Настройка предоставления прав пользователям (SCIM)

Вы можете использовать функции предоставления и отзыва прав доступа пользователям в сочетании с SAML для мгновенного предоставления и отзыва прав доступа пользователям.

Who can use this feature

Users on Professional plans and above.

Обзор

После настройки единого входа (SSO) по протоколу SAML в Tulip{target=_blank} вы также можете настраивать и отключать пользователей в режиме реального времени с помощью API SCIM.

С помощью SCIM ваш поставщик идентификации (IdP) автоматически создает пользователей в Tulip, обновляет их имена и деактивирует их при уходе, что позволяет вам управлять доступом в одном месте. Настройка SCIM состоит из двух частей: получение данных SCIM из Tulip и настройка пользовательского приложения SCIM в вашем IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Шаг 1: Получите данные SCIM из Tulip

Чтобы подключить ваш IdP к Tulip, вам нужно будет ввести два значения из Tulip в настраиваемое приложение SCIM в вашем IdP (см. Шаг 2):- URL арендатора: конечная точка SCIM, на которую ваш IdP отправляет запросы.- Ключ API/секретный ключ: токен Bearer, который ваш IdP использует для аутентификации в Tulip. Храните их в надежном месте.

Чтобы найти их в Tulip: 1. Перейдите в «Настройки учётной записи » и перейдите на страницу «SAML ». 2. Выберите вкладку «SCIM ».

Скопируйте URL-адрес арендатора. Затем сгенерируйте ключ API (или сгенерируйте его заново, если он уже существует) и скопируйте ключ API/секретный ключ. Для этого вы должны быть системным администратором или владельцем учётной записи. Держите оба значения под рукой для шага 2.

Шаг 2: Создайте пользовательское приложение SCIM в вашем IdP

Tulip не предоставляет готового приложения SCIM или конфигурации для поставщиков идентификации, поэтому вам нужно будет создать пользовательское (не из галереи) приложение в вашем IdP.

Введите URL-адрес арендатора и ключ API/секретный ключ, скопированные на шаге 1, в это приложение. В зависимости от вашего IdP эти поля могут иметь другие названия (например, «Секретный токен»).

При настройке приложения убедитесь, что ваш IdP настроен следующим образом: - Сопоставьте атрибут IdP для SCIM userName тому же значению, которое ваш IdP отправляет в качестве SAML NameID. Это поможет провизионированным пользователям авторизоваться при первом входе по SAML.- Перед назначением пользователей проверьте сопоставления userName и адреса электронной почты. Эти значения фиксируются после создания пользователя.- Отключите создание групп. Tulip создаёт только пользователей, а группы не синхронизируются через SCIM.

Microsoft Entra ID

Для тех, кто использует Microsoft Entra в качестве IdP, приложение Tulip в галерее Entra поддерживает только SAML SSO и не имеет вкладки «Провижининг». Это ожидаемое поведение и не означает, что что-то настроено неверно.

Чтобы использовать SCIM с Microsoft Entra ID:

В центре администрирования Microsoft Entra перейдите в раздел «Entra ID» > «Корпоративные приложения» > «Новое приложение» > «Создать собственное приложение».
1. Укажите название, выберите «Интегрировать любое другое приложение, которого нет в галерее (Non-gallery)» и создайте его. Используйте это приложение исключительно для провижининга.
В новом приложении выберите «Провижининг» > «Подключить приложение».
1. Установите метод аутентификации «Bearer».
2. Введите URL вашего арендатора (https:///scim/v2) и ключ API из шага 1 в качестве секретного токена, затем выберите «Проверить соединение».
Откройте «Сопоставление атрибутов». Сопоставьте атрибут SCIM userName значению, совпадающему с вашим SAML NameID, и отключите сопоставление групп.
На вкладке «Пользователи и группы» назначьте отдельных пользователей. Не назначайте группы, так как Tulip не поддерживает их синхронизацию, и развертывание завершится сбоем.
Используйте «Провижининг по запросу» для тестирования пользователя, затем выберите «Начать провижининг».

Поскольку Entra и другие поставщики идентификации (IdP) могут потребовать дополнительной настройки для вашей среды, обратитесь к администратору вашего IdP или в службу поддержки Tulip, если вам нужна помощь в планировании внедрения.

Поддерживаемые функции

Tulip поддерживает следующие обновления в режиме реального времени через API SCIM: - Создание пользователя - Обновление имени пользователя - Удаление пользователя / отмена предоставления доступа

Создание пользователя

В рамках вашего IdP вы контролируете, какие пользователи имеют доступ к приложению Tulip.

Когда Tulip будет зарегистрирован в качестве поставщика услуг (Service Provider), ваш IdP будет использовать SCIM API для предоставления доступа всем пользователям, которым требуется доступ к Tulip. Эти пользователи будут автоматически созданы в Tulip без доступа к какой-либо части платформы.

После настройки SAML в Tulip, когда пользователь впервые войдет в систему с помощью SAML, ему будет назначено рабочее пространство и роль в соответствии с вашей конфигурацией SAML.

Затем, когда в ваш IdP добавляется новый пользователь, который должен иметь доступ к Tulip, он немедленно будет настроен в Tulip без доступа к каким-либо другим частям платформы.

Обновление имени пользователя

Когда имя пользователя обновляется в вашем IdP или если вы изменяете порядок фамилии и имени в настройках SCIM Tulip, имена пользователей обновляются в режиме реального времени на платформе Tulip.

Удаление / деактивация пользователя

SCIM API использует термин «удаление» в контексте отмены доступа пользователей, однако пользователей в Tulip можно только деактивировать, а не удалять. Tulip предполагает, что конечная точка «delete user» будет использоваться исключительно при отмене доступа пользователей.

При использовании конечной точки «delete user» для конкретного пользователя он будет немедленно деактивирован в Tulip.

Что следует учитывать при настройке SCIM с Tulip

Чтобы обеспечить беспроблемное внедрение, учтите следующее:

Восстановите доступ пользователей в Tulip. Когда пользователь удаляется или отключается в вашем IdP, SCIM деактивирует его в Tulip. SCIM не может отменить это действие, поэтому если позже вы добавите или повторно активируете того же пользователя в вашем IdP, он останется деактивированным в Tulip. Чтобы восстановить доступ, повторно активируйте пользователя в Tulip, а затем запустите синхронизацию в вашем IdP (например, «Provision on demand» в Microsoft Entra ID), чтобы данные в обеих системах совпадали.
SCIM видит только некоторых пользователей. SCIM работает только с пользователями, у которых есть адрес электронной почты и SAML NameID. Пользователи, не отвечающие обоим требованиям, не отображаются в SCIM, поэтому ваш IdP не может их увидеть, и изменения, внесенные в вашем IdP, к ним не будут применены. Если пользователь не синхронизируется должным образом, сначала убедитесь, что у него есть адрес электронной почты и SAML NameID.