SCIM

System zarządzania tożsamościami między domenami (SCIM) umożliwia automatyzację zarządzania użytkownikami oraz obsługi administracyjnej między Miro a Twoim dostawcą tożsamości (IdP).

Dostępne dla: Enterprise plan
Konfigurowane przez: Administratorzy firmy

Nowy model synchronizacji

Miro wprowadza nowy model synchronizacji SCIM, w którym grupa SCIM odpowiada teraz grupie użytkowników Miro, zastępując poprzedni model, w którym grupa SCIM mapowana była na zespół Miro. Zalecamy jak najszybszą migrację do synchronizacji SCIM opartej na grupach użytkowników.

W przeciwieństwie do zespołów, grupy użytkowników nie są ograniczone do jednego zespołu, dzięki czemu możesz synchronizować struktury organizacyjne obejmujące wiele zespołów, zamiast być ograniczonym do mapowania 1:1 na zespół. Grupy użytkowników są też bezpośrednio zintegrowane z tym samym modelem uprawnień stosowanym w Miro. Możesz udostępniać tablice i przestrzenie grupie, oznaczać grupę @wzmianką w komentarzach, aby powiadomić wszystkich jej członków, oraz zarządzać grupami programowo przez API grup użytkowników, dzięki czemu obsługa administracyjna przez Twojego dostawcę tożsamości (IdP) pozostaje zsynchronizowana ze sposobem, w jaki udostępnianie i dostęp działają w Miro.

Uwaga: To jest najnowsza wersja API, w której grupa SCIM odpowiada grupie użytkowników Miro. Dodanie lub usunięcie członków grupy SCIM zmienia skład grupy użytkowników w Miro.

Ważne informacje:

• Niezbędne jest poprawnie skonfigurowane SSO oparte na SAML działające w Twoim abonamencie Miro Enterprise, zanim zaczniesz konfigurować automatyczną obsługę administracyjną. Zobacz przewodnik dotyczący konfigurowania SAML SSO.
• Synchronizowanie grup dostawcy tożsamości z grupami użytkowników Miro jest opcjonalne. Możesz opcjonalnie powiązać i synchronizować grupy dostawcy tożsamości z grupami użytkowników w Miro. Grupa SCIM odpowiada bezpośrednio grupie użytkowników Miro — tworzenie, aktualizowanie lub usuwanie grupy SCIM powoduje utworzenie, aktualizację lub usunięcie odpowiadającej grupy użytkowników, a dodawanie lub usuwanie członków zmienia skład tej grupy użytkowników. Możesz też tworzyć i zarządzać grupami użytkowników bezpośrednio za pomocą API grup użytkowników. W przeciwieństwie do zespołów, grupa użytkowników nie jest ograniczona do jednego zespołu, więc możesz synchronizować struktury organizacyjne obejmujące wiele zespołów. Aby uzyskać więcej informacji o tym, jak API SCIM umożliwia zarządzanie grupami, zobacz dokumentację deweloperską Miro.

• Zmiany adresu e-mail w SCIM obejmują następujące zasady walidacji:

  • Sprawdzenie zarządzanego użytkownika: Jeśli bieżąca domena użytkownika nie jest przypisana do organizacji inicjującej prośbę SCIM, aktualizacja adresu e-mail zostanie zablokowana i spowoduje błąd 400.
  • Weryfikacja docelowej domeny e-mail: Jeśli docelowa domena e-mail jest przypisana do organizacji innej niż ta, która inicjuje prośbę SCIM, aktualizacja adresu e-mail zostanie zablokowana i spowoduje błąd 400. Jeśli docelowa domena e-mail jest przypisana do organizacji inicjującej prośbę SCIM, aktualizacja adresu e-mail jest dozwolona bez wymogu potwierdzenia adresu. Dzienniki audytu rejestrują tę zmianę w każdej organizacji, w której użytkownik jest członkiem.
  • Zarządzanie domeną i SSO: Aktualizacje adresów e-mail są dozwolone na podstawie weryfikacji domeny przez Domain Control (IDC) lub pojedyncze logowanie (SSO). Jeśli docelowa domena e-mail jest zweryfikowana przez CD lub SSO przez organizację inicjującą, aktualizacja może zostać przeprowadzona.

  Diagram przepływu weryfikacji zmiany e-maila w SCIM

Zasady działania SCIM w Miro

• Zmiany synchronizowane przez SCIM są stosowane przede wszystkim do nowo przypisanych użytkowników. Zmiany członkostwa są stosowane bezpośrednio i natychmiast: operacja dodania, usunięcia lub zastąpienia członków grupy SCIM powoduje dodanie lub usunięcie tego członka z odpowiadającej grupy użytkowników Miro, bez potrzeby oddzielnego kroku 'push'. Na przykład: a) jeśli użytkownik jest członkiem grupy użytkowników A w Miro, a Twój dostawca tożsamości wyśle aktualizację dodającą go do grupy użytkowników B, członkostwo użytkownika w grupie A pozostaje bez zmian — użytkownik staje się także członkiem grupy B. b) jeśli Twój dostawca tożsamości wyśle aktualizację zawierającą zmiany dotyczące użytkownika User1, pozostali członkowie grupy użytkowników nie ulegają zmianie.
• Wszyscy użytkownicy provisionowani przez SCIM otrzymują domyślną licencję Twojej subskrypcji: a) W subskrypcjach Enterprise bez programu elastycznych licencji (FLP): licencja Collaborate lub Full (legacy). Jeśli w Twojej subskrypcji zabraknie licencji, użytkownicy zostaną provisionowani pod bezpłatną ograniczoną licencję. b) W subskrypcjach Enterprise z aktywowanym programem elastycznych licencji (FLP): licencja Free lub bezpłatna ograniczona w zależności od domyślnej licencji subskrypcji.
  Jeśli chcesz, aby niektórzy użytkownicy otrzymali licencję inną niż domyślna: jak już wspomniano, wszyscy użytkownicy otrzymują licencję domyślną. Możesz jednak natychmiast zaktualizować wszystkich lub niektórych z nich, używając atrybutu UserType z wartością Collaborate lub Full (legacy). Użytkownicy zaktualizowani za pomocą tego atrybutu otrzymają licencję Collaborate lub Full (legacy) bez przestojów po stronie użytkownika. Uwaga: dodanie członka do grupy użytkowników przez SCIM również reaktywuje lub odtworzy tego członka, jeśli był wcześniej dezaktywowany lub usunięty, i zmieni jego licencję na Collaborate lub Full (legacy).
• Wszyscy użytkownicy provisionowani przez SCIM są również objęci funkcją zarządzanie domeną. Oznacza to, że jeśli użytkownik jest członkiem tylko jednej grupy zabezpieczeń u Twojego dostawcy tożsamości, a Twoje ustawienia zarządzania domeną określają 3 zespoły jako przypisane, to użytkownik zostanie również dodany do tych 3 zespołów.

• Aby chronić usługę, Miro ogranicza liczbę wywołań API dostępnych w ciągu 30 sekund:

  Typ żądania	Poziom limitu
  GET scim/users GET scim/users/{userId}	Poziom limitu (Rate Limit Level 1)
  POST scim/users/{userId} PUT scim/users/{userId} PATCH scim/users/{userId} DELETE scim/users/{userId}	Poziom limitu (Rate Limit Level 3)
  GET scim/Groups PATCH scim/Groups/{groupId}	Poziom limitu (Rate Limit Level 4)
  GET scim/Groups/{groupId}	Trzeci poziom limitu (Rate Limit Level 4)

  Szczegóły dotyczące poziomów limitów znajdziesz tutaj. Jeśli liczba żądań przekroczy limit, Miro zwróci standardowy 429 Too many requests.

Obsługiwane funkcje

Szczegółowy schemat SCIM dla Miro można znaleźć tutaj. Szczegółowe informacje o endpointach Groups (grup użytkowników) można znaleźć w dokumentacji API Groups.

Miro obsługuje następujące funkcje obsługi administracyjnej:

• Tworzenie nowych użytkowników 
  Nowi użytkownicy przypisani do aplikacji Miro w dostawcy tożsamości (IdP) zostaną utworzeni w Twojej subskrypcji Enterprise jako członkowie Enterprise. Użytkownicy dodani do grupy w IdP zsynchronizowanej z grupą użytkowników w Miro zostaną bezpośrednio dodani do tej grupy jako członkowie.
  
• Wysyłanie aktualizacji profili użytkowników 
  Informacje o obsługiwanych atrybutach i zmianach znajdują się poniżej.
  
• Synchronizuj grupy dostawcy tożsamości (IdP) z grupami użytkowników 
  Synchronizuj grupy dostawcy tożsamości (IdP) z grupami użytkowników w subskrypcji Enterprise w Miro, aby automatycznie zarządzać członkostwem. Ponieważ grupa SCIM odpowiada bezpośrednio grupie użytkowników w Miro, operacje dodawania i usuwania w Twoim dostawcy tożsamości (IdP) są natychmiast stosowane do członkostwa grupy użytkowników — nie ma potrzeby oddzielnego kroku push/nadpisania.
  
• Usuń użytkowników z grupy IdP/grupy użytkowników Miro (nie ze subskrypcji Enterprise, patrz niżej) Usunięcie użytkownika z grupy dostawcy tożsamości (IdP) powoduje natychmiastowe usunięcie tego użytkownika z odpowiadającej grupy użytkowników w Miro. Użytkownik zostaje usunięty jedynie z grupy użytkowników. To nie powoduje usunięcia z żadnego zespołu ani z organizacji, nie przenosi własności tablicy i nie zmienia przypisanej licencji. W przypadku grup użytkowników nie obowiązuje ograniczenie „ostatniego administratora”, a usunięcie użytkownika, który nie jest członkiem, nie ma efektu.
  
• Dezaktywacja użytkowników
  Dezaktywacja lub usunięcie użytkownika albo wyłączenie mu dostępu do aplikacji u dostawcy tożsamości spowoduje dezaktywację tego użytkownika w Twojej subskrypcji Enterprise w Miro. Użytkownik przechodzi ze stanu Aktywny do Dezaktywowany (oraz odpowiednio do sekcji użytkowników) i przestaje zajmować licencję. Dezaktywacja sama w sobie nie zmienia członkostwa użytkownika w grupach użytkowników ani nie przekazuje własności tablic.
  
  Usunięcie użytkownika z subskrypcji Enterprise nie jest domyślnie. obsługiwane. Jednak możesz ręcznie dodać taką funkcjonalność za pomocą API, aby użytkownik został całkowicie usunięty z subskrypcji zamiast ustawienia go jako Dezaktywowany stan. W takim przypadku zawartość zostaje przypisana odpowiednim członkom zespołów. Nie da się określić, którym administratorom zostanie przyznana własność automatycznie przekazanej zawartości, ale można to ustawić, gdy ręcznie zdezaktywujesz użytkownika w ustawieniach Miro. Usunięcie użytkownika z grupy użytkowników (patrz wyżej) samo w sobie nigdy nie powoduje ponownego przypisania zawartości.
  

• Zmień licencje użytkowników na niższą wersję

  Możesz obniżyć licencję użytkownika tylko między płatnymi licencjami. Na przykład możesz zmienić typ użytkownika z Accelerate na Collaborate.
  

• Reaktywuj użytkowników 
  Przypisanie użytkownika z powrotem do aplikacji lub reaktywowanie jego profilu u dostawcy tożsamości (IdP) spowoduje jego ponowną aktywację w Twojej subskrypcji Miro Enterprise, jeśli został wcześniej prowizjonowany i dezaktywowany.
  
• Automatyczne przypisywanie do grup rozliczeniowych 
  Automatycznie przypisuj nowych użytkowników do grup rozliczeniowych za pomocą SCIM. Gdy dostawca tożsamości (IdP) zostanie skonfigurowany, powiąż centra kosztów z grupami rozliczeniowymi. Dzięki temu każdy obecny i przyszły użytkownik z tych centrów kosztów będzie automatycznie przypisany do odpowiedniej kategorii rozliczeniowej.
  
• Udostępnianie tablic i przestrzeni grupie Ponieważ grupa użytkowników Miro korzysta z tego samego modelu uprawnień stosowanego w całym Miro, możesz udostępniać tablice i przestrzenie bezpośrednio grupie użytkowników zsynchronizowanej z Twoim dostawcą tożsamości (IdP), zamiast dodawać członków pojedynczo.
  
• @wzmianka grupy w komentarzach Oznacz grupę użytkowników w komentarzach na tablicy, używając @wzmianki, aby powiadomić wszystkich jej członków jednocześnie.
  
• Zarządzaj grupami programowo Twórz, aktualizuj i usuwaj grupy użytkowników bezpośrednio za pomocą User Groups API, niezależnie od synchronizacji z dostawcą tożsamości (IdP).

Możesz też usunąć użytkowników z abonamentu Enterprise, wysyłając bezpośrednie wywołanie API Usuń — zobacz dokumentację tutaj. Uwaga: tylko bezpośrednie wywołania spowodują usunięcie użytkowników. Zdarzenia Usuń zainicjowane przez Twoje rozwiązanie tożsamości będą traktowane jako prośba o dezaktywację.

Obsługiwane atrybuty

Uwaga: adres e-mail (główny parametr / unikalny identyfikator / nazwa użytkownika) jest jedyną wartością wymaganą przez Miro i musi mieć formę adresu e-mail. Aktualizacja adresu e-mail jest możliwa tylko dla już zsynchronizowanych użytkowników — pierwsza synchronizacja musi nastąpić, gdy adres e-mail w dostawcy tożsamości (IdP) i w Miro jest taki sam; w przeciwnym razie Miro nie rozpozna użytkownika i zostanie utworzony zduplikowany profil Miro pod nowym adresem e-mail. Aktualizacja adresu e-mail musi być wykonana w profilu użytkownika u dostawcy tożsamości (IdP), a nie na liście przypisań. W przeciwieństwie do innych atrybutów, aktualizacja adresu e-mail użytkownika spowoduje wysłanie powiadomienia: zarówno stary, jak i nowy adres e-mail otrzymają wiadomość informującą, że do logowania się do Miro należy używać nowego adresu e-mail.

⚠️ Konta Miro nie mają hasła — logowanie odbywa się za pomocą magicznego linku, SSO lub konta społecznościowego — więc nie ma atrybutu hasła do synchronizacji przez SCIM. ⚠️ Username, UserType i roles.value nie mogą być aktualizowane dla zdezaktywowanych użytkowników.

Wszystkie atrybuty będą wyświetlane na wyeksportowanej liście użytkowników w formacie CSV, którą można pobrać z sekcji Aktywni użytkownicy.

Konfigurowanie SCIM

Krok 1: Włącz opcję SCIM w Miro

Aby włączyć SCIM dla Twojego abonamentu Enterprise w Miro, przejdź do Firma ustawień > Integracje Enterprise, włącz funkcję SCIM Provisioning. Tam znajdziesz Base URL i API Token potrzebne do skonfigurowania dostawcy tożsamości (IdP).

Krok 2: Skonfiguruj dostawcę tożsamości

Sposób konfiguracji zależy od używanego dostawcy tożsamości. Miro obsługuje wstępnie skonfigurowane Okta i Entra ID, jednak możesz użyć dowolnego dostawcy tożsamości, który pozwala na skonfigurowanie SCIM.

OKTA - zobacz instrukcję konfiguracji tutaj.

Entra ID - zobacz instrukcję konfiguracji tutaj.

Wygeneruj nowy token

1. Przejdź do Ustawień firmy > Integracji Enterprise.
2. W sekcji Obsługa administracyjna SCIM kliknij Wygeneruj nowy token.
3. W oknie Wygeneruj nowy token SCIM kliknij Wygeneruj.
4. Po wygenerowaniu nowego tokena musisz skonfigurować go u dostawcy tożsamości (IdP).

Możliwe problemy i ich rozwiązania

Więcej informacji o błędach SCIM znajdziesz w naszej dokumentacji. Jeśli problem będzie się utrzymywał, możesz skontaktować się z zespołem pomocy Miro.