Este tópico descreve como usar o protocolo System for Cross-domain Identity Management (SCIM) para provisionar contas no Alibaba Cloud IDaaS (EIAM). Com as APIs padrão do SCIM, as empresas sincronizam dados de usuários e organizações com aplicativos de terceiros de forma eficiente, simplificam os processos de gerenciamento de identidade e aumentam a eficiência operacional. Este conteúdo aborda o procedimento de configuração, chamadas de API e observações de uso para ajudar sua empresa a integrar rapidamente informações de identidade entre sistemas.
Observações de uso
A especificação SCIM não oferece suporte à sincronização de organizações. Atualmente, o IDaaS EIAM não sincroniza unidades organizacionais com aplicativos downstream.
O IDaaS EIAM oferece suporte à sincronização de grupos e contas, mas a transferência efetiva dos dados para um aplicativo downstream depende da capacidade de integração desse aplicativo. O Alibaba Cloud Resource Access Management (RAM) aceita apenas sincronização de contas, enquanto o Cloud SSO permite sincronizar tanto contas quanto grupos.
Ao usar o SCIM para sincronizar dados com aplicativos RAM ou Cloud SSO, todos os valores dos campos de conta são convertidos para letras minúsculas antes da transferência para o RAM. Essa conversão evita conflitos, pois o Alibaba Cloud RAM não diferencia maiúsculas de minúsculas.
Método de configuração
Na página Application Management, aba Account Sync, selecione o protocolo SCIM como método de sincronização para transferir contas a aplicativos compatíveis com esse protocolo.
Para configurar a sincronização SCIM, conclua as definições tanto no lado do IDaaS quanto no lado do aplicativo. Para aplicativos como Alibaba Cloud Resource Access Management (RAM) ou Cloud SSO (CloudSSO), execute as operações consultando a documentação do aplicativo em conjunto com este tópico. Para sincronizar dados com outros aplicativos, localize a documentação de habilitação de sincronização SCIM do aplicativo de destino e siga as instruções juntamente com este guia.
|
Aplicativo |
Documentação |
|
Cloud SSO |
A configuração da sincronização SCIM assemelha-se ao modo rápido baseado em callbacks de eventos. Primeiro, especifique o escopo de nós a sincronizar e, em seguida, configure os parâmetros do cliente SCIM.
A tabela a seguir descreve os parâmetros:
|
Parâmetro |
Descrição |
|
Outbound IP |
Adicione os endereços IP de saída do IDaaS à lista de permissões nas suas configurações de segurança para garantir que as requisições do IDaaS cheguem ao destinatário. |
|
SCIM Base URL |
Insira o endereço do cliente que recebe as requisições de sincronização SCIM. Por exemplo, defina a SCIM Base URL do Alibaba Cloud RAM com um valor fixo: Endereço fixo da SCIM Base URL. |
|
Grant Type |
Diferentes clientes SCIM podem exigir métodos distintos de autenticação de API. O IDaaS oferece suporte a OAuth 2.0 Client Credentials e Bearer Token Mode. Configure as opções conforme as exigências do seu aplicativo cliente. O Alibaba Cloud RAM, por exemplo, utiliza OAuth 2.0 Client Credentials para autenticar requisições SCIM. Após selecionar OAuth 2.0 Client Credentials, configure os seguintes parâmetros: Token Endpoint (exemplo: |
|
Operation |
Assine seletivamente os eventos de alteração que deseja rastrear para receber notificações instantâneas. Quando ocorre uma alteração correspondente no IDaaS, a sincronização é acionada automaticamente para atualizar a mudança no aplicativo em tempo real. Na seção Operation, selecione os tipos de operação SCIM que deseja enviar: Create Account (CREATE /Users), Update Account (UPDATE /Users), Delete Account (DELETE /Users), Create Group (CREATE /Groups), Update Group (UPDATE /Groups) e Delete Group (DELETE /Groups). Nota
Os eventos selecionados em Operation aplicam-se tanto à sincronização incremental quanto à sincronização completa. |
|
Full Scope |
Ao utilizar o recurso Push Now (sincronização completa), apenas os dados dentro do escopo de sincronização do aplicativo e correspondentes aos tipos selecionados em Full Scope são enviados ao aplicativo downstream. Por exemplo, é possível enviar somente dados de contas. Full Scope disponibiliza duas caixas de seleção: Account e Group. Selecione os tipos de dados que deseja enviar conforme sua necessidade. Nota
Full Scope tem efeito apenas na sincronização completa e não se aplica à sincronização incremental. |
|
Field Mapping |
Exibe e permite editar os mapeamentos de campos utilizados durante a sincronização SCIM. Na aba Field Mapping, configure as relações de mapeamento entre os campos do servidor SCIM e os campos locais. Três mapeamentos vêm incluídos por padrão: User External ID ( |
Após salvar a configuração, utilize o recurso Test Connection para verificar se as definições estão corretas.
Se necessário, use o recurso Push Now para enviar todas as contas dentro do escopo de sincronização ao aplicativo de uma só vez.
Suporte a SCIM no IDaaS (EIAM)
|
Plataforma |
Suporte a SCIM |
Recuperar usuários existentes |
Modificar usuários existentes |
Vincular usuários existentes |
|
Alibaba Cloud RAM |
Sim |
Sim |
Não |
Não |
|
Cloud SSO |
Sim |
Não |
Não |
Sim (suportado implicitamente pela lógica de sobrescrita por nome do Cloud SSO) |
|
Huawei Cloud IAM |
Não |
|||
|
Huawei Cloud IAM Identity Center |
Sim |
Sim |
Sim |
Sim |
|
Tencent Cloud CAM |
Não |
|||
|
Tencent Cloud Organization Management |
Sim |
Sim |
Sim |
Sim (não é possível alterar nomes de usuário) |
|
Volcano Engine IAM |
Não |
|||
|
Volcano Engine Cloud Identity Center |
Sim |
Não |
Não |
Não |
|
AWS/International site IAM |
Não |
|||
|
AWS/International site IAM Identity Center |
Sim |
Sim |
Sim |
Sim |