Provisioning SCIM

Il provisioning SCIM consente al tuo identity provider (IdP) — ad esempio Microsoft Entra ID — di gestire automaticamente gli utenti mTime. Quando qualcuno viene assunto, modificato o esce dall’organizzazione nella tua directory, l’IdP chiama l’endpoint SCIM 2.0 di mTime e l’utente viene creato, aggiornato o disattivato senza che nessuno tocchi mTime.

Le appartenenze ai gruppi nell’IdP corrispondono ai ruoli mTime: aggiungere una persona a un gruppo collegato concede il ruolo, rimuoverla lo revoca.

Chi possiede cosa

L’IdP non può mai modificare le autorizzazioni di un ruolo — solo la sua esistenza e i suoi membri. Gli utenti e i gruppi stessi si gestiscono nel tuo IdP: una volta che il provisioning SCIM è in funzione, li crei, modifichi ed elimini lì, non in mTime.

Come avviene il provisioning degli utenti

1. L’IdP invia un nuovo utente — sempre con il suo indirizzo e-mail e, facoltativamente, un numero dipendente stabile (il campo SCIM externalId, che non deve mai essere compilato per forza).
2. mTime cerca il dipendente corrispondente, in quest’ordine:
   • Per numero dipendente — solo quando l’impostazione Collega externalId a un attributo dipendente dell’integrazione punta a un attributo dipendente e l’IdP ha inviato un externalId: vince il dipendente che porta quel numero nell’attributo collegato.
   • Per indirizzo e-mail — altrimenti (o quando il numero non corrisponde a nessuno), viene usato il dipendente con lo stesso indirizzo e-mail, indipendentemente da maiuscole e minuscole.
   • Nessuna corrispondenza? Non viene ancora creato alcun dipendente — l’utente diventa una bozza.
3. Con un dipendente corrispondente, l’utente viene creato come invitato con il ruolo employee (più manager se ha dei collaboratori) e riceve la consueta e-mail di invito. Dopo l’attivazione accede come di consueto (ad es. “Accedi con Microsoft”).

Utenti senza dipendente (bozze)

Non tutti quelli che il tuo IdP crea sono dipendenti — un amministratore IT o un revisore esterno può avere bisogno solo di un ruolo come workspace-admin o read-only. Per questo mTime crea un dipendente solo quando un ruolo lo richiede:

• Senza un dipendente corrispondente, l’utente viene creato come bozza: nessun dipendente, nessun ruolo e nessuna e-mail di invito. Una bozza non può accedere.
• Quando l’IdP aggiunge l’utente a un gruppo, l’utente riceve il ruolo di quel gruppo. Se il ruolo richiede un dipendente (employee, manager o un ruolo personalizzato con Richiede un dipendente collegato ), mTime collega prima il dipendente corrispondente — oppure crea una scheda minima (nome, e-mail — più il numero, se collegato), arricchita in seguito dalla tua integrazione HR.
• Il primo ruolo di una bozza invia l’e-mail di invito.
• Rimuovere un utente dal suo ultimo gruppo lo lascia senza ruolo: non può più accedere finché un gruppo non gliene assegna di nuovo uno. L’eventuale dipendente resta collegato.

Dove viene memorizzato il numero dipendente

Inviare un externalId è facoltativo, e il suo utilizzo è disattivato per impostazione predefinita. Quando il tuo IdP ne invia effettivamente uno, mTime lo ricorda sull’utente — è ciò che l’IdP usa per riconoscere l’utente nelle sincronizzazioni successive. Se vuoi che guidi anche l’abbinamento dei dipendenti, scegli un attributo dipendente nell’impostazione Collega externalId a un attributo dipendente dell’integrazione: i dipendenti abbinati e quelli appena creati portano allora il numero in quell’attributo (visibile nella sezione attributi della pagina del dipendente), ed è anche così che la tua integrazione HR mantiene collegate le schede. Per impostazione predefinita nulla è collegato e l’abbinamento avviene solo tramite l’indirizzo e-mail.

Usare il nome del provider di identità per i dipendenti

Per impostazione predefinita il nome inviato dall’IdP resta sull’utente: il dipendente collegato mantiene il nome gestito in mTime o dalla tua integrazione HR, ed è questo il nome che compare su turni, report ed esportazioni paghe. Un cambio di nome nell’IdP (un matrimonio, una correzione, un nome preferito) cambia quindi l’accesso, non il dipendente. Se deve essere l’IdP a decidere i nomi per tutti, attiva l’impostazione Usa i nomi del provider di identità come nomi dei dipendenti dell’integrazione: creando o aggiornando un utente, il nome dell’IdP viene scritto anche sul dipendente collegato, e ogni cambio di nome viene registrato in Amministrazione › Registro integrazioni insieme al nome sostituito.

• Ha effetto al prossimo aggiornamento SCIM di ciascun utente: attivarla non rinomina i dipendenti esistenti. Per applicare subito un nome, esegui il provisioning su richiesta di quell’utente dall’IdP.
• Il nome dell’IdP sostituisce poi quello gestito in mTime o da un’integrazione HR. Se anche un’integrazione HR sincronizza i nomi, i due si alternerebbero: lascia l’impostazione disattivata quando i nomi li gestisce l’HR.

Disattivazione ed eliminazione

• Quando l’IdP disattiva un utente, questo viene sospeso in mTime e disconnesso immediatamente. La riattivazione nell’IdP lo riattiva.
• Quando l’IdP elimina un utente, mTime esegue la sua normale eliminazione soft — l’account viene rimosso, ma la cronologia (registrazioni ore, approvazioni, la scheda dipendente) è preservata.

Come i gruppi diventano ruoli

• Un nuovo gruppo IdP crea un ruolo personalizzato vuoto (senza autorizzazioni) con il nome del gruppo. Compare nella pagina dei ruoli, dove un amministratore decide cosa può fare.
• Un gruppo il cui nome corrisponde esattamente a un ruolo esistente viene collegato a quel ruolo — nessun duplicato.
• I membri del gruppo detengono il ruolo collegato; le modifiche di appartenenza nell’IdP lo concedono e revocano automaticamente. I ruoli gestiti così portano il badge “Gestito da un gruppo IdP” e le modifiche manuali di appartenenza vengono riallineate alla successiva sincronizzazione dell’IdP.

• Il ruolo owner non può mai essere gestito tramite SCIM.
• Per un ruolo preesistente (inclusi quelli integrati come hr-admin o workspace-admin), l’IdP può gestirne l’appartenenza solo dopo l’approvazione di un proprietario dell’area di lavoro: apri il ruolo nella pagina Ruoli e aggiungi provisioning sotto Assegnabile da. Salvare un ruolo non modifica mai questo elenco da solo.
• Eliminare un gruppo nell’IdP scollega i suoi membri. Il ruolo stesso viene eliminato solo se era ancora il guscio non configurato — un ruolo configurato da un amministratore sopravvive.

Cosa si sincronizza e quando

Il tuo IdP parla con mTime in due modi, e non si comportano allo stesso modo:

Il provisioning su richiesta è ottimo per testare la connessione e le mappature, ma non stupirti se un utente disattivato o eliminato nell’IdP risulta ancora attivo in mTime — quella modifica arriva con il prossimo ciclo pianificato, non su richiesta.

Configurazione

Segui la guida passo passo: Configurare SCIM con Microsoft Entra ID. Copre tutto — le impostazioni mTime, l’utente di servizio di provisioning e la sua chiave API, l’applicazione enterprise in Entra, le mappature degli attributi e come testare prima di andare in produzione.

Note sulla sicurezza

• La chiave API è vincolata alla tua area di lavoro, funziona solo sugli endpoint SCIM e può essere revocata in qualsiasi momento dall’elenco chiavi dell’utente di servizio — la revoca esclude l’IdP all’istante.
• Può esistere un solo utente di servizio di provisioning per area di lavoro; ruota le credenziali a livello di chiave (crea una nuova chiave, aggiorna l’IdP, revoca la vecchia).
• Ogni modifica effettuata tramite SCIM è registrata nella cronologia delle modifiche, attribuita all’utente di servizio di provisioning.