Microsoft Entra ID로 SCIM 프로비저닝 구성 및 테스트 방법

SCIM은 ID 공급자를 Apidog 조직에 연결하여 관리자가 ID 수명 주기를 통해 조직 사용자를 추가하고 제거할 수 있도록 합니다. 프로비저닝된 사용자는 조직의 SSO ID로 로그인할 때까지 비활성 상태로 유지됩니다.

이 튜토리얼은 Apidog SCIM용 Microsoft Entra ID를 구성하고, 프로비저닝을 확인하며, 사용자 제거에 대한 통제된 테스트를 제공합니다.

시작하기 전에

필요한 사항:

• Apidog Enterprise 조직;
• 해당 조직에 대해 이미 구성된 SAML 인증;
• Apidog의 조직 소유자 또는 조직 관리자 액세스 권한;
• Microsoft Entra 엔터프라이즈 애플리케이션에 대한 관리자 액세스 권한;
• 프로비저닝 및 제거 테스트를 위한 일회용 테스트 계정.

현재 Apidog 문서는 다음 SCIM 지원을 나열합니다:

SAML 그룹 매핑은 ID 공급자 그룹을 Apidog 팀에 매핑하는 별도의 기능입니다.

1단계: SAML 식별자 확인

Microsoft Entra는 SCIM 매핑과 일치하는 안정적인 식별자를 사용해야 합니다.

Apidog에 사용되는 Entra 엔터프라이즈 애플리케이션에서:

1. 단일 사인온을 엽니다.
2. 속성 및 클레임을 편집합니다.
3. 고유 사용자 식별자 (이름 ID)를 엽니다.
4. 이름 ID 형식을 영구(Persistent)로 설정합니다.
5. 원본 속성을 user.objectid로 설정합니다.
6. 변경 사항을 저장합니다.

애플리케이션이 이미 사용 중인 경우, 이 변경 사항을 광범위하게 적용하기 전에 파일럿 사용자로 테스트하십시오.

2단계: Apidog에서 SCIM 토큰 생성

1. Apidog 조직 설정을 엽니다.
2. SAML SSO 페이지로 이동합니다.
3. SCIM 토큰 생성을 선택합니다.
4. SCIM 토큰을 복사합니다.
5. SCIM API 엔드포인트 URL을 복사합니다.

Microsoft Entra가 프로비저닝해야 하는 조직에서 토큰을 생성합니다.

SCIM 토큰을 자격 증명으로 취급하십시오. 승인된 비밀 관리 시스템에 저장하고 스크린샷, 티켓 또는 공유 메모에 넣지 마십시오.

3단계: Microsoft Entra ID에서 자동 프로비저닝 구성

1. Microsoft Entra ID에서 엔터프라이즈 애플리케이션을 엽니다.
2. Apidog에 사용되는 애플리케이션을 선택합니다.
3. 사용자 계정 프로비저닝을 연 다음 시작하기를 선택합니다.
4. 프로비저닝 모드를 자동으로 설정합니다.
5. Apidog SCIM API 엔드포인트를 테넌트 URL 필드에 붙여넣습니다.
6. SCIM 토큰을 비밀 토큰 필드에 붙여넣습니다.
7. 연결을 테스트합니다.
8. 연결 테스트가 성공한 후에만 저장합니다.

동일한 Apidog 조직에서 생성된 엔드포인트와 토큰을 사용하십시오.

4단계: 속성 매핑 구성

엔터프라이즈 애플리케이션의 프로비저닝 매핑을 엽니다.

1. 그룹 매핑을 비활성화합니다.
2. 사용자 매핑을 엽니다.
3. 기본 externalId 매핑을 제거합니다.
4. Entra objectId를 SCIM externalId에 매핑하고 우선 순위를 1로 설정합니다.
5. userPrincipalName에서 userName으로 매핑을 추가합니다.
6. 필요한 매핑만 남도록 다른 매핑을 제거합니다.
7. 구성을 저장합니다.

문서화된 매핑은 externalId에 objectId를 사용하고 userName에 userPrincipalName을 사용합니다.

이 통합에 SCIM 그룹 푸시를 활성화하지 마십시오. Apidog는 현재 SCIM 그룹을 지원하지 않습니다.

5단계: 프로비저닝 시작 및 사용자 확인

1. Entra 프로비저닝 개요로 돌아갑니다.
2. 프로비저닝 시작을 선택합니다.
3. Entra 구성에 필요한 경우 일회용 테스트 사용자를 애플리케이션에 할당합니다.
4. 프로비저닝 주기까지 기다리거나 승인된 온디맨드 테스트를 사용합니다.
5. Apidog 조직의 멤버 목록을 엽니다.
6. 사용자가 프로비저닝되거나 비활성 상태로 나타나는지 확인합니다.

프로비저닝된 사용자는 SSO를 통해 로그인하여 활성화될 때까지 유료 좌석을 차지하지 않습니다.

다음으로, 테스트 사용자가 조직의 SSO 진입점을 통해 로그인하도록 합니다. 계정이 SSO ID에 연결되고 활성화되며 좌석을 차지하는지 확인합니다.

Microsoft의 동기화 간격은 Apidog 문서에 약 40분으로 명시되어 있습니다. 이는 서비스 수준 보장이 아닌 추정치로 간주하십시오.

6단계: 배포 전에 사용자 제거 테스트

ID 공급자는 할당 해제, 비활성화, 삭제를 포함한 여러 오프보딩 작업을 노출할 수 있습니다. 이러한 작업이 동일한 SCIM 요청을 생성한다고 가정하지 마십시오.

통제된 테스트를 사용하십시오:

1. 일회용 사용자가 의도한 Apidog 조직에서 활성화되어 있는지 확인합니다.
2. 사용자의 조직 및 팀 멤버십을 기록합니다.
3. 조직이 사용하려는 정확한 Microsoft Entra 오프보딩 작업을 적용합니다.
4. 프로비저닝이 처리될 때까지 기다립니다.
5. Entra에서 프로비저닝 결과를 확인합니다.
6. 연결된 사용자가 해당 Apidog 조직에서 제거되었는지 확인합니다.
7. 조직의 감사 로그에서 SCIM 프로비저닝 해제 또는 멤버 제거 이벤트를 검토합니다.
8. 사용자가 더 이상 SSO를 통해 해당 조직에 입장할 수 없는지 확인합니다.

Apidog의 일반 SCIM 문서는 엔터프라이즈 관리자가 ID 공급자에서 사용자를 삭제하면 연결된 사용자가 해당 Apidog 조직에서 제거된다고 명시합니다. 현재 Microsoft Entra 설정 페이지는 모든 Entra 오프보딩 작업의 결과를 문서화하지 않습니다. SCIM을 유일한 오프보딩 제어 수단으로 만들기 전에 테넌트에서 사용하는 작업을 검증하십시오.

Apidog 조직에서 제거하는 것은 개인의 전체 Apidog 계정을 삭제하거나 관련 없는 조직 및 외부 시스템에서 액세스를 제거하는 것과는 다릅니다.

수명 주기 워크플로 확인

프로덕션 배포 전에 일회용 계정으로 다음 네 가지 상태를 모두 확인하십시오:

또한 실패하거나 지연된 프로비저닝을 위한 수동 제거 경로를 정의하십시오.

문제 해결

중요한 제한 사항

SCIM은 해당 Apidog 조직의 멤버십을 관리합니다. 다른 시스템에서 발급된 자격 증명, 리포지토리 액세스, 클라우드 역할, 게이트웨이 권한 또는 프로덕션 API 키를 제거하지 않습니다. 이러한 시스템도 동일한 오프보딩 체크리스트에 포함하십시오.

관련 API 거버넌스 튜토리얼:

이 튜토리얼은 엔터프라이즈 API 워크스페이스를 관리하기 위한 보완적인 제어 기능을 다룹니다:

• API 거버넌스 프레임워크 — 소유권, 제어, 증거 및 수명 주기 결정을 연결합니다.
• Microsoft Entra ID를 통한 SAML 그룹 매핑 — ID 공급자 그룹에서 팀 액세스를 할당합니다.
• 비밀 스캐너 — 지원되는 Apidog 자산에서 노출되었을 수 있는 자격 증명을 검토합니다.
• 감사 로그 — 관리 조직 활동을 조사하고 내보냅니다.
• SCIM 프로비저닝 — ID 수명 주기를 통해 조직 사용자를 관리합니다.
• 엔터프라이즈 정책 — 자격 증명, 멤버십, SSO 세션 및 초대 제어를 구성합니다.
• 셀프 서비스 API 팀 — 소유권 감독을 유지하면서 멤버가 생성한 팀을 허용합니다.
• GitHub Enterprise Cloud 통합 — OpenAPI 워크플로를 위해 지원되는 GHE.com 리포지토리를 연결합니다.

관련 공식 문서:

• SCIM 프로비저닝 소개
• Microsoft Entra ID SCIM 설정
• Okta SCIM 설정
• 그룹을 팀에 매핑
• 감사 로그