Contas automáticas (SCIM) Beta

Com as contas automáticas (SCIM), também conhecidas como SCIM provisioning, o XFA mantém as contas de uma aplicação alinhadas com a sua página Pessoas. Configura-as no cartão Contas automáticas (SCIM) de uma ligação de fornecedor de identidade, como o Proton. Quando adiciona, desativa ou remove uma pessoa no XFA, o XFA faz o mesmo na aplicação.

Nota: este guia pressupõe que é administrador da sua organização no XFA e administrador da aplicação, com um plano que oferece SCIM.

Antes de começar

Verifique isto primeiro. Se o primeiro ponto não estiver feito, pare aqui.

• O início de sessão único através do XFA já funciona para a aplicação. No Proton, isto significa que o início de sessão único do Proton está configurado com o XFA como fornecedor de identidade. Siga primeiro o guia do Proton.
• Os domínios de email das suas pessoas estão definidos. Defina-os em Domínios de e-mail permitidos na ligação, ou como domínios de email da sua organização. O XFA só envia as pessoas cujo domínio de email esteja num deles.
• O XFA ativou a beta para a sua organização. Contacte support@xfa.tech para pedir.

O XFA cria uma conta para cada uma destas pessoas. Se a aplicação cobrar por utilizador, cada conta ocupa uma licença.

O que acontece às contas

No XFA	Na aplicação
Adiciona uma pessoa	O XFA cria uma conta, ou associa uma com o mesmo email.
Clica em Desativar	A conta é desativada. Os dados são mantidos. Ativar volta a ativá-la.
Clica em Remover utilizador	A conta é eliminada. Em muitas aplicações, isto não pode ser anulado.
O domínio de email da pessoa deixa de ser permitido	A conta é desativada, não eliminada.
Desliga Contas automáticas (SCIM)	Nada muda. O XFA deixa de enviar até voltar a ligar.
O email da pessoa muda	Veja Alterar o email de uma pessoa.

O XFA só mexe nas contas que criou ou associou. As outras contas na aplicação ficam como estão. Eliminar a ligação no XFA também deixa as contas como estão.

Remover uma pessoa elimina a conta dela na aplicação. O que acontece depois aos dados depende da aplicação. No Proton, consulte o guia do próprio Proton antes de remover alguém de cujos dados precisa. Para manter a conta e os dados, desative antes a pessoa.

Desativar ou remover uma pessoa

Em Pessoas, abra o menu (⋮) no fim da linha da pessoa. Escolha Desativar ou Remover utilizador.

Se a pessoa estiver ativa, Remover utilizador abre uma caixa de diálogo que também oferece Desativar. Clique em Desativar para manter a conta, ou em Remover mesmo assim para a eliminar.

Alterar o email de uma pessoa

O XFA não consegue alterar o email de uma pessoa. Para dar um novo email a alguém, remova a pessoa no XFA e adicione-a de novo com o novo email. O XFA elimina então a conta antiga na aplicação e cria uma nova. Se a aplicação já tiver uma conta com o novo email, o XFA associa essa. Peça antes à pessoa que guarde tudo o que precisar da conta antiga.

Obter o URL base SCIM e o token SCIM

O XFA precisa de duas coisas da aplicação: um URL base SCIM e um Token SCIM. Copie-os primeiro da aplicação.

Proton

No Proton, vá a Settings (⚙), Organization, Single sign-on, SCIM automatic provisioning, Configure SCIM. Copie o SCIM base URL e o SCIM token. O início de sessão único tem de estar configurado primeiro no Proton.

Outras aplicações

Procure nas definições de provisionamento de utilizadores ou de SCIM da aplicação. A maioria das aplicações oferece-o em planos business ou enterprise. Alguns exemplos são Slack, GitHub Enterprise Managed Users, Atlassian, AWS IAM Identity Center, Zoom e Notion.

Configurar no XFA

1. No painel do XFA, abra Fornecedor de identidade na barra lateral. Abra a ligação.

2. No cartão Contas automáticas (SCIM), escolha a Aplicação: Proton, ou Outra aplicação para qualquer outra aplicação.

   

3. Cole o URL base SCIM. Começa por https://.

4. Cole o Token SCIM.

5. Ligue o interruptor no canto superior direito do cartão.

6. Clique em Guardar. O XFA testa primeiro o token. Se a aplicação o recusar, vê o motivo e nada é guardado.

7. Clique em Testar ligação. Só verifica o URL e o token. Não envia ninguém. O resultado aparece por baixo dos botões: "A ligação funciona", ou "A ligação falhou" com o motivo.

8. Clique em Sincronizar agora. Envia todas as pessoas dos domínios de email permitidos. Se a aplicação já tiver uma conta com o mesmo email, o XFA associa-a. Não cria uma segunda. Depois disso, o XFA envia as alterações sozinho.

O XFA nunca volta a mostrar um token guardado. O campo só mostra os últimos 4 caracteres. Para substituir o token, cole um novo e clique em Guardar. Se alterar o URL base SCIM com o interruptor desligado e guardar sem um novo token, o XFA pede-lhe que confirme com Guardar e limpar o token. O XFA remove então o token antigo, porque pertence ao endereço antigo. Com o interruptor ligado, um endereço novo precisa de um token novo.

Verificar que funciona

O cartão mostra A sincronizar enquanto decorre uma sincronização e Atualizado quando termina. O cartão atualiza-se sozinho. Não precisa de recarregar a página. Uma primeira sincronização demora normalmente entre alguns segundos e alguns minutos. Com centenas de pessoas demora mais. Depois disso, uma alteração no XFA chega à aplicação em poucos segundos.

• A linha por baixo do título mostra quantas pessoas estão na aplicação, por exemplo "6 de 6 pessoas enviadas para Proton".
• Em Pessoas, clique em Definições de colunas: o ícone da engrenagem na ponta direita da linha de cabeçalho da tabela. Marque Contas de aplicação. A coluna mostra o estado de cada pessoa, como Enviado para Proton, Ainda não enviado ou Proton: desativado.

O que significam os estados

A etiqueta junto ao título do cartão mostra o estado.

• Desligado: o SCIM não está configurado, ou o interruptor está desligado. Nada é enviado. Siga Configurar no XFA.
• Pronto: a ligação funciona, mas ainda não foram todos enviados. Clique em Sincronizar agora. Veja Pronto.
• A sincronizar: está a decorrer uma sincronização. Aguarde. O cartão atualiza-se sozinho.
• Atualizado: todas as pessoas dos domínios de email permitidos estão na aplicação. Não precisa de fazer nada.
• Ação necessária: a aplicação recusou algumas pessoas. Veja Ação necessária.
• Sem ligação: a aplicação rejeitou o token, ou o XFA não a consegue contactar. Nada é enviado. Veja Sem ligação.

Resolução de problemas

A etiqueta junto ao título do cartão mostra o que está errado. O bloco por baixo diz o que fazer. Em Fornecedor de identidade, o mosaico da ligação também mostra quantas pessoas não foram enviadas.

Ação necessária

A aplicação recusou algumas pessoas. Clique em Ver N pessoas para ver quem, com o motivo de cada pessoa. No Proton, Abrir a administração de Proton abre a administração do Proton num novo separador. O cartão indica o nome da aplicação, aqui Proton. Os motivos mais comuns:

• Proton não tem licenças livres. Compre mais licenças, ou remova uma conta de que não precisa, na administração do Proton. Depois clique em Sincronizar agora. Noutra aplicação, faça o mesmo nessa aplicação.
• Proton já tem uma conta com este email. O XFA não conseguiu associá-la a esta pessoa. Remova ou mude o nome dessa conta na aplicação e depois clique em Sincronizar agora.
• Não enviado: domínio de email não definido nesta ligação. Adicione o domínio a Domínios de e-mail permitidos na ligação, ou aos domínios de email da sua organização. Depois clique em Sincronizar agora.
• Proton não permite isto. Verifique se o token SCIM tem direitos de administrador e se o plano da aplicação inclui SCIM.

Noutros casos, o XFA tenta de novo sozinho. Clique em Sincronizar agora para tentar de novo de imediato.

Sem ligação

A aplicação rejeitou o token SCIM, por exemplo porque expirou. O envio está em pausa. Clique em Colar um novo token SCIM, cole um novo token e clique em Guardar. O XFA envia então as alterações que estavam à espera.

Se o cartão mostrar outro motivo, verifique o URL base SCIM e o Token SCIM, e depois clique em Testar ligação.

Pronto

A ligação funciona, mas ainda não foram todos enviados. Clique em Sincronizar agora.

A última sincronização não terminou

Uma sincronização que dura mais de 15 minutos mostra "A última sincronização não terminou". Clique em Sincronizar agora.

Um aviso de que o XFA não conseguiu verificar o SCIM

Quando desativa ou remove uma pessoa, a caixa de diálogo pode dizer "O XFA não conseguiu ler agora as definições de contas automáticas da ligação [ligação]". Nesse caso, o XFA não lhe consegue dizer se a conta na aplicação também muda. Se o SCIM estiver ligado nessa ligação, muda. Recarregue a página. Se continuar a acontecer, contacte support@xfa.tech.

Continua a falhar

Contacte support@xfa.tech. Indique o nome da ligação e a hora em que falhou.

Notas por aplicação

Notas para o Proton

O Proton Pass e o Proton VPN partilham o início de sessão único do Proton, por isso uma ligação abrange os dois. O Proton cobra por utilizador, por isso cada conta que o XFA cria ocupa uma licença.

O Proton documenta a criação e a eliminação de contas por SCIM. Para desativar uma conta, o XFA usa um PATCH de SCIM. Se o Proton não aceitar PATCH, o XFA recorre a PUT. Se o Proton rejeitar os dois, o cartão mostra Ação necessária.

Notas para outras aplicações

O provisionamento SCIM só funciona numa ligação de fornecedor de identidade em que o XFA inicia a sessão das pessoas. Não funciona em aplicações de proxy SAML nem em ligações do Google Workspace.

A aplicação tem de aceitar SCIM de um fornecedor de identidade personalizado, com o email como nome de utilizador. Algumas aplicações precisam de campos extra. Se a aplicação recusar uma pessoa, Pessoas mostra o motivo da aplicação. Envie-o para support@xfa.tech.

Detalhes técnicos

• O XFA fala SCIM 2.0 (RFC 7643, RFC 7644). O XFA é o cliente e a aplicação é o servidor.
• userName é o email da pessoa, o mesmo email que o XFA usa no início de sessão.
• externalId é um id estável que o XFA cria para cada pessoa em cada ligação. Não é o id de utilizador do XFA.
• O XFA desativa uma conta com PATCH (active false), ou com PUT quando a aplicação não tem PATCH. O XFA remove uma conta com DELETE.
• O URL base SCIM tem de ser um endereço HTTPS público com um nome de anfitrião. Um endereço IP, um anfitrião interno ou HTTP simples é recusado.
• Um envio falhado é repetido após 5, 15 e 60 minutos, e depois a cada 6 horas, durante no máximo 7 dias.
• Todas as noites, o XFA faz uma sincronização completa de cada ligação. Sincronizar agora faz a mesma sincronização de imediato. Também repara alterações que alguém fez na aplicação.
• Proteção contra eliminação em massa: uma sincronização que eliminaria mais de 20 contas e mais de 20 por cento das contas da ligação não elimina nada. O cartão mostra Sem ligação com o motivo. Verifique Pessoas e a aplicação e depois clique em Sincronizar agora. Se está mesmo a remover tantas pessoas, contacte support@xfa.tech.

O que o XFA envia

O XFA envia de cada pessoa o email, o nome próprio, o apelido e se a conta está ativa ou desativada. Um nome vazio no XFA nunca apaga um nome na aplicação.

O XFA não envia o email secundário, as palavras-passe, os dispositivos nem as políticas.