Como Configurar e Testar o Provisionamento SCIM com Microsoft Entra ID

O SCIM conecta um provedor de identidade a uma organização Apidog para que os administradores possam adicionar e remover usuários da organização ao longo do ciclo de vida da identidade. Usuários provisionados permanecem inativos até que façam login com a identidade SSO da organização.

Este tutorial configura o Microsoft Entra ID para SCIM do Apidog, verifica o provisionamento e fornece um teste controlado para remoção de usuários.

Antes de começar

Você precisa de:

• uma organização Apidog Enterprise;
• autenticação SAML já configurada para essa organização;
• acesso de Proprietário da Organização ou Administrador da Organização no Apidog;
• acesso de administrador ao aplicativo corporativo Microsoft Entra;
• uma conta de teste descartável para testes de provisionamento e remoção.

A documentação atual do Apidog lista o seguinte suporte SCIM:

Mapeamento de grupos SAML é um recurso separado para mapear grupos de provedores de identidade para equipes do Apidog.

Passo 1: Confirmar o identificador SAML

O Microsoft Entra deve usar um identificador estável que corresponda ao mapeamento SCIM.

No aplicativo corporativo Entra usado para Apidog:

1. abra Single sign-on (Logon único);
2. edite Attributes & Claims (Atributos e Declarações);
3. abra Unique User Identifier (Name ID) (Identificador de Usuário Exclusivo (ID de Nome));
4. defina o formato do ID de Nome como Persistent (Persistente);
5. defina o atributo de origem como user.objectid;
6. salve a alteração.

Se o aplicativo já estiver em uso, teste esta alteração com um usuário piloto antes de aplicá-la amplamente.

Passo 2: Gerar o token SCIM no Apidog

1. Abra as configurações da organização Apidog.
2. Vá para a página SAML SSO.
3. Selecione Gerar um token SCIM.
4. Copie o token SCIM.
5. Copie a URL do endpoint da API SCIM.

Gere o token da organização que o Microsoft Entra deve provisionar.

Trate o token SCIM como uma credencial. Armazene-o no sistema de gerenciamento de segredos aprovado e não o coloque em capturas de tela, tickets ou notas compartilhadas.

Passo 3: Configurar o provisionamento automático no Microsoft Entra ID

1. No Microsoft Entra ID, abra Enterprise applications (Aplicativos corporativos).
2. Selecione o aplicativo usado para Apidog.
3. Abra Provision User Accounts (Provisionar Contas de Usuário), depois selecione Get started (Começar).
4. Defina o Provisioning Mode (Modo de Provisionamento) como Automatic (Automático).
5. Cole a URL do endpoint da API SCIM do Apidog no campo da URL do locatário.
6. Cole o token SCIM no campo do token secreto.
7. Teste a conexão.
8. Salve somente após o teste de conexão ser bem-sucedido.

Use o endpoint e o token gerados pela mesma organização Apidog.

Passo 4: Configurar os mapeamentos de atributos

Abra os mapeamentos de provisionamento para o aplicativo corporativo.

1. Desabilite Groups Mapping (Mapeamento de Grupos).
2. Abra Users Mapping (Mapeamento de Usuários).
3. Remova o mapeamento padrão externalId.
4. Mapeie o objectId do Entra para o externalId do SCIM com precedência de correspondência 1.
5. Adicione um mapeamento de userPrincipalName para userName.
6. Remova os outros mapeamentos para que apenas os mapeamentos necessários permaneçam.
7. Salve a configuração.

O mapeamento documentado usa objectId para externalId e userPrincipalName para userName.

Não habilite o envio de grupo SCIM para esta integração. O Apidog não suporta grupos SCIM atualmente.

Passo 5: Iniciar o provisionamento e verificar o usuário

1. Volte para a visão geral de provisionamento do Entra.
2. Selecione Start provisioning (Iniciar provisionamento).
3. Atribua o usuário de teste descartável ao aplicativo, se exigido pela sua configuração do Entra.
4. Aguarde o ciclo de provisionamento ou use um teste sob demanda aprovado.
5. Abra a lista de membros da organização Apidog.
6. Confirme se o usuário aparece em um estado provisionado ou inativo.

Um usuário provisionado não ocupa uma vaga paga até que o usuário faça login via SSO e se torne ativo.

Em seguida, faça com que o usuário de teste faça login pelo ponto de entrada SSO da organização. Confirme que a conta está vinculada à identidade SSO, se torna ativa e ocupa uma vaga.

O intervalo de sincronização da Microsoft é documentado pelo Apidog como aproximadamente 40 minutos. Considere isso uma estimativa, não uma garantia de nível de serviço.

Passo 6: Testar a remoção de usuários antes da implementação

Provedores de identidade podem expor várias ações de desligamento, incluindo desatribuição, desativação e exclusão. Não assuma que essas ações produzem a mesma solicitação SCIM.

Use um teste controlado:

1. confirme que o usuário descartável está ativo na organização Apidog pretendida;
2. registre as associações do usuário à organização e à equipe;
3. aplique a ação exata de desligamento do Microsoft Entra que sua organização planeja usar;
4. aguarde o processamento do provisionamento;
5. confirme o resultado do provisionamento no Entra;
6. confirme que o usuário vinculado foi removido da organização Apidog correspondente;
7. revise os Logs de Auditoria da organização para o evento de desprovisionamento SCIM ou remoção de membro;
8. confirme que o usuário não pode mais entrar nessa organização via SSO.

A documentação geral do SCIM do Apidog afirma que, quando um administrador corporativo exclui um usuário do provedor de identidade, um usuário vinculado é removido da organização Apidog correspondente. A página atual de configuração do Microsoft Entra não documenta o resultado de todas as ações de desligamento do Entra. Valide a ação usada pelo seu locatário antes de tornar o SCIM o único controle de desligamento.

A remoção de uma organização Apidog não é o mesmo que excluir a conta Apidog inteira da pessoa ou remover o acesso de organizações não relacionadas e sistemas externos.

Verificar o fluxo de trabalho do ciclo de vida

Antes da implementação em produção, verifique todos os quatro estados com contas descartáveis:

Também defina um caminho de remoção manual para provisionamentos falhos ou atrasados.

Solução de problemas

Limitações importantes

O SCIM gerencia a associação na organização Apidog correspondente. Ele não remove credenciais emitidas por outros sistemas, acesso a repositórios, funções na nuvem, permissões de gateway ou chaves de API de produção. Inclua esses sistemas na mesma lista de verificação de desligamento.

Tutoriais relacionados sobre governança de API:

Esses tutoriais cobrem controles complementares para governar um espaço de trabalho de API corporativo:

• Estrutura de Governança de API — conecta propriedade, controles, evidências e decisões de ciclo de vida.
• Mapeamento de Grupos SAML com Microsoft Entra ID — atribui acesso a equipes a partir de grupos de provedores de identidade.
• Secret Scanner — revisa possíveis credenciais expostas em ativos Apidog suportados.
• Logs de Auditoria — investiga e exporta atividades administrativas da organização.
• Provisionamento SCIM — gerencia usuários da organização ao longo do ciclo de vida da identidade.
• Políticas Corporativas — configura controles de credenciais, associação, sessão SSO e convites.
• Equipes de API Self-Service Governadas — permite equipes criadas por membros enquanto mantém a supervisão da propriedade.
• Integração com GitHub Enterprise Cloud — conecta repositórios GHE.com suportados para fluxos de trabalho OpenAPI.

Documentação oficial relacionada:

• Introdução ao Provisionamento SCIM
• Configuração do SCIM no Microsoft Entra ID
• Configuração do SCIM no Okta
• Mapeamento de Grupos para Equipes
• Logs de Auditoria