Workiva kundestøttesenter

Oversikt over SCIM

Viktig: For å konfigurere SCIM-støtte for organisasjonen din, må du være sikkerhetsadministrator for organisasjonen.

Hva er SCIM?

System for Cross-domain Identity Management (SCIM) er en åpen spesifikasjon som er utviklet for å gjøre det enkelt og automatisk å administrere brukeridentiteter. Med SCIM kan du administrere opprettelse og suspensjon av Workiva-brukere automatisk via SCIM-aktiverte identitetsleverandører, som Okta, SailPoint IdentityIQ, PingFederate, OneLogin, Azure Active Directory og flere.

I tillegg støtter SCIM grupper for å muliggjøre administrasjon av organisasjonsroller, arbeidsområdemedlemskap, arbeidsområderoller og arbeidsområdegrupper. Dette lar deg administrere hele brukerens livssyklus fra din foretrukne identitetsleverandør.

SCIM bruker den nyeste versjonen av standarden, SCIM 2.0, publisert i 2015. Tjenesten nås via HTTPS, akkurat som nettleseren din gjør i dag, og krever ingen nye brannmurregler eller nettverksendringer.

Merknad: Workiva støtter og hjelper kun med feilsøking av konfigurasjoner for kommersielt eller fritt tilgjengelige SCIM-klienter.

Støttede SCIM-funksjoner

Følgende klargjøringsfunksjoner støttes:

• Opprett nye brukere
  Nye brukere som er tilordnet i identitetsleverandøren, vil også bli opprettet i Workiva-plattformen
• Deaktiver ikke-tilordnede brukere
  Hvis du fjerner tildelingen av brukere i identitetsleverandøren, suspenderer du brukeren på Workiva-plattformen.
• Deaktivering av brukere
  Deaktivering av brukere i identitetsleverandøren vil suspendere brukeren i Workiva-plattformen
• Profiloppdateringer
  Oppdateringer gjort på en brukers profil gjennom identitetsleverandøren vil bli oppdatert i Workiva-plattformen.
• Importer nye brukere
  Nye brukere som opprettes i Workiva-plattformen kan importeres til identitetsleverandøren og tilordnes eksisterende eller nye brukere.
• Reaktiver brukere
  Reaktivering av en bruker eller ny tildeling av en bruker i identitetsleverandøren vil aktivere den brukeren i Workiva-plattformen
• Gruppe-push
  En brukers Workiva-rettigheter, inkludert organisasjonsroller, arbeidsområdemedlemskap, arbeidsområderoller og arbeidsområdegruppemedlemskap, kan administreres av eksisterende identitetsleverandørgrupper.

SCIM- og SAML-enkeltpålogging

SCIM bør brukes sammen med SAML-basert enkel pålogging (SSO), som gir tilgang til Workiva gjennom identitetsleverandøren din (IdP). Før du konfigurerer SCIM-innstillinger, må du sørge for at du har lest Grunnleggende om SAML-enkeltpålogging og Konfigurering av SAML-enkeltpålogging.

Viktig: Bekreft at alle Workiva-brukernavn har en konsistent navnekonvensjon og er i samsvar med hvordan SCIM-verktøyet oppretter brukere.

Trinn 1: Opprett provisionering

Slik oppretter du identitetsklargjøringen og genererer SCIM API-legitimasjonen:

1. Klikk på brukerikonet øverst til høyre og velg Admin fra rullegardinmenyen.
2. Velg deretterOrganisasjonsadministratorfra rullegardinmenyen.
   
3. På siden Organisasjonsadministrator velger du Sikkerheti menyruten til venstre, og deretter fanen Klargjøring. 
   
4. Klikk på Legg til identitet eller API.
   

5. VelgIdentitetsleverandør i rullegardinmenyen.
   

   Følgende instruksjoner gjelder for en identitetsleverandør. For en API-bevilgning, se Opprett og administrer API-bevilgninger i Organisasjonsadministrasjon.

6. Skriv inn de obligatoriske feltene:
   • Angi et Fullt navn for tilknytningen din. Dette navnet skal beskrive systemet som skal sende brukerinformasjon til Workiva, for eksempel «Okta Production».

   • Angi et Workiva-brukernavn. SCIM-handlinger i aktivitetsloggen tilskrives denne brukeren, og API-legitimasjon genereres for dem.

     Vi anbefaler å opprette en dedikert SCIM API-bruker med følgende roller:

     • Organisasjonsbrukeradministrator (påkrevd for å opprette, deaktivere og oppdatere brukere)
     • Organisasjonssikkerhetsadministrator (påkrevd hvis SCIM administrerer sikkerhetsadministratorroller)
     • Organisasjonsarbeidsområdeadministrator (påkrevd hvis SCIM administrerer arbeidsområdemedlemskap, roller og grupper)
     • Workiva AI-bruker (påkrevd hvis SCIM administrerer AI-roller)
     • Sikkerhetsadministrator for organisasjonskjede (påkrevd hvis SCIM administrerer kjederoller)

     SCIM kan bare tildele og administrere roller som denne brukeren allerede har.

     Denne kontoen må ha en gyldig e-postadresse for å generere API-tokener. Hvis du senere endrer Workiva-brukernavnet, blir den nåværende hemmeligheten ugyldig, og bare den nye brukeren kan få tilgang til den nye hemmeligheten.

     Bare denne brukeren kan se identitetsleverandørens hemmelighet i Min profil > Sikkerhet.

     Merknad: Hvis SCIM API-brukeren ikke har en rolle, kan ikke SCIM tildele eller administrere den rollen for andre brukere. Hvis du for eksempel vil klargjøre Workiva AI-bruker- eller organisasjonskjedesikkerhetsadministrator-roller via SCIM, må du først tilordne disse rollene til SCIM API-brukeren.

     Lær hvordan du oppdaterer en organisasjonsrolle og ser hvilke roller som må tildeles.

   • Angi en legitimasjonstype. Se dokumentasjonen til identitetsleverandøren din for å finne ut hvilken du skal bruke.
     • Workiva-applikasjonen i OIN støtter bare Basic Auth.
     • En tilpasset app innebygd i Okta kan støtte Bearer Token.
     • Hvis du bruker Azure, velger du Bearer Token.
   • Du kan eventuelt skrive inn en Beskrivelse for denne identitetsleverandøren.
   • Under Administratorkontaktskriver du inn Fullt navn og E-postadresse til en teknisk kontaktperson i IT-avdelingen din som vi kan kontakte ved problemer eller for å kommunisere fremtidige funksjonsforbedringer.
7. Klikk på Opprett provisjonering for å fullføre.

Trinn 2: Hent ID- og URL-verdier

Du trenger ID-en og URL-verdiene for identitetslevering for Trinn 4: Konfigurer identitetsleverandøren din. For å oppnå disse verdiene:

1. I Organisasjonsadministrasjon går du til Sikkerhet > Klargjøring.
2. Under delen Identitetsleverandør finner du klargjøringen din og kopierer verdiene ID og URL.

Trinn 3: Skaff deg grunnleggende autentisering eller bærertokener

For å få tak i de nye Basic Auth- eller Bearer-tokenene, må du logge deg på Workiva-applikasjonen med SCIM-brukerens Workiva-brukernavn som du anga i Trinn 1: Opprett provisjonering:

1. Sørg for at SCIM-brukerkontoen har en gyldig e-postadresse som er tilgjengelig, og at SCIM-brukeren er lagt til i et arbeidsområde. Dette er fordi en bekreftelses-e-post vil bli sendt til SCIM-brukerens e-postadresse for å logge inn.

   Merknad: Hvis SAML SSO er påkrevd, må du legge til denne SCIM-brukeren som en SAML SSO-omgåelsesbruker for å kunne logge inn med brukernavn og passord

   

2. Gå til Workiva-innloggingsskjermen, og logg inn med SCIM-brukerens Workiva-brukernavn og -passord (hvis du tidligere har brukt SAML SSO til å logge inn, må du først klikke på Endre bruker).
3. I Workiva-plattformen klikker du på profilikonet øverst til høyre og går til Min profil > Sikkerhet.
4. I delen Identitetsleverandør klikker du på rullegardinpilen Handlinger ved siden av identitetsklargjøringen din og klikker på Generer på nytt.
5. Bekreft ved å klikke på Regenerer.
6. Du vil se Grunnleggende autentiseringshemmelighet og Bærertokenhemmelighet. Kopier disse hemmelighetene ned på et sikkert sted, da du ikke vil kunne se dem igjen.

Trinn 4: Konfigurer identitetsleverandøren din

Etter at du har opprettet en identitetsleverandør, kan du konfigurere den skybaserte eller lokale identitetsleverandørprogramvaren din til å koble til Workiva.

• Sørg for at du konfigurerer en tilkobling med SCIM 2.0, da vi ikke støtter tidligere versjoner av SCIM-protokollen.
• Hvis du bruker Basic Auth-legitimasjonstypen, må du være oppmerksom på at referanser til «brukernavn» i identitetsleverandørprogramvaren din er synonymt med «ID» og «passord» er synonymt med «legitimasjon».

Se trinnene nedenfor for hvordan du konfigurerer vanlige identitetsleverandører, eller se leverandørens dokumentasjon og støttekanaler hvis du trenger hjelp.

Trinn 5: Administrer brukerroller og grupper

Du kan tilordne organisasjonsroller, arbeidsområdemedlemskap, arbeidsområderoller og arbeidsområdegrupper via SCIM-grupper. For å bruke SCIM-grupper til å administrere medlemskap og roller, må identitetsleverandøren din pushe/pull SCIM-grupper etter visningsnavnene deres (eller beskrivelser, hvis du bruker Azure og hvis policyen tillater det), i henhold til en spesifikk konvensjon beskrevet nedenfor.

Grenser og beste praksis

Når du jobber med brukere, roller og grupper i SCIM, er det noen ting du bør huske på:

• Vi anbefaler på det sterkeste å opprette en dedikert API-brukerkonto for klargjøringen, siden SCIM-tjenesten vil operere på vegne av den brukeren. SCIM-handlinger i aktivitetsloggen tilskrives brukeren du velger, og må ha rollene Organisasjonsbrukeradministrator, Organisasjonsarbeidsområdeadministrator og Organisasjonssikkerhetsadministrator.
  
• Passordsynkronisering støttes ikke.
• Brukere som er invitert inn i organisasjonen fra en annen organisasjon (f.eks. revisorer eller eksterne rådgivere) kan ikke administreres av SCIM. Hvis organisasjonen din ønsker å ha full kontroll over tredjepartsbrukere i Workiva-organisasjonen din, må du opprette en identitetsleverandørkonto for dem i stedet for å legge til brukeren fra en annen organisasjon.
• Fornavn, etternavn, visningsnavn og e-postadresse er obligatoriske for alle brukere.
• Diakritiske tegn er ikke tillatt i navnefeltene. Hvis du har brukere som har disse tegnene i navnet sitt, anbefaler vi at du endrer tilordningene for å erstatte dem.
• Når du bruker SCIM-grupper til å legge til en bruker i en arbeidsområderolle eller arbeidsområdegruppe, må brukeren som legges til allerede være medlem i arbeidsområdet (se Trinn 5: Administrer brukerroller og grupperfor mer informasjon). Hvis de ikke allerede er medlem i arbeidsområdet, vil systemet vårt vente i opptil 30 sekunder før det feiler mens vi venter på at identitetsleverandøren din skal be om at brukeren legges til i arbeidsområdet. Hvis de legges til før tiden renner ut, vil denne handlingen gjenopptas og fullføres.
• Når du utfører massetildelinger av brukere (20+) til arbeidsområderoller eller arbeidsområdegrupper, er det beste å sørge for at brukerne først får et arbeidsområdemedlemskap, og deretter tildeles arbeidsområderoller eller arbeidsområdegrupper i påfølgende anrop fra identitetsleverandøren din. Denne rekkefølgen av operasjoner sikrer at brukere er riktig lagt til i et arbeidsområde før ytterligere endringer, for eksempel tillegg av arbeidsområderoller, forsøkes.

Feilmeldinger

Trenger du hjelp?

Hvis du støter på problemer eller trenger hjelp med å sette opp en identitetsleverandør, kan du kontakte kundestøttefor å få hjelp.