Forbind en anden SCIM-tjeneste

Klangs medlemssynkronisering er almindelig SCIM 2.0. Microsoft Entra og Okta har hver deres guide, fordi deres konsoller er forskellige, men intet i Klang er specifikt for nogen af dem. Alle udbydere, der kan sende SCIM 2.0 til en base-URL med et bearer-token, virker, herunder OneLogin, JumpCloud, Ping og egne scripts.

Denne artikel er referencen for alt andet. Bruger I Entra eller Okta, følger I de guider i stedet.

Før I begynder

I skal bruge to ting:

• I Klang: administrator på et arbejdsområde med Pro eller Enterprise
• Hos jeres udbyder: tilladelse til at oprette et program og konfigurere klargøring

Hent værdierne fra Klang

1. Åbn Indstillinger → Arbejdsområde → Medlemmer → Medlemssynkronisering i Klang
2. Klik på Forbind på kortet SCIM-katalog
3. Vælg fanen Anden SCIM-tjeneste i dialogen, der åbnes
4. Klik på Gem for at oprette forbindelsen og vise URL og token

I får to værdier: en base-URL og et bearer-token. Tokenet vises kun én gang. Kopiér det, før I lukker dialogen.

Send tokenet i Authorization-headeren på hvert kald, på formen Authorization: Bearer <token>. Der findes ingen anden legitimation, og ingen egne headere at sætte.

Hvis Forbindelsesindstillinger vises, behold Opret en ny forbindelse til en ny opsætning. For at genbruge en forbindelse vælger du i stedet et arbejdsområde, du administrerer, og klikker på Gem. Der kræves ingen ny token eller opsætning hos udbyderen.

For at læse opsætningen igen åbner du Flere muligheder (⋮) på forbindelseskortet og vælger Vis opsætning. URL og udbyderens vejledning er stadig tilgængelige, men den gemte token kan ikke vises igen. Luk lukker vejledningen uden at ændre forbindelsen.

Hvad Klang understøtter

Adresse	Metoder
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH understøttes for begge ressourcer, også den pathless-form, som visse udbydere sender. Gruppemedlemskab kan komme enten som PATCH-operationer eller som en hel PUT-erstatning. GET /ServiceProviderConfig beskriver det samme, så en udbyder, der læser den, før den konfigurerer sig, finder det der.

Sådan matcher Klang personer og grupper

• Brugere matches på userName, som Klang forventer er personens e-mailadresse
• Grupper matches på displayName eller på externalId, når jeres udbyder sender et sådant
• Jeres udbyder skal understøtte filteret userName eq "...", fordi det er sådan, den finder ud af, om nogen allerede findes, før den opretter personen

To ting Klang med vilje ikke gør

Indholdet bevares. DELETE /Users/{id} eller active sat til false fjerner personens synkroniserede adgang. Personens indhold slettes ikke.

Personer kan ikke listes. GET /Users uden filter svarer med et tomt resultat i stedet for hele jeres personaleliste. Klang er ikke facit for jeres katalog og leverer derfor ikke listen tilbage. Filtrerede kald virker som normalt, og det er alt, en udbyder har brug for til at klargøre. GET /Groups lister derimod, fordi det er sådan, udbydere matcher en gruppe, de er ved at sende, mod en, der allerede findes.

Valgfrit: Vælg, hvilke grupper der skal sendes

I kan springe gruppeprovisionering over med Alle synkroniserede brugere. For at vælge bestemte grupper i Klang skal I sende grupperne og deres medlemskaber.

Klang kender kun de grupper, jeres udbyder faktisk sender. Hvordan I vælger dem, afhænger af udbyderen: Entra kalder det at tildele grupper til programmet, Okta kalder det Push Groups. Uanset hvad det hedder, er det de grupper, I bagefter kan vælge imellem i Klang.

Vælg, hvem der skal have adgang

Alle synkroniserede brugere giver medlemsadgang til alle aktive brugere, der sendes via denne forbindelse. Administratorer administreres i Klang. Jeres udbyder bestemmer stadig, hvilke brugere der sendes.

1. Tilbage i Medlemssynkronisering, find Hvem skal have adgang?
2. Vælg Alle synkroniserede brugere eller Vælg bestemte grupper. Ved bestemte grupper vælger I, hvilke der skal give rollen Administrator eller Medlem
3. Klik Vis hvem der er med for at gennemgå personerne i udvalget
4. Se de licenser igennem, det kræver, og klik Gem

Grupper må gerne overlappe hinanden; hver person tælles én gang pr. arbejdsområde. Ingen får adgang fra en ny forbindelse, før I har gemt et udvalg.

Hvad der sker fra nu af

• Aktive brugere i jeres gemte udvalg får adgang til arbejdsområdet
• Brugere, der deaktiveres eller ikke længere indgår i udvalget, mister deres synkroniserede adgang. Deres indhold bevares
• Administratorgrupper kan forfremme medlemmer. Eksisterende administratorer beholder deres rolle, når de flyttes til en medlemsgruppe
• De, der aldrig har logget ind i Klang, får en invitation på e-mail

Forbindelseskortet i Klang viser, hvornår jeres udbyder sidst har henvendt sig. Står der et udbydernavn, er det den, Klang genkendte på kaldet; ellers står der bare SCIM, hvilket er normalt for udbydere, Klang ikke har et logo for.

Skift af token

Åbn Flere muligheder (⋮) på forbindelseskortet, og vælg Opret ny token. Det gamle holder op med at virke med det samme, for alle arbejdsområder, der deler forbindelsen. Indsæt det nye hos jeres udbyder.

Afbryd forbindelsen

Klik Flere muligheder (⋮) → Afbryd forbindelsen for at stoppe synkroniseringen af dette arbejdsområde. Eksisterende medlemmer beholder deres adgang og håndteres manuelt; invitationer fra medlemssynkroniseringen, der venter på svar, annulleres. Andre forbundne arbejdsområder fortsætter med at synkronisere. Afbryder I det sidste arbejdsområde, fjernes den delte forbindelse og dens token også.