A felhasználói provisioning (SCIM) beállítása

A felhasználók azonnali hozzáadásához és eltávolításához a felhasználói jogosultságok beállítása és visszavonása funkciót a SAML-lel együtt használhatja.

Áttekintés

Miután beállította a SAML SSO-t a Tulip{target=_blank} rendszerben, érdemes lehet a felhasználókat valós időben felvenni és törölni a SCIM API segítségével.

A SCIM segítségével az identitásszolgáltatója (IdP) automatikusan létrehozza a felhasználókat a Tulipben, frissíti a nevüket, és deaktiválja őket, amikor kilépnek, így a hozzáférést egy helyen kezelheti. A SCIM beállítása két részből áll: a SCIM-adatok beszerzése a Tulipból, valamint egy egyéni SCIM-alkalmazás konfigurálása az identitásszolgáltatójában. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

1. lépés: A SCIM-adatok beszerzése a Tulipból

Az IdP és a Tulip összekapcsolásához két értéket kell beírnia a Tulipból az IdP-jében található egyéni SCIM-alkalmazásba (lásd a 2. lépést):- Tenant URL: az a SCIM végpont, ahová az IdP elküldi a kéréseket.- API Key/Secret: az a Bearer token, amelyet az IdP használ a Tulipnál történő hitelesítéshez. Tárolja ezeket biztonságosan.

Hogyan találja meg őket a Tulipban: 1. Lépjen a Fiókbeállítások menübe, és kattintson a SAML oldalra. 2. Válassza ki a SCIM fület.

1. Másolja ki a bérlői URL-t. Ezután hozzon létre egy API-kulcsot (vagy állítsa elő újra, ha már létezik), majd másolja ki az API-kulcsot/titkos kulcsot. Ehhez rendszergazdának vagy fióktulajdonosnak kell lennie. Tartsa kéznél mindkét értéket a 2. lépéshez.

2. lépés: Hozzon létre egy egyéni SCIM-alkalmazást az identitásszolgáltatójában

A Tulip nem biztosít előre elkészített SCIM-alkalmazást vagy konfigurációt az identitásszolgáltatók számára, ezért egyéni (nem galériából származó) alkalmazást kell létrehoznia az identitásszolgáltatójában.

Írja be az alkalmazásba az 1. lépésben másolt bérlői URL-t és API-kulcsot/titkos kulcsot. Az identitásszolgáltatótól függően ezek a mezők eltérő névvel szerepelhetnek (például „Titkos token”).

Az alkalmazás konfigurálásakor győződjön meg arról, hogy az identitásszolgáltatója a következőképpen van beállítva: - Rendelje hozzá az identitásszolgáltató SCIM felhasználónévhez tartozó attribútumát ahhoz az értékhez, amelyet az identitásszolgáltatója SAML NameID-ként küld. Ez segít a provisionált felhasználóknak az első SAML-bejelentkezéskor.- A felhasználók hozzárendelése előtt ellenőrizze a felhasználónév és az e-mail cím hozzárendeléseit. Ezek az értékek a felhasználó provisionálása után már nem módosíthatók. - Kapcsolja ki a csoportok provisionálását. A Tulip kizárólag felhasználókat provisionál, a csoportok pedig nem szinkronizálódnak a SCIM-en keresztül.

Microsoft Entra ID

Azok számára, akik a Microsoft Entra-t használják IdP-ként, az Entra galériában található Tulip-alkalmazás kizárólag a SAML SSO-t támogatja, és nem rendelkezik „Provisioning” (Provisioning) füllel. Ez várható, és nem jelenti azt, hogy valami rosszul lenne beállítva.

A SCIM használata a Microsoft Entra ID-vel:

1. A Microsoft Entra adminisztrációs központban lépjen az Entra ID > Vállalati alkalmazások > Új alkalmazás > Saját alkalmazás létrehozása menüpontra.
   1. Adjon nevet az alkalmazásnak, válassza a „Bármely más, a galériában nem található alkalmazás integrálása (Nem a galériából)” lehetőséget, majd hozza létre az alkalmazást. Ezt az alkalmazást kizárólag provisioning céljára használja.
2. Az új alkalmazásban válassza a Provisioning > Connect your application menüpontot.
   1. Állítsa be a hitelesítési módszert „Bearer hitelesítés”-re.
   2. Írja be a bérlői URL-címet (https:///scim/v2) és az 1. lépésben kapott API-kulcsot titkos tokenként, majd válassza a Kapcsolat tesztelése lehetőséget.
3. Nyissa meg az Attribute mapping (Attribútum-hozzárendelés) menüpontot. Rendelje hozzá a SCIM userName attribútumot a SAML NameID-jével megegyező értékhez, és tiltsa le a csoportok hozzárendelését.
4. A „Felhasználók és csoportok” fülön rendeljen hozzá egyedi felhasználókat. Ne rendeljen hozzá csoportokat, mert a Tulip nem támogatja azok szinkronizálását, és a provisioning sikertelen lesz.
5. Használja az „Igény szerinti provisioning” funkciót egy felhasználó teszteléséhez, majd válassza a „Provisioning indítása” lehetőséget.

Mivel az Entra és más azonosítószolgáltatók (IdP-k) esetében szükség lehet a környezetéhez igazodó további testreszabásra, forduljon az azonosítószolgáltató rendszergazdájához vagy a Tulip ügyfélszolgálatához, ha segítségre van szüksége a bevezetés megtervezéséhez.

Támogatott funkciók

A Tulip a következő valós idejű frissítéseket támogatja a SCIM API-n keresztül: - Felhasználó létrehozása - A felhasználó nevének frissítése - Felhasználó törlése / jogosultságok visszavonása

Felhasználó létrehozása

Az azonosítószolgáltatón belül Ön szabályozza, hogy mely felhasználók férhetnek hozzá a Tulip alkalmazáshoz.

Amikor a Tulip szolgáltatóként regisztrálódik, az azonosítószolgáltatója a SCIM API-t használja majd az összes olyan felhasználó provisionálására, akinek hozzáférése szükséges a Tuliphez. Ezeket a felhasználókat a Tulip automatikusan létrehozza, de a platform egyetlen részéhez sem biztosít hozzáférést számukra.

Miután beállította a SAML-t a Tulipban, amikor egy felhasználó először jelentkezik be SAML-lel, a SAML-konfigurációja alapján munkaterületet és szerepkört kap.

Ezt követően, amikor az azonosítószolgáltatójához új felhasználót adnak hozzá, akinek hozzáférése kell legyen a Tuliphez, azt azonnal létrehozzák a Tulipben, anélkül, hogy hozzáférése lenne a platform bármely más részéhez.

A felhasználónév frissítése

Amikor egy felhasználó nevét frissítik az IdP-ben, vagy ha a Tulip SCIM-beállításaiban módosítja a vezetéknév és a keresztnév sorrendjét, a felhasználónevek valós időben frissülnek a Tulip platformon.

Felhasználók törlése / deaktiválása

A SCIM API a „delete” kifejezést használja a felhasználók hozzáférési jogainak visszavonására, de a Tulipban a felhasználókat csak deaktiválni lehet, törölni nem. A Tulip elvárja, hogy a „delete user” végpontot csak a felhasználók hozzáférési jogainak visszavonásakor használják.

Ha egy adott felhasználó esetében a „delete user” végpontot használja, a felhasználó azonnal deaktiválásra kerül a Tulipban.

Fontos tudnivalók a SCIM Tulip-pal történő konfigurálásakor

A zökkenőmentes bevezetés érdekében vegye figyelembe az alábbiakat:

• Reaktiválja a felhasználókat a Tulipban. Amikor egy felhasználót eltávolítanak vagy letiltanak az IdP-ben, a SCIM deaktiválja őket a Tulipban. A SCIM ezt nem tudja visszafordítani, így ha később ugyanazt a felhasználót hozzáadja vagy újra engedélyezi az IdP-ben, a Tulipban továbbra is deaktivált állapotban marad. A hozzáférés visszaállításához aktiválja újra a felhasználót a Tulipban, majd futtasson szinkronizálást az IdP-ben (például a Microsoft Entra ID „Provision on demand” funkcióját), hogy a két rendszer állapota összhangba kerüljön.
• A SCIM számára csak bizonyos felhasználók láthatók. A SCIM csak olyan felhasználókkal működik, akik rendelkeznek e-mail-címmel és SAML NameID-vel. Azok a felhasználók, akik nem felelnek meg mindkét követelménynek, nem jelennek meg a SCIM-ben, így az azonosítószolgáltatója nem láthatja őket, és az azonosítószolgáltatójában végzett módosítások nem vonatkoznak rájuk. Ha egy felhasználó nem szinkronizálódik a várt módon, először ellenőrizze, hogy rendelkezik-e e-mail-címmel és SAML NameID-vel.

{{snippet.Megtalálta, amit keresett?}}