Provisioning SCIM

Il provisioning SCIM consente al tuo identity provider (IdP) — ad esempio Microsoft Entra ID — di gestire automaticamente gli utenti mTime. Quando qualcuno viene assunto, modificato o esce dall’organizzazione nella tua directory, l’IdP chiama l’endpoint SCIM 2.0 di mTime e l’utente viene creato, aggiornato o disattivato senza che nessuno tocchi mTime.

Le appartenenze ai gruppi nell’IdP corrispondono ai ruoli mTime: aggiungere una persona a un gruppo collegato concede il ruolo, rimuoverla lo revoca.

Chi possiede cosa

L’IdP non può mai modificare le autorizzazioni di un ruolo — solo la sua esistenza e i suoi membri. Gli utenti e i gruppi stessi si gestiscono nel tuo IdP: una volta che il provisioning SCIM è in funzione, li crei, modifichi ed elimini lì, non in mTime.

Come avviene il provisioning degli utenti

1. L’IdP invia un nuovo utente — sempre con il suo indirizzo e-mail e, facoltativamente, un numero dipendente stabile (il campo SCIM externalId, che non deve mai essere compilato per forza).
2. mTime cerca il dipendente corrispondente, in quest’ordine:
   • Per numero dipendente — solo quando l’impostazione Collega externalId a un attributo dipendente dell’integrazione punta a un attributo dipendente e l’IdP ha inviato un externalId: vince il dipendente che porta quel numero nell’attributo collegato.
   • Per indirizzo e-mail — altrimenti (o quando il numero non corrisponde a nessuno), viene usato il dipendente con lo stesso indirizzo e-mail, indipendentemente da maiuscole e minuscole.
   • Nessuna corrispondenza? Viene creata una scheda dipendente minima (nome, e-mail — più il numero, se collegato), arricchita in seguito dalla tua integrazione HR.
3. L’utente viene creato come invitato con il ruolo employee e riceve la consueta e-mail di invito. Dopo l’attivazione accede come di consueto (ad es. “Accedi con Microsoft”).

Dove viene memorizzato il numero dipendente

Inviare un externalId è facoltativo, e il suo utilizzo è disattivato per impostazione predefinita. Quando il tuo IdP ne invia effettivamente uno, mTime lo ricorda sull’utente — è ciò che l’IdP usa per riconoscere l’utente nelle sincronizzazioni successive. Se vuoi che guidi anche l’abbinamento dei dipendenti, scegli un attributo dipendente nell’impostazione Collega externalId a un attributo dipendente dell’integrazione: i dipendenti abbinati e quelli appena creati portano allora il numero in quell’attributo (visibile nella sezione attributi della pagina del dipendente), ed è anche così che la tua integrazione HR mantiene collegate le schede. Per impostazione predefinita nulla è collegato e l’abbinamento avviene solo tramite l’indirizzo e-mail.

Disattivazione ed eliminazione

• Quando l’IdP disattiva un utente, questo viene sospeso in mTime e disconnesso immediatamente. La riattivazione nell’IdP lo riattiva.
• Quando l’IdP elimina un utente, mTime esegue la sua normale eliminazione soft — l’account viene rimosso, ma la cronologia (registrazioni ore, approvazioni, la scheda dipendente) è preservata.

Come i gruppi diventano ruoli

• Un nuovo gruppo IdP crea un ruolo personalizzato vuoto (senza autorizzazioni) con il nome del gruppo. Compare nella pagina dei ruoli, dove un amministratore decide cosa può fare.
• Un gruppo il cui nome corrisponde esattamente a un ruolo esistente viene collegato a quel ruolo — nessun duplicato.
• I membri del gruppo detengono il ruolo collegato; le modifiche di appartenenza nell’IdP lo concedono e revocano automaticamente. I ruoli gestiti così portano il badge “Gestito da un gruppo IdP” e le modifiche manuali di appartenenza vengono riallineate alla successiva sincronizzazione dell’IdP.

• Il ruolo owner non può mai essere gestito tramite SCIM.
• Per un ruolo preesistente (inclusi quelli integrati come admin), l’IdP può gestirne l’appartenenza solo dopo l’approvazione di un proprietario dell’area di lavoro: apri il ruolo nella pagina Ruoli e aggiungi provisioning sotto Assegnabile da. Salvare un ruolo non modifica mai questo elenco da solo.
• Eliminare un gruppo nell’IdP scollega i suoi membri. Il ruolo stesso viene eliminato solo se era ancora il guscio non configurato — un ruolo configurato da un amministratore sopravvive.

Cosa si sincronizza e quando

Il tuo IdP parla con mTime in due modi, e non si comportano allo stesso modo:

Il provisioning su richiesta è ottimo per testare la connessione e le mappature, ma non stupirti se un utente disattivato o eliminato nell’IdP risulta ancora attivo in mTime — quella modifica arriva con il prossimo ciclo pianificato, non su richiesta.

Configurazione

Segui la guida passo passo: Configurare SCIM con Microsoft Entra ID. Copre tutto — le impostazioni mTime, l’utente di servizio di provisioning e la sua chiave API, l’applicazione enterprise in Entra, le mappature degli attributi e come testare prima di andare in produzione.

Note sulla sicurezza

• La chiave API è vincolata alla tua area di lavoro, funziona solo sugli endpoint SCIM e può essere revocata in qualsiasi momento dall’elenco chiavi dell’utente di servizio — la revoca esclude l’IdP all’istante.
• Può esistere un solo utente di servizio di provisioning per area di lavoro; ruota le credenziali a livello di chiave (crea una nuova chiave, aggiorna l’IdP, revoca la vecchia).
• Ogni modifica effettuata tramite SCIM è registrata nella cronologia delle modifiche, attribuita all’utente di servizio di provisioning.