Cách cấu hình và kiểm tra Cấp phát SCIM với Microsoft Entra ID

SCIM kết nối nhà cung cấp danh tính với một tổ chức Apidog để quản trị viên có thể thêm và xóa người dùng của tổ chức trong suốt vòng đời danh tính. Người dùng được cấp phép sẽ vẫn không hoạt động cho đến khi họ đăng nhập bằng danh tính SSO của tổ chức.

Hướng dẫn này cấu hình Microsoft Entra ID cho Apidog SCIM, xác minh quá trình cấp phép và cung cấp một thử nghiệm có kiểm soát cho việc xóa người dùng.

Trước khi bắt đầu

Bạn cần:

• một tổ chức Apidog Enterprise;
• xác thực SAML đã được cấu hình cho tổ chức đó;
• quyền truy cập Chủ sở hữu Tổ chức hoặc Quản trị viên Tổ chức trong Apidog;
• quyền truy cập quản trị viên vào ứng dụng doanh nghiệp Microsoft Entra;
• một tài khoản thử nghiệm dùng một lần để kiểm tra cấp phép và xóa.

Tài liệu Apidog hiện tại liệt kê các hỗ trợ SCIM sau:

Ánh xạ nhóm SAML là một tính năng riêng biệt để ánh xạ các nhóm nhà cung cấp danh tính vào các nhóm Apidog.

Bước 1: Xác nhận định danh SAML

Microsoft Entra phải sử dụng một định danh ổn định khớp với ánh xạ SCIM.

Trong ứng dụng doanh nghiệp Entra được sử dụng cho Apidog:

1. mở Đăng nhập một lần (Single sign-on);
2. chỉnh sửa Thuộc tính & Yêu cầu (Attributes & Claims);
3. mở Định danh Người dùng Duy nhất (Name ID);
4. đặt định dạng Name ID thành Persistent;
5. đặt thuộc tính nguồn thành user.objectid;
6. lưu thay đổi.

Nếu ứng dụng đã được sử dụng, hãy kiểm tra thay đổi này với người dùng thí điểm trước khi áp dụng rộng rãi.

Bước 2: Tạo mã thông báo SCIM trong Apidog

1. Mở cài đặt tổ chức Apidog.
2. Đi tới trang SAML SSO.
3. Chọn Tạo mã thông báo SCIM (Generate a SCIM token).
4. Sao chép mã thông báo SCIM.
5. Sao chép URL điểm cuối API SCIM.

Tạo mã thông báo từ tổ chức mà Microsoft Entra sẽ cấp phép.

Hãy coi mã thông báo SCIM như một thông tin xác thực. Lưu trữ nó trong hệ thống quản lý bí mật đã được phê duyệt và không đặt nó vào ảnh chụp màn hình, phiếu yêu cầu hoặc ghi chú chia sẻ.

Bước 3: Cấu hình cấp phép tự động trong Microsoft Entra ID

1. Trong Microsoft Entra ID, mở Ứng dụng doanh nghiệp (Enterprise applications).
2. Chọn ứng dụng được sử dụng cho Apidog.
3. Mở Cấp phép tài khoản người dùng (Provision User Accounts), sau đó chọn Bắt đầu (Get started).
4. Đặt Chế độ cấp phép (Provisioning Mode) thành Tự động (Automatic).
5. Dán điểm cuối API SCIM của Apidog vào trường URL đối tượng thuê (tenant URL).
6. Dán mã thông báo SCIM vào trường mã thông báo bí mật (secret token).
7. Kiểm tra kết nối.
8. Chỉ lưu sau khi kiểm tra kết nối thành công.

Sử dụng điểm cuối và mã thông báo được tạo bởi cùng một tổ chức Apidog.

Bước 4: Cấu hình ánh xạ thuộc tính

Mở các ánh xạ cấp phép cho ứng dụng doanh nghiệp.

1. Vô hiệu hóa Ánh xạ nhóm (Groups Mapping).
2. Mở Ánh xạ người dùng (Users Mapping).
3. Xóa ánh xạ externalId mặc định.
4. Ánh xạ Entra objectId sang SCIM externalId với mức ưu tiên khớp là 1.
5. Thêm ánh xạ từ userPrincipalName sang userName.
6. Xóa các ánh xạ khác để chỉ còn lại các ánh xạ cần thiết.
7. Lưu cấu hình.

Ánh xạ được ghi lại sử dụng objectId cho externalId và userPrincipalName cho userName.

Không bật tính năng đẩy nhóm SCIM cho tích hợp này. Apidog hiện không hỗ trợ các nhóm SCIM.

Bước 5: Bắt đầu cấp phép và xác minh người dùng

1. Quay lại tổng quan cấp phép Entra.
2. Chọn Bắt đầu cấp phép (Start provisioning).
3. Gán người dùng thử nghiệm dùng một lần cho ứng dụng nếu cấu hình Entra của bạn yêu cầu.
4. Chờ chu kỳ cấp phép hoặc sử dụng thử nghiệm theo yêu cầu đã được phê duyệt.
5. Mở danh sách thành viên của tổ chức Apidog.
6. Xác nhận rằng người dùng xuất hiện ở trạng thái đã được cấp phép hoặc không hoạt động.

Người dùng được cấp phép không chiếm một ghế trả phí cho đến khi người dùng đăng nhập thông qua SSO và trở nên hoạt động.

Tiếp theo, yêu cầu người dùng thử nghiệm đăng nhập thông qua điểm truy cập SSO của tổ chức. Xác nhận rằng tài khoản được liên kết với danh tính SSO, trở nên hoạt động và chiếm một ghế.

Khoảng thời gian đồng bộ hóa của Microsoft được Apidog ghi lại là khoảng 40 phút. Hãy coi đây là một ước tính, không phải là đảm bảo mức dịch vụ.

Bước 6: Kiểm tra xóa người dùng trước khi triển khai

Các nhà cung cấp danh tính có thể đưa ra một số hành động loại bỏ (offboarding), bao gồm gỡ gán, vô hiệu hóa và xóa. Đừng cho rằng các hành động này tạo ra cùng một yêu cầu SCIM.

Sử dụng một thử nghiệm có kiểm soát:

1. xác nhận rằng người dùng dùng một lần đang hoạt động trong tổ chức Apidog dự định;
2. ghi lại tư cách thành viên tổ chức và nhóm của người dùng;
3. áp dụng hành động loại bỏ Microsoft Entra chính xác mà tổ chức của bạn dự định sử dụng;
4. chờ quá trình cấp phép xử lý;
5. xác nhận kết quả cấp phép trong Entra;
6. xác nhận rằng người dùng được liên kết đã bị xóa khỏi tổ chức Apidog tương ứng;
7. xem lại Nhật ký kiểm toán của tổ chức cho sự kiện hủy cấp phép SCIM hoặc xóa thành viên;
8. xác nhận rằng người dùng không thể vào tổ chức đó thông qua SSO nữa.

Tài liệu SCIM chung của Apidog nêu rõ rằng khi quản trị viên doanh nghiệp xóa người dùng khỏi nhà cung cấp danh tính, người dùng được liên kết sẽ bị xóa khỏi tổ chức Apidog tương ứng. Trang thiết lập Microsoft Entra hiện tại không ghi lại kết quả của mọi hành động loại bỏ Entra. Hãy xác thực hành động được đối tượng thuê của bạn sử dụng trước khi biến SCIM thành kiểm soát loại bỏ duy nhất.

Việc xóa khỏi một tổ chức Apidog không giống như việc xóa toàn bộ tài khoản Apidog của người đó hoặc xóa quyền truy cập khỏi các tổ chức không liên quan và hệ thống bên ngoài.

Xác minh quy trình làm việc vòng đời

Trước khi triển khai sản xuất, hãy xác minh tất cả bốn trạng thái bằng tài khoản dùng một lần:

Cũng xác định một đường dẫn xóa thủ công cho việc cấp phép không thành công hoặc bị trì hoãn.

Khắc phục sự cố

Những hạn chế quan trọng

SCIM quản lý tư cách thành viên trong tổ chức Apidog tương ứng. Nó không xóa thông tin xác thực do các hệ thống khác cấp, quyền truy cập kho lưu trữ, vai trò đám mây, quyền cổng hoặc khóa API sản xuất. Hãy đưa các hệ thống đó vào cùng danh sách kiểm tra loại bỏ.

Các hướng dẫn về quản trị API liên quan:

Các hướng dẫn này bao gồm các kiểm soát bổ sung để quản lý không gian làm việc API doanh nghiệp:

• Khung quản trị API — kết nối quyền sở hữu, kiểm soát, bằng chứng và các quyết định vòng đời.
• Ánh xạ nhóm SAML với Microsoft Entra ID — gán quyền truy cập nhóm từ các nhóm nhà cung cấp danh tính.
• Trình quét bí mật — xem xét các thông tin xác thực có thể bị lộ trong các tài sản Apidog được hỗ trợ.
• Nhật ký kiểm toán — điều tra và xuất hoạt động quản trị tổ chức.
• Cấp phép SCIM — quản lý người dùng tổ chức trong suốt vòng đời danh tính.
• Chính sách doanh nghiệp — cấu hình thông tin xác thực, tư cách thành viên, phiên SSO và kiểm soát lời mời.
• Các nhóm API tự phục vụ — cho phép các nhóm do thành viên tạo trong khi vẫn giữ quyền giám sát sở hữu.
• Tích hợp GitHub Enterprise Cloud — kết nối các kho lưu trữ GHE.com được hỗ trợ cho quy trình làm việc OpenAPI.

Tài liệu chính thức liên quan:

• Giới thiệu về cấp phép SCIM
• Thiết lập SCIM cho Microsoft Entra ID
• Thiết lập SCIM cho Okta
• Ánh xạ nhóm vào nhóm
• Nhật ký kiểm toán