Collegare un altro servizio SCIM

La sincronizzazione membri di Klang è semplice SCIM 2.0. Microsoft Entra e Okta hanno guide proprie perché le loro console sono diverse, ma nulla in Klang è specifico dell’uno o dell’altro. Funziona qualsiasi provider in grado di inviare SCIM 2.0 a un URL di base con un token Bearer, compresi OneLogin, JumpCloud, Ping e script interni.

Questo articolo è il riferimento per tutto il resto. Se usi Entra o Okta, segui quelle guide.

Prima di iniziare

Servono due cose:

• In Klang: essere amministratore di uno spazio di lavoro con Pro o Enterprise
• Presso il tuo provider: il permesso di creare un’applicazione e configurare il provisioning

Recuperare i valori da Klang

1. In Klang apri Impostazioni → Spazio di lavoro → Membri → Sincronizzazione membri
2. Nella scheda Directory SCIM, fai clic su Connetti
3. Nella finestra che si apre scegli la scheda Altro servizio SCIM
4. Fai clic su Salva per creare la connessione e mostrare l’URL e il token

Ottieni due valori: un URL di base e un token Bearer. Il token viene mostrato una sola volta. Copialo prima di chiudere la finestra.

Invia il token nell’intestazione Authorization di ogni richiesta, nella forma Authorization: Bearer <token>. Non c’è nessun’altra credenziale e nessuna intestazione personalizzata da impostare.

Se compare Impostazioni di connessione, mantieni Crea una nuova connessione per una nuova configurazione. Per riutilizzare una connessione, seleziona invece uno spazio di lavoro che amministri e fai clic su Salva. Non servono un nuovo token o una nuova configurazione del provider.

Per rileggere le istruzioni, apri Altre opzioni (⋮) nella scheda della connessione e seleziona Mostra configurazione. L’URL e le istruzioni del provider restano disponibili, ma il token salvato non può essere mostrato di nuovo. Chiudi chiude la guida senza modificare la connessione.

Cosa supporta Klang

Indirizzo	Metodi
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH è supportato per entrambe le risorse, anche nella forma senza path che alcuni provider inviano. L’appartenenza ai gruppi può arrivare come operazioni PATCH oppure come PUT di sostituzione completa. GET /ServiceProviderConfig dichiara le stesse cose, quindi un provider che lo legge prima di configurarsi le trova lì.

Come Klang abbina persone e gruppi

• Gli utenti vengono abbinati su userName, che Klang si aspetta sia l’indirizzo e-mail della persona
• I gruppi vengono abbinati su displayName, oppure su externalId quando il tuo provider ne invia uno
• Il tuo provider deve supportare il filtro userName eq "...", perché è così che scopre se qualcuno esiste già prima di crearlo

Due cose che Klang di proposito non fa

I contenuti vengono conservati. DELETE /Users/{id} o active impostato su false rimuove l’accesso sincronizzato della persona. I suoi contenuti non vengono eliminati.

Le persone non si possono elencare. GET /Users senza filtro risponde con un risultato vuoto anziché con tutto il tuo organico. Klang non è la fonte di verità della tua directory e quindi non restituisce l’elenco. Le letture filtrate funzionano normalmente, ed è tutto ciò che serve a un provider per fare provisioning. GET /Groups invece elenca, perché è così che i provider abbinano un gruppo che stanno per inviare con uno già esistente.

Facoltativo: Scegliere quali gruppi inviare

Puoi saltare il provisioning dei gruppi con Tutti gli utenti sincronizzati. Per scegliere gruppi specifici in Klang, invia quei gruppi e le relative appartenenze.

Klang conosce solo i gruppi che il tuo provider invia davvero. Il modo di sceglierli dipende dal provider: Entra lo chiama assegnare gruppi all’applicazione, Okta lo chiama Push Groups. Comunque si chiami, sono quelli i gruppi fra cui potrai poi scegliere in Klang.

Scegliere i membri di questo spazio di lavoro

Tutti gli utenti sincronizzati concede accesso come membro a ogni utente attivo inviato tramite questa connessione. Gestisci gli amministratori in Klang. Il provider determina ancora quali utenti vengono inviati.

1. Torna in Sincronizzazione membri e trova Chi deve avere accesso?
2. Scegli Tutti gli utenti sincronizzati o Scegli gruppi specifici. Per gruppi specifici, seleziona quali assegnano il ruolo Amministratore o Membro
3. Fai clic su Mostra chi è incluso per rivedere le persone della selezione
4. Controlla le licenze aggiuntive necessarie e fai clic su Salva

I gruppi possono sovrapporsi; ogni persona viene contata una volta per spazio di lavoro. Da una nuova connessione nessuno ottiene accesso finché non salvi una selezione.

Cosa succede da adesso

• Gli utenti attivi inclusi nella selezione salvata ottengono accesso a questo spazio di lavoro
• Gli utenti disattivati o non più inclusi nella selezione perdono l’accesso sincronizzato. I loro contenuti restano
• I gruppi di amministratori possono promuovere i membri. Gli amministratori esistenti mantengono il ruolo quando passano a un gruppo di membri
• Chi non ha mai effettuato l’accesso a Klang riceve un invito via e-mail

La scheda della connessione in Klang mostra quando il tuo provider ha chiamato l’ultima volta. Se compare il nome di un provider, è quello che Klang ha riconosciuto dalla richiesta; altrimenti compare solo SCIM, che è normale per i provider di cui Klang non ha un logo.

Sostituire il token

Nella scheda della connessione, apri Altre opzioni (⋮) e seleziona Crea un nuovo token. Il vecchio smette subito di funzionare, per tutti gli spazi di lavoro che condividono la connessione. Incolla quello nuovo presso il tuo provider.

Scollegare

Fai clic su Altre opzioni (⋮) → Disconnetti per interrompere la sincronizzazione di questo spazio di lavoro. I membri esistenti mantengono l’accesso e passano a gestione manuale; gli inviti di sincronizzazione in sospeso vengono annullati. Gli altri spazi collegati continuano a sincronizzarsi. Scollegando l’ultimo spazio vengono rimossi anche la connessione condivisa e il suo token.