SCIM 2.0-referens

Teknisk referens för identitetshanteringsteam som ansluter en IdP (Microsoft Entra ID, SailPoint IdentityIQ, …) till mTime: vilka SCIM 2.0-attribut och -operationer mTime stöder och vad var och en gör.

Översikt

Vad SCIM hanterar, och vad det inte hanterar

mTime skiljer användaren (inloggning, roller, åtkomst) från den anställda och dennes anställningar:

Användare → Anställd → n anställningar

SCIM hanterar användaren: vem som får logga in, under vilket namn och med vilka roller. Anställda och anställningar — organisationsenhet, chef, anställningsvillkor, arbetstidsnorm, start- och slutdatum — är daterade uppgifter som mTime räknar på, och de kommer från din HR-integration, inte från SCIM. En SCIM-användare kopplas till sin anställda via externalId (se Så provisioneras användare).

Därför stöder mTime inte Enterprise User Extension: department, manager och employeeNumber är enskilda värden utan giltighetsdatum, medan en anställd i mTime kan ha flera daterade anställningar.

Användare

Attribut

Schema urn:ietf:params:scim:schemas:core:2.0:User.

Alla andra Core User-attribut (nickName, title, phoneNumbers, addresses, password, …) och Enterprise User Extension (urn:ietf:params:scim:schemas:extension:enterprise:2.0:User) stöds inte: de ignoreras när användare skapas och uppdateras och returneras aldrig.

Vilket namn SCIM sätter

mTime visar ett namn för en person: den anställdas namn när användaren är kopplad till en anställd, annars användarens namn.

• En användare som är kopplad till en anställd visar den anställdas namn, som er HR-integration underhåller. Som standard uppdaterar SCIM inte en befintlig anställd, så ett namn som skickas via SCIM syns inte för den här användaren. Är Använd identitetsleverantörens namn som medarbetarnamn påslagen skriver varje skapande, PUT eller PATCH med ett namn även namnet till den kopplade anställda — se Använda identitetsleverantörens namn för anställda.
• En användare utan anställd (t.ex. ett utkast) visar användarens eget namn. SCIM sätter det vid skapandet och kan ändra det tills personen aktiverar sin inbjudan; därefter följer det namnet på personens eget mTime-konto. Skapar en roll senare personens anställdpost, får den anställda det här namnet från början.

Ändra namnet i HR-systemet för att byta namn på en anställd — eller i IdP:n om den inställningen är påslagen.

Operationer

Användare med rollen owner kan inte ändras eller raderas via SCIM (403).

Inaktivera eller radera?

Grupper

Grupper motsvarar mTime-roller: IdP:n bestämmer om en grupp finns och vilka som är medlemmar, mTime-administratörerna bestämmer rollens behörigheter. Se Så blir grupper roller.

Attribut

Schema urn:ietf:params:scim:schemas:core:2.0:Group.

Operationer

Sidindelning

GET /Users och GET /Groups stöder indexbaserad sidindelning (RFC 7644 §3.4.2.4), med eller utan filter.

Svaret anger totalResults (alla träffar), startIndex och itemsPerPage (resultaten på den här sidan). Hämta nästa sida med startIndex + itemsPerPage tills du har totalResults resultat. Resultaten kommer i en fast ordning, så sidorna varken hoppar över eller upprepar resultat, om inte användare eller grupper skapas eller tas bort under tiden.

Discovery-endpoints

Alla tre kräver samma bearer-token som de övriga SCIM-endpointerna.

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "https://help.mtime.app",
  "patch": { "supported": true },
  "bulk": { "supported": false, "maxOperations": 0, "maxPayloadSize": 0 },
  "filter": { "supported": true, "maxResults": 200 },
  "changePassword": { "supported": false },
  "sort": { "supported": false },
  "etag": { "supported": false },
  "authenticationSchemes": [
    {
      "type": "oauthbearertoken",
      "name": "OAuth Bearer Token",
      "description": "Bearer token issued for the workspace's provisioning service user",
      "primary": true
    }
  ]
}

Felsökning