Provisioning SCIM

Con SCIM 2.0 il tuo identity provider, per esempio Microsoft Entra ID od Okta, gestisce gli utenti di exoCortex al posto tuo: quando assumi una persona l’utente viene creato, quando cambia ruolo viene aggiornato, quando lascia l’azienda viene disattivato.

Collegare l’identity provider

1. In exoCortex Core apri Identity → SCIM e genera un token SCIM. Copialo subito: viene mostrato una sola volta.
2. Nel tuo identity provider aggiungi un’applicazione con provisioning SCIM 2.0 e indica:
   • URL di base: https://exocortex-api.ai-exo-cortex.com/scim/v2
   • Autenticazione: token bearer, con il token generato al passo 1.
3. Avvia una prova di connessione dall’identity provider, poi assegna all’applicazione gli utenti e i gruppi da sincronizzare.

Il token appartiene a un tenant: l’identity provider vede e gestisce solo gli utenti di quel tenant.

Cosa supporta exoCortex

Funzione	Supporto
Utenti: creazione, lettura, sostituzione, aggiornamento (PATCH), cancellazione	sì
Gruppi: creazione, lettura, aggiornamento (PATCH), cancellazione	sì
Filtri	sì, per esempio userName eq "[email protected]", anche con and; fino a 200 risultati
Ordinamento	sì
Operazioni in blocco (bulk)	no
Cambio password	no: la password la sceglie l’utente
ETag	no

Attributi dell’utente

exoCortex usa gli attributi standard dello schema utente SCIM:

• userName: l’identificativo dell’utente, di solito l’email aziendale;
• externalId: l’identificativo dell’utente nel tuo identity provider;
• name.givenName e name.familyName, displayName;
• emails, con l’indirizzo principale segnato come primary;
• active: se false, l’utente è disattivato;
• title e userType, se presenti.

Disattivare e rimuovere un utente

Quando un utente lascia l’azienda, l’identity provider lo disattiva con un PATCH che imposta active a false:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [{ "op": "replace", "path": "active", "value": false }]
}

Una richiesta DELETE sull’utente lo rimuove dal provisioning (deprovisioning).

Errori

Gli endpoint SCIM rispondono con documenti di errore SCIM (RFC 7644). Un 401 indica un token mancante, non valido, revocato o scaduto: genera un nuovo token e aggiornalo nell’identity provider.