Skonfiguruj przydzielanie uprawnień użytkownikom (SCIM)

Można korzystać z funkcji przyznawania i cofania uprawnień użytkownikom w połączeniu z protokołem SAML, aby natychmiastowo przyznawać i cofać uprawnienia użytkownikom.

Who can use this feature

Users on Professional plans and above.

Przegląd

Po skonfigurowaniu logowania jednokrotnego (SSO) za pomocą protokołu SAML w Tulip{target=_blank} możesz również chcieć przyznawać i odbierać uprawnienia użytkownikom w czasie rzeczywistym, korzystając z interfejsu API SCIM.

Dzięki SCIM dostawca tożsamości (IdP) automatycznie tworzy użytkowników w Tulip, aktualizuje ich nazwy i dezaktywuje ich po odejściu, co pozwala zarządzać dostępem w jednym miejscu. Konfiguracja SCIM składa się z dwóch części: uzyskania danych SCIM z Tulip oraz skonfigurowania niestandardowej aplikacji SCIM w IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Krok 1: Uzyskaj dane SCIM z Tulip

Aby połączyć IdP z Tulip, należy wprowadzić dwie wartości z Tulip do niestandardowej aplikacji SCIM w IdP (patrz Krok 2):- Adres URL dzierżawcy: punkt końcowy SCIM, do którego IdP wysyła żądania.- Klucz API/sekret: token typu „Bearer”, którego IdP używa do uwierzytelniania w Tulip. Przechowuj je w bezpiecznym miejscu.

Aby je znaleźć w Tulip: 1. Przejdź do ustawień konta i kliknij stronę SAML. 2. Wybierz zakładkę SCIM.

Skopiuj adres URL dzierżawcy. Następnie wygeneruj klucz API (lub wygeneruj go ponownie, jeśli już istnieje) i skopiuj klucz API/sekret. Aby to zrobić, musisz być administratorem systemu lub właścicielem konta. Zachowaj obie wartości pod ręką na potrzeby kroku 2.

Krok 2: Utwórz niestandardową aplikację SCIM w swoim IdP

Tulip nie udostępnia gotowej aplikacji SCIM ani konfiguracji dla dostawców tożsamości, więc należy utworzyć niestandardową (niepochodzącą z galerii) aplikację w swoim IdP.

W tej aplikacji wprowadź adres URL dzierżawcy oraz klucz API i sekret, które skopiowałeś w kroku 1. W zależności od dostawcy tożsamości pola te mogą mieć inne nazwy (na przykład „Secret Token”).

Podczas konfigurowania aplikacji upewnij się, że Twój IdP jest skonfigurowany w następujący sposób: - Przypisz atrybut IdP dla nazwy użytkownika SCIM do tej samej wartości, którą Twój IdP wysyła jako SAML NameID. Pomaga to przydzielonym użytkownikom zalogować się przy pierwszym logowaniu SAML.- Przed przypisaniem użytkowników sprawdź mapowania nazwy użytkownika i adresu e-mail. Wartości te są ustalane na stałe po utworzeniu konta użytkownika.- Wyłącz tworzenie grup. Tulip tworzy wyłącznie konta użytkowników, a grupy nie są synchronizowane za pośrednictwem SCIM.

Microsoft Entra ID

Dla użytkowników korzystających z Microsoft Entra jako dostawcy tożsamości (IdP) aplikacja Tulip w galerii Entra obsługuje wyłącznie logowanie jednokrotne SAML i nie posiada zakładki „Provisioning”. Jest to zgodne z oczekiwaniami i nie oznacza, że coś zostało nieprawidłowo skonfigurowane.

Aby korzystać z protokołu SCIM w połączeniu z Microsoft Entra ID:

W centrum administracyjnym Microsoft Entra przejdź do Entra ID > Aplikacje korporacyjne > Nowa aplikacja > Utwórz własną aplikację.
1. Nadaj jej nazwę, wybierz opcję „Zintegruj dowolną inną aplikację, której nie ma w galerii (poza galerią)”, a następnie utwórz ją. Używaj tej aplikacji wyłącznie do provisioningu.
W nowej aplikacji wybierz opcję „Provisioning” > „Połącz swoją aplikację”.
1. Ustaw metodę uwierzytelniania na „Uwierzytelnianie Bearer”.
2. Wprowadź adres URL dzierżawcy (https:///scim/v2) oraz klucz API z kroku 1 jako tajny token, a następnie wybierz opcję „Testuj połączenie”.
Otwórz opcję Mapowanie atrybutów. Przypisz atrybut SCIM userName do tej samej wartości, co identyfikator SAML NameID, i wyłącz mapowanie grup.
W zakładce „Użytkownicy i grupy” przypisz poszczególnych użytkowników. Nie przypisuj grup, ponieważ Tulip nie obsługuje ich synchronizacji, a proces provisioningu zakończy się niepowodzeniem.
Użyj opcji „Provision on-demand” (Provisioning na żądanie), aby przetestować użytkownika, a następnie wybierz „Start provisioning” (Rozpocznij provisioning).

Ponieważ Entra i inni dostawcy tożsamości (IdP) mogą wymagać dodatkowego dostosowania do Twojego środowiska, skontaktuj się z administratorem IdP lub działem pomocy technicznej Tulip, jeśli potrzebujesz pomocy w planowaniu wdrożenia.

Obsługiwane funkcje

Tulip obsługuje następujące aktualizacje w czasie rzeczywistym za pośrednictwem interfejsu API SCIM: - Tworzenie użytkowników - Aktualizacja nazwy użytkownika - Usunięcie użytkownika / cofnięcie uprawnień

Tworzenie użytkowników

W ramach swojego dostawcy tożsamości (IdP) kontrolujesz, którzy użytkownicy mają dostęp do aplikacji Tulip.

Gdy Tulip zostanie zarejestrowany jako dostawca usług, Twój IdP użyje interfejsu API SCIM do przydzielenia uprawnień wszystkim użytkownikom, którzy potrzebują dostępu do Tulip. Użytkownicy ci zostaną automatycznie utworzeni w Tulip bez dostępu do żadnej części platformy.

Po skonfigurowaniu SAML w Tulip, gdy użytkownik zaloguje się za pomocą SAML po raz pierwszy, zostanie mu przypisany obszar roboczy i rola na podstawie Twojej konfiguracji SAML.

Następnie, gdy do Twojego dostawcy tożsamości (IdP) zostanie dodany nowy użytkownik, który powinien mieć dostęp do Tulip, zostanie on natychmiast przypisany w Tulip bez dostępu do żadnej innej części platformy.

Aktualizacje nazwy użytkownika

Gdy nazwa użytkownika zostanie zaktualizowana w Twoim dostawcy tożsamości (IdP) lub jeśli zmienisz kolejność nazwiska i imienia w ustawieniach SCIM w Tulip, nazwy użytkowników zostaną zaktualizowane w czasie rzeczywistym na platformie Tulip.

Usunięcie / dezaktywacja użytkownika

Interfejs API SCIM używa terminu „delete” w odniesieniu do cofania uprawnień użytkowników, ale użytkownicy w Tulip mogą być jedynie dezaktywowani, a nie usuwani. Tulip oczekuje, że punkt końcowy „delete user” będzie używany wyłącznie podczas cofania uprawnień użytkowników.

Gdy punkt końcowy „delete user” zostanie użyty dla danego użytkownika, zostanie on natychmiast dezaktywowany w Tulip.

O czym należy pamiętać podczas konfiguracji SCIM z platformą Tulip

Aby wdrożenie przebiegło sprawnie, należy pamiętać o następujących kwestiach:

Należy ponownie aktywować użytkowników w Tulip. Gdy użytkownik zostanie usunięty lub wyłączony w dostawcy tożsamości (IdP), SCIM dezaktywuje go w Tulip. SCIM nie może cofnąć tej zmiany, więc jeśli później dodasz lub ponownie włączysz tego samego użytkownika w swoim IdP, pozostanie on dezaktywowany w Tulip. Aby przywrócić dostęp, należy ponownie aktywować użytkownika w Tulip, a następnie uruchomić synchronizację w IdP (na przykład „Provision on demand” w Microsoft Entra ID), aby oba systemy były zsynchronizowane.
Tylko niektórzy użytkownicy są widoczni dla protokołu SCIM. Protokół SCIM działa wyłącznie w przypadku użytkowników posiadających adres e-mail oraz identyfikator SAML NameID. Użytkownicy, którzy nie spełniają obu tych wymagań, nie pojawiają się w SCIM, więc Twój dostawca tożsamości (IdP) nie ma do nich wglądu, a zmiany wprowadzone w IdP nie będą ich dotyczyć. Jeśli synchronizacja użytkownika nie przebiega zgodnie z oczekiwaniami, najpierw sprawdź, czy posiada on adres e-mail oraz identyfikator SAML NameID.