Провізіонування користувачів через SCIM

Вступ

Цей посібник допоможе налаштувати автоматичне провізіонування користувачів із вашого постачальника ідентифікації (IdP) на платформу RansomLeak за допомогою SCIM 2.0 (System for Cross-domain Identity Management).

Коли SCIM увімкнено, ваша організація може:

• Автоматично створювати користувачів, коли їх призначають застосунку у вашому IdP
• Автоматично оновлювати атрибути користувачів, коли вони змінюються у вашому IdP
• Автоматично деактивувати користувачів, коли їх знімають із призначення застосунку
• Синхронізувати групи для навчання і, за потреби, надання ролей

Якщо ви ввімкнете відповідні тригери уроків «саме вчасно» у навчанні в чаті, користувачі, яких створює ваш IdP, також можуть отримати вітальний урок у Slack, а ті, у кого змінилася посада чи відділ, урок про нову роль. Перший запис користувача з IdP ніколи не надсилає урок про зміну ролі.

Передумови

Перш ніж почати, переконайтеся, що у вас є:

1. Доступ адміністратора до вашого постачальника ідентифікації (Microsoft Entra ID, Okta тощо)
2. Облікові дані SCIM від служби підтримки RansomLeak (див. крок 1)

Крок 1: Отримайте облікові дані SCIM

Важливо: провізіонуванням через SCIM керує служба підтримки RansomLeak. Перш ніж продовжити, ви маєте запросити в неї облікові дані SCIM.

Зверніться до служби підтримки RansomLeak, щоб увімкнути SCIM для вашої організації. Вам нададуть:

Облікові дані	Опис	Приклад
URL кінцевої точки SCIM	Куди ваш IdP надсилає запити на провізіонування	https://yourcompany.ransomleak.com/scim/v2
Bearer-токен	Секретний токен автентифікації (48 символів)	a1b2c3d4e5f6789...

Важливі примітки

• Bearer-токен показується лише один раз, коли його генерує служба підтримки RansomLeak
• Зберігайте токен у безпечному місці — поводьтеся з ним як із паролем
• Якщо ви втратите токен, зверніться до служби підтримки RansomLeak, щоб згенерувати новий

Крок 2: Налаштуйте свого постачальника ідентифікації

Microsoft Entra ID (Azure AD)

2.1 Створіть корпоративний застосунок

1. Перейдіть до Microsoft Entra admin center
2. Відкрийте Identity → Applications → Enterprise Applications
3. Натисніть + New Application
4. Натисніть + Create your own application
5. Введіть назву (наприклад, «RansomLeak - SCIM»)
6. Виберіть Integrate any other application you don’t find in the gallery
7. Натисніть Create

2.2 Налаштуйте провізіонування

1. У новому застосунку перейдіть до Provisioning
2. Натисніть Get started
3. Установіть для Provisioning Mode значення Automatic
4. У розділі Admin Credentials:
   • Tenant URL: введіть URL кінцевої точки SCIM, наданий вашим адміністратором
   • Secret Token: введіть Bearer-токен, наданий вашим адміністратором
5. Натисніть Test Connection, щоб перевірити підключення
6. Натисніть Save

2.3 Налаштуйте зіставлення атрибутів

1. Розгорніть Mappings
2. Натисніть Provision Microsoft Entra ID Users
3. Налаштуйте такі зіставлення:

Атрибут Microsoft Entra ID	Атрибут SCIM	Примітки
objectId	externalId	Обов’язковий — унікальний ідентифікатор
userPrincipalName	userName	Обов’язковий — адреса електронної пошти
givenName	name.givenName	Ім’я
surname	name.familyName	Прізвище
jobTitle	title	Необов’язковий — синхронізується в профіль користувача
Switch([IsSoftDeleted],…)	active	Статус облікового запису
department	urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	Автоматично створює команди
manager	urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:manager	Прив’язує до менеджера

4. Натисніть Save

2.4 Налаштуйте провізіонування груп (необов’язково)

Якщо ви хочете синхронізувати групи (як аудиторії навчання і, за потреби, для надання ролей):

1. Натисніть Provision Microsoft Entra ID Groups
2. Переконайтеся, що displayName зіставлено з displayName
3. Переконайтеся, що members зіставлено з members
4. Натисніть Save

2.5 Призначте користувачів і групи

1. Перейдіть до Users and groups
2. Натисніть + Add user/group
3. Виберіть користувачів або групи для провізіонування
4. Натисніть Assign

2.6 Запустіть провізіонування

1. Поверніться до Provisioning
2. Натисніть Start provisioning

Початкова синхронізація може тривати 20–40 хвилин. Наступні синхронізації відбуваються кожні 40 хвилин.

Okta

RansomLeak опубліковано в Okta Integration Network. Використовуйте застосунок із каталогу: він охоплює вхід через SAML і провізіонування через SCIM в одному застосунку та сам формує кінцеву точку SCIM, тож вставити потрібно лише ваш субдомен і токен. Створюйте власний SCIM-застосунок, лише якщо ваша організація в Okta блокує інтеграції з каталогу.

2.1 Додайте застосунок RansomLeak

1. В Okta Admin Console перейдіть до Applications → Applications
2. Натисніть Browse App Catalog
3. Знайдіть RansomLeak і натисніть Add Integration
4. У полі Subdomain введіть свій субдомен RansomLeak (yourcompany в https://yourcompany.ransomleak.com). Він показаний із кнопкою копіювання на вкладках SCIM і SAML SSO у налаштуваннях тенанта RansomLeak.
5. Натисніть Done

2.2 Увімкніть провізіонування

1. Перейдіть на вкладку Provisioning і натисніть Configure API Integration
2. Позначте Enable API integration
3. Вставте bearer-токен SCIM у поле API Token. Введіть лише сам токен, без префікса Bearer : застосунок із каталогу додає схему сам.
4. Натисніть Test API Credentials, а потім Save
5. У розділі Provisioning → To App натисніть Edit і ввімкніть:
   • Create Users
   • Update User Attributes
   • Deactivate Users

2.3 Налаштуйте зіставлення атрибутів

1. Залишайтеся в Provisioning → To App
2. Переконайтеся, що userName зіставлено з основною адресою електронної пошти користувача; решту стандартних зіставлень застосунок із каталогу вже містить
3. Якщо ваш каталог використовує інші вихідні поля, налаштуйте решту атрибутів відповідно до таблиці для Entra ID вище

2.4 Призначте користувачів

1. Перейдіть на вкладку Assignments
2. Натисніть Assign → Assign to People або Assign to Groups
3. Виберіть користувачів/групи й натисніть Assign

Альтернатива: власний SCIM-застосунок

Якщо ви не можете використати застосунок із каталогу, створіть інтеграцію вручну:

1. Applications → Create App Integration → SCIM 2.0
2. Установіть для SCIM connector base URL ваш URL кінцевої точки SCIM (https://yourcompany.ransomleak.com/scim/v2)
3. Установіть для Unique identifier field значення userName
4. У розділі Supported provisioning actions виберіть:
   • Push New Users
   • Push Profile Updates
   • Push Groups (якщо використовуєте синхронізацію груп)
5. Установіть для Authentication Mode значення HTTP Header
6. У полі Authorization введіть Bearer YOUR_SCIM_TOKEN. Тут префікс Bearer обов’язковий, на відміну від застосунку з каталогу.
7. Натисніть Test Connector Configuration, а потім Save
8. Налаштуйте зіставлення атрибутів і призначення, як описано в пунктах 2.3 і 2.4 вище

OneLogin

2.1 Додайте SCIM-застосунок

1. Перейдіть до Applications → Add App
2. Знайдіть «SCIM Provisioner with SAML (SCIM v2 Core)»
3. Натисніть Save

2.2 Налаштуйте SCIM

1. Перейдіть до Configuration
2. Установіть для SCIM Base URL URL кінцевої точки SCIM, отриманий від адміністратора
3. Установіть для SCIM Bearer Token токен, отриманий від адміністратора
4. Задайте SCIM JSON Template (використайте стандартний або змініть його)
5. Натисніть Save

Крок 3: Як працюють групи та ролі

Як працює синхронізація груп

Кожна група, яку синхронізує ваш постачальник ідентифікації, стає групою в RansomLeak (Керування користувачами → Групи) з тими самими учасниками. Використовуйте синхронізовані групи для навчання: призначайте їм автоматичні навчальні шляхи або додавайте до кампаній.

Синхронізована група змінює ролі людей, лише якщо ви це налаштуєте:

1. Відкрийте Керування користувачами → Групи і натисніть олівець біля синхронізованої групи.
2. У полі Учасники отримують роль виберіть роль і пріоритет.

Групи без ролі лише визначають аудиторію навчання і ніколи не змінюють ролі. Див. Ролі з груп.

Групи, зв’язані до цієї зміни

Якщо ваш постачальник ідентифікації вже синхронізував групи з ролями, для користувачів нічого не змінюється: кожна така група стала синхронізованою групою, що надає ту саму роль із тим самим пріоритетом.

Пріоритет ролей

Якщо користувач входить у кілька груп, що надають роль, він отримує роль із найменшим числом пріоритету. Ролі, призначені людині вручну, синхронізація груп ніколи не змінює. Користувач, вилучений з усіх груп, що надають роль, отримує типову роль.

Крок 4: Перевірте провізіонування

Переконайтеся, що користувачів створено

1. Увійдіть на свій адміністративний портал
2. Перейдіть до Користувачі
3. Переконайтеся, що користувачі, надані через провізіонування, з’явилися в списку
4. Для користувачів, наданих через SCIM, буде показано посаду, синхронізовану з постачальника ідентифікації

Типові кроки перевірки

Перевірка	Очікуваний результат
Користувач є в списку користувачів	✓
Ім’я та прізвище правильні	✓
Email збігається з IdP	✓
Синхронізовані групи є в Керування користувачами → Групи	✓
Команда відповідає відділу	✓
Посаду синхронізовано з IdP	✓

Усунення несправностей

Користувачі не синхронізуються

1. Перевірте тестове підключення: у своєму IdP повторно запустіть перевірку підключення SCIM
2. Перевірте токен: переконайтеся, що токен скопійовано правильно, без зайвих пробілів
3. Перевірте призначення: переконайтеся, що користувачів призначено застосунку у вашому IdP
4. Дочекайтеся циклу синхронізації: початкова синхронізація може тривати до 40 хвилин

Помилка: 401 Unauthorized

• Токен може бути неправильним або простроченим
• Зверніться до служби підтримки RansomLeak, щоб перевірити, чи ввімкнено SCIM
• За потреби запросіть новий токен

Помилка: SCIM не ввімкнено

• Зверніться до служби підтримки RansomLeak, щоб увімкнути SCIM для вашого тенанта

Користувачі мають неправильну роль

• Перевірте, до яких груп належить користувач у вашому IdP
• Перевірте, яку роль надає кожна з цих груп (Керування користувачами → Групи)
• Пам’ятайте: перемагає найменше число пріоритету, а ролі, призначені вручну, ніколи не змінюються

Менеджера не прив’язано

• Менеджера потрібно надати через провізіонування раніше, ніж працівника
• Запустіть синхронізацію вручну або дочекайтеся наступного циклу синхронізації

Токен прострочений або недійсний

• Зверніться до служби підтримки RansomLeak, щоб згенерувати новий токен
• Вкажіть новий токен у конфігурації SCIM у своєму IdP

Рекомендації з безпеки

1. Безпека токена

   • Зберігайте токен SCIM у безпечному місці (поводьтеся з ним як із паролем)
   • Передавайте токени лише захищеними каналами
   • Якщо ви підозрюєте, що токен скомпрометовано, негайно зверніться до служби підтримки RansomLeak

2. Контроль доступу

   • Призначайте лише тих користувачів, яким потрібен доступ до RansomLeak
   • Використовуйте групи для керування призначенням ролей

3. Моніторинг

   • Регулярно переглядайте журнали провізіонування у своєму IdP
   • Повідомляйте службу підтримки RansomLeak про будь-які неочікувані створення користувачів

Отримання допомоги

Якщо у вас виникли проблеми, не описані в цьому посібнику:

1. Перевірте журнали IdP: журнали провізіонування вашого постачальника ідентифікації містять докладні повідомлення про помилки
2. Зверніться до служби підтримки RansomLeak: вона керує конфігурацією SCIM і може:
   • Перевірити, чи ввімкнено SCIM для вашого тенанта
   • За потреби згенерувати нові токени
   • Перевірити стан синхронізації SCIM
3. Додайте подробиці: повідомляючи про проблему, укажіть:
   • URL вашого тенанта
   • IdP, який ви використовуєте
   • Повідомлення про помилки з журналів провізіонування IdP
   • Час, коли виникла проблема

Додаток: довідник кінцевих точок SCIM

Для технічних адміністраторів ось кінцеві точки SCIM:

Кінцева точка	Метод	Опис
/scim/v2/ServiceProviderConfig	GET	Можливості SCIM
/scim/v2/Schemas	GET	Підтримувані схеми
/scim/v2/Users	GET, POST	Список/створення користувачів
/scim/v2/Users/{id}	GET, PUT, PATCH, DELETE	Операції з користувачем
/scim/v2/Groups	GET, POST	Список/створення груп
/scim/v2/Groups/{id}	GET, PUT, PATCH, DELETE	Операції з групою

Версія документа: 2.0