SCIM
SCIM (System for Cross-domain Identity Management) to otwarty standard automatycznego tworzenia, aktualizowania i usuwania kont użytkowników i grup w aplikacji, sterowany przez dostawcę tożsamości. Microsoft opisuje go jako standard automatycznego provisioningu użytkowników.
Dlaczego to ważne dla firm
SSO określa, jak ludzie się logują. SCIM określa, kto w ogóle ma konto i do jakich grup należy, więc członkostwo w grupach katalogu decyduje o tym, kto może korzystać z którego narzędzia AI.
Provisioning według standardu zastępuje ręczne zaproszenia i arkusze z listą osób, które mają dostęp.
Przykład
Dział IT tworzy w Microsoft Entra ID grupę „Engineering AI” i przypisuje ją do aplikacji obsługującej SCIM. Entra automatycznie zakłada wtedy konta osobom dodanym do grupy, a SCIM służy do powiadamiania aplikacji o osobach usuniętych z grupy; to, co aplikacja zrobi dalej, zależy od dostawcy.
Co to oznacza dla firmy korzystającej z API AI
Bez SCIM ktoś musi zapraszać każdego nowego użytkownika do każdego narzędzia AI i pamiętać, aby później go usunąć. Z SCIM dostawca tożsamości zakłada, aktualizuje i dezaktywuje konta, a o dostępie decyduje członkostwo w grupach. Ogólnie SCIM pozwala dostawcy tożsamości, takiemu jak Microsoft Entra ID, wysłać dezaktywację, gdy ktoś opuszcza grupę, na przykład programista przechodzący do działu sprzedaży. Czy cofa to również sesje i klucze API tej osoby, zależy od konkretnej aplikacji, dlatego testujcie usuwanie równie starannie jak dodawanie.
Gdzie pojęcie jest zdefiniowane: SCIM to norma IETF: RFC 7643 definiuje podstawowy schemat użytkowników i grup, a RFC 7644 protokół oparty na HTTP (oba po angielsku). Oba dokumenty opublikowano we wrześniu 2015 r.
Jak robi to Standard Compute
Pracownicy logują się do Claude Desktop i Claude Code kontem służbowym Microsoft przez naszą bramkę UE, więc nie trzeba rozdawać kluczy API. Dostęp wynika z grup Microsoft Entra dzięki provisioningowi SCIM.
Pytania, które zadają firmy
- Czym SCIM różni się od SSO?
- SSO odpowiada za to, jak ludzie się logują. SCIM odpowiada za to, jakie konta istnieją i do jakich grup należą. Większość firm chce obu: SSO do logowania, SCIM po to, aby konta podążały za katalogiem.
- Czy SCIM usuwa dane użytkownika?
- SCIM każe aplikacji dezaktywować lub usunąć konto. Co stanie się z danymi tego użytkownika, na przykład z kluczami lub historią, zależy od aplikacji, więc zapytajcie dostawcę.
- Czy Microsoft Entra ID obsługuje SCIM?
- Tak. Microsoft Entra ID może udostępniać użytkowników i grupy aplikacjom, które mają punkt końcowy SCIM, a Microsoft opisuje, jak taki punkt podłączyć.