连接其他 SCIM 服务

Klang 的成员同步使用标准 SCIM 2.0。Microsoft Entra 和 Okta 各有单独的指南，因为它们的控制台不同，但 Klang 本身并不依赖其中任何一个。只要提供商能用 Bearer 令牌向基础 URL 推送 SCIM 2.0 请求，就可以使用，包括 OneLogin、JumpCloud、Ping 和自建脚本。

本文是其他所有提供商的参考。如果你使用 Entra 或 Okta，请改为参阅对应的指南。

开始之前

你需要满足两个条件：

• 在 Klang 中：是 Pro 或企业版工作空间的管理员
• 在你的提供商中：有权限创建应用并配置预配

从 Klang 获取凭据

1. 在 Klang 中，打开 设置 → 工作空间 → 成员 → 成员同步
2. 在 SCIM 目录卡片上，点击连接
3. 在打开的对话框中，选择其他 SCIM 服务标签页
4. 点击保存，创建连接并显示 URL 和令牌

你会得到两个值：基础 URL 和 Bearer 令牌。令牌只显示一次，请在关闭对话框前复制。

每个请求都要在 Authorization 标头中发送令牌，格式为 Authorization: Bearer <token>。不需要其他凭据，也不需要设置自定义标头。

如果显示连接设置，新建配置时请保持选中新建连接。如需复用已有连接，请改为选择你管理的某个工作空间，然后点击保存。无需新令牌，也无需在提供商中重新设置。

如需稍后查看设置，请在连接卡片上打开更多选项（⋮），然后选择显示设置。URL 和提供商说明仍然可以查看，但已保存的令牌无法再次显示。点击关闭会关闭指南，不会更改连接。

Klang 支持的内容

端点	方法
/ServiceProviderConfig、/ResourceTypes、/Schemas	GET
/Users	GET、POST
/Users/{id}	GET、PUT、PATCH、DELETE
/Groups	GET、POST
/Groups/{id}	GET、PUT、PATCH、DELETE

两种资源都支持 PATCH，包括部分提供商发送的不带路径的形式。群组成员关系既可以通过 PATCH 操作传入，也可以通过完整的 PUT 替换传入。GET /ServiceProviderConfig 会公布同样的信息，在配置前读取它的提供商可以从中获取这些信息。

Klang 如何匹配人员和群组

• 用户按 userName 匹配，Klang 要求它是该人员的邮箱地址
• 群组按 displayName 匹配；如果提供商发送了 externalId，则按 externalId 匹配
• 你的提供商需要支持 userName eq "..." 筛选，因为提供商通过它判断某人在创建前是否已存在

Klang 有意不做的两件事

内容会保留。 DELETE /Users/{id} 或将 active 设为 false 会移除该人员通过同步获得的访问权限，但不会删除其内容。

不会列出人员。 不带筛选条件的 GET /Users 会返回空结果，而不是你的完整人员名单。Klang 不是你目录的权威数据源，因此不会返回该列表。带筛选条件的读取正常可用，这已足够提供商完成预配。GET /Groups 会返回列表，因为提供商需要借此将即将推送的群组与已存在的群组匹配。

可选：选择要推送的群组

使用所有已同步用户时，可以跳过群组预配。如需在 Klang 中选择特定群组，请发送这些群组及其成员关系。

Klang 只知道提供商实际发送的群组。如何选择这些群组取决于你的提供商：Entra 中称为将群组分配给应用，Okta 中称为 Push Groups。无论叫法如何，你推送的群组就是之后可以在 Klang 中选择的群组。

为此工作空间选择成员

所有已同步用户会为通过此连接发送的每个活跃用户授予成员访问权限。管理员在 Klang 中管理。发送哪些用户仍由你的提供商决定。

1. 回到成员同步，找到谁应获得访问权限？
2. 选择所有已同步用户或选择指定群组。如果选择指定群组，请选择哪些群组授予管理员或成员访问权限
3. 点击查看包含哪些人，检查所选范围内的人员
4. 检查需要增加的席位，然后点击保存

群组可以重叠，每个人在每个工作空间中只计算一次。在你保存选择之前，新连接不会为任何人授予访问权限。

之后会怎样

• 包含在已保存选择中的活跃用户可以访问此工作空间
• 已停用或不再包含在选择中的用户将失去同步获得的访问权限，其内容会保留
• 管理员群组可以将成员提升为管理员。现有管理员移入成员群组后仍保留管理员角色
• 从未登录过 Klang 的人员会收到邮件邀请

Klang 中的连接卡片会显示提供商上次调用的时间。如果显示了提供商名称，那就是 Klang 从请求中识别出的提供商；否则只显示 SCIM，对于 Klang 没有 Logo 的提供商，这是正常现象。

轮换令牌

在连接卡片上打开更多选项（⋮），然后选择创建新令牌。旧令牌会立即失效，共享此连接的所有工作空间都会受影响。请将新令牌粘贴到你的提供商中。

断开连接

点击更多选项（⋮）→ 断开连接，停止同步此工作空间。现有成员保留访问权限，改为手动管理；待处理的同步邀请会自动取消。其他已关联的工作空间会继续同步。断开最后一个工作空间时，共享的连接及其令牌也会一并移除。