사용자 프로비저닝(SCIM) 설정

SAML과 함께 사용자 프로비저닝 및 디프로비저닝 기능을 사용하여 사용자를 즉시 프로비저닝하거나 디프로비저닝할 수 있습니다.

개요

Tulip{target=_blank} 에서 SAML SSO를 설정한 후에는 SCIM API를 따라 사용자를 실시간으로 프로비저닝 및 디프로비저닝할 수도 있습니다.

SCIM을 사용하면 신원 제공자(IdP)가 Tulip에서 자동으로 사용자를 생성하고, 이름을 업데이트하며, 사용자가 퇴사할 때 계정을 비활성화하므로 한 곳에서 액세스를 관리할 수 있습니다. SCIM 설정은 Tulip에서 SCIM 세부 정보를 가져오는 것과 IdP에서 사용자 지정 SCIM 애플리케이션을 구성하는 두 단계로 이루어집니다. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

1단계: Tulip에서 SCIM 정보 가져오기

IdP를 Tulip에 연결하려면, Tulip에서 제공된 두 가지 값을 IdP의 사용자 정의 SCIM 애플리케이션에 입력해야 합니다(2단계 참조):- 테넌트 URL: IdP가 요청을 전송하는 SCIM 엔드포인트.- API 키/시크릿: IdP가 Tulip에 인증할 때 사용하는 베어러 토큰. 이 정보를 안전하게 보관하십시오.

Tulip에서 이 정보를 확인하려면: 1. 계정 설정으로 이동하여 SAML 페이지를 클릭합니다. 2. SCIM 탭을 선택합니다.

테넌트 URL을 복사합니다. 그런 다음 API 키를 생성(이미 존재하는 경우 재생성)하고 API 키/시크릿을 복사합니다. 이 작업을 수행하려면 시스템 관리자 또는 계정 소유자 권한이 있어야 합니다. 2단계를 위해 두 값을 모두 준비해 두십시오.

2단계: IdP에서 사용자 지정 SCIM 애플리케이션 생성

Tulip은 ID 제공자를 위한 사전 구축된 SCIM 애플리케이션이나 구성을 제공하지 않으므로, IdP에서 사용자 지정(갤러리 외) 애플리케이션을 생성해야 합니다.

1단계에서 복사한 테넌트 URL과 API 키/시크릿을 이 애플리케이션에 입력하세요. 사용 중인 IdP에 따라 이러한 필드의 명칭이 다를 수 있습니다(예: “Secret Token”).

애플리케이션을 구성할 때 IdP가 다음과 같이 설정되어 있는지 확인하십시오:- SCIM 사용자 이름 ( userName )에 해당하는 IdP 속성을 IdP가 SAML NameID로 전송하는 값과 동일하게 매핑하십시오. 이렇게 하면 프로비저닝된 사용자가 첫 번째 SAML 로그인 시 원활하게 로그인할 수 있습니다.- 사용자를 할당하기 전에 사용자 이름(userName) 및 이메일 매핑을 확인하십시오. 이러한 값은 사용자가 프로비저닝되면 변경할 수 없습니다.- 그룹 프로비저닝을 비활성화하십시오. Tulip은 사용자만 프로비저닝하며, 그룹은 SCIM을 통해 동기화되지 않습니다.

Microsoft Entra ID

Microsoft Entra를 IdP로 사용하는 경우, Entra 갤러리의 Tulip 앱은 SAML SSO만 지원하며 ‘프로비저닝(Provisioning)’ 탭이 없습니다. 이는 정상적인 현상이며, 설정이 잘못되었다는 의미는 아닙니다.

Microsoft Entra ID에서 SCIM을 사용하려면:

Microsoft Entra 관리 센터에서 Entra ID > 엔터프라이즈 앱 > 새 애플리케이션 > 사용자 지정 애플리케이션 만들기로 이동합니다.
1. 이름을 지정하고, "갤러리에서 찾을 수 없는 다른 애플리케이션 통합(비갤러리)"을 선택한 후 생성합니다. 이 애플리케이션은 프로비저닝 용도로만 사용하십시오.
새 애플리케이션에서 '프로비저닝' > '애플리케이션 연결'을 선택합니다.
1. 인증 방법을 Bearer 인증으로 설정합니다.
2. 테넌트 URL(https:///scim/v2)과 1단계에서 생성한 API 키를 ‘비밀 토큰(Secret Token)’으로 입력한 다음, ‘연결 테스트’를 선택합니다.
'속성 매핑'을 엽니다. SCIM userName 속성을 SAML NameID와 동일한 값으로 매핑하고, 그룹 매핑은 비활성화합니다.
'사용자 및 그룹' 탭에서 개별 사용자를 할당합니다. Tulip은 그룹 동기화를 지원하지 않으므로 그룹을 할당하지 마십시오. 그렇지 않으면 프로비저닝이 실패합니다.
'주문형 프로비저닝'을 사용하여 사용자를 테스트한 후 '프로비저닝 시작'을 선택합니다.

Entra 및 기타 IdP의 경우 사용 환경에 따라 추가적인 사용자 정의가 필요할 수 있으므로, 배포 계획 수립에 도움이 필요하면 IdP 관리자나 Tulip 지원팀에 문의하십시오.

지원되는 기능

Tulip은 SCIM API를 통해 다음과 같은 실시간 업데이트를 지원합니다. - 사용자 생성 - 사용자 이름 업데이트 - 사용자 삭제/프로비저닝 해제

사용자 생성

IdP 내에서 Tulip 애플리케이션에 액세스할 수 있는 사용자를 제어합니다.

Tulip이 서비스 제공자로 등록되면, IdP는 SCIM API를 사용하여 Tulip에 대한 액세스 권한이 필요한 모든 사용자를 프로비저닝합니다. 해당 사용자는 플랫폼의 어떤 부분에도 액세스할 수 없는 상태로 Tulip에 자동으로 생성됩니다.

Tulip에서 SAML을 설정한 후, 사용자가 SAML을 통해 처음 로그인하면 SAML 구성에 따라 워크스페이스와 역할이 할당됩니다.

그 후, Tulip에 대한 액세스 권한이 필요한 신규 사용자가 IdP에 추가되면, 해당 사용자는 플랫폼의 다른 어떤 부분에도 액세스할 수 없는 상태로 Tulip에 즉시 프로비저닝됩니다.

사용자 이름 업데이트

IdP에서 사용자 이름이 업데이트되거나 Tulip의 SCIM 설정에서 성(family name)과 이름(given name)의 순서를 수정하면, Tulip 플랫폼에서 사용자 이름이 실시간으로 업데이트됩니다.

사용자 삭제/비활성화

SCIM API는 사용자 프로비저닝 해제와 관련하여 "삭제(delete)"라는 용어를 사용하지만, Tulip의 사용자는 삭제될 수 없고 비활성화될 수만 있습니다. Tulip은 "사용자 삭제(delete user)" 엔드포인트가 사용자 프로비저닝 해제 시에만 사용될 것으로 예상합니다.

특정 사용자에 대해 “delete user” 엔드포인트를 사용하면, 해당 사용자는 Tulip에서 즉시 비활성화됩니다.

Tulip에서 SCIM을 구성할 때 유의해야 할 사항

원활한 도입을 위해 다음 사항을 유의하시기 바랍니다:

Tulip에서 사용자를 다시 활성화하십시오. IdP에서 사용자가 제거되거나 비활성화되면 SCIM은 Tulip에서 해당 사용자를 비활성화합니다. SCIM은 이 작업을 되돌릴 수 없으므로, 나중에 IdP에서 동일한 사용자를 추가하거나 다시 활성화하더라도 Tulip에서는 비활성화된 상태로 유지됩니다. 액세스 권한을 복원하려면 Tulip에서 사용자를 다시 활성화한 다음, IdP에서 동기화(예: Microsoft Entra ID의 '요청 시 프로비저닝')를 실행하여 두 시스템의 상태가 일치하도록 해야 합니다.
SCIM에는 일부 사용자만 표시됩니다. SCIM은 이메일 주소와 SAML NameID를 모두 보유한 사용자만 처리합니다. 두 조건을 모두 충족하지 않는 사용자는 SCIM에 표시되지 않으므로, IdP에서 해당 사용자를 확인할 수 없으며 IdP에서 수행한 변경 사항이 해당 사용자에게 적용되지 않습니다. 사용자가 예상대로 동기화되지 않는 경우, 먼저 해당 사용자에게 이메일 주소와 SAML NameID가 있는지 확인하십시오.