Підключення іншого сервісу SCIM

Синхронізація учасників у Klang – це звичайний SCIM 2.0. Для Microsoft Entra й Okta є окремі інструкції, бо їхні консолі відрізняються, але в самому Klang немає нічого специфічного для жодного з них. Підійде будь-який постачальник, який уміє надсилати дані SCIM 2.0 на базову URL-адресу з токеном Bearer, зокрема OneLogin, JumpCloud, Ping і власні скрипти.

Ця стаття – довідник для всіх інших постачальників. Якщо ви використовуєте Entra або Okta, натомість скористайтеся інструкціями для них.

Перш ніж почати

Вам знадобляться:

• У Klang: права адміністратора в робочому просторі з планом Pro або Enterprise
• У постачальника: дозвіл створювати застосунки й налаштовувати автоматичне створення облікових записів (provisioning)

Отримання облікових даних у Klang

1. У Klang відкрийте Налаштування → Робочий простір → Учасники → Синхронізація учасників
2. На картці Каталог SCIM натисніть Підключити
3. У вікні, що відкриється, виберіть вкладку Інший сервіс SCIM
4. Натисніть Зберегти, щоб створити підключення й побачити URL-адресу та токен

Ви отримаєте два значення: базову URL-адресу й токен Bearer. Токен показується лише один раз. Скопіюйте його, перш ніж закрити вікно.

Надсилайте токен у заголовку Authorization кожного запиту у форматі Authorization: Bearer <token>. Інших облікових даних немає, і жодних власних заголовків задавати не потрібно.

Якщо відображається розділ Параметри підключення, для нового налаштування залиште вибраним варіант Створити нове підключення. Щоб використати наявне підключення, натомість виберіть робочий простір, який ви адмініструєте, і натисніть Зберегти. Новий токен і повторне налаштування в постачальника не знадобляться.

Щоб згодом переглянути налаштування, відкрийте Більше параметрів (⋮) на картці підключення й виберіть Показати налаштування. URL-адреса та інструкції для постачальника залишаються доступними, але збережений токен знову показати не можна. Кнопка Закрити закриває інструкцію, не змінюючи підключення.

Що підтримує Klang

Кінцева точка	Методи
/ServiceProviderConfig, /ResourceTypes, /Schemas	GET
/Users	GET, POST
/Users/{id}	GET, PUT, PATCH, DELETE
/Groups	GET, POST
/Groups/{id}	GET, PUT, PATCH, DELETE

PATCH підтримується для обох ресурсів, зокрема у формі без шляху (path), яку надсилають деякі постачальники. Склад груп може надходити як операціями PATCH, так і повною заміною через PUT. Ті самі відомості повертає GET /ServiceProviderConfig, тож постачальник, який звертається до неї перед налаштуванням, їх отримає.

Як Klang зіставляє людей і групи

• Користувачів зіставляють за userName: Klang очікує, що це адреса електронної пошти людини
• Групи зіставляють за displayName або за externalId, якщо постачальник його надсилає
• Постачальник має підтримувати фільтр userName eq "...", бо саме так він перевіряє, чи людина вже існує, перш ніж її створити

Дві речі, яких Klang навмисно не робить

Вміст зберігається. DELETE /Users/{id} або встановлення для active значення false позбавляє людину доступу, наданого через синхронізацію. Її вміст при цьому не видаляється.

Список людей не видається. GET /Users без фільтра повертає порожній результат, а не весь ваш список працівників. Klang не є головним джерелом даних про ваш каталог, тому не віддає цей список назад. Запити з фільтром працюють як звичайно, а постачальнику для синхронізації більшого й не потрібно. GET /Groups список повертає, бо так постачальники зіставляють групу, яку збираються надіслати, з уже наявною.

Необов’язково: вибір груп для надсилання

Якщо ви використовуєте варіант Усі синхронізовані користувачі, синхронізацію груп можна пропустити. Щоб вибирати в Klang певні групи, надішліть ці групи разом з їхнім складом.

Klang знає лише про ті групи, які постачальник справді надсилає. Як їх вибрати, залежить від постачальника: в Entra це називається призначенням груп застосунку, в Okta – Push Groups. Хоч як це називається, вибирати в Klang можна буде саме з тих груп, які ви надішлете.

Вибір учасників для цього робочого простору

Варіант Усі синхронізовані користувачі надає права учасника кожному активному користувачеві, якого надсилають через це підключення. Адміністраторами керуйте в Klang. Яких користувачів надсилати, як і раніше, визначає постачальник.

1. Поверніться до розділу Синхронізація учасників і знайдіть Хто отримає доступ?
2. Виберіть Усі синхронізовані користувачі або Вибрати певні групи. Якщо вибираєте певні групи, укажіть, які з них надають роль Адміністратор, а які – Учасник
3. Натисніть Показати, хто входить до вибірки, щоб переглянути людей, яких охоплює ваш вибір
4. Перевірте, чи потрібні додаткові місця, і натисніть Зберегти

Групи можуть перетинатися: у кожному робочому просторі людину враховують лише один раз. Нове підключення нікому не надає доступу, доки ви не збережете вибір.

Що відбувається далі

• Активні користувачі, які входять у збережений вибір, отримують доступ до цього робочого простору
• Користувачі, яких деактивовано або які більше не входять у ваш вибір, утрачають доступ, наданий через синхронізацію. Їхній вміст зберігається
• Групи адміністраторів можуть підвищувати учасників до адміністраторів. Наявні адміністратори зберігають свою роль, коли переходять до групи учасників
• Люди, які ще ніколи не входили в Klang, отримують запрошення електронною поштою

На картці підключення в Klang показано, коли постачальник востаннє надсилав запит. Якщо там указано назву постачальника, це та, яку Klang розпізнав із запиту. В іншому разі там просто написано SCIM, і це нормально для постачальників, логотипа яких Klang не має.

Заміна токена

На картці підключення відкрийте Більше параметрів (⋮) і виберіть Створити новий токен. Старий токен одразу перестане діяти для всіх робочих просторів, які використовують це підключення. Вставте новий токен у налаштування постачальника.

Відключення

Натисніть Більше параметрів (⋮) → Відключити, щоб припинити синхронізацію цього робочого простору. Наявні учасники зберігають доступ, і надалі ними керують уручну, а надіслані через синхронізацію запрошення, які ще не прийнято, скасовуються. Інші пов’язані робочі простори продовжують синхронізацію. Якщо відключити останній робочий простір, спільне підключення та його токен також буде видалено.