Workiva supportcenter

Översikt över SCIM

Viktigt: För att konfigurera SCIM-stöd för din organisation måste du vara säkerhetsadministratör för organisationen.

Vad är SCIM?

System for Cross-domain Identity Management (SCIM) är en öppen specifikation som är utformad för att göra hanteringen av användaridentiteter enkel och automatisk. Med SCIM kan du hantera skapande och avstängning av Workiva-användare automatiskt via SCIM-aktiverade identitetsleverantörer, till exempel Okta, SailPoint IdentityIQ, PingFederate, OneLogin, Azure Active Directory med flera.

Dessutom har SCIM support för grupper för att möjliggöra hantering av organisationsroller, medlemskap i arbetsytor, roller i arbetsytor och grupper i arbetsytor. Detta gör att du kan hantera hela användarens livscykel från den identitetsleverantör du föredrar.

SCIM använder den senaste versionen av standarden, SCIM 2.0, som publicerades 2015. Tjänsten nås via HTTPS, precis som din webbläsare gör idag, och kräver inga nya brandväggsregler eller nätverksmodifieringar.

Obs: Workiva har endast support och hjälper till att felsöka konfigurationer för SCIM-klienter som är kommersiellt eller fritt tillgängliga.

SCIM-funktioner som stöds

Följande provisioneringsfunktioner har support:

• Skapa nya användare
  Nya användare som tilldelats i identitetsleverantören skapas också i Workiva-plattformen
• Inaktivera otilldelade användare
  Om du avaktiverar tilldelningen av användare i identitetsleverantören stängs användaren av på Workiva-plattformen.
• Inaktivering av användare
  Inaktivering av användare i identitetsleverantören kommer att stänga av användaren på Workiva-plattformen.
• Profiluppdateringar
  Uppdateringar som görs i en användares profil via identitetsleverantören kommer att uppdateras i Workiva-plattformen.
• Importera nya användare
  Nya användare som skapats i Workiva-plattformen kan importeras till identitetsleverantören och mappas till befintliga eller nya användare
• Återaktivera användare
  Att återaktivera en användare eller omtilldela en användare i identitetsleverantören aktiverar den användaren i Workiva-plattformen
• Grupppush
  En användares Workiva-behörigheter, inklusive organisationsroller, arbetsytemedlemskap, arbetsyteroller och arbetsytegruppmedlemskap, kan hanteras av befintliga identitetsleverantörsgrupper.

SCIM och SAML samlad inloggning

SCIM bör användas tillsammans med SAML-baserad samlad inloggning (SSO), som ger åtkomst till Workiva via din identitetsleverantör (IdP). Innan du konfigurerar SCIM-inställningarna bör du se till att du har läst Grunderna i SAML samlad inloggning och Konfigurera SAML samlad inloggning.

Viktigt: Vänligen bekräfta att alla Workiva-användarnamn har en enhetlig namngivningskonvention och är i linje med hur SCIM-verktyget kommer att skapa användare.

Steg 1: Skapa provisionering

Så här skapar du identitetstillhandahållandet och genererar SCIM API-autentiseringsuppgifter:

1. Klicka på användarikonen uppe till höger och välj Admin i rullgardinsmenyn.
2. Välj sedanOrganisationsadministratöri rullgardinsmenyn.
   
3. På sidan Organisationsadministration väljer du Säkerheti den vänstra menyrutan och väljer sedan fliken Provisionering. 
   
4. Klicka på Lägg till identitet eller API.
   

5. Välj Identity Provider i rullgardinsmenyn.
   

   Följande instruktioner gäller för en identitetsleverantör. För ett API-bidrag, se Skapa och hantera API-bidrag i Organisationsadministration.

6. Fyll i de obligatoriska fälten:
   • Ange ett Fullständigt namn för din förening. Detta namn ska beskriva det system som kommer att skicka användarinformation till Workiva, t.ex. "Okta Production".

   • Ange ett Workiva-användarnamn. SCIM-åtgärder i aktivitetsloggen tillskrivs den här användaren, och API-autentiseringsuppgifter genereras för dem.

     Vi rekommenderar att du skapar en dedikerad SCIM API-användare med följande roller:

     • Organisationsanvändaradministratör (krävs för att skapa, inaktivera och uppdatera användare)
     • Organisationssäkerhetsadministratör (krävs om SCIM hanterar säkerhetsadministratörsroller)
     • Organisationsarbetsyteadministratör (krävs om SCIM hanterar arbetsytemedlemskap, roller och grupper)
     • Workiva AI-användare (krävs om SCIM hanterar AI-roller)
     • Säkerhetsadministratör för organisationskedjor (krävs om SCIM hanterar kedjeroller)

     SCIM kan bara tilldela och hantera roller som den här användaren redan har.

     Det här kontot måste ha en giltig e-postadress för att generera API-tokens. Om du senare ändrar Workiva-användarnamnet blir den nuvarande hemligheten ogiltig och endast den nya användaren kan komma åt den nya hemligheten.

     Endast den här användaren kan se identitetsleverantörens hemlighet i Min profil > Säkerhet.

     Obs: Om SCIM API-användaren inte har en roll kan SCIM inte tilldela eller hantera den rollen för andra användare. Om du till exempel vill etablera Workiva AI-användare eller organisationskedjesäkerhetsadministratörsroller via SCIM, tilldelar du först dessa roller till SCIM API-användaren.

     Lär dig hur du uppdaterar en organisationsroll och ser vilka roller som behöver tilldelas.

   • Ange en Credential Type. Se dokumentationen från din identitetsleverantör för att avgöra vilken du ska använda.
     • Workiva-applikationen i OIN har endast support för Basic Auth.
     • En anpassad app byggd i Okta kan ha support för Bearer Token.
     • Om du använder Azure väljer du Bearer Token.
   • Ange eventuellt en Beskrivning för denna tillhandahållare av identiteter.
   • Under Administrator Contact anger du Fullständigt namn och E-postadress för en teknisk kontakt inom din IT-avdelning som vi kan kontakta vid problem eller för att informera om framtida funktionsförbättringar.
7. Klicka på Create Provisioning för att avsluta.

Steg 2: Hämta värden för ID och URL

Du behöver värdena för ID och URL för identitetstillhandahållande för Steg 4: Konfigurera din identitetsleverantör. För att få dessa värden:

1. I Organization Admin går du till Security > Provisioning.
2. I avsnittet Identity Provider hittar du din provisioning och kopierar värdena ID och URL.

Steg 3: Skaffa grundläggande autentiserings- eller bärartoken

För att få de nya Basic Auth- eller Bearer Tokens måste du logga in i Workiva-programmet med SCIM-användarens Workiva Username som du angav i Steg 1: Skapa provisionering:

1. Se till att SCIM-användarkontot har en giltig e-postadress som det går att få åtkomst till och att SCIM-användaren har lagts till i en arbetsyta. Detta beror på att ett verifieringsmeddelande kommer att skickas till SCIM-användarens e-postadress för att logga in.

   Obs: Om SAML SSO krävsmåste du lägga till denna SCIM-användare som en SAML SSO-förbigångsanvändare för att kunna logga in med användarnamn och lösenord

   

2. Gå till Workivas inloggningsskärm och logga in med SCIM-användarens Workiva-användarnamn och lösenord (om du tidigare har använt SAML SSO för att logga in måste du först klicka på Change User).
3. I Workiva-plattformen klickar du på profilikonen längst upp till höger och går till Min profil > Säkerhet.
4. I avsnittet Identity Provider klickar du på rullgardinsmenyn Åtgärder bredvid din identitetstilldelning och klickar på Regenerera.
5. Bekräfta genom att klicka på Regenerera.
6. Du kommer att se Basic Auth Secret och Bearer Token Secret. Kopiera ner dessa hemligheter på en säker plats, eftersom du inte kommer att kunna se dessa hemligheter igen.

Steg 4: Konfigurera din identitetsleverantör

När du har skapat en identitetsleverantör kan du sedan konfigurera din molnbaserade eller lokala programvara för identitetsleverantör för att ansluta till Workiva.

• Se till att du upprättar en anslutning med SCIM 2.0, eftersom vi inte har support för tidigare versioner av SCIM-protokollet.
• Om du använder dig av referenstypen Basic Auth bör du vara medveten om att hänvisningar till "användarnamn" i din Identity Provider-programvara är synonymt med "ID" och "lösenord" är synonymt med "referens".

Se stegen nedan för hur du konfigurerar vanliga identitetsleverantörer, eller kontakta leverantörens dokumentation och support om du behöver hjälp.

Steg 5: Hantera användarroller och grupper

Du kan tilldela organisationsroller, medlemskap i arbetsytor, roller i arbetsytor och grupper i arbetsytor via SCIM-grupper. Om du vill använda SCIM-grupper för att hantera medlemskap och roller måste din identitetsleverantör pusha/dra SCIM-grupper med deras visningsnamn (eller beskrivningar, om du använder Azure och om policyn tillåter det), enligt en specifik konvention som beskrivs nedan.

Gränser och bästa praxis

När du arbetar med användare, roller och grupper i SCIM finns det några saker du bör tänka på:

• Vi rekommenderar starkt att du skapar ett dedikerat API-användarkonto för provisioneringen eftersom SCIM-tjänsten kommer att fungera på uppdrag av den användaren. SCIM-åtgärder i aktivitetsloggen tillskrivs den användare du väljer och måste ha rollerna Org User Admin, Org Workspace Admin och Org Security Admin.
  
• Synkronisering av lösenord stöds inte.
• Användare som bjuds in till organisationen från en annan organisation (t.ex. revisorer eller externa rådgivare) kan inte hanteras av SCIM. Om din organisation vill ha fullständig kontroll över tredjepartsanvändare inom din Workiva-organisation måste du skapa ett identitetsleverantörskonto för dem istället för att lägga till användaren från en annan organisation.
• Fälten för förnamn, efternamn, visningsnamn och e-postadress är obligatoriska för alla användare.
• Diakritiska tecken är inte tillåtna i namnfälten. Om du har användare som har dessa tecken i sitt namn rekommenderar vi att du ändrar mappningarna så att de ersätts.
• När du använder SCIM-grupper för att lägga till en användare i en arbetsytoroll eller arbetsytgrupp måste den användare som läggs till redan vara medlem i arbetsytan (se Steg 5: Hantera användarroller och grupper för mer information). Om de inte redan är medlemmar i arbetsytan kommer vårt system att vänta i upp till 30 sekunder innan det går inte medan vi väntar på att din identitetsleverantör ska begära att användaren läggs till i arbetsytan. Om de läggs till innan tiden löper ut kommer åtgärden att återupptas och slutföras framgångsrikt.
• Vid masstilldelning av användare (20 ) till arbetsytoroller eller arbetsytegrupper är bästa praxis att se till att användarna först får ett medlemskap i arbetsytan och sedan tilldelas arbetsytoroller eller arbetsytegrupper i efterföljande samtal från identitetsleverantören. Denna arbetsordning säkerställer att användare har lagts till på rätt sätt i en arbetsyta innan ytterligare ändringar görs, t.ex. tillägg av arbetsytans roll.

Felmeddelanden

Behöver du hjälp?

Om du stöter på några problem eller behöver hjälp med att konfigurera en identitetsleverantör kan du kontakta Support för att få hjälp.