SCIM

O sistema de gerenciamento de identidade entre domínios (SCIM) permite automatizar o provisionamento e o gerenciamento de usuários entre a Miro e seu provedor de identidade (IdP).

Disponível para: plano Enterprise
Configurado por: Admins da empresa

Novo modelo de sincronização

A Miro está introduzindo um novo modelo de sincronização SCIM em que um grupo SCIM passa a corresponder a um grupo de usuários da Miro, substituindo o modelo anterior em que um grupo SCIM era mapeado para um time da Miro. Recomendamos migrar para a sincronização SCIM baseada em grupos de usuários assim que possível.

Diferentemente dos times, os grupos de usuários não ficam restritos a um único time, então você pode sincronizar estruturas organizacionais que abrangem vários times em vez de ficar limitado a um mapeamento 1:1 por time. Os grupos de usuários também se integram diretamente ao mesmo modelo de permissões usado na Miro. É possível compartilhar boards e Espaços com um grupo, fazer uma @menção a um grupo em comentários para notificar todos os seus membros e gerenciar grupos programaticamente por meio da API de Grupos de Usuários, de modo que o provisionamento pelo seu IdP fique sincronizado com a forma como o compartilhamento e o acesso já funcionam na Miro.

Observação: Esta é a versão mais recente da API em que um Grupo SCIM corresponde a um grupo de usuários da Miro. Adicionar ou remover membros de um Grupo SCIM altera a associação do grupo de usuários da Miro.

O que você deve saber

• O logon único baseado em SAML deve estar configurado corretamente e em funcionamento no seu plano Enterprise antes de começar a configurar o provisionamento automatizado. Consulte o guia para configurar o logon único por SAML.
• Sincronizar grupos do IdP com grupos de usuários na Miro é opcional. Você pode vincular e sincronizar opcionalmente seus grupos do IdP com grupos de usuários na Miro. Um Grupo SCIM corresponde diretamente a um grupo de usuários na Miro: criar, atualizar ou excluir um Grupo SCIM cria, atualiza ou exclui o grupo de usuários correspondente, e adicionar ou remover membros altera a associação desse grupo de usuários. Você também pode criar e gerenciar grupos de usuários diretamente usando a API de grupos de usuários. Ao contrário dos times, um grupo de usuários não fica restrito a um único time, então você pode sincronizar estruturas organizacionais que abrangem vários times. Para mais informações sobre como a API SCIM permite gerenciar grupos, consulte a documentação para desenvolvedores da Miro.

• As alterações de endereço de e-mail no SCIM incluem as seguintes regras de validação:

  • Verificação de usuário gerenciado: Se o domínio atual do usuário não for reivindicado pela organização que iniciou a solicitação SCIM, a atualização do e-mail é bloqueada e retorna um erro 400.
  • Verificação do domínio de e-mail de destino: Se o domínio de e-mail de destino for reivindicado por uma organização diferente da que iniciou a solicitação SCIM, a atualização do e-mail é bloqueada e retorna um erro 400. Se o domínio de e-mail de destino for reivindicado pela organização que iniciou a solicitação SCIM, a atualização do e-mail é permitida sem exigir confirmação por e-mail. Os logs de auditoria registram a atualização em cada organização da qual o usuário é membro.
  • Controle de domínio e logon único: As atualizações de e-mail são permitidas com base na verificação do domínio por meio de Controle de domínio (IDC) ou logon único (SSO). Se o domínio de e-mail de destino for verificado por CD ou SSO pela organização que iniciou a solicitação, a atualização pode prosseguir.

  Diagrama do fluxo de trabalho de validação de alteração de e-mail do SCIM

Regras sob as quais o SCIM da Miro opera

• As alterações sincronizadas pelo SCIM são aplicadas principalmente a usuários recém-atribuídos. As alterações de associação são aplicadas direta e imediatamente: uma operação de adicionar, remover ou substituir nos membros de um SCIM Group adiciona ou remove esse membro do grupo de usuários correspondente da Miro, sem uma etapa separada de "push". Por exemplo: a) se um usuário for membro do Grupo de Usuários A do lado da Miro e seu IdP enviar uma atualização para adicioná-lo ao Grupo de Usuários B, sua associação ao Grupo de Usuários A não é afetada; ele apenas também passa a ser membro do Grupo de Usuários B. b) se seu IdP enviar uma atualização contendo alterações em Usuário1, os demais membros do grupo de usuários não são afetados.
• Todos os usuários provisionados via SCIM recebem a licença padrão da sua assinatura: a) Para assinaturas Enterprise sem Programa de licenças flexíveis: uma licença Collaborate ou Full (legacy). Se sua assinatura ficar sem licenças, os usuários começarão a ser provisionados com a licença gratuita limitada. b) Para assinaturas Enterprise com Programa de licenças flexíveis ativado: licença Free ou licença gratuita limitada, dependendo da licença de assinatura padrão.
  Se você precisar que alguns usuários sejam provisionados com uma licença diferente da padrão: conforme mencionado acima, todos os usuários são provisionados com a licença padrão. No entanto, você pode atualizar imediatamente todos ou alguns deles usando o atributo UserType com o valor Collaborate ou Full (legacy). Os usuários que receberem esse atributo terão a licença Collaborate ou Full (legacy) sem tempo de inatividade para o usuário. Observação: adicionar um membro a um grupo de usuários via SCIM também reativa ou recria esse membro caso ele tenha sido previamente desativado ou excluído, e atualiza a licença desse membro para Collaborate ou Full (legacy).
• Todos os usuários provisionados no SCIM também são afetados pela funcionalidade Controle de domínio. Isso significa que, se um usuário for membro de apenas um grupo de segurança no seu provedor de identidade, mas suas configurações de Controle de domínio definirem três times como designados, o usuário também será adicionado a esses três times.

• Para proteger o serviço, a Miro limita o número de chamadas de API disponíveis a cada 30 segundos:

  Tipo de solicitação	Nível de limite
  GET scim/users GET scim/users/{userId}	Primeiro limite de taxa nível 1
  POST scim/users/{userId} PUT scim/users/{userId} PATCH scim/users/{userId} DELETE scim/users/{userId}	Terceiro limite de taxa nível 3
  GET scim/Groups PATCH scim/Groups/{groupId}	Quarto limite de taxa nível 4
  GET scim/Groups/{groupId}	Terceiro limite de taxa nível 4

  Para obter detalhes sobre os níveis de limite, consulte aqui. Se o número de solicitações exceder o limite, a Miro retornará o padrão 429 Too many requests.

Funcionalidades compatíveis

O esquema detalhado do SCIM da Miro pode ser encontrado aqui. Informações detalhadas sobre os endpoints de Grupos (grupos de usuários) podem ser encontradas na documentação da API de Grupos.

A Miro é compatível com as seguintes funcionalidades de provisionamento:

• Criar novos usuários 
  Novos usuários atribuídos ao aplicativo da Miro no IdP serão criados na sua assinatura Enterprise da Miro como Membros Enterprise. Usuários adicionados a um grupo do IdP sincronizado com um grupo de usuários da Miro serão adicionados diretamente como membros desse grupo de usuários.
  
• Enviar atualizações do perfil do usuário 
  Para os atributos e alterações compatíveis, veja abaixo.
  
• Sincronizar grupos do IdP com grupos de usuários 
  Sincronize seus grupos do IdP com grupos de usuários dentro da sua assinatura Miro Enterprise para gerenciar automaticamente a associação de membros. Como um Grupo SCIM corresponde diretamente a um grupo de usuários da Miro, operações de adicionar e remover feitas no seu IdP aplicam-se imediatamente à associação do grupo de usuários, não sendo necessária uma etapa separada de push/sobrescrita.
  
• Remover usuários de grupo do IdP/grupo de usuários da Miro (não da assinatura Enterprise, veja abaixo) Remover um usuário de um grupo do IdP o remove imediatamente do grupo de usuários correspondente na Miro. Isso remove o usuário apenas do grupo de usuários. Isso não o remove de nenhum time nem da organização, não transfere a titularidade dos boards e não altera sua licença. Não há restrição de último admin para grupos de usuários, e remover um usuário que ainda não é membro não tem efeito.
  
• Desativar usuários
  Desativar ou excluir um usuário, ou desabilitar o acesso de um usuário ao aplicativo no IdP, irá desativar o usuário no seu plano Enterprise da Miro. O usuário passa do status Ativo para Desativado (e para a seção Usuários, respectivamente) e deixa de consumir uma licença. A desativação por si só não altera as associações desse usuário a grupos de usuário nem reatribui a titularidade de boards.
  
  Remover um usuário da assinatura Enterprise não é suportado por padrão. Ainda assim, você pode adicionar manualmente a funcionalidade usando a API para remover completamente o usuário da assinatura, em vez de defini-lo como Desativado status. Neste cenário, o conteúdo é reatribuído para os respectivos membros do time. Não é possível definir quais admins ficarão titulares do conteúdo reatribuído automaticamente, mas isso pode ser definido quando você desativar um usuário nas configurações da Miro. Remover um usuário de um grupo de usuários (veja acima) nunca aciona a reatribuição de conteúdo por si só.
  

• Fazer downgrade dos usuários

  Você só pode fazer downgrade de usuários entre licenças pagas. Por exemplo, é possível fazer downgrade de um usuário de um tipo de usuário Accelerate para um tipo de usuário Collaborate.
  

• Reativar usuários 
  Atribuir um usuário de volta ao aplicativo ou reativar o perfil do usuário no IdP irá reativá-lo na sua assinatura Enterprise da Miro se ele tiver sido provisionado e desativado anteriormente.
  
• Automatizar a alocação a grupos de cobrança 
  Atribuir automaticamente novos usuários a grupos de cobrança usando SCIM. Depois que seu Provedor de Identidade (IdP) estiver configurado, você pode vincular seus centros de custo aos seus grupos de cobrança. Isso garante que todos os usuários atuais e futuros desses centros de custo sejam automaticamente classificados na categoria de cobrança correta.
  
• Compartilhar boards e Espaços com um grupo Como um grupo de usuários da Miro se integra ao mesmo modelo de permissões usado na Miro, você pode compartilhar boards e Espaços diretamente com um grupo de usuários sincronizado pelo seu provedor de identidade (IdP), em vez de adicionar membros individualmente.
  
• Fazer @menção a um grupo nos comentários Faça @menção a um grupo de usuários nos comentários do board para notificar todos os membros de uma vez.
  
• Gerenciar grupos programaticamente Crie, atualize e exclua grupos de usuários diretamente usando a User Groups API, independentemente da sincronização do seu IdP.

Você também pode remover usuários do seu plano Enterprise enviando uma chamada Excluir direta da API. Veja a documentação aqui. Observe que apenas as chamadas diretas removerão os usuários. Os eventos de Excluir iniciados pela sua solução de identidade serão tratados como uma solicitação para Desativar.

Atributos compatíveis

Observação: o e-mail (o parâmetro primário / identificador exclusivo / nome de usuário) é o único valor exigido pela Miro e deve estar no formato de um e-mail. A atualização do e-mail só é possível para usuários já sincronizados. A primeira sincronização deve ocorrer quando o e-mail no IdP e na Miro for o mesmo; caso contrário, a Miro não reconhecerá o usuário e será criado um perfil duplicado da Miro com o novo e-mail. A atualização do e-mail deve ocorrer no perfil do usuário no IdP, não na lista de atribuições. Ao contrário de outros atributos, ao atualizar o e-mail do usuário será enviada uma notificação: tanto o endereço de e-mail antigo quanto o novo receberão um e-mail informando que agora devem usar o novo endereço de e-mail para fazer login na Miro.

⚠️ As contas da Miro não têm senha — o início de sessão é feito por link mágico, logon único (SSO) ou conta social — portanto não existe um atributo de senha para sincronizar via SCIM. ⚠️ Nome de usuário, UserType e roles.value não podem ser atualizados para Usuários desativados.

Todos os atributos serão exibidos na lista de usuários em CSV exportada que pode ser baixada da seção Usuários ativos.

Como configurar o SCIM

Passo 1: Ativar a opção SCIM na Miro

Para habilitar o SCIM no seu plano Enterprise da Miro, vá para as configurações da Empresa > Integrações Enterprise, e habilite a funcionalidade de provisionamento do SCIM. Lá você pode obter o URL base e o token da API para configurar seu IdP.

Passo 2: configurar seu provedor de identidade

A configuração dependerá do provedor de identidade que você utilizar. A Miro é compatível com Okta e Entra ID pré-configurados, no entanto, você pode usar qualquer provedor de identidade de sua escolha, desde que permita configurar o SCIM.

OKTA - veja as instruções de configuração aqui.

Entra ID - veja as instruções de configuração aqui.

Gerar novo token

1. Acesse Configurações da empresa > Integrações Enterprise.
2. Na seção Provisionamento SCIM, clique em Gerar novo token.
3. Na janela Gerar novo token SCIM, clique em Gerar.
4. Depois de gerar um novo token, você deve configurá-lo no seu provedor IDP.

Possíveis problemas e como resolvê-los

Para mais informações sobre erros de SCIM, consulte nossa documentação. Se o problema persistir, você pode entrar em contato com o Suporte da Miro.