SCIM 2.0-reference

Teknisk reference for de teams, der står for identitetsstyring og forbinder en IdP (Microsoft Entra ID, SailPoint IdentityIQ m.fl.) med mTime: hvilke SCIM 2.0-attributter og -operationer mTime understøtter, og hvad hver enkelt gør.

Overblik

Hvad SCIM styrer, og hvad det ikke styrer

mTime skelner mellem brugeren (login, roller og adgang) og medarbejderen med sine ansættelser:

Bruger → Medarbejder → n Ansættelser

SCIM styrer brugeren: hvem der kan logge ind, under hvilket navn og med hvilke roller. Medarbejdere og ansættelser — organisatorisk enhed, leder, ansættelsesvilkår, arbejdstidsnorm, start- og slutdato — er datostyrede data, som mTime regner på. De kommer fra jeres HR-integration, ikke fra SCIM. En SCIM-bruger forbindes med sin medarbejder via externalId (se Sådan provisioneres brugere).

Derfor understøtter mTime ikke Enterprise User Extension: department, manager og employeeNumber er enkeltværdier uden gyldighedsdato, mens en medarbejder i mTime kan have flere datostyrede ansættelser.

Brugere

Attributter

Skema urn:ietf:params:scim:schemas:core:2.0:User.

Alle andre attributter i Core User (nickName, title, phoneNumbers, addresses, password m.fl.) og hele Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) understøttes ikke: de ignoreres ved oprettelse og ændring og returneres aldrig.

Hvilket navn SCIM sætter

mTime viser ét navn for en person: medarbejderens navn, når brugeren er knyttet til en medarbejder, ellers brugerens navn.

• En bruger, der er knyttet til en medarbejder, viser medarbejderens navn, som jeres HR-integration vedligeholder. Som standard opdaterer SCIM ikke en eksisterende medarbejder, så et navn sendt via SCIM har ingen synlig effekt for denne bruger. Er Brug navne fra identitetsudbyderen som medarbejdernavne slået til, skriver hver oprettelse, PUT eller PATCH med et navn også navnet på den tilknyttede medarbejder — se Brug identitetsudbyderens navn på medarbejdere.
• En bruger uden medarbejder (f.eks. en kladde) viser brugerens eget navn. SCIM sætter det ved oprettelsen og kan ændre det, indtil personen aktiverer sin invitation; derefter følger det navnet på personens egen mTime-konto. Opretter en rolle senere personens medarbejder, får medarbejderen dette navn fra start.

Skift navnet i jeres HR-system for at omdøbe en person, der er medarbejder — eller i IdP’en, hvis den indstilling er slået til.

Operationer

Brugere med rollen owner kan ikke ændres eller slettes via SCIM (403).

Deaktivere eller slette?

Grupper

Grupper svarer til mTime-roller: IdP’en ejer gruppen og dens medlemmer, mens mTime-administratorer ejer rollens rettigheder. Se Sådan bliver grupper til roller.

Attributter

Skema urn:ietf:params:scim:schemas:core:2.0:Group.

Operationer

Paging

GET /Users og GET /Groups understøtter indeksbaseret paging (RFC 7644 §3.4.2.4), med eller uden filter.

Svaret angiver totalResults (alle match), startIndex og itemsPerPage (resultaterne på denne side). Hent næste side med startIndex + itemsPerPage, indtil du har totalResults resultater. Resultaterne kommer i en fast rækkefølge, så siderne hverken springer resultater over eller gentager dem, medmindre brugere eller grupper oprettes eller slettes undervejs.

Discovery-endpoints

Alle tre kræver samme bearer-token som de øvrige SCIM-endpoints.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Fejlfinding