Riferimento SCIM 2.0

Riferimento tecnico per i team di gestione delle identità che collegano un IdP (Microsoft Entra ID, SailPoint IdentityIQ, …) a mTime: quali attributi e operazioni SCIM 2.0 mTime supporta e cosa fa ciascuno di essi.

Panoramica

Cosa gestisce SCIM, e cosa no

mTime separa l’utente (login, ruoli, accessi) dal dipendente e dai suoi rapporti di lavoro:

Utente → Dipendente → n rapporti di lavoro

SCIM gestisce l’utente: chi può accedere, con quale nome e con quali ruoli. Dipendenti e rapporti di lavoro — unità organizzativa, responsabile, condizioni di impiego, norma orario di lavoro, date di inizio e di fine — sono dati con una data di validità su cui mTime esegue i calcoli, e provengono dalla tua integrazione HR, non da SCIM. Un utente SCIM viene collegato al suo dipendente tramite l’externalId (vedi Come avviene il provisioning degli utenti).

Per questo mTime non supporta l’Enterprise User Extension: department, manager ed employeeNumber sono valori singoli senza data di validità, mentre in mTime un dipendente può avere più rapporti di lavoro, ciascuno con le proprie date.

Utenti

Attributi

Schema urn:ietf:params:scim:schemas:core:2.0:User.

Tutti gli altri attributi Core User (nickName, title, phoneNumbers, addresses, password, …) e l’Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) non sono supportati: vengono ignorati in creazione e aggiornamento e non vengono mai restituiti.

Quale nome imposta SCIM

mTime mostra un solo nome per una persona: quello del dipendente quando l’utente è collegato a un dipendente, altrimenti quello dell’utente.

• Un utente collegato a un dipendente mostra il nome del dipendente, che la tua integrazione HR mantiene aggiornato. Per impostazione predefinita SCIM non aggiorna un dipendente esistente, quindi un nome inviato tramite SCIM non ha effetti visibili per questo utente. Con Usa i nomi del provider di identità come nomi dei dipendenti attivata, ogni creazione, PUT o PATCH che contiene un nome lo scrive anche sul dipendente collegato — vedi Usare il nome del provider di identità per i dipendenti.
• Un utente senza dipendente (ad es. una bozza) mostra il proprio nome utente. SCIM lo imposta alla creazione e può modificarlo finché la persona non attiva l’invito; poi segue il nome dell’account mTime della persona. Se in seguito un ruolo crea il suo dipendente, questo parte con questo nome.

Per rinominare un dipendente, cambia il nome nel sistema HR — oppure nell’IdP, se quell’impostazione è attivata.

Operazioni

Gli utenti con il ruolo owner non possono essere modificati né eliminati tramite SCIM (403).

Disattivare o eliminare?

Gruppi

I gruppi corrispondono ai ruoli mTime: l’IdP decide se un gruppo esiste e chi ne fa parte, gli amministratori mTime decidono le autorizzazioni del ruolo. Vedi Come i gruppi diventano ruoli.

Attributi

Schema urn:ietf:params:scim:schemas:core:2.0:Group.

Operazioni

Paginazione

GET /Users e GET /Groups supportano la paginazione basata su indice (RFC 7644 §3.4.2.4), con o senza filtro.

La risposta indica totalResults (tutte le corrispondenze), startIndex e itemsPerPage (i risultati di questa pagina). Richiedi la pagina successiva con startIndex + itemsPerPage finché non hai totalResults risultati. I risultati arrivano in un ordine fisso, quindi le pagine non saltano né ripetono risultati, a meno che nel frattempo vengano creati o eliminati utenti o gruppi.

Endpoint di discovery

Tutti e tre richiedono lo stesso bearer token degli altri endpoint SCIM.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Risoluzione dei problemi