System zarządzania tożsamością w wielu domenach (ang. System for Cross-domain Identity Management, SCIM) to protokół służący do zarządzania użytkownikami w wielu aplikacjach. Zespół IT lub operacyjny może za jego pomocą łatwo aprowizować (dodawać), dezaktywować i aktualizować dane użytkowników w wielu aplikacjach jednocześnie.

Aby skonfigurować aprowizowanie SCIM w Okta, potrzebujesz pomocy administratora monday.com oraz menedżera Twojego konta Okta.

Możliwości SCIM obsługiwane w monday.com

• Aprowizowanie użytkowników
• Dezaktywowanie użytkowników
• Aprowizowanie zespołów
• Dezaktywowanie zespołów
• Zmiana nazw zespołów
• Aktualizowanie danych użytkowników
• Przypisywanie użytkowników do zespołów
• Usuwanie użytkowników z zespołów
• Zmiana hasła użytkownika

Konfiguracja

Krok 1 – dodaj monday.com do Okta

Otwórz stronę administratora Okta i przełącz się na „Classic UI” (klasyczny interfejs), klikając konsolę programisty:

Następnie kliknij Aplikacje (Applications), kliknij Dodaj aplikację (Add app) i wyszukaj monday.com w sklepie z aplikacjami:

Krok 2 – otwórz sekcję aprowizowania

Otwórz stronę administratora Okta i wybierz z listy aplikację monday.com. Następnie wybierz kartę Aprowizowanie (Provisioning).

Następnie kliknij kartę ustawień Integracja (Integration), a potem Konfiguruj integrację API (Configure API Integration):

Krok 3 – otwórz sekcję administratora monday.com i pobierz token aprowizowania

Otwórz konto monday.com, kliknij swoje zdjęcie profilowe w lewym dolnym rogu, a następnie wybierz Administrator (Admin). W sekcji administratora konta kliknij Zabezpieczenia (Security) po lewej stronie, a następnie przejdź do sekcji SCIM.

W tym miejscu możesz wygenerować token, a następnie skopiować go i wkleić do Okta.

Krok 4 – włącz aprowizowanie

Wklej token API do Okta i przetestuj dane logowania do API:

Gdy otrzymasz potwierdzenie, że dane logowania są prawidłowe, kliknij Zapisz (Save).

Krok 5 – dokończ konfigurację

Kliknij kartę Do aplikacji (To App) w ustawieniach i włącz wszystkie funkcje potrzebne do pracy z monday.com.

Konfiguracja aprowizowania użytkowników

Otwórz kartę Przypisania (Assignments) w aplikacji monday.com, kliknij Przypisz (Assign) i wybierz, czy chcesz przypisać do aplikacji monday.com osoby czy grupy.

Uwaga: Jeśli usuniesz aprowizowanie użytkownika z aplikacji monday.com, użytkownik pozostanie na koncie monday.com jako nieaktywny i nie będzie wliczany do limitu użytkowników monday.com.

Atrybuty użytkownika

Obsługiwane pola mapowania atrybutów użytkownika:

• Imię i nazwisko (nie mogą zawierać znaków specjalnych)
• E-mail (musi być zapisany małymi literami)
• userType (admin, member, viewer, guest, role niestandardowe)
• Stanowisko (pozycja użytkownika podana w sekcji profilu)
• Active (informuje, czy użytkownik jest aktywny, czy nieaktywny)
• Strefa czasowa
• Ustawienia regionalne (język)
• Numer telefonu
• Adres

Uwaga: Nazwą użytkownika powinien być zawsze jego adres e-mail.

Jeśli używasz Okta zarówno do aprowizowania SCIM, jak i logowania SSO:

• Podczas tworzenia użytkownika za pomocą aprowizowania SCIM jego adres e-mail możesz zmapować na dowolne wybrane prawidłowe pole e-mail. Podczas logowania SSO używany jest jednak zawsze adres z pola user.email.
• Jeśli oprócz aprowizowania SCIM chcesz używać logowania SSO, upewnij się, że adres e-mail używany do aprowizowania SCIM jest zmapowany na user.email lub na pole zawierające tę samą wartość.

Konfiguracja atrybutu typu użytkownika

Możesz aprowizować typ użytkownika monday.com, tworząc atrybut niestandardowy w Okta.

Dostępne typy użytkowników:

• admin
• member
• viewer
• guest
• identyfikator roli niestandardowej

Aby skonfigurować aprowizowanie SCIM z obsługą ról niestandardowych jako typów użytkowników:

1. Skonfiguruj odpowiednią rolę niestandardową w monday.com zgodnie z instrukcjami w tym artykule.
2. Skopiuj identyfikator roli niestandardowej. Możesz to zrobić w centrum uprawnień konta: kliknij menu z trzema kropkami obok nazwy roli, a następnie kliknij Kopiuj identyfikator (Copy ID), jak pokazano poniżej.

Uwaga: Więcej informacji o typach użytkowników monday.com znajdziesz w tym artykule.

Kroki:

1. Kliknij kartę Katalog (Directory), a następnie wybierz Edytor profilu (Profile Editor).

2. Wybierz Aplikacje (Apps) i kliknij aplikację monday.com.

3. Kliknij przycisk Dodaj atrybut (Add Attribute).

4. Wypełnij pola i kliknij Zapisz (Save) na dole strony:

5. Możesz też użyć listy typu Enum, aby zezwolić na używanie tylko określonych, wstępnie zdefiniowanych wartości roli użytkownika.

Uwaga: Wartość External name powinna wynosić userType, a External namespace - urn:ietf:params:scim:schemas:core:2.0:User.

Konfiguracja aprowizowania zespołów

Co oznacza przesłanie grupy do monday.com? W wyniku przesłania grupy do monday.com na Twoim koncie zostanie utworzony nowy zespół, do którego trafią wszyscy użytkownicy przypisani do tej grupy w Okta.

Ważna uwaga: Jeśli przypiszesz grupę do aplikacji monday.com w Okta, a w monday.com istnieje zespół o tej samej nazwie, grupa z Okta zastąpi ten zespół.
Ze względu na prywatność zalecamy koordynację aprowizowania zespołów z administratorem monday.com. Pozwoli to uniknąć sytuacji, w której użytkownicy tracą dostęp do swoich danych lub uzyskują do nich niezamierzony dostęp.

Zanim prześlesz grupę do monday.com, najpierw przypisz ją do konta monday.com. To ważne, ponieważ nie można przesłać grupy, jeśli wszyscy jej użytkownicy nie znajdują się już na koncie monday.com.

Kroki:

1. Przypisz grupę do swojego konta monday.com.

2. Kliknij kartę Przesyłanie grup (Push Groups), a następnie przycisk Prześlij grupy (Push Groups).

3. Wybierz grupę, którą chcesz przesłać do monday.com, i kliknij Zapisz (Save).

Obsługa błędów

Poniższa tabela zawiera kody błędów i możliwe przyczyny ich wystąpienia. Wskazówki dotyczące rozwiązania znajdziesz w trzeciej kolumnie:

Kod błędu	Co oznacza?	Co możesz zrobić?
404 Not Found	Zasób może być wyłączony lub nieaprowizowany	Spróbuj najpierw aprowizować zasób za pomocą żądania POST
409 Conflict	Użytkownik o podanym adresie e-mail już istnieje i został aprowizowany	Spróbuj najpierw pobrać żądanego użytkownika za pomocą żądania GET. Być może chodziło Ci właśnie o niego
403 Forbidden	Próbujesz uzyskać dostęp do danych, do których nie masz uprawnień	Upewnij się, że używasz prawidłowego adresu URL i że token został podany we właściwy sposób. Ten błąd może też oznaczać, że nie masz konta Enterprise, które jest wymagane do korzystania z punktów końcowych SCIM.
500 Internal Server Error	Wystąpił błąd po naszej stronie	Upewnij się, że przekazane dane są prawidłowe. Jeśli tak, utwórz zgłoszenie do obsługi klienta, a pomożemy Ci rozwiązać problem
400 Bad Request	Żądanie dotyczy czynności, której nie możemy wykonać	Upewnij się, że przekazane dane są prawidłowe. Jeśli nie wiesz, które dane są nieprawidłowe, utwórz zgłoszenie do obsługi klienta, a pomożemy Ci to ustalić
429 Too Many Requests	Wysłano zbyt wiele żądań w krótkim czasie	Zrób sobie przerwę i napij się mrożonej herbaty. Gdy minie limit, znów będziemy mogli obsługiwać Twoje żądania. Limit żądań zapisu: do 450 na minutę na konto. Żądania zapisu obejmują: tworzenie, modyfikowanie, aktualizowanie (w całości) i usuwanie użytkownika, a także tworzenie, modyfikowanie i usuwanie grupy. Limit żądań odczytu: do 1000 na minutę na konto. Żądania odczytu obejmują: pobieranie listy użytkowników, danych użytkownika, listy grup i danych grupy.
501 Not Implemented	Żądanie dotyczy funkcji, której jeszcze nie obsługujemy	Możesz spróbować wysłać prostsze żądanie albo utworzyć zgłoszenie do obsługi klienta. Dodamy obsługę Twojego przypadku użycia

Ustaw domyślnego właściciela automatyzacji, integracji i przepływów pracy

Wskazówka: Ta opcja sprawdzi się w przypadku kont korzystających z SCIM lub GraphQL.

Uwaga: Aby przenieść wszystkie automatyzacje od jednego właściciela do innego lub ustawić domyślnego właściciela, musisz być administratorem.

Administratorzy mogą określić domyślną regułę, która automatycznie przenosi własność automatyzacji, integracji i przepływów pracy należących do dezaktywowanych użytkowników - bez względu na przyczynę dezaktywacji. Dzięki temu dezaktywacja użytkownika nie wpłynie na automatyzacje, integracje ani przepływy pracy, a automatyczne procesy na koncie będą nadal działać bez zakłóceń.

Aby otworzyć te ustawienia, przejdź do sekcji Administracja (Administration) na swoim koncie:

Następnie otwórz kartę Własność automatyzacji (Automations Ownership):

Po włączeniu tej opcji własność automatyzacji, integracji i przepływów pracy będzie automatycznie przenoszona na domyślnego właściciela po dezaktywacji użytkownika. Dotyczy to każdego użytkownika dezaktywowanego na Twoim koncie.

Domyślnym właścicielem może być dowolny aktywny użytkownik na Twoim koncie. Wybierz użytkownika z menu rozwijanego i kliknij Zapisz (Save), aby zatwierdzić wybór:

Podczas dezaktywowania użytkownika administrator może też zmienić domyślnego właściciela i wybrać inną osobę, która przejmie automatyzacje użytkownika opuszczającego konto. Aby to zrobić, otwórz kartę Użytkownicy (Users), kliknij trzy kropki po prawej stronie nazwy użytkownika i wybierz Dezaktywuj użytkownika (Deactivate user):

Następnie możesz wybrać nowego właściciela z menu rozwijanego. Jeśli ustawiono domyślnego właściciela, możesz go zastąpić podczas ręcznego dezaktywowania użytkownika na koncie monday.com:

Najczęściej zadawane pytania

Przygotowaliśmy listę najczęściej zadawanych pytań dotyczących SCIM. Kliknij ten link, aby je przeczytać!