração manual.
Este artigo aborda:
O que é System for Cross-domain Identity Management (SCIM) e como funciona
As diferenças entre SCIM e Security Assertion Markup Language (SAML)
Como configurar o provisionamento SCIM no Azure
Como configurar atributos SCIM para equipes e funções
SCIM vs SAML
System for Cross-domain Identity Management (SCIM) concentra-se no gerenciamento de contas de usuário, enquanto Security Assertion Markup Language (SAML) concentra-se na autenticação e no login do usuário. Com SAML e provisionamento Just-in-Time (JIT), as contas de usuário podem ser criadas automaticamente quando um usuário faz login pela primeira vez, sem exigir SCIM.
O SCIM é recomendado quando você precisa de gerenciamento contínuo do ciclo de vida do usuário, incluindo atualização de detalhes do usuário, gerenciamento de funções e remoção automática de acesso quando os usuários deixam uma organização. SAML com provisionamento JIT costuma ser adequado para implantações mais simples que não exigem gerenciamento completo do ciclo de vida.
Em muitos ambientes corporativos, SCIM e SAML são usados em conjunto. O SCIM provisiona e sincroniza contas de usuário, enquanto o SAML oferece uma experiência de login integrada.
Recurso | SCIM | SAML |
Finalidade | Automatiza o provisionamento de usuários e o gerenciamento do ciclo de vida | Autentica usuários e habilita o Single Sign-On (SSO) |
Criação de conta de usuário | Cria usuários automaticamente por meio do provisionamento | Pode criar usuários por meio do provisionamento Just-in-Time (JIT) |
Atualizações de usuários | Sincroniza alterações no perfil e na função do usuário | Não gerencia atualizações de usuários |
Desprovisionamento de usuários | Remove automaticamente o acesso quando os usuários saem | Não gerencia desprovisionamento |
Autenticação | Não | Sim |
Mais adequado para | Organizações que precisam de gerenciamento e sincronização do ciclo de vida do usuário | Organizações que precisam de autenticação Single Sign-On (SSO) |
Uso corporativo comum | Frequentemente usado em conjunto com SAML | Frequentemente usado em conjunto com SCIM |
Configurar o SCIM no Azure
Entre no Portal do Azure e abra seu aplicativo SAML.
Em Manage, selecione Provisioning.
Em Get started, selecione Connect your application.
Agora você verá os campos Tenant URL e Secret Token.
Para Tenant URL, insira os seguintes valores: https://identity.cision.one/scim/v2.
Depois de entrar no aplicativo para desktop, navegue até Organizations e Integrations e selecione Manage Integration ao lado de SAML Single Sign-On.
Role até o final da página, selecione Generate SCIM Token e, em seguida, selecione o ícone + para copiar o token.
Retorne ao portal do Azure e cole o token no campo Secret Token.
Selecione Test connection para verificar a configuração. Se a conexão for bem-sucedida, uma mensagem de confirmação será exibida no canto superior direito da página.
O provisionamento SCIM básico agora está configurado. Para configurar mapeamentos de atributos avançados, continue com as etapas abaixo.
Selecione Attribute mapping (Preview) e abra Provision Microsoft Entra ID Users.
Remova todos os mapeamentos padrão (opcional), exceto:
· active
· userName
· emails
· name.givenName
· name.familyName
Para configurar mapeamentos personalizados de funções e equipes, continue com as etapas abaixo.
Selecione Show advanced options e, em seguida, selecione Edit attribute list for customappsso.
Adicione os atributos personalizados necessários, garantindo que a Referência esteja definida como String para cada atributo.
urn:ietf:params:scim:schemas:extension:roles:2.0:User.monitoring_user_role
urn:ietf:params:scim:schemas:extension:roles:2.0:User.social_user_role
urn:ietf:params:scim:schemas:extension:roles:2.0:User.outreach_user_role
urn:ietf:params:scim:schemas:extension:teams:2.0:User.primary_team
Role até o topo da página e selecione Save.
Retorne à página de mapeamentos de atributos e configure os mapeamentos para os atributos personalizados com base na configuração de atributos do Azure.
Aviso:
O Azure não detecta se um usuário já existe no CisionOne. Como resultado, o Azure pode continuar tentando criar o usuário durante o provisionamento.
Consulte Como configuro o Single Sign-On (SSO) SAML com o Azure? para obter orientação sobre como configurar a autenticação SAML e as integrações do Provedor de Identidade.