Sådan automatiserer du brugeroprettelse og fratrædelse med SCIM

Hvad SCIM automatiserer i brugerlivscyklussen

SCIM (System for Cross-domain Identity Management) er en åben standard til automatiseret udveksling af brugeridentitetsoplysninger mellem it-systemer. Webex beskriver SCIM som et REST-API, der ikke kræver lokal infrastruktur eller forbindelser (Webex' dokumentation). RFC 7643 beskriver SCIM's kerneskema for bruger- og grupperessourcer, mens RFC 7644 beskriver protokollen (RFC 7643; RFC 7644). RFC 7644 viser brugerressourcens endpoint som /Users, og Okta dokumenterer også kald til /Users/{userID} (RFC 7644; Okta).

Identitetskilden styrer synkroniseringen. Webex beskriver, at brugerlisten i Control Hub synkroniseres, når en bruger oprettes, opdateres eller fjernes i Entra ID (Webex' dokumentation). I Oktas SCIM-flow sender Okta en anmodning om at sætte attributten active til false, når en bruger deaktiveres eller fjernes fra integrationen (Okta). Vælg derfor på forhånd, hvilken identitetskilde der skal være autoritativ for konti og adgang.

Kontrollér, at integrationen håndterer oprettelse, opdatering og fratrædelse, før du sætter den i drift. RFC 7643 beskriver User- og Group-ressourcer og nævner id og externalId som brugerattributter; RFC 7644 viser userName i et eksempel (RFC 7643; RFC 7644). Okta dokumenterer desuden active som attributten, der sættes til false ved deaktivering (Okta).

Automatisk oprettelse: Fra ny medarbejder til rettigheder

Oprettelsen starter i identitetskilden, ikke i applikationen. Når medarbejderen oprettes i identitetsudbyderen, sender kilden SCIM-kald til applikationens endpoint, og applikationen opretter kontoen med de mappede attributter. Microcosm Works' offentliggjorte integrationscase om en enterprise-platform inden for sundhed og wellness beskriver provisionering, deprovisionering og gruppesynkronisering via SCIM (Microcosm Works).

Microcosm Works' case beskriver, hvorfor kunden havde brug for automatisk oprettelse. Platformen skulle understøtte store organisationer, der krævede SSO og automatisk brugerprovisionering og -deprovisionering via SCIM som et ikke-forhandlingsbart krav for enterprisesalg. Uden automatikken tog det dagevis af administrativt arbejde at tilføje hundredvis af medarbejdere manuelt, hver gang en ny organisation tilmeldte sig (Microcosm Works).

Gruppebaseret tildeling gør det muligt at tildele adgang ved oprettelsen. I Microcosm Works' case havde forskellige medarbejdergrupper brug for forskellige funktionsniveauer og applikationsadgang, og løsningen synkroniserede grupper frem for at tildele rettigheder enkeltvis (Microcosm Works). Beslut derfor, hvilke grupper i identitetskilden der skal udløse hvilke roller i applikationen, før du aktiverer SCIM. Ellers kan konti blive oprettet uden den nødvendige adgang.

Automatisk fratrædelse: Deaktivering uden forsinkelse

Fratrædelse følger samme mekanisme som oprettelse, men resultatet afhænger af integrationens opsætning. I Okta's dokumentation sender Okta en anmodning om at sætte active til false, når en bruger deaktiveres eller fjernes fra integrationen (Okta). Skeln mellem deaktivering og sletning, og afprøv i målsystemet, hvilken handling der passer til jeres krav til adgang og data.

Microcosm Works' case beskriver risikoen ved fortsat manuelt arbejde: Når medarbejdere forlod organisationen, forblev deres platformskonti aktive i ugevis, hvilket gav bekymringer om compliance og dataadgang (Microcosm Works). Datarooms beskriver, at adgang til en VDR kan styres og tilbagekaldes gennem organisationens centrale identitetsstyring, når løsningen understøtter SSO (Datarooms). Brug SCIM-fratrædelsesflowet til at få kontoadgangen håndteret fra identitetskilden.

Fratrådtes konti hører også hjemme i revision og governance. Datarooms skriver, at revisorer kan markere en VDR uden SSO som et system uden for organisationens samlede access governance-program (Datarooms). Log derfor SCIM-kald, så du kan dokumentere, hvornår en konto sidst blev opdateret eller deaktiveret, og hvilken ændring i identitetskilden der udløste handlingen.

Gruppesynkronisering og rollebaseret adgang

Styr rettigheder via grupper og attributter fra identitetsudbyderen i stedet for direkte tildeling i den enkelte applikation. Medlemskab i identitetskilden kan mappes til en rolle eller tilladelse i applikationen, så adgangen følger gruppens ændringer. RFC 7643 nævner id og externalId som brugerattributter, mens RFC 7644 viser userName i et eksempel (RFC 7643; RFC 7644). Microsoft Entra-dokumentationen beskriver mapping fra userPrincipalName eller mail til et username-felt i målapplikationen (Microsoft Learn).

I dansk IAM-praksis er ensartetheden pointen. KL's Videncenter om identitets- og adgangsstyring beskriver, at IAM samler og strukturerer rettigheder på tværs af systemer. IAM gør det nemmere at administrere roller og tilladelser ensartet og sikrer, at medarbejdere kun har adgang til det, de har brug for i deres arbejde. Det er samme logik, som SCIM-gruppesynkronisering skal understøtte, blot automatiseret fra identitetskilden.

Mappingen skal besluttes centralt, men kan variere pr. kunde eller tenant. I Microcosm Works' integrationscase havde hver enterprise-kunde sin egen identitetsudbyder-tenant med forskellige konfigurationer, attributkortlægninger og gruppestrukturer (Microcosm Works). Derfor blev konfiguration pr. tenant en del af arkitekturen. Betjener du flere organisationer, skal du afprøve, om én global gruppemapping kan dække deres forskellige strukturer.

Forberedelse og governance: Rettighedsstruktur, data og overvågning

Governance er forudsætningen for, at automatiseringen bliver en gevinst. Lektor Lars Sommer fra DTU fremhæver i KL's Videncenter, at anvendelsen kræver tydelige rettighedsstrukturer, opdaterede brugerdata og løbende overvågning samt balance mellem sikkerhed og brugervenlighed. Konkret betyder det, at gruppe- og rollemappingen skal beskrives og ejes af nogen, at brugerdata i identitetskilden skal vedligeholdes, og at synkroniseringen skal overvåges, ikke bare sættes op.

Zero Trust flytter kravet yderligere. Ifølge samme kilde betyder udviklingen, at adgang ikke længere gives automatisk ud fra netværksplacering eller organisatorisk tilhørsforhold. I stedet skal identitet, enhed, kontekst og risiko vurderes løbende, hvilket stiller større krav til governance og sikkerhed. SCIM leverer den opdaterede identitets- og gruppeinformation, som den løbende vurdering bygger på.

Ifølge KL's Videncenter bruger kommunerne IAM til at oprette og nedlukke brugerprofiler, når medarbejdere starter eller stopper, beskytte borgerdata og logge, hvem der gør hvad (KL's Videncenter). Kilden peger også på, at kommunerne i stigende grad skal administrere digitale assistenter og AI-agenter som identiteter. Tag stilling til, om ikke-menneskelige identiteter skal ligge i samme SCIM-styrede gruppestruktur som medarbejderne.

Sådan sætter du SCIM op med Okta, Entra ID og Webex

En konkret rækkefølge er at vælge identitetskilde og målapplikation, kortlægge attributter, definere grupper og roller og derefter teste oprettelse, opdatering og deaktivering. En mulighed er Entra ID som kilde og Webex som mål: Webex beskriver Entra ID Wizard-appen i Control Hub som en måde at konfigurere, hvilke attributter, brugere og grupper der synkroniseres (Webex' dokumentation). Bekræft også, at målapplikationen stiller et SCIM-endpoint til rådighed; Webex oplyser, at SCIM-synkronisering ikke kræver lokal infrastruktur (Webex' dokumentation).

I Okta findes SCIM-forbindelsens indstillinger under Settings > Integration. Indtast SCIM-serverens connector base URL og navnet på feltet, der identificerer brugerne entydigt (Okta). Vælg derefter de understøttede handlinger, eksempelvis Push New Users, Push Profile Updates og Push Groups, så bruger- og gruppedata sendes til SCIM-applikationen (Okta).

Vælg også den godkendelsesmetode, som SCIM-serveren accepterer. Okta dokumenterer Basic Auth som en mulighed; den kræver brugernavn og adgangskode for kontoen, der håndterer oprettelse, opdatering og deprovisionering (Okta). Microcosm Works' case beskriver en SCIM 2.0-server i backend samt JWT-baserede sessioner og tokenudstedelse i auth-laget (Microcosm Works).

Test de tre operationer hver for sig, før du ruller ud. Opret en testbruger i identitetskilden, og kontrollér, at kontoen og gruppetildelingen vises i målapplikationen. Opdater en attribut, og kontrollér ændringen; fjern derefter brugeren fra integrationen, og kontrollér, at kontoen deaktiveres, og at adgangen ophører. Okta beskriver, at deaktivering eller fjernelse udløser en anmodning om at sætte active til false (Okta).

Test også tomme attributværdier. Webex dokumenterer, at Entra ID ikke synkroniserer nullværdier: Hvis en attribut sættes til NULL, bliver værdien ikke slettet eller opdateret med NULL i Webex (Webex' dokumentation). Byg derfor ikke en arbejdsgang på, at en tom værdi automatisk fjerner en rettighed eller gruppetilknytning.

Provisionering og login skal afprøves hver for sig og sammen. I Microcosm Works' case blev SSO indført, mens eksisterende e-mail/adgangskode- og OAuth-baseret autentificering blev bevaret; kravet var, at SSO ikke måtte bryde de eksisterende loginflow (Microcosm Works). Afklar, hvilke brugergrupper der skal bruge SSO, og hvem der fortsat skal kunne logge ind på en anden måde, eksempelvis eksterne samarbejdspartnere.

Overvåg synkroniseringen efter idriftsættelse. Log fejlede kald og forsinkelser, og sammenlign med jævne mellemrum antallet af aktive konti i identitetskilden med antallet i applikationen. Undersøg afvigelser, før de bliver til aktive konti uden tilsvarende medlemskab i kilden.

Typiske faldgruber ved SCIM-automatisering

Manglende synkronisering af nullværdier er en konkret fælde. Webex dokumenterer, at Entra ID ikke synkroniserer nullværdier: Sættes en attribut til NULL, sker der ikke en tilsvarende sletning eller opdatering med NULL i Webex (Webex' dokumentation). Hvis en arbejdsgang skal fjerne en rettighed, når et felt tømmes i identitetskilden, skal du teste, hvad målsystemet faktisk gør.

Attributkortlægning og variation mellem tenants er en anden fælde. I Microcosm Works' integrationscase havde hver enterprise-kunde sin egen identitetsudbyder-tenant med forskellige konfigurationer, attributkortlægninger og gruppestrukturer (Microcosm Works). Tester du kun én tenant, fanger du ikke nødvendigvis forskellene. Afprøv derfor mappingen mod mindst to gruppestrukturer, hvis løsningen skal betjene flere organisationer.

Sameksistens med eksisterende loginmetoder er en tredje fælde. Microcosm Works' case beskriver både e-mail/adgangskode og Google OAuth før indførelsen af SSO, som skulle fungere uden at bryde de eksisterende loginflow (Microcosm Works). Provisionering og autentificering er forskellige mekanismer: En bruger kan være oprettet via SCIM uden at kunne logge ind, eller stadig kunne bruge et gammelt loginflow. Test derfor adgang og provisionering samlet.

Etabler overvågning af fejlede SCIM-kald og deres årsager. Hold øje med konti i applikationen uden et tilsvarende aktivt medlemskab i identitetskilden, aktive konti for personer, der er fjernet i kilden, og gruppemedlemskaber, der ikke slår igennem på roller. Planlæg også en test af hele kæden: opret, opdater og deaktiver.