SCIM 2.0-referanse

Teknisk referanse for identitetsforvaltningsteam som kobler en IdP (Microsoft Entra ID, SailPoint IdentityIQ, …) til mTime: hvilke SCIM 2.0-attributter og -operasjoner mTime støtter, og hva hver av dem gjør.

Oversikt

Hva SCIM styrer, og hva det ikke styrer

mTime skiller brukeren (pålogging, roller, tilgang) fra den ansatte og vedkommendes ansettelser:

Bruker → Ansatt → n ansettelser

SCIM styrer brukeren: hvem som kan logge på, under hvilket navn og med hvilke roller. Ansatte og ansettelser — organisasjonsenhet, leder, ansettelsesvilkår, arbeidstidsnorm, start- og sluttdato — er daterte data som mTime beregner ut fra, og de kommer fra HR-integrasjonen din, ikke fra SCIM. En SCIM-bruker knyttes til sin ansatte via externalId (se Slik provisjoneres brukere).

Derfor støtter ikke mTime Enterprise User Extension: department, manager og employeeNumber er enkeltverdier uten gyldighetsdato, mens en ansatt i mTime kan ha flere daterte ansettelser.

Brukere

Attributter

Skjema urn:ietf:params:scim:schemas:core:2.0:User.

Alle andre Core User-attributter (nickName, title, phoneNumbers, addresses, password, …) og Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) støttes ikke: de ignoreres ved oppretting og oppdatering og returneres aldri.

Hvilket navn SCIM setter

mTime viser ett navn for en person: den ansattes navn når brukeren er knyttet til en ansatt, ellers brukerens navn.

• En bruker som er knyttet til en ansatt, viser den ansattes navn, som HR-integrasjonen din vedlikeholder. Som standard oppdaterer ikke SCIM en eksisterende ansatt, så et navn sendt via SCIM har ingen synlig effekt for denne brukeren. Er Bruk navn fra identitetsleverandøren som ansattnavn slått på, skriver hver oppretting, PUT eller PATCH med et navn også navnet til den tilknyttede ansatte — se Bruke identitetsleverandørens navn på ansatte.
• En bruker uten ansatt (f.eks. et utkast) viser brukerens eget navn. SCIM setter det ved oppretting og kan endre det til personen aktiverer invitasjonen sin; deretter følger det navnet på personens egen mTime-konto. Oppretter en rolle senere personens ansattpost, får den ansatte dette navnet fra start.

Endre navnet i HR-systemet for å gi en ansatt nytt navn — eller i IdP-en hvis den innstillingen er slått på.

Operasjoner

Brukere med rollen owner kan ikke endres eller slettes via SCIM (403).

Deaktivere eller slette?

Grupper

Grupper tilsvarer mTime-roller: IdP-en bestemmer om en gruppe finnes og hvem som er medlem, mTime-administratorene bestemmer rollens tillatelser. Se Slik blir grupper til roller.

Attributter

Skjema urn:ietf:params:scim:schemas:core:2.0:Group.

Operasjoner

Paginering

GET /Users og GET /Groups støtter indeksbasert paginering (RFC 7644 §3.4.2.4), med eller uten filter.

Svaret angir totalResults (alle treff), startIndex og itemsPerPage (resultatene på denne siden). Hent neste side med startIndex + itemsPerPage til du har totalResults resultater. Resultatene kommer i fast rekkefølge, så sidene verken hopper over eller gjentar resultater, med mindre brukere eller grupper opprettes eller slettes underveis.

Discovery-endepunkter

Alle tre krever det samme bearer-tokenet som de andre SCIM-endepunktene.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Feilsøking