Automatische accounts (SCIM) Beta

Met automatische accounts (SCIM), ook bekend als SCIM provisioning, houdt XFA de accounts in een applicatie gelijk met je pagina Personen. Je stelt het in in de kaart Automatische accounts (SCIM) op een identity-provider-koppeling, zoals Proton. Voeg je in XFA iemand toe, deactiveer of verwijder je iemand, dan doet XFA hetzelfde in de applicatie.

Let op: deze gids gaat ervan uit dat je beheerder bent van je organisatie in XFA en beheerder van de applicatie, met een abonnement dat SCIM biedt.

Voor je begint

Controleer dit eerst. Is het eerste punt niet in orde, stop dan hier.

Single sign-on via XFA werkt al voor de applicatie. Voor Proton betekent dit dat single sign-on van Proton is ingesteld met XFA als identity provider. Volg eerst de Proton-gids.
De e-maildomeinen van je mensen zijn ingesteld. Stel ze in bij Toegestane e-maildomeinen op de koppeling, of als e-maildomeinen van je organisatie. XFA stuurt alleen mensen door van wie het e-maildomein in een van beide staat.
XFA heeft de bèta voor je organisatie aangezet. Neem contact op met support@xfa.tech om dat te vragen.

XFA maakt voor elk van deze mensen een account aan. Rekent de applicatie per gebruiker, dan kost elk account een licentie.

Wat er met accounts gebeurt

In XFA	In de applicatie
Je voegt iemand toe	XFA maakt een account aan, of koppelt een account met hetzelfde e-mailadres.
Je klikt op Deactiveren	Het account wordt uitgezet. De gegevens blijven bewaard. Activeren zet het weer aan.
Je klikt op Gebruiker verwijderen	Het account wordt verwijderd. In veel applicaties kan dat niet ongedaan worden gemaakt.
Het e-maildomein van de persoon is niet meer toegestaan	Het account wordt uitgezet, niet verwijderd.
Je zet Automatische accounts (SCIM) uit	Er verandert niets. XFA stopt met versturen tot je het weer aanzet.
Het e-mailadres van de persoon verandert	Zie Het e-mailadres van iemand wijzigen.

XFA raakt alleen accounts aan die het zelf aanmaakte of koppelde. Andere accounts in de applicatie blijven zoals ze zijn. Ook als je de koppeling in XFA verwijdert, blijven de accounts zoals ze zijn.

Verwijder je iemand, dan verwijdert XFA ook het account in de applicatie. Wat er dan met de gegevens gebeurt, hangt af van de applicatie. Lees bij Proton eerst de eigen gids van Proton voor je iemand verwijdert van wie je de gegevens nodig hebt. Wil je het account en de gegevens houden, deactiveer de persoon dan.

Iemand deactiveren of verwijderen

Open op Personen het menu (⋮) aan het eind van de rij van de persoon. Kies Deactiveren of Gebruiker verwijderen.

Is de persoon actief, dan opent Gebruiker verwijderen een venster dat ook Deactiveren aanbiedt. Klik op Deactiveren om het account te houden, of op Toch verwijderen om het te verwijderen.

Het venster om iemand te verwijderen. Het zegt dat het Proton-account ook wordt verwijderd en biedt Annuleer, Toch verwijderen en Deactiveren.

Het e-mailadres van iemand wijzigen

XFA kan het e-mailadres van iemand niet wijzigen. Wil je iemand een nieuw e-mailadres geven, verwijder de persoon dan in XFA en voeg de persoon opnieuw toe met het nieuwe e-mailadres. XFA verwijdert dan het oude account in de applicatie en maakt een nieuw aan. Heeft de applicatie al een account met het nieuwe e-mailadres, dan koppelt XFA dat account. Vraag de persoon om eerst op te slaan wat die uit het oude account nodig heeft.

De SCIM-basis-URL en het SCIM-token ophalen

XFA heeft twee dingen van de applicatie nodig: een SCIM-basis-URL en een SCIM-token. Kopieer ze eerst uit de applicatie.

Proton

Ga in Proton naar Settings (⚙), Organization, Single sign-on, SCIM automatic provisioning, Configure SCIM. Kopieer de SCIM base URL en het SCIM token. Single sign-on moet eerst in Proton zijn ingesteld.

Andere applicaties

Kijk in de instellingen voor gebruikersprovisioning of SCIM van de applicatie. De meeste applicaties bieden het in business- of enterprise-abonnementen. Voorbeelden zijn Slack, GitHub Enterprise Managed Users, Atlassian, AWS IAM Identity Center, Zoom en Notion.

Instellen in XFA

Open in het XFA-dashboard Identity provider in de zijbalk. Open de koppeling.
Kies in de kaart Automatische accounts (SCIM) bij Applicatie: Proton, of Andere applicatie voor elke andere applicatie.
Plak de SCIM-basis-URL. Die begint met https://.
Plak het SCIM-token.
Zet de schakelaar rechtsboven in de kaart aan.
Klik op Opslaan. XFA test eerst het token. Weigert de applicatie het, dan zie je waarom en wordt er niets opgeslagen.
Klik op Verbinding testen. Dat controleert alleen de URL en het token. Er wordt niemand verstuurd. Het resultaat staat onder de knoppen: "Verbinding werkt", of "Verbinding mislukt" met de reden.
Klik op Nu syncen. Dat verstuurt iedereen in de toegestane e-maildomeinen. Heeft de applicatie al een account met hetzelfde e-mailadres, dan koppelt XFA dat. Er komt geen tweede account bij. Daarna verstuurt XFA wijzigingen vanzelf.

De kaart in de status Klaar. Ze zegt dat de verbinding werkt en vraagt je op Nu syncen te klikken.

XFA toont een opgeslagen token nooit meer. Het veld toont alleen de laatste 4 tekens. Plak een nieuw token en klik op Opslaan om het te vervangen. Wijzig je de SCIM-basis-URL terwijl de schakelaar uit staat en sla je op zonder nieuw token, dan vraagt XFA je te bevestigen met Opslaan en token wissen. XFA verwijdert dan het oude token, omdat dat bij het oude adres hoort. Staat de schakelaar aan, dan vraagt een nieuw adres een nieuw token.

Controleren dat het werkt

De kaart toont Bezig met syncen terwijl een sync loopt en Bijgewerkt als die klaar is. De kaart werkt zichzelf bij. Je hoeft de pagina niet opnieuw te laden. Een eerste sync duurt meestal een paar seconden tot een paar minuten. Met honderden mensen duurt het langer. Daarna komt een wijziging in XFA binnen een paar seconden in de applicatie aan.

De regel onder de titel toont hoeveel mensen in de applicatie staan, bijvoorbeeld "6 van 6 mensen in Proton".
Klik op Personen op Kolominstellingen: het tandwiel rechts in de kopregel van de tabel. Vink App-accounts aan. De kolom toont de status van elke persoon, zoals In Proton, Nog niet verstuurd of Uitgezet in Proton.

De kaart in de status Bijgewerkt. Ze zegt dat alle mensen in Proton staan.

Wat de statussen betekenen

Naast de titel van de kaart staat de status.

Uit: SCIM is niet ingesteld, of de schakelaar staat uit. Er wordt niets verstuurd. Volg Instellen in XFA.
Klaar: de verbinding werkt, maar nog niet iedereen is verstuurd. Klik op Nu syncen. Zie Klaar.
Bezig met syncen: er loopt een sync. Wacht. De kaart werkt zichzelf bij.
Bijgewerkt: iedereen in de toegestane e-maildomeinen staat in de applicatie. Je hoeft niets te doen.
Actie nodig: de applicatie heeft sommige mensen geweigerd. Zie Actie nodig.
Niet verbonden: de applicatie heeft het token geweigerd, of XFA kan de applicatie niet bereiken. Er wordt niets verstuurd. Zie Niet verbonden.

Probleemoplossing

Naast de titel van de kaart zie je wat er mis is. Het blok eronder zegt wat je moet doen. Op Identity provider toont de tegel van de koppeling ook hoeveel mensen niet zijn verstuurd.

Een koppelingstegel op Identity provider. Ze zegt dat 4 mensen niet naar Proton zijn verstuurd, met een link om ze te bekijken.

Actie nodig

De applicatie heeft sommige mensen geweigerd. Klik op N mensen bekijken om te zien wie, met de reden per persoon. Voor Proton opent Proton-beheer openen het beheer van Proton in een nieuw tabblad. De kaart noemt de applicatie, hier Proton. De meest voorkomende redenen:

Proton heeft geen vrije licenties. Koop meer licenties, of verwijder een account dat je niet nodig hebt, in het beheer van Proton. Klik daarna op Nu syncen. Doe bij een andere applicatie hetzelfde in die applicatie.
Er bestaat al een account met dit e-mailadres in Proton. XFA kon het niet koppelen aan deze persoon. Verwijder of hernoem dat account in de applicatie en klik daarna op Nu syncen.
Niet verstuurd: e-maildomein niet ingesteld op deze verbinding. Voeg het domein toe aan Toegestane e-maildomeinen op de koppeling, of aan de e-maildomeinen van je organisatie. Klik daarna op Nu syncen.
Proton staat dit niet toe. Controleer of het SCIM-token beheerrechten heeft en of het abonnement van de applicatie SCIM bevat.

De kaart in de status Actie nodig. Ze zegt dat 7 mensen niet zijn verstuurd, met de redenen en links om ze te bekijken en het beheer van Proton te openen.

Bij andere redenen probeert XFA het vanzelf opnieuw. Klik op Nu syncen om het meteen opnieuw te proberen.

Niet verbonden

De applicatie heeft het SCIM-token geweigerd, bijvoorbeeld omdat het verlopen is. Het versturen is gepauzeerd. Klik op Nieuw SCIM-token plakken, plak een nieuw token en klik op Opslaan. XFA verstuurt daarna de wijzigingen die wachtten.

Toont de kaart een andere reden, controleer dan de SCIM-basis-URL en het SCIM-token en klik daarna op Verbinding testen.

Klaar

De verbinding werkt, maar nog niet iedereen is verstuurd. Klik op Nu syncen.

De laatste sync is niet afgerond

Een sync die langer dan 15 minuten loopt, toont "De laatste sync is niet afgerond". Klik op Nu syncen.

Een waarschuwing dat XFA SCIM niet kon controleren

Als je iemand deactiveert of verwijdert, kan het venster zeggen "XFA kon de instellingen voor automatische accounts van [koppeling] nu niet lezen". XFA kan je dan niet vertellen of het account in de applicatie ook verandert. Staat SCIM aan voor die koppeling, dan gebeurt dat wel. Laad de pagina opnieuw. Blijft dit gebeuren, neem dan contact op met support@xfa.tech.

Het blijft mislukken

Neem contact op met support@xfa.tech. Geef de naam van de koppeling en het tijdstip waarop het misging.

Notities per applicatie

Notities voor Proton

Proton Pass en Proton VPN delen de single sign-on van Proton, dus één koppeling dekt ze allebei. Proton rekent per gebruiker, dus elk account dat XFA aanmaakt, kost een licentie.

Proton documenteert het aanmaken en verwijderen van accounts via SCIM. Om een account uit te zetten, gebruikt XFA een SCIM PATCH. Aanvaardt Proton geen PATCH, dan valt XFA terug op PUT. Weigert Proton beide, dan toont de kaart Actie nodig.

Notities voor andere applicaties

SCIM-provisioning werkt alleen op een identity-provider-koppeling waarbij XFA mensen aanmeldt. Het werkt niet op SAML-proxy-applicaties of op koppelingen met Google Workspace.

De applicatie moet SCIM van een eigen identity provider aanvaarden, met het e-mailadres als gebruikersnaam. Sommige applicaties hebben extra velden nodig. Weigert de applicatie iemand, dan toont Personen de reden van de applicatie. Stuur die naar support@xfa.tech.

Technische details

XFA spreekt SCIM 2.0 (RFC 7643, RFC 7644). XFA is de client, de applicatie is de server.
userName is het e-mailadres van de persoon, hetzelfde e-mailadres dat XFA bij het aanmelden gebruikt.
externalId is een vaste id die XFA per persoon per koppeling maakt. Het is niet de gebruikers-id in XFA.
XFA zet een account uit met PATCH (active false), of met PUT als de applicatie geen PATCH heeft. XFA verwijdert een account met DELETE.
De SCIM-basis-URL moet een openbaar HTTPS-adres met een hostnaam zijn. Een IP-adres, een interne host of gewoon HTTP wordt geweigerd.
Een mislukte verzending wordt opnieuw geprobeerd na 5, 15 en 60 minuten, daarna elke 6 uur, tot 7 dagen lang.
Elke nacht doet XFA een volledige sync van elke koppeling. Nu syncen doet dezelfde sync meteen. Die herstelt ook wijzigingen die iemand in de applicatie deed.
Beveiliging tegen massaal verwijderen: een sync die meer dan 20 accounts en meer dan 20 procent van de accounts op de koppeling zou verwijderen, verwijdert niets. De kaart toont Niet verbonden met de reden. Controleer Personen en de applicatie en klik daarna op Nu syncen. Verwijder je echt zoveel mensen, neem dan contact op met support@xfa.tech.

Wat XFA stuurt

XFA stuurt van elke persoon het e-mailadres, de voornaam, de achternaam en of het account actief of uitgezet is. Een lege naam in XFA wist nooit een naam in de applicatie.

XFA stuurt niet het secundaire e-mailadres, wachtwoorden, toestellen of Policies.