Een andere SCIM-dienst koppelen

De ledensynchronisatie van Klang is gewoon SCIM 2.0. Microsoft Entra en Okta hebben een eigen handleiding omdat hun consoles verschillen, maar niets in Klang is specifiek voor een van beide. Elke aanbieder die SCIM 2.0 naar een basis-URL met een bearer-token kan sturen werkt, waaronder OneLogin, JumpCloud, Ping en eigen scripts.

Dit artikel is de naslag voor al het andere. Gebruik je Entra of Okta, volg dan die handleidingen.

Voordat je begint

Je hebt twee dingen nodig:

• In Klang: beheerder van een werkruimte met Pro of Enterprise
• Bij je aanbieder: rechten om een applicatie aan te maken en provisioning in te stellen

De waarden ophalen uit Klang

1. Open in Klang Instellingen → Werkruimte → Leden → Ledensynchronisatie
2. Klik op Verbinden op de kaart SCIM-directory
3. Kies in het dialoogvenster het tabblad Andere SCIM-dienst
4. Klik op Opslaan om de koppeling aan te maken en de URL en het token te tonen

Je krijgt twee waarden: een basis-URL en een bearer-token. Het token wordt maar één keer getoond. Kopieer het voordat je het venster sluit.

Stuur het token mee in de Authorization-header van elk verzoek, in de vorm Authorization: Bearer <token>. Er is geen andere inloggegeven, en er zijn geen eigen headers in te stellen.

Als Verbindingsinstellingen worden getoond, laat je Nieuwe verbinding maken geselecteerd voor een nieuwe configuratie. Om een verbinding opnieuw te gebruiken, selecteer je een werkruimte die je beheert en klik je op Opslaan. Een nieuw token of nieuwe configuratie bij de aanbieder is niet nodig.

Om de instructies opnieuw te lezen, open je Meer opties (⋮) op de verbindingskaart en kies je Instellingen tonen. De URL en instructies voor de aanbieder blijven beschikbaar, maar het opgeslagen token kan niet opnieuw worden getoond. Sluiten sluit de handleiding zonder de verbinding te wijzigen.

Wat Klang ondersteunt

Adres	Methoden
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH wordt voor beide resources ondersteund, ook de padloze vorm die sommige aanbieders sturen. Groepslidmaatschap kan binnenkomen als PATCH-operaties of als een volledige PUT-vervanging. GET /ServiceProviderConfig vermeldt hetzelfde, dus een aanbieder die dat leest voordat hij zichzelf instelt vindt het daar.

Hoe Klang mensen en groepen matcht

• Gebruikers worden gematcht op userName, waarvan Klang verwacht dat het het e-mailadres van de persoon is
• Groepen worden gematcht op displayName, of op externalId als je aanbieder die meestuurt
• Je aanbieder moet het filter userName eq "..." ondersteunen, want zo ontdekt hij of iemand al bestaat voordat hij die persoon aanmaakt

Twee dingen die Klang bewust niet doet

Inhoud blijft behouden. DELETE /Users/{id} of active ingesteld op false verwijdert de gesynchroniseerde toegang van de persoon. De inhoud wordt niet verwijderd.

Mensen zijn niet op te vragen als lijst. GET /Users zonder filter antwoordt met een leeg resultaat in plaats van met je hele personeelsbestand. Klang is niet de bron van waarheid van je directory en geeft de lijst dus niet terug. Gefilterde verzoeken werken gewoon, en meer heeft een aanbieder niet nodig om te provisioneren. GET /Groups geeft wel een lijst, want zo matchen aanbieders een groep die ze willen pushen tegen een groep die er al is.

Optioneel: Kiezen welke groepen worden gepusht

Je kunt groepsprovisioning overslaan met Alle gesynchroniseerde gebruikers. Stuur de groepen en hun lidmaatschappen om specifieke groepen in Klang te kiezen.

Klang kent alleen de groepen die je aanbieder daadwerkelijk stuurt. Hoe je ze kiest hangt van de aanbieder af: Entra noemt het groepen toewijzen aan de applicatie, Okta noemt het Push Groups. Hoe het ook heet, het zijn precies die groepen waaruit je daarna in Klang kunt kiezen.

Leden kiezen voor deze werkruimte

Alle gesynchroniseerde gebruikers geeft lidtoegang aan elke actieve gebruiker die via deze koppeling wordt verzonden. Beheer beheerders in Klang. Je provider bepaalt nog steeds welke gebruikers worden verzonden.

1. Zoek terug in Ledensynchronisatie het onderdeel Wie krijgt toegang?
2. Kies Alle gesynchroniseerde gebruikers of Specifieke groepen kiezen. Selecteer bij specifieke groepen welke groepen de rol Beheerder of Lid geven
3. Klik op Bekijk wie erbij horen om de mensen in je selectie na te lopen
4. Bekijk de extra licenties die nodig zijn en klik op Opslaan

Groepen mogen elkaar overlappen; iedere persoon telt één keer per werkruimte. Uit een nieuwe koppeling krijgt niemand toegang voordat je een selectie hebt opgeslagen.

Wat er vanaf nu gebeurt

• Actieve gebruikers in je opgeslagen selectie krijgen toegang tot deze werkruimte
• Gebruikers die worden gedeactiveerd of niet meer in je selectie staan, verliezen hun gesynchroniseerde toegang. Hun inhoud blijft behouden
• Beheerdersgroepen kunnen leden promoveren. Bestaande beheerders behouden hun rol als ze naar een ledengroep verhuizen
• Wie nog nooit in Klang heeft ingelogd, krijgt een uitnodiging per e-mail

De koppelingskaart in Klang laat zien wanneer je aanbieder voor het laatst contact had. Staat er een naam van een aanbieder, dan is dat degene die Klang aan het verzoek herkende; anders staat er alleen SCIM, wat normaal is voor aanbieders waarvan Klang geen logo heeft.

Token vervangen

Open Meer opties (⋮) op de verbindingskaart en kies Nieuw token aanmaken. Het oude werkt direct niet meer, voor alle werkruimtes die de koppeling delen. Plak het nieuwe bij je aanbieder.

Koppeling verbreken

Klik op Meer opties (⋮) → Verbinding verbreken om de synchronisatie van deze werkruimte te stoppen. Bestaande leden behouden hun toegang en worden handmatig beheerd; openstaande synchronisatie-uitnodigingen worden geannuleerd. Andere gekoppelde werkruimtes blijven synchroniseren. Bij het loskoppelen van de laatste werkruimte worden ook de gedeelde koppeling en het token verwijderd.