Configurazione del provisioning degli utenti (SCIM)

È possibile utilizzare le funzioni di provisioning e deprovisioning degli utenti insieme a SAML per effettuare istantaneamente il provisioning e il deprovisioning degli utenti.

Who can use this feature

Users on Professional plans and above.

Panoramica

Dopo aver configurato l’SSO SAML in Tulip{target=_blank}, potresti voler gestire l’attivazione e la disattivazione degli utenti in tempo reale, seguendo l’API SCIM.

Con SCIM, il proprio provider di identità (IdP) crea automaticamente gli utenti in Tulip, aggiorna i loro nomi e li disattiva quando lasciano l’organizzazione, consentendo così di gestire gli accessi da un’unica piattaforma. La configurazione di SCIM si articola in due parti: ottenere i dettagli SCIM da Tulip e configurare un’applicazione SCIM personalizzata nel proprio IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Passaggio 1: Ottenere i dati SCIM da Tulip

Per collegare il tuo IdP a Tulip, dovrai inserire due valori provenienti da Tulip in un’applicazione SCIM personalizzata nel tuo IdP (vedi Passo 2):- URL del tenant: l’endpoint SCIM a cui il tuo IdP invia le richieste.- Chiave API/Segreto: il token Bearer che il tuo IdP utilizza per autenticarsi con Tulip. Conservali in modo sicuro.

Per trovarli in Tulip: 1. Vai su “Impostazioni account ” e clicca sulla pagina “SAML ”. 2. Seleziona la scheda “SCIM ”.

Copia l’URL del tenant. Quindi genera una chiave API (o rigenerala se ne esiste già una) e copia la chiave API/segreto. Per eseguire questa operazione devi essere un amministratore di sistema o il proprietario dell’account. Tieni entrambi i valori a portata di mano per il Passo 2.

Passaggio 2: Crea un'applicazione SCIM personalizzata nel tuo IdP

Tulip non fornisce un'applicazione SCIM predefinita né una configurazione per i provider di identità, pertanto dovrai creare un'applicazione personalizzata (non presente nella galleria) nel tuo IdP.

Inserisci in questa applicazione l’URL del tenant e la chiave API e il segreto che hai copiato nel Passo 1. A seconda del tuo IdP, questi campi potrebbero avere denominazioni diverse (ad esempio, “Token segreto”).

Quando configuri l’applicazione, assicurati che il tuo IdP sia impostato come segue: - Mappa l’attributo IdP corrispondente al nome utente SCIM allo stesso valore che il tuo IdP invia come NameID SAML. Ciò aiuta gli utenti provisionati ad accedere al loro primo login SAML.- Verifica le mappature di nome utente e indirizzo e-mail prima di assegnare gli utenti. Questi valori sono fissi una volta che l’utente è stato provisionato.- Disattiva il provisioning dei gruppi. Tulip provvede solo al provisioning degli utenti, mentre i gruppi non vengono sincronizzati tramite SCIM.

Microsoft Entra ID

Per chi utilizza Microsoft Entra come IdP, l’app Tulip nella galleria di Entra supporta solo l’SSO SAML e non presenta la scheda “Provisioning”. Ciò è previsto e non indica alcuna configurazione errata.

Per utilizzare SCIM con Microsoft Entra ID:

Nel centro di amministrazione di Microsoft Entra, vai su Entra ID > App aziendali > Nuova applicazione > Crea la tua applicazione.
1. Assegnale un nome, seleziona "Integra qualsiasi altra applicazione che non trovi nella galleria (Non presente nella galleria)" e creala. Utilizza questa applicazione esclusivamente per il provisioning.
Nella nuova applicazione, seleziona Provisioning > Connetti la tua applicazione.
1. Imposta il metodo di autenticazione su Autenticazione Bearer.
2. Inserisci l'URL del tuo tenant (https:///scim/v2) e la chiave API del Passo 1 come token segreto, quindi seleziona Verifica connessione.
Apri "Mappatura degli attributi". Assegna all’attributo SCIM " userName " lo stesso valore del tuo "NameID" SAML e disattiva la mappatura dei gruppi.
Nella scheda Utenti e gruppi, assegnare singoli utenti. Non assegnare gruppi, poiché Tulip non supporta la loro sincronizzazione e il provisioning fallirà.
Utilizza "Provision on-demand" per testare un utente, quindi seleziona "Avvia provisioning".

Poiché Entra e altri IdP potrebbero richiedere ulteriori personalizzazioni per il proprio ambiente, rivolgersi all’amministratore dell’IdP o all’assistenza Tulip se si necessita di aiuto per pianificare l’implementazione.

Funzionalità supportate

Tulip supporta i seguenti aggiornamenti in tempo reale tramite l’API SCIM: - Creazione di utenti - Aggiornamenti al nome di un utente - Eliminazione / revoca dell’accesso di un utente

Creazione di utenti

All’interno del proprio IdP, l’utente controlla quali utenti hanno accesso all’applicazione Tulip.

Quando Tulip viene registrato come fornitore di servizi, il proprio IdP utilizzerà l’API SCIM per effettuare il provisioning di tutti gli utenti che necessitano di accesso a Tulip. Tali utenti verranno creati automaticamente in Tulip senza alcun accesso a nessuna parte della piattaforma.

Dopo aver configurato SAML in Tulip, quando un utente effettua l’accesso con SAML per la prima volta, gli verrà assegnato un’area di lavoro e un ruolo in base alla configurazione SAML.

Successivamente, quando al tuo IdP viene aggiunto un nuovo utente che deve avere accesso a Tulip, questo verrà immediatamente configurato in Tulip senza alcun accesso ad altre parti della piattaforma.

Aggiornamenti al nome utente

Quando il nome di un utente viene aggiornato nel proprio IdP, oppure se si modifica l’ordine tra cognome e nome nelle impostazioni SCIM di Tulip, i nomi utente verranno aggiornati in tempo reale nella piattaforma Tulip.

Eliminazione/disattivazione degli utenti

L'API SCIM utilizza il termine "delete" in relazione alla revoca dei diritti di accesso degli utenti, ma gli utenti in Tulip possono solo essere disattivati, non eliminati. Tulip prevede che l'endpoint "delete user" venga utilizzato solo per la revoca dei diritti di accesso degli utenti.

Quando l’endpoint “delete user” viene utilizzato per un determinato utente, questi verrà immediatamente disattivato in Tulip.

Aspetti da tenere presenti durante la configurazione di SCIM con Tulip

Per garantire che l’implementazione avvenga senza intoppi, tieni presente quanto segue:

Riattivare gli utenti in Tulip. Quando un utente viene rimosso o disabilitato nel proprio IdP, SCIM lo disattiva in Tulip. SCIM non può annullare questa operazione, quindi se in seguito aggiungi o riattivi lo stesso utente nel tuo IdP, questo rimarrà disattivato in Tulip. Per ripristinare l’accesso, riattiva l’utente in Tulip, quindi esegui una sincronizzazione nel tuo IdP (ad esempio, “Provision on demand” in Microsoft Entra ID) in modo che entrambi i sistemi siano allineati.
Solo alcuni utenti sono visibili a SCIM. SCIM funziona solo con gli utenti che dispongono di un indirizzo e-mail e di un NameID SAML. Gli utenti che non soddisfano entrambi i requisiti non compaiono in SCIM, pertanto il tuo IdP non può vederli e le modifiche apportate nel tuo IdP non verranno applicate a loro. Se un utente non viene sincronizzato come previsto, verifica innanzitutto che disponga di un indirizzo e-mail e di un NameID SAML.