SCIM (dokumentacja archiwalna)

System zarządzania tożsamością między domenami (SCIM) umożliwia automatyzację obsługi administracyjnej i zarządzania użytkownikami między Miro a Twoim dostawcą tożsamości (IdP).

Dostępne dla:Enterprise plan
Konfiguruje: administratorzy firmy

Ważne informacje

• Niezbędne jest poprawnie skonfigurowane SSO oparte na SAML działające w Twoim abonamencie Miro Enterprise, zanim zaczniesz konfigurować automatyczną obsługę administracyjną.
  Zobacz przewodnik dotyczący konfigurowania SSO opartego na SAML.
• Synchronizacja grup IdP z zespołami w Miro jest opcjonalna.
  Możesz powiązać i synchronizować grupy IdP z zespołami w Miro. Nie możesz tworzyć ani usuwać zespołów za pomocą IdP. Możesz tworzyć i zarządzać zespołami za pomocą Teams API. Więcej informacji o tym, jak API SCIM umożliwia zarządzanie grupami IdP, znajdziesz w dokumentacji deweloperskiej Miro.
• Zmiany adresu e-mail w SCIM obejmują następujące reguły walidacji:
  • Weryfikacja zarządzanego użytkownika: Jeżeli bieżąca domena użytkownika nie jest przypisana do organizacji inicjującej prośbę SCIM, aktualizacja adresu e-mail zostaje zablokowana i zwraca błąd 400.
  • Weryfikacja docelowej domeny e-mail: Jeżeli docelowa domena e-mail jest przypisana do organizacji innej niż ta, która inicjuje prośbę SCIM, aktualizacja adresu e-mail zostaje zablokowana i zwraca błąd 400. Jeżeli docelowa domena e-mail jest przypisana do organizacji inicjującej prośbę SCIM, aktualizacja adresu e-mail jest dozwolona bez wymaganego potwierdzenia adresu e-mail. Dzienniki audytu rejestrują tę aktualizację w każdej organizacji, w której użytkownik jest członkiem.
  • Zarządzanie domeną i SSO: Aktualizacje adresów e-mail są dozwolone na podstawie weryfikacji domeny poprzez zarządzanie domeną (IDC) lub pojedyncze logowanie (SSO). Jeśli docelowa domena e-mail jest zweryfikowana przez CD lub SSO przez organizację inicjującą żądanie, aktualizacja może zostać przeprowadzona.
    
    Schemat przepływu weryfikacji zmiany adresu e-mail w SCIM

Zasady działania SCIM w Miro

• Zsynchronizowane przez SCIM zmiany są stosowane przede wszystkim do nowo przypisywanych użytkowników. Stan użytkowników, którzy już znajdują się w twojej subskrypcji, może zostać uzupełniony, lecz nie musi zostać nadpisany, ponieważ zmiany są stosowane na poziomie zespołu. Na przykład: 
  a) jeśli użytkownik jest członkiem Team1 po stronie Miro i twój IdP wysyła aktualizację dodającą go do Team2, stan tego użytkownika w Team1 pozostaje bez zmian. 
  b) jeśli twój IdP wysyła aktualizację zawierającą zmiany dotyczące User1, pozostali członkowie zespołu nie są dotknięci. Jak wspomniano w Obsługiwane funkcje > Synchronizuj i wypchnij grupy, aby nadpisać stan zespołu i jednocześnie ponownie zsynchronizować wszystkich użytkowników, spróbuj zainicjować nową operację push.
  
• Wszyscy użytkownicy provisionowani przez SCIM otrzymują domyślną licencję Twojej subskrypcji:
  a) W przypadku subskrypcji Enterprise bez programu elastycznych licencji: pełna licencja. Jeśli w Twojej subskrypcji zabraknie licencji, użytkownicy będą provisionowani z przypisaną bezpłatną ograniczoną licencją.
  b) W przypadku subskrypcji Enterprise z włączonym programem elastycznych licencji (FLP): licencja Free lub bezpłatna ograniczona licencja w zależności od domyślnej licencji subskrypcji.
  - Jeśli chcesz, aby niektórzy użytkownicy otrzymali licencję inną niż domyślna:
  Jak wspomniano powyżej, wszyscy użytkownicy otrzymują domyślną licencję. Możesz jednak natychmiast zaktualizować wszystkich lub wybranych z nich, używając atrybutu UserType ze wartością Full. Użytkownicy zaktualizowani przy użyciu tego atrybutu zostaną przeniesieni na pełną licencję bez przestojów po stronie użytkownika.
• Wszyscy użytkownicy tworzeni przez SCIM są także objęci funkcją zarządzanie domeną. Oznacza to, że jeśli użytkownik należy tylko do jednej grupy zabezpieczeń u Twojego dostawcy tożsamości, ale ustawienia zarządzania domeną określają 3 zespoły jako przypisane, użytkownik zostanie również dodany do tych 3 zespołów.

• Aby chronić usługę, Miro ogranicza liczbę żądań API dostępnych w ciągu 30 sekund:
  
  

  Rodzaj żądania	Poziom limitu
  GET scim/users   GET scim/users/{userId}	Pierwszy poziom limitu żądań 1
  POST scim/users/{userId}   PUT scim/users/{userId}   PATCH scim/users/{userId}   DELETE scim/users/{userId}	Trzeci poziom limitu żądań 3
  GET scim/Groups   PATCH scim/Groups/{groupId}	Czwarty poziom limitu żądań 4
  GET scim/Groups/{groupId}	Trzeci poziom limitu żądań 4

  
  Szczegóły dotyczące poziomów limitów znajdziesz tutaj. Jeśli liczba żądań przekroczy limit, Miro zwróci standardowy 429 Too many requests.

Obsługiwane funkcje

Szczegółowy schemat SCIM Miro można znaleźć tutaj.

Miro obsługuje następujące funkcje związane z obsługą administracyjną:

• Tworzenie nowych użytkowników
  Nowi użytkownicy przypisani do aplikacji Miro w dostawcy tożsamości (IdP) zostaną utworzeni w Twojej subskrypcji Enterprise jako członkowie Enterprise. Użytkownicy dodani do grupy dostawcy tożsamości (IdP), która jest synchronizowana z zespołem Miro o tej samej nazwie, zostaną dodani do tego zespołu jako członkowie zespołu.
• Wysyłanie aktualizacji profilu użytkownika
  Szczegóły dotyczące obsługiwanych atrybutów i zmian znajdują się poniżej.
  
• Synchronizacja i push dostawcy tożsamości (IdP) grup
  Synchronizuj grupy dostawcy tożsamości (IdP) i ich członków z zespołami w Twojej subskrypcji Enterprise, aby automatycznie zarządzać członkostwem użytkowników. Ciągła synchronizacja będzie wysyłać określone aktualizacje dotyczące użytkowników grupy IdP do zsynchronizowanego zespołu w Miro, natomiast push nadpisze stan zespołu, traktując grupę IdP jako źródło prawdy (jeżeli administratorzy firmy dokonali ręcznych zmian po stronie Miro).
  
• Rozdzielenie nazw grupy dostawcy tożsamości i zespołu Miro
  Miro synchronizuje grupy dostawcy tożsamości i zespoły Miro według nazwy, więc muszą mieć identyczną nazwę. Jednak po utworzeniu początkowej synchronizacji możesz nadać jednej z nich lub obu nazwy, które będą dla Ciebie wygodne. Przykład rozdzielenia możesz zobaczyć tutaj
• Usuwanie użytkowników z grupy dostawcy tożsamości/zespołu Miro (nie z subskrypcji Enterprise, patrz niżej)
  Usunięcie użytkownika z grupy dostawcy tożsamości spowoduje jego usunięcie z zsynchronizowanego zespołu Miro (przy następnym Group Push)
• Dezaktywacja użytkowników
  Dezaktywacja, usunięcie użytkownika lub wyłączenie jego dostępu do aplikacji u dostawcy tożsamości spowoduje dezaktywację tego użytkownika w planie Enterprise w Miro. W zależności od okoliczności dezaktywacja użytkownika może spowodować przypisanie jego zawartości do najdłużej pełniących rolę administratorów zespołu:
  
  • jeśli dezaktywujesz użytkownika po stronie dostawcy tożsamości, ale pozostawisz go przypisanego do aplikacji Miro, jego członkostwo w zespole po stronie Miro nie ulegnie zmianie, a jego zawartość nie zostanie przypisana na nowo - użytkownik zostanie po prostu przeniesiony ze stanu Aktywny do stanu Dezaktywowany (i odpowiednio do sekcji użytkowników) i przestaje zużywać licencję.
    
  • jeśli dezaktywacja nastąpi w wyniku usunięcia użytkownika u dostawcy tożsamości lub odłączenia go od aplikacji Miro, a użytkownik jest członkiem pewnych zsynchronizowanych zespołów, to użytkownik zostanie dodatkowo usunięty z tych zespołów w Miro, a jego zawartość w wymienionych zespołach zostanie przypisana na nowo do najdłużej pełniących rolę administratorów zespołu. 
    
  • Jeżeli dezaktywację wywołasz przez usunięcie użytkownika u dostawcy tożsamości lub przez odebranie mu przypisania do aplikacji Miro, a użytkownik nie jest członkiem żadnych zsynchronizowanych zespołów, jego członkostwo w zespołach nie zostanie zmienione, a jego zawartość nie zostanie przekazana innym.
    Usuwanie użytkownika z subskrypcji Enterprise nie jest obsługiwane domyślnie. Możesz jednak ręcznie dodać tę funkcję za pomocą API, aby całkowicie usunąć użytkownika z subskrypcji zamiast ustawiać go w stanie Dezaktywowany. W takim przypadku zawartość zostanie przekazana odpowiednim członkom zespołów. Nie można określić, którym administratorom zostanie przypisana własność automatycznie przekazanej zawartości. Jednak można to ustawić, gdy ręcznie dezaktywować użytkownika w ustawieniach Miro.
• Reaktywacja użytkowników
  Ponowne przypisanie użytkownika do aplikacji lub reaktywacja profilu użytkownika u dostawcy tożsamości (IdP) spowoduje jego reaktywację w subskrypcji Enterprise w Miro, jeśli został wcześniej utworzony i dezaktywowany.
• Automatyczne przypisywanie do grup rozliczeniowych
  Automatyczne przypisywanie nowych użytkowników do grup rozliczeniowych za pomocą SCIM. Po skonfigurowaniu dostawcy tożsamości (IdP) powiąż centra kosztów z grupami rozliczeniowymi. Dzięki temu każdy obecny i przyszły użytkownik z tych centrów kosztów zostanie automatycznie przypisany do odpowiedniej kategorii rozliczeniowej.

Możesz także usunąć użytkowników z abonamentu Enterprise, wysyłając bezpośrednie wywołanie API Delete - zobacz dokumentację tutaj. Należy pamiętać, że tylko bezpośrednie wywołania usuną użytkowników. Zdarzenia Delete, zainicjowane przez Twoje rozwiązanie tożsamości, będą traktowane jako żądanie Dezaktywacji.

Obsługiwane atrybuty

⚠️ Uwaga:
- E-mail / parametr podstawowy / unikalny identyfikator / Nazwa użytkownika) jest jedyną wartością wymaganą przez Miro i musi mieć formę adresu e-mail.
- aktualizacja adresu e-mail jest możliwa tylko dla użytkowników już zsynchronizowanych. Innymi słowy, pierwsza synchronizacja musi nastąpić, gdy ich adres e-mail u dostawcy tożsamości i w Miro są takie same, w przeciwnym razie Miro nie rozpozna użytkownika i zostanie utworzony duplikat profilu Miro pod nowym adresem e-mail.
- aktualizacja adresu e-mail musi zostać wykonana w profilu użytkownika u dostawcy tożsamości, a nie na liście przypisań.
- W przeciwieństwie do innych atrybutów, aktualizacja adresu e-mail spowoduje wysłanie powiadomienia: zarówno stary, jak i nowy adres e-mail otrzymają wiadomość informującą użytkownika, że ma teraz logować się do Miro przy użyciu nowego adresu e-mail.

⚠️ Kontom Miro nie przypisuje się hasła — logowanie odbywa się za pomocą magicznego linku, SSO lub konta społecznościowego — więc nie ma atrybutu hasła do synchronizacji przez SCIM.
⚠️ Username, UserType i roles.value nie mogą być aktualizowane dla dezaktywowanych użytkowników. 

Wszystkie atrybuty będą widoczne w wyeksportowanej liście użytkowników w formacie CSV, którą można pobrać z sekcji Aktywni użytkownicy.

Opcja pobrania listy użytkowników

Konfiguracja SCIM

Krok 1: Włącz opcję SCIM w Miro

Aby włączyć SCIM w abonamencie Enterprise Miro, przejdź do Ustawienia firmy > Integracje Enterprise, włącz funkcję SCIM Provisioning. Tam możesz pobrać Base URL i token API potrzebne do skonfigurowania dostawcy tożsamości (IdP).

Krok 2: Skonfiguruj dostawcę tożsamości

Konfiguracja zależy od dostawcy tożsamości, którego używasz. Miro obsługuje prekonfigurowane Okta i Entra ID, jednak możesz użyć dowolnego dostawcy tożsamości, który pozwala na skonfigurowanie SCIM.

OKTA - zobacz instrukcję konfiguracji tutaj.

Entra ID - zobacz instrukcję konfiguracji tutaj.

Generuj nowy token

1. Przejdź do Ustawienia firmy > Integracje dla przedsiębiorstw.
2. W sekcji Obsługa administracyjna SCIM kliknij Generuj nowy token.
3. W oknie Wygeneruj nowy token SCIM kliknij Wygeneruj.
4. Po wygenerowaniu nowego tokena musisz skonfigurować go u dostawcy tożsamości.

Możliwe problemy i ich rozwiązania

Więcej informacji o błędach SCIM znajdziesz w naszej dokumentacji. Jeśli problem będzie się utrzymywał, możesz skontaktować się z zespołem pomocy Miro.