SCIM-provisiointi Oktalle

Yleiskatsaus

SCIM-provisiointi automatisoi käyttäjien ja ryhmien hallinnan Oktan ja ThingLinkin välillä.

SCIM-provisioinnin avulla Okta voi luoda käyttäjiä, päivittää käyttäjätietoja, poistaa käyttäjiä käytöstä, luoda ryhmiä ja pitää ryhmäjäsenyydet ajan tasalla ThingLinkissä.

SCIM-provisiointi ei hallitse sitä, miten käyttäjät kirjautuvat. Käyttäjien tunnistautumisesta huolehtii erikseen Okta-kertakirjautuminen, joka kannattaa määrittää ennen SCIM:n käyttöönottoa. Käyttöönotto-ohjeet ovat artikkelissa Okta-kertakirjautumisen käyttöönotto.

Miksi käyttää SCIM-provisiointia?

SCIM-provisioinnissa käyttäjien pääsyä hallitaan Oktasta eikä manuaalisesti ThingLinkissä. Tämä vähentää tilien manuaalista hallintaa ja auttaa pitämään käyttöoikeudet ja ryhmäjäsenyydet ajan tasalla.

Jos hallitset käyttöoikeuksia Okta-ryhmillä, voit myös siirtää (push) nämä ryhmät ThingLinkiin. Näin voit käyttää ThingLink-ryhmiä sisällön jakamiseen automaattisesti oikeille käyttäjille. Lisätietoja on tässä artikkelissa.

SCIM-provisioinnin käyttöönotto

Edellytykset

Varmista, että:

• olet jo määrittänyt Okta-kertakirjautumisen ThingLink-organisaatiollesi.
• sinulla on ylläpitäjätili ThingLinkissä.
• sinulla on Okta-ylläpitäjätili, jolla on oikeus lisätä sovelluksia ja määrittää provisiointia.

Vaihe 1: Ota SCIM käyttöön ThingLinkissä

1. Siirry ThingLinkissä kohtaan Organisaatio > Integraatiot > SCIM-provisiointi.

2. Klikkaa Ota käyttöön ja määritä.

3. Kopioi Endpoint URL ja Secret token. Tarvitset niitä myöhemmin.
   

Vaihe 2: Määritä provisiointi Oktassa

Lisää SCIM-sovellus Oktassa

1. Siirry Okta Admin Consolessa kohtaan Applications > Applications.
2. Klikkaa Browse App Catalog.
3. Hae sovellusta SCIM 2.0 Test App (OAuth Bearer Token):
   
4. Valitse sovellus ja klikkaa Add Integration.

Määritä yleiset asetukset

Määritä yleiset asetukset:

1. Application label: Anna kuvaava nimi, esimerkiksi ThingLink SCIM.
2. Application visibility: Valitse valintaruutu, jotta sovellus piilotetaan käyttäjiltä. Tätä sovellusta käytetään vain provisiointiin. Käyttäjien tulee käyttää ThingLinkiä Okta SSO -sovelluksen kautta.
3. Browser plugin auto-submit: Jätä pois käytöstä.
   
4. Klikkaa Next.

Määritä kirjautumisasetukset

Tätä sovellusta ei käytetä kirjautumiseen, joten tämän kohdan asetukset eivät vaikuta siihen, miten käyttäjäsi pääsevät ThingLinkiin.

1. Valitse Sign-On Options -kohdassa Secure Web Authentication.
2. Valitse User sets username and password.
3. Kirjautumisasetuksia ei käytetä ThingLinkin SCIM-provisioinnissa. Jos Okta vaatii Login URL -osoitteen, syötä https://www.thinglink.com/login. Älä käytä tässä OIDC-callback-URL-osoitetta.
4. Jätä muut kirjautumisasetukset (Credential Details) oletusarvoihin ja viimeistele sovelluksen luominen.

Viimeistele alkuasetukset klikkaamalla Done.

Määritä API-integraatio

1. Avaa ThingLink SCIM -sovellus Oktassa.
2. Siirry kohtaan Provisioning > Configure API Integration.
3. Valitse Enable API Integration.
4. Syötä seuraavat arvot:
   • SCIM 2.0 Base URL: Liitä ThingLinkistä kopioimasi Endpoint URL.
   • OAuth Bearer Token: Liitä ThingLinkistä kopioimasi Secret token.
   • Jätä Import Groups käyttöön.
     
5. Klikkaa Test API Credentials. Jos testi onnistuu, klikkaa Save.

Määritä provisiointiasetukset

1. Siirry kohtaan Provisioning > To App ja klikkaa Edit.
2. Ota käyttöön seuraavat vaihtoehdot:
   1. Create Users
   2. Update User Attributes
   3. Deactivate Users
   4. Jätä Sync Password pois käytöstä.
      
3. Tallenna muutokset.

Tarkista attribuuttien määritykset

1. Vieritä samassa Provisioning-välilehden To App -osiossa alas SCIM-attribuuttien määrityksiin.
2. ThingLink tarvitsee vain perustason käyttäjäattribuutit käyttäjien tunnistamiseen ja näyttämiseen. Pidä seuraavat määritykset käytössä:
   1. userName
   2. displayName
   3. Given Name
   4. Family Name
3. Poista muut määritykset, ellei ThingLink-yhteyshenkilösi ole ohjeistanut toisin.

Vaihe 3: Määritä käyttäjät ja ryhmät

Määritä käyttäjät ja ryhmät

Siirry ThingLink SCIM -sovelluksen Assignments-välilehdelle. Määritä käyttäjät ja ryhmät, jotka provisioidaan ThingLinkiin.

SCIM-sovelluksen määritykset ovat erillään Okta SSO -sovelluksen määrityksistä. Kun käyttäjä määritetään Okta SSO -sovellukseen, hän voi kirjautua, mutta häntä ei määritetä automaattisesti SCIM-sovellukseen.

Kun käyttäjä määritetään SCIM-sovellukseen, Okta provisioi hänet ThingLinkiin. Jos käyttäjän määritys SCIM-sovellukseen poistetaan, hänen ThingLink-tilinsä poistetaan käytöstä, ellei häntä ole edelleen määritetty toisen ryhmän tai määrityksen kautta.

Valinnainen: Määritä Push Groups

Jos haluat luoda ThingLink-ryhmiä ja pitää ryhmäjäsenyydet ajan tasalla, määritä Push Groups Oktassa:

1. Siirry ThingLink SCIM -sovelluksessa kohtaan Push Groups.
2. Klikkaa Push Groups.
3. Valitse Okta-ryhmä, jonka haluat siirtää ThingLinkiin.
4. Vahvista ryhmän nimi ja tallenna push group -määritys.
5. Toista tämä jokaiselle ryhmälle, joka luodaan ja jota hallitaan ThingLinkissä.

Kun ryhmä määritetään SCIM-sovellukseen, ryhmän käyttäjät provisioidaan. Push Groups -toimintoa tarvitaan, jos haluat lisäksi, että Okta luo vastaavan ryhmän ThingLinkiin ja pitää sen jäsenyydet ajan tasalla.

Push-ryhmien on oltava eri ryhmiä kuin määritysryhmien. Lisäohjeita Oktalta on alla olevilla sivuilla:

• Okta Identity Engine: https://help.okta.com/oie/en-us/content/topics/users-groups-profiles/app-assignments-group-push.htm
• Okta Classic Engine: https://help.okta.com/en-us/content/topics/users-groups-profiles/app-assignments-group-push.htm 

Miten provisiointi toimii

Käyttäjät

Kun käyttäjä määritetään Oktassa ThingLink SCIM -sovellukseen, ThingLink luo hänelle käyttäjätilin.

Provisioidut tilit luodaan organisaatiosi alimmalla käyttöoikeustasolla: oppijana tai oppilaana organisaatiosi tyypin ja tilauksen mukaan. Eri ThingLink-roolien provisiointia SCIM:n kautta ei tällä hetkellä tueta.

Jos käyttäjän määritys SCIM-sovellukseen poistetaan, hänen ThingLink-tilinsä poistetaan käytöstä. Tilejä ei poisteta kokonaan, jotta sisältöä tai tietoja ei menetetä.

Ryhmät

Voit hallita määrityksiä massana Okta-ryhmien avulla. Lisäksi Okta voi siirtää ryhmiä ThingLinkiin ja pitää niiden jäsenyydet ajan tasalla.

Käytä Push Groups -toimintoa, kun haluat, että ThingLink-ryhmät luodaan ja niitä hallitaan automaattisesti Okta-ryhmien perusteella.

Vianmääritys

Jos provisiointi ei toimi odotetusti:

• Tarkista, että Endpoint URL ja Secret token on kopioitu oikein ThingLinkistä.

• Klikkaa Oktassa Test API Credentials varmistaaksesi, että Okta saa yhteyden ThingLinkiin.

• Tarkista provisiointiasetukset kohdassa Provisioning > To App ja varmista, että Create Users, Update User Attributes ja Deactivate Users ovat käytössä.

• Tarkista Oktan provisiointilokeista mahdolliset virheet.

• Varmista, että oikeat käyttäjät ja ryhmät on määritetty SCIM-sovellukseen eikä vain Okta SSO -sovellukseen.

• Varmista, että Push Groups on määritetty, jos odotat ryhmien ja ryhmäjäsenyyksien näkyvän ThingLinkissä.

Jos ongelma jatkuu, ota yhteyttä ThingLinkin tukeen.

Rajoitukset ja huomiot

• SCIM-provisiointi ja Okta-kertakirjautuminen määritetään erikseen.
• Roolien määritystä (role mapping) ei tällä hetkellä tueta. Uudet käyttäjät provisioidaan organisaatiosi alimmalla käyttöoikeustasolla.
• Varmista, että ThingLink-lisenssissäsi on riittävästi käyttäjäpaikkoja provisioitaville käyttäjille.
• Jos käyttäjällä on jo itsenäinen ThingLink-tili, jota ei ole liitetty lisenssiisi, SCIM-provisiointi ei välttämättä siirrä tiliä automaattisesti organisaatioosi. Käyttäjä on ehkä ensin lisättävä tai kutsuttava lisenssiisi.