Łączenie z inną usługą SCIM

Synchronizacja członków w Klang opiera się na zwykłym standardzie SCIM 2.0. Microsoft Entra i Okta mają własne przewodniki, ponieważ ich konsole się różnią, ale w Klang nic nie jest specyficzne dla żadnej z nich. Zadziała każdy dostawca, który potrafi wysyłać dane SCIM 2.0 na bazowy adres URL z tokenem typu bearer, w tym OneLogin, JumpCloud, Ping i skrypty własne.

Ten artykuł jest dokumentacją referencyjną dla wszystkich pozostałych przypadków. Jeśli używasz Entra lub Okta, skorzystaj z ich przewodników.

Zanim zaczniesz

Potrzebujesz dwóch rzeczy:

• W Klang: uprawnień administratora w przestrzeni roboczej z planem Pro lub Enterprise
• U swojego dostawcy: uprawnień do tworzenia aplikacji i konfigurowania aprowizacji

Pobieranie danych uwierzytelniających z Klang

1. W Klang otwórz Ustawienia → Przestrzeń robocza → Członkowie → Synchronizacja członków
2. Na karcie Katalog SCIM kliknij Połącz
3. W oknie, które się otworzy, wybierz kartę Inna usługa SCIM
4. Kliknij Zapisz, aby utworzyć połączenie i wyświetlić adres URL oraz token

Otrzymasz dwie wartości: bazowy adres URL i token typu bearer. Token jest wyświetlany tylko raz. Skopiuj go przed zamknięciem okna.

Wysyłaj token w nagłówku Authorization każdego żądania, w formacie Authorization: Bearer <token>. Nie ma innych danych uwierzytelniających ani niestandardowych nagłówków do ustawienia.

Jeśli widzisz sekcję Ustawienia połączenia, przy nowej konfiguracji pozostaw zaznaczoną opcję Utwórz nowe połączenie. Aby użyć istniejącego połączenia, wybierz zamiast tego przestrzeń roboczą, którą administrujesz, i kliknij Zapisz. Nie potrzebujesz wtedy nowego tokena ani ponownej konfiguracji u dostawcy.

Aby później wrócić do konfiguracji, otwórz Więcej opcji (⋮) na karcie połączenia i wybierz Pokaż konfigurację. Adres URL i instrukcje dla dostawcy pozostają dostępne, ale zapisanego tokena nie da się już wyświetlić. Zamknij zamyka instrukcję bez zmiany połączenia.

Co obsługuje Klang

Punkt końcowy	Metody
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH jest obsługiwany dla obu zasobów, także w formie bez ścieżki (path), którą wysyłają niektórzy dostawcy. Członkostwo w grupach może przychodzić jako operacje PATCH albo jako pełna zamiana przez PUT. GET /ServiceProviderConfig deklaruje te same możliwości, więc dostawca, który odczytuje go przed konfiguracją, znajdzie je tam.

Jak Klang dopasowuje osoby i grupy

• Użytkownicy są dopasowywani według userName. Klang oczekuje, że jest to adres e-mail osoby
• Grupy są dopasowywane według displayName lub według externalId, jeśli dostawca go wysyła
• Twój dostawca musi obsługiwać filtr userName eq "...", ponieważ w ten sposób sprawdza, czy dana osoba już istnieje, zanim ją utworzy

Dwie rzeczy, których Klang celowo nie robi

Treści są zachowywane. DELETE /Users/{id} lub ustawienie active na false odbiera osobie dostęp nadany przez synchronizację. Nie usuwa jej treści.

Nie można pobrać listy osób. GET /Users bez filtra zwraca pusty wynik zamiast całej listy osób. Klang nie jest źródłem prawdy o twoim katalogu, więc nie oddaje tej listy. Odczyty z filtrem działają normalnie, a tylko tego dostawca potrzebuje do aprowizacji. GET /Groups zwraca listę, ponieważ w ten sposób dostawcy dopasowują grupę, którą zamierzają wypchnąć, do grupy, która już istnieje.

Opcjonalnie: wybór grup do wypchnięcia

Jeśli używasz opcji Wszyscy synchronizowani użytkownicy, możesz pominąć aprowizację grup. Aby wybrać w Klang konkretne grupy, wyślij te grupy wraz z ich członkostwem.

Klang zna tylko te grupy, które faktycznie wyśle twój dostawca. Sposób ich wyboru zależy od dostawcy: w Entra jest to przypisywanie grup do aplikacji, w Okta funkcja Push Groups. Bez względu na to, jak nazywa to dostawca, w Klang możesz wybierać tylko spośród grup, które wypchniesz.

Wybór członków tej przestrzeni roboczej

Opcja Wszyscy synchronizowani użytkownicy nadaje dostęp członka każdemu aktywnemu użytkownikowi przesłanemu przez to połączenie. Administratorami zarządzasz w Klang. O tym, którzy użytkownicy są przesyłani, nadal decyduje twój dostawca.

1. Wróć do sekcji Synchronizacja członków i znajdź Kto ma otrzymać dostęp?
2. Wybierz Wszyscy synchronizowani użytkownicy lub Wybierz konkretne grupy. W przypadku konkretnych grup wybierz, które grupy nadają dostęp Administrator, a które Członek
3. Kliknij Pokaż, kogo to obejmuje, aby przejrzeć osoby objęte wyborem
4. Sprawdź, czy potrzebne są dodatkowe licencje, a następnie kliknij Zapisz

Grupy mogą się pokrywać. Każda osoba jest liczona raz w danej przestrzeni roboczej. Nowe połączenie nie daje nikomu dostępu, dopóki nie zapiszesz wyboru.

Co dzieje się dalej

• Aktywni użytkownicy objęci zapisanym wyborem dostają dostęp do tej przestrzeni roboczej
• Użytkownicy dezaktywowani lub już nieobjęci wyborem tracą dostęp nadany przez synchronizację. Ich treści zostają zachowane
• Grupy administratorów mogą nadawać członkom uprawnienia administratora. Obecni administratorzy zachowują swoją rolę po przeniesieniu do grupy członków
• Osoby, które nigdy nie logowały się do aplikacji Klang, dostają zaproszenie e-mailem

Karta połączenia w Klang pokazuje, kiedy dostawca ostatnio wysłał żądanie. Jeśli widnieje tam nazwa dostawcy, to Klang rozpoznał go na podstawie żądania. W przeciwnym razie widać tylko napis SCIM, co jest normalne w przypadku dostawców, dla których Klang nie ma logo.

Wymiana tokena

Na karcie połączenia otwórz Więcej opcji (⋮) i wybierz Utwórz nowy token. Stary token od razu przestaje działać we wszystkich przestrzeniach roboczych korzystających z tego połączenia. Wklej nowy token u swojego dostawcy.

Odłączanie

Kliknij Więcej opcji (⋮) → Odłącz, aby zatrzymać synchronizację tej przestrzeni roboczej. Obecni członkowie zachowują dostęp i od tej pory są zarządzani ręcznie. Oczekujące zaproszenia z synchronizacji zostają anulowane. Inne połączone przestrzenie robocze nadal są synchronizowane. Odłączenie ostatniej przestrzeni roboczej usuwa też wspólne połączenie i jego token.