Référence SCIM 2.0

Référence technique destinée aux équipes de gestion des identités qui connectent un IdP (Microsoft Entra ID, SailPoint IdentityIQ, …) à mTime : quels attributs et quelles opérations SCIM 2.0 mTime prend en charge, et ce que fait chacun d’eux.

Vue d’ensemble

Ce que SCIM gère, et ce qu’il ne gère pas

mTime sépare l’utilisateur (connexion, rôles, accès) de l’employé et de ses emplois :

Utilisateur → Employé → n emplois

SCIM gère l’utilisateur : qui peut se connecter, sous quel nom et avec quels rôles. Les employés et leurs emplois — unité organisationnelle, responsable, conditions d’emploi, norme de temps de travail, dates de début et de fin — sont des données datées sur lesquelles mTime fait ses calculs ; elles proviennent de votre intégration RH, pas de SCIM. Un utilisateur SCIM est relié à son employé par l’externalId (voir Comment les utilisateurs sont provisionnés).

C’est pourquoi mTime ne prend pas en charge l’Enterprise User Extension : department, manager et employeeNumber y sont des valeurs uniques sans date de validité, alors qu’un employé dans mTime peut avoir plusieurs emplois datés.

Utilisateurs

Attributs

Schéma urn:ietf:params:scim:schemas:core:2.0:User.

Tous les autres attributs Core User (nickName, title, phoneNumbers, addresses, password, …) et l’Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) ne sont pas pris en charge : ils sont ignorés à la création et à la mise à jour, et ne sont jamais renvoyés.

Quel nom SCIM définit

mTime affiche un seul nom pour une personne : celui de l’employé quand l’utilisateur est lié à un employé, sinon celui de l’utilisateur.

• Un utilisateur lié à un employé affiche le nom de l’employé, que votre intégration RH tient à jour. Par défaut, SCIM ne met pas à jour un employé existant : un nom envoyé par SCIM n’a donc aucun effet visible pour cet utilisateur. Si le paramètre Utiliser les noms du fournisseur d'identité comme noms d'employés est activé, chaque création, PUT ou PATCH qui contient un nom l’écrit aussi sur l’employé lié — voir Utiliser le nom du fournisseur d’identité pour les employés.
• Un utilisateur sans employé (par ex. un brouillon) affiche son propre nom. SCIM le définit à la création et peut le modifier tant que la personne n’a pas activé son invitation ; ensuite, il suit le nom de son compte mTime. Si un rôle crée plus tard son employé, celui-ci reprend ce nom au départ.

Pour renommer un employé, changez le nom dans votre système RH — ou dans votre IdP si ce paramètre est activé.

Opérations

Les utilisateurs qui détiennent le rôle owner ne peuvent être ni modifiés ni supprimés via SCIM (403).

Désactiver ou supprimer ?

Groupes

Les groupes correspondent aux rôles mTime : l’IdP décide de l’existence d’un groupe et de ses membres, les administrateurs mTime décident des permissions du rôle. Voir Comment les groupes deviennent des rôles.

Attributs

Schéma urn:ietf:params:scim:schemas:core:2.0:Group.

Opérations

Pagination

GET /Users et GET /Groups prennent en charge la pagination par index (RFC 7644 §3.4.2.4), avec ou sans filtre.

La réponse indique totalResults (toutes les correspondances), startIndex et itemsPerPage (les résultats de cette page). Demandez la page suivante avec startIndex + itemsPerPage jusqu’à obtenir totalResults résultats. L’ordre des résultats est fixe : les pages ne sautent ni ne répètent aucun résultat, sauf si des utilisateurs ou des groupes sont créés ou supprimés entre-temps.

Points de terminaison de découverte

Les trois exigent le même jeton bearer que les autres points de terminaison SCIM.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Dépannage