SCIM-provisionering instellen
Bijgewerkt op Leestijd: 4 min
Op deze pagina
Met SCIM maakt je identiteitsbeheer – zoals Microsoft Entra ID, Okta of Keycloak – accounts en groepen aan in Kibi Connect, houdt namen en contactgegevens up-to-date en blokkeert accounts zodra iemand het bedrijf verlaat.
Info
Voorwaarde: Een identiteitsbron onder Beheer → Integraties → SSO & Directory. SCIM kan alleen worden ingesteld door systeemadministrators.
SCIM inschakelen#
Open onder SSO & Directory de gewenste identiteitsbron.
Ga naar het tabblad Gebruikerssynchronisatie en klik op SCIM inschakelen.
Kopieer het SCIM-eindpunt en de SCIM-token naar je identiteitsbeheersysteem.
Het eindpunt volgt altijd dit patroon:
https://<adres van je platform>/scim/v2 – bijvoorbeeld https://bedrijf.kibi.de/scim/v2
Waarschuwing
De token wordt slechts één keer getoond. Kopieer deze onmiddellijk naar je identiteitsbeheersysteem – later kan deze alleen nog worden vernieuwd.
Met Token vernieuwen ontvang je een nieuwe token; de oude werkt direct niet meer. SCIM uitschakelen verwijdert de token, maar bestaande accounts blijven behouden.
De IP-witlijst van de REST-API geldt ook voor SCIM. Als je identiteitsbeheersysteem 48 uur lang geen toegang heeft gehad, geeft de SCIM-status in het tabblad hierop aan.
In Microsoft Entra ID instellen#
Info
Gebruik je al de directory-synchronisatie van Microsoft Entra ID, dan heb je SCIM niet nodig. SCIM is een alternatief als je accounts liever vanuit Entra wilt voorzien.
Open in het Microsoft Entra Admin Center Bedrijfsapplicaties → Nieuwe applicatie → Eigen applicatie maken (niet uit de catalogus).
Kies Inrichting en stel de modus in op Automatisch.
Voer als Tenant-URL het SCIM-eindpunt in en als Geheim token de SCIM-token. Klik op Verbinding testen.
Wijs de attributen toe: userPrincipalName of mail → userName, objectId → externalId, active zoals vooraf ingesteld. Telefoon, functie en andere gegevens naar behoefte.
Wijs gebruikers en groepen toe en start de inrichting – of test deze eerst met Op aanvraag inrichten voor één persoon.
In Okta instellen#
Maak een app-integratie (SAML of OIDC) aan en activeer hierbij SCIM-provisioning.
Voer onder Provisioning → Integratie het SCIM-eindpunt in als SCIM connector base URL en als Unique identifier field userName.
Kies de acties Push New Users, Push Profile Updates en Push Groups en als authenticatie HTTP Header met de SCIM-token.
Activeer onder To App de opties Create Users, Update User Attributes en Deactivate Users.
Wat wordt doorgegeven#
Gegeven uit het identiteitsbeheer |
Veld in Kibi Connect |
|---|---|
Voornaam, achternaam |
Voornaam, achternaam |
userName met @ |
E-mailadres (aanmelden via e-mail) |
userName zonder @ of employeeNumber |
Aanmeldnaam, bv. medewerkernummer |
title |
Functie |
Telefoon (werk) en mobiel (mobile) |
Telefoon en mobiel zakelijk |
active |
Account actief of geblokkeerd |
Zolang SCIM is ingeschakeld, zijn deze velden in het profiel geblokkeerd. Dit kun je per identiteitsbron uitschakelen met Velden die door de directory worden beheerd blokkeren – dan blijven ze wijzigbaar, maar de volgende synchronisatie overschrijft ze opnieuw. Nieuwe accounts zijn altijd medewerkers, nooit gasten; als alle licenties bezet zijn, wordt er geen account aangemaakt en krijgen de systeemadministrators een melding.
Instellingen in het tabblad „Gebruikerssynchronisatie“#
-
Als een persoon in het identiteitsbeheer wordt verwijderd
„Account blokkeren“ (aanbevolen): Het account blijft met alle inhoud behouden, de persoon kan zich niet meer aanmelden. „Account verwijderen“: Het account wordt verwijderd en kan een tijdlang worden hersteld.
-
Welkomstmail naar nieuwe accounts sturen
Personen die via SCIM zijn aangemaakt, ontvangen een e-mail met de link naar de aanmeldpagina. Ze melden zich vervolgens aan via je identiteitsprovider.
-
Groepen uit het identiteitsbeheer
Als je identiteitsbeheer groepen doorgeeft, ontstaan hieruit groepen in Kibi Connect. De leden worden uitsluitend beheerd door het identiteitsbeheer. Met „Bestaande groep koppelen“ geef je een bestaande groep door – inhoud en leden blijven behouden. Verwijdert het identiteitsbeheer een groep, dan wordt alleen de koppeling verbroken.
-
Rollen toewijzen via groepen
Leden van een groep krijgen de toegewezen rollen automatisch en verliezen deze weer bij het verlaten van de groep. Handmatig toegewezen rollen blijven ongewijzigd. Rollen met beheerdersrechten kunnen niet worden toegewezen.
Veiligheidsfuncties#
Bevestiging voor admin-accounts#
Een gecompromitteerde SCIM-token mag niet voldoende zijn om je platform over te nemen. Daarom wacht het platform bij admin-accounts – systeemadministrators en accounts met een rol met beheerdersrechten, zoals voor integraties, webhooks, e-mail of instellingen – op de toestemming van de betrokkene voordat het identiteitsbeheer
een bestaand admin-account overneemt of
het e-mailadres van een admin-account wijzigt.
De persoon ontvangt een e-mail op zijn huidige adres – nooit op het nieuwe.
Via de link opent deze een pagina, meldt zich aan met zijn account en kiest voor „Bevestigen“ of „Afwijzen“. Het klikken in de e-mail alleen verandert niets.
Het verzoek geldt 7 dagen. Wordt het afgewezen of verloopt het, dan ontvangen de overige systeemadministrators een melding.
Alle overige gegevens van het account neemt het platform direct over. Openstaande verzoeken zie je in het tabblad „Gebruikerssynchronisatie“ onder „Uitstaande bevestigingen“. Dezelfde bevestiging geldt voor de directory-synchronisatie met Microsoft Entra ID.
Waarschuwing
Als niemand de wijziging in het identiteitsbeheer heeft geïnitieerd, vernieuw dan de SCIM-token en controleer wie toegang had.
Begrenzing tegen massaal offboarding#
Als een identiteitsbeheersysteem binnen 24 uur meer dan 50 % van de door hen beheerde accounts wil blokkeren of verwijderen (minimaal 10 accounts), is meestal een verkeerde configuratie de oorzaak – zoals een per ongeluk beperkte toewijzing. Het platform stopt dan verdere deactiveringen van deze bron:
De betrokken accounts blijven actief.
De systeemadministrators ontvangen een melding en een e-mail „Massaal deactiveren via SCIM gestopt“.
Je identiteitsbeheersysteem probeert het later opnieuw; tot die tijd blijft de stop van kracht.
Is de deactivering gewenst, bijvoorbeeld bij een reorganisatie, neem dan contact op met de support. De begrenzing kan dan eenmalig worden opgeheven. Heeft Microsoft Entra ID de inrichting inmiddels in quarantaine geplaatst, start deze dan opnieuw in Entra.
De laatste systeemadmin blijft actief#
De laatste actieve systeemadmin van je platform kan nooit via SCIM worden geblokkeerd of verwijderd. Het platform wijst een dergelijke wijziging af en noteert deze in het logboek.
Info
Aanbeveling: Houd minimaal één systeemadmin aan die niet door het identiteitsbeheer wordt beheerd, of benoem een tweede voordat je SCIM koppelt.