SCIM-Provisioning

Mit SCIM 2.0 verwaltet Ihr Identity Provider, zum Beispiel Microsoft Entra ID oder Okta, die Benutzer von exoCortex für Sie: Wenn Sie eine Person einstellen, wird der Benutzer angelegt; wenn sie die Rolle wechselt, wird er aktualisiert; wenn sie das Unternehmen verlässt, wird er deaktiviert.

Den Identity Provider verbinden

1. Öffnen Sie in exoCortex Core Identity → SCIM und erzeugen Sie ein SCIM-Token. Kopieren Sie es sofort: Es wird nur einmal angezeigt.
2. Fügen Sie in Ihrem Identity Provider eine Anwendung mit SCIM-2.0-Provisioning hinzu und geben Sie an:
   • Basis-URL: https://exocortex-api.ai-exo-cortex.com/scim/v2
   • Authentifizierung: Bearer-Token, mit dem in Schritt 1 erzeugten Token.
3. Starten Sie im Identity Provider einen Verbindungstest und weisen Sie der Anwendung dann die zu synchronisierenden Benutzer und Gruppen zu.

Das Token gehört zu einem Tenant: Der Identity Provider sieht und verwaltet nur die Benutzer dieses Tenants.

Was exoCortex unterstützt

Funktion	Unterstützung
Benutzer: Anlegen, Lesen, Ersetzen, Aktualisieren (PATCH), Löschen	ja
Gruppen: Anlegen, Lesen, Aktualisieren (PATCH), Löschen	ja
Filter	ja, zum Beispiel userName eq "[email protected]", auch mit and; bis zu 200 Ergebnisse
Sortierung	ja
Massenoperationen (bulk)	nein
Passwortänderung	nein: Das Passwort wählt der Benutzer
ETag	nein

Benutzerattribute

exoCortex verwendet die Standardattribute des SCIM-Benutzerschemas:

• userName: die Kennung des Benutzers, in der Regel die geschäftliche E-Mail-Adresse;
• externalId: die Kennung des Benutzers in Ihrem Identity Provider;
• name.givenName und name.familyName, displayName;
• emails, mit der Hauptadresse als primary markiert;
• active: bei false ist der Benutzer deaktiviert;
• title und userType, falls vorhanden.

Einen Benutzer deaktivieren und entfernen

Wenn ein Benutzer das Unternehmen verlässt, deaktiviert der Identity Provider ihn mit einem PATCH, das active auf false setzt:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [{ "op": "replace", "path": "active", "value": false }]
}

Eine DELETE-Anfrage auf den Benutzer entfernt ihn aus dem Provisioning (Deprovisioning).

Fehler

Die SCIM-Endpunkte antworten mit SCIM-Fehlerdokumenten (RFC 7644). Ein 401 bedeutet, dass das Token fehlt, ungültig, widerrufen oder abgelaufen ist: Erzeugen Sie ein neues Token und aktualisieren Sie es im Identity Provider.