SCIM-2.0-Referenz

Technische Referenz für Identity-Management-Teams, die einen IdP (Microsoft Entra ID, SailPoint IdentityIQ, …) mit mTime verbinden: welche SCIM-2.0-Attribute und -Operationen mTime unterstützt und was jede davon bewirkt.

Überblick

Was SCIM verwaltet und was nicht

mTime trennt den Benutzer (Anmeldung, Rollen, Zugriff) von der bzw. dem Mitarbeitenden und deren Anstellungen:

Benutzer → Mitarbeitende → n Anstellungen

SCIM verwaltet den Benutzer: wer sich anmelden darf, unter welchem Namen und mit welchen Rollen. Mitarbeitende und Anstellungen – Organisationseinheit, Führungskraft, Anstellungsbedingungen, Sollarbeitszeit, Beginn- und Enddatum – sind datierte Daten, mit denen mTime rechnet, und sie kommen aus Ihrer HR-Integration, nicht aus SCIM. Ein SCIM-Benutzer wird über die externalId mit seinem Mitarbeitendendatensatz verknüpft (siehe Wie Benutzer bereitgestellt werden).

Deshalb unterstützt mTime die Enterprise User Extension nicht: department, manager und employeeNumber sind Einzelwerte ohne Gültigkeitsdatum, während eine Person in mTime mehrere datierte Anstellungen haben kann.

Benutzer

Attribute

Schema urn:ietf:params:scim:schemas:core:2.0:User.

Alle anderen Attribute von Core User (nickName, title, phoneNumbers, addresses, password, …) und die Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) werden nicht unterstützt: Sie werden beim Anlegen und Aktualisieren ignoriert und nie zurückgegeben.

Welchen Namen SCIM setzt

mTime zeigt für eine Person einen einzigen Namen: den Namen des Mitarbeitendendatensatzes, wenn der Benutzer damit verknüpft ist, andernfalls den Namen des Benutzers.

• Ein mit einem Mitarbeitendendatensatz verknüpfter Benutzer zeigt dessen Namen, den Ihre HR-Integration pflegt. Standardmäßig aktualisiert SCIM keinen bestehenden Mitarbeitendendatensatz, ein über SCIM gesendeter Name hat für diesen Benutzer also keine sichtbare Wirkung. Ist Namen des Identitätsanbieters für Mitarbeitende verwenden aktiviert, schreibt jedes Anlegen, PUT oder PATCH mit einem Namen diesen auch in den verknüpften Mitarbeitendendatensatz – siehe Den Namen aus dem Identitätsanbieter für Mitarbeitende verwenden.
• Ein Benutzer ohne Mitarbeitendendatensatz (etwa ein Entwurf) zeigt seinen eigenen Namen. SCIM setzt ihn beim Anlegen und kann ihn ändern, bis die Person ihre Einladung aktiviert; danach folgt er dem Namen in ihrem eigenen mTime-Konto. Legt eine Rolle später ihren Mitarbeitendendatensatz an, beginnt dieser mit diesem Namen.

Um eine Person umzubenennen, die Mitarbeitende bzw. Mitarbeitender ist, ändern Sie den Namen in Ihrem HR-System – oder, bei aktivierter Einstellung, in Ihrem IdP.

Operationen

Benutzer mit der Rolle owner können über SCIM weder geändert noch gelöscht werden (403).

Deaktivieren oder löschen?

Gruppen

Gruppen werden Rollen in mTime zugeordnet: Der IdP bestimmt über Existenz und Mitgliedschaft einer Gruppe, die Admins in mTime über die Berechtigungen der Rolle. Siehe Wie Gruppen zu Rollen werden.

Attribute

Schema urn:ietf:params:scim:schemas:core:2.0:Group.

Operationen

Seitenweise Abfrage

GET /Users und GET /Groups unterstützen eine indexbasierte seitenweise Abfrage (RFC 7644 §3.4.2.4), mit oder ohne Filter.

Die Antwort enthält totalResults (alle Treffer), startIndex und itemsPerPage (die Ergebnisse auf dieser Seite). Fordern Sie die nächste Seite mit startIndex + itemsPerPage an, bis Sie totalResults Ergebnisse haben. Die Ergebnisse kommen in einer festen Reihenfolge, sodass Seiten keine Ergebnisse überspringen oder wiederholen, es sei denn, zwischendurch werden Benutzer oder Gruppen hinzugefügt oder gelöscht.

Discovery-Endpunkte

Alle drei erfordern dasselbe Bearer-Token wie die übrigen SCIM-Endpunkte.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Fehlerbehebung