Visão geral do provisionamento SCIM

O SCIM (System for Cross-domain Identity Management) é um padrão aberto que permite que um sistema mantenha os usuários e grupos de outro atualizados automaticamente. O BreezeAuth implementa o SCIM 2.0 como provedor: outro sistema, como a sua plataforma de RH ou o diretório de identidades onde a sua empresa já mantém as pessoas, se conecta ao BreezeAuth e cria, atualiza e remove usuários e grupos por você.

Isso costuma ser chamado de provisionamento de entrada (inbound provisioning): as mudanças entram no BreezeAuth. Quando alguém é contratado, o sistema de provisionamento cria o usuário. Quando a pessoa muda de equipe, ele atualiza os grupos dela. Quando ela sai, ele a desativa. Ninguém precisa repetir essas mudanças à mão no console de administração.

Como funciona

1. Você cria um usuário de serviçoNo console de administração, um usuário de serviço com o papel Provisionador SCIM, e uma credencial para ele.
2. Você configura o sistema de provisionamentoCom a URL base do SCIM da sua organização e a credencial.
3. O sistema chama a API SCIMEle obtém um token de acesso e envia requisições SCIM padrão aos endpoints /Users e /Groups.
4. O BreezeAuth aplica as mudançasExatamente como se um administrador as tivesse feito: mesmas regras, mesmos e-mails, mesma trilha de auditoria.

Não há uma tela de SCIM no console de administração. O SCIM é uma interface adicional da API do BreezeAuth, usada apenas por usuários de serviço. A sua parte no console de administração é criar o usuário de serviço e a credencial dele, e conferir os resultados: os usuários e grupos provisionados aparecem em Usuários e Grupos como quaisquer outros. O passo a passo está em Configurar o provisionamento SCIM.

O que o sistema de provisionamento pode fazer

Recurso SCIM	No BreezeAuth	O sistema de provisionamento pode
User	Um usuário da sua organização	Criar, ler, atualizar, desativar e excluir usuários. Veja Provisionar usuários.
Group	Um grupo da sua organização	Criar, ler, renomear e excluir grupos, e adicionar ou remover os seus membros. Veja Provisionar grupos.

Todo o resto continua no console de administração. Pelo SCIM, um sistema de provisionamento não pode:

• dar ou alterar papéis administrativos, nem alterar ou excluir um usuário com o papel Proprietário;
• ver ou alterar usuários de serviço;
• atribuir aplicações a usuários ou grupos. Dê a cada grupo provisionado acesso às suas aplicações no console de administração, uma única vez: os novos membros recebem esse acesso automaticamente;
• definir ou alterar senhas, MFA ou sessões.

As mesmas regras do console de administração

Uma mudança feita pelo SCIM segue as mesmas regras da mesma mudança feita por um administrador:

• Tipos de conta. Um usuário cujo e-mail está em um dos seus domínios verificados é criado como usuário gerenciado. Qualquer outra pessoa é convidada como convidado, recebe um e-mail de convite e precisa aceitá-lo. Veja Usuários gerenciados e convidados.
• Exclusão. Excluir um usuário gerenciado também exclui a conta dele no BreezeAuth. Para excluir um grupo, ele não pode ter membros.
• Auditoria e webhooks. Cada mudança é registrada nos Logs de Auditoria, com o usuário de serviço como autor, e é enviada aos seus webhooks como qualquer outra mudança.

Recursos do SCIM suportados

Recurso	Suportado
Usuários e grupos: criar, ler, substituir (PUT), excluir	Sim
Atualizações parciais (PATCH)	Sim
Extensão Enterprise User (matrícula, departamento…)	Sim
Grupos aninhados (um grupo como membro de outro grupo)	Sim
Filtros	Apenas igualdade: userName, externalId e displayName
Paginação, attributes e excludedAttributes	Sim
Descoberta (ServiceProviderConfig, ResourceTypes, Schemas)	Sim
Operações em lote, ordenação, ETags, troca de senha	Não

Os detalhes técnicos estão na referência da API SCIM.

Próximos passos

• Configure o provisionamento SCIM da sua organização.
• Entenda como usuários e grupos são provisionados.
• Compartilhe a referência da API SCIM com os desenvolvedores ou com a equipe que configura o sistema de provisionamento.