Koble til en annen SCIM-tjeneste

Klangs medlemssynkronisering er vanlig SCIM 2.0. Microsoft Entra og Okta har egne guider fordi konsollene deres er ulike, men ingenting i Klang er spesifikt for noen av dem. Alle leverandører som kan sende SCIM 2.0 til en base-URL med et bearer-token, fungerer, inkludert OneLogin, JumpCloud, Ping og egne skript.

Denne artikkelen er referansen for alt annet. Bruker dere Entra eller Okta, følger dere de guidene i stedet.

Før dere begynner

Dere trenger to ting:

• I Klang: administrator på et arbeidsområde med Pro eller Enterprise
• Hos leverandøren deres: tillatelse til å opprette en applikasjon og konfigurere etablering

Hent verdiene fra Klang

1. Åpne Innstillinger → Arbeidsområde → Medlemmer → Medlemssynkronisering i Klang
2. Klikk på Koble til på kortet SCIM-katalog
3. Velg fanen Annen SCIM-tjeneste i dialogen som åpnes
4. Klikk på Lagre for å opprette tilkoblingen og vise URL og token

Dere får to verdier: en base-URL og et bearer-token. Tokenet vises bare én gang. Kopier det før dere lukker dialogen.

Send tokenet i Authorization-headeren på hvert kall, på formen Authorization: Bearer <token>. Det finnes ingen annen legitimasjon, og ingen egne headere å sette.

Hvis Tilkoblingsinnstillinger vises, behold Opprett en ny tilkobling for et nytt oppsett. For å gjenbruke en tilkobling velger dere i stedet et arbeidsområde dere administrerer, og klikker på Lagre. Dere trenger ikke et nytt token eller nytt oppsett hos leverandøren.

For å lese oppsettet igjen åpner dere Flere alternativer (⋮) på tilkoblingskortet og velger Vis oppsett. URL-en og leverandørens veiledning er fortsatt tilgjengelige, men det lagrede tokenet kan ikke vises igjen. Lukk lukker veiledningen uten å endre tilkoblingen.

Hva Klang støtter

Adresse	Metoder
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH støttes for begge ressursene, også den pathless-formen enkelte leverandører sender. Gruppemedlemskap kan komme enten som PATCH-operasjoner eller som en hel PUT-erstatning. GET /ServiceProviderConfig beskriver det samme, så en leverandør som leser den før den konfigurerer seg, finner det der.

Slik matcher Klang personer og grupper

• Brukere matches på userName, som Klang forventer er personens e-postadresse
• Grupper matches på displayName, eller på externalId når leverandøren deres sender et slikt
• Leverandøren deres må støtte filteret userName eq "...", fordi det er slik den finner ut om noen allerede finnes før den oppretter personen

To ting Klang med vilje ikke gjør

Innholdet bevares. DELETE /Users/{id} eller active satt til false fjerner personens synkroniserte tilgang. Personens innhold slettes ikke.

Personer kan ikke listes. GET /Users uten filter svarer med et tomt resultat i stedet for hele personallisten deres. Klang er ikke fasit for katalogen deres og leverer derfor ikke listen tilbake. Filtrerte kall fungerer som vanlig, og det er alt en leverandør trenger for å etablere. GET /Groups lister derimot, fordi det er slik leverandører matcher en gruppe de er i ferd med å sende, mot en som allerede finnes.

Valgfritt: Velg hvilke grupper som skal sendes

Dere kan hoppe over gruppeprovisjonering med Alle synkroniserte brukere. For å velge bestemte grupper i Klang må dere sende gruppene og medlemskapene deres.

Klang kjenner bare til gruppene leverandøren deres faktisk sender. Hvordan dere velger dem, avhenger av leverandøren: Entra kaller det å tildele grupper til applikasjonen, Okta kaller det Push Groups. Uansett hva det heter, er det de gruppene dere senere kan velge blant i Klang.

Velg hvem som skal ha tilgang

Alle synkroniserte brukere gir medlemstilgang til alle aktive brukere som sendes via denne tilkoblingen. Administratorer administreres i Klang. Leverandøren bestemmer fortsatt hvilke brukere som sendes.

1. Tilbake i Medlemssynkronisering, finn Hvem skal få tilgang?
2. Velg Alle synkroniserte brukere eller Velg bestemte grupper. For bestemte grupper velger dere hvilke som skal gi rollen Administrator eller Medlem
3. Klikk Vis hvem som er med for å gå gjennom personene i utvalget
4. Se over lisensene det krever, og klikk Lagre

Grupper kan overlappe hverandre; hver person telles én gang per arbeidsområde. Ingen får tilgang fra en ny tilkobling før dere har lagret et utvalg.

Hva som skjer fra nå av

• Aktive brukere som er med i det lagrede utvalget, får tilgang til arbeidsområdet
• Brukere som deaktiveres eller ikke lenger er med i utvalget, mister den synkroniserte tilgangen. Innholdet deres beholdes
• Administratorgrupper kan forfremme medlemmer. Eksisterende administratorer beholder rollen sin når de flyttes til en medlemsgruppe
• De som aldri har logget inn i Klang, får en invitasjon på e-post

Tilkoblingskortet i Klang viser når leverandøren deres sist tok kontakt. Står det et leverandørnavn, er det den Klang kjente igjen på kallet; ellers står det bare SCIM, som er normalt for leverandører Klang ikke har noen logo for.

Bytte token

Åpne Flere alternativer (⋮) på tilkoblingskortet og velg Opprett ny token. Det gamle slutter å virke umiddelbart, for alle arbeidsområder som deler tilkoblingen. Lim inn det nye hos leverandøren deres.

Koble fra

Klikk Flere alternativer (⋮) → Koble fra for å slutte å synkronisere dette arbeidsområdet. Eksisterende medlemmer beholder tilgangen og håndteres manuelt; invitasjoner fra medlemssynkroniseringen som venter på svar, avbrytes. Andre tilkoblede arbeidsområder fortsetter å synkronisere. Kobler dere fra det siste arbeidsområdet, fjernes også den delte tilkoblingen og tokenet.