Как подключить другой сервис SCIM

Синхронизация участников в Klang работает по стандартному протоколу SCIM 2.0. Для Microsoft Entra и Okta есть отдельные инструкции, потому что их консоли устроены по-разному, но в самом Klang нет ничего, что зависело бы от одного из них. Подойдет любой поставщик, который умеет отправлять данные SCIM 2.0 на базовый URL с токеном Bearer: OneLogin, JumpCloud, Ping и даже собственные скрипты.

Эта статья служит справочником для всех остальных поставщиков. Если вы пользуетесь Entra или Okta, следуйте их инструкциям.

Перед началом

Вам понадобятся:

• В Klang: права администратора в рабочем пространстве на тарифе Pro или Enterprise
• У поставщика: права на создание приложения и настройку автоматического создания пользователей (provisioning)

Как получить данные для подключения в Klang

1. В Klang откройте Настройки → Рабочее пространство → Участники → Синхронизация участников
2. В карточке Каталог SCIM нажмите Подключить
3. В открывшемся окне выберите вкладку Другой сервис SCIM
4. Нажмите Сохранить, чтобы создать подключение и увидеть URL и токен

Вы получите два значения: базовый URL и токен Bearer. Токен показывается один раз. Скопируйте его, прежде чем закрыть окно.

Передавайте токен в заголовке Authorization каждого запроса в виде Authorization: Bearer <token>. Других учетных данных нет, и дополнительные заголовки задавать не нужно.

Если показан раздел Параметры подключения, для новой настройки оставьте выбранным вариант Создать новое подключение. Чтобы использовать уже существующее подключение, выберите рабочее пространство, где вы администратор, и нажмите Сохранить. Новый токен и повторная настройка у поставщика не понадобятся.

Чтобы позже посмотреть настройки, откройте Другие действия (⋮) в карточке подключения и выберите Показать настройки. URL и инструкции для поставщика останутся доступны, но сохраненный токен показать снова нельзя. Кнопка Закрыть закрывает инструкцию, не меняя подключение.

Что поддерживает Klang

Конечная точка	Методы
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH поддерживается для обоих ресурсов, в том числе в форме без пути (path), которую отправляют некоторые поставщики. Состав группы может приходить как операциями PATCH, так и полной заменой через PUT. GET /ServiceProviderConfig сообщает то же самое, поэтому поставщик, который читает эту конечную точку перед настройкой, получит эти сведения.

Как Klang сопоставляет людей и группы

• Пользователи сопоставляются по userName. Klang ожидает, что это адрес электронной почты человека
• Группы сопоставляются по displayName или по externalId, если поставщик его передает
• Поставщик должен поддерживать фильтр userName eq "...": с его помощью он проверяет, есть ли уже такой человек, прежде чем создать его

Две вещи, которые Klang намеренно не делает

Материалы сохраняются. DELETE /Users/{id} или значение false в поле active отзывает у человека доступ, выданный синхронизацией. Его материалы при этом не удаляются.

Список людей не выдается. GET /Users без фильтра возвращает пустой результат, а не весь список пользователей. Ваш каталог ведется не в Klang, поэтому Klang и не отдает этот список обратно. Запросы с фильтром работают как обычно, а больше поставщику для создания пользователей ничего не нужно. GET /Groups при этом список возвращает: так поставщики сопоставляют группу, которую собираются отправить, с уже существующей.

Необязательно: выберите, какие группы отправлять

Если вы используете вариант Все синхронизированные пользователи, отправлять группы не нужно. Чтобы выбирать в Klang отдельные группы, отправьте эти группы и их состав.

Klang знает только о тех группах, которые на самом деле отправляет поставщик. Как их выбрать, зависит от поставщика: в Entra это называется назначением групп приложению, в Okta это Push Groups. Как бы это ни называлось, выбирать в Klang можно будет только из отправленных групп.

Как выбрать участников для этого рабочего пространства

Вариант Все синхронизированные пользователи дает права участника всем активным пользователям, которые приходят через это подключение. Администраторов назначайте в Klang. Каких пользователей отправлять, по-прежнему решает поставщик.

1. Вернитесь в раздел Синхронизация участников и найдите Кому дать доступ?
2. Выберите Все синхронизированные пользователи или Выбрать отдельные группы. Для отдельных групп укажите, какие группы дают права Администратор, а какие права Участник
3. Нажмите Показать, кто входит, чтобы проверить, кто попадает в выбор
4. Проверьте, нужны ли дополнительные лицензии, и нажмите Сохранить

Группы могут пересекаться: каждый человек учитывается в рабочем пространстве один раз. Пока вы не сохраните выбор, новое подключение никому не дает доступа.

Что происходит дальше

• Активные пользователи из сохраненного выбора получают доступ к этому рабочему пространству
• Пользователи, которых деактивировали или которые больше не входят в выбор, теряют доступ, выданный синхронизацией. Их материалы сохраняются
• Группы администраторов могут повышать участников до администраторов. Действующие администраторы сохраняют свою роль, если переходят в группу участников
• Люди, которые еще ни разу не входили в Klang, получают приглашение по электронной почте

В карточке подключения в Klang видно, когда поставщик в последний раз отправлял запрос. Если там указано название поставщика, значит, Klang распознал его по запросу. Иначе там просто написано SCIM: это нормально для поставщиков, для которых у Klang нет логотипа.

Как заменить токен

В карточке подключения откройте Другие действия (⋮) и выберите Создать новый токен. Старый токен сразу перестает работать во всех рабочих пространствах, которые используют это подключение. Вставьте новый токен в настройки поставщика.

Как отключить

Нажмите Другие действия (⋮) → Отключить, чтобы остановить синхронизацию этого рабочего пространства. Текущие участники сохраняют доступ, и дальше ими управляют вручную. Еще не принятые приглашения, отправленные синхронизацией, отменяются. Другие связанные рабочие пространства продолжают синхронизироваться. Если отключить последнее рабочее пространство, общее подключение и его токен тоже удаляются.