Wat is SCIM?

SCIM (System for Cross-domain Identity Management) is een open standaard voor het automatisch uitwisselen van gebruikersidentiteiten tussen verschillende domeinen of IT-systemen. Het doel van SCIM is om het beheer van gebruikersidentiteiten te vereenvoudigen en te automatiseren, vooral in cloudgebaseerde toepassingen en services. SCIM maakt het mogelijk om gebruikers en groepen te creëren, bij te werken en te verwijderen in een gestandaardiseerd formaat. Dit zorgt voor interoperabiliteit tussen verschillende systemen.

Wat is Identity Access Management (IAM)?

Identity Access Management (IAM) is een raamwerk van beleidsregels en technologieën die ervoor zorgt dat de juiste personen toegang hebben tot de juiste middelen op het juiste moment. IAM-systemen beheren digitale identiteiten en bepalen welke gebruikers toegang hebben tot welke middelen binnen een organisatie. Dit omvat authenticatie (het verifiëren van de identiteit van een gebruiker) en autorisatie (het bepalen van de toegangsrechten van een gebruiker).

SCIM in SDB Identity

SDB Identity maakt gebruik van SCIM om het beheer van gebruikers en groepen te stroomlijnen. Hieronder volgt een overzicht van wat wel en niet ondersteund wordt binnen SDB Identity.

Ondersteunde functionaliteiten:

• Aanmaken en updaten van gebruikers: SDB Identity ondersteunt het aanmaken en bijwerken van gebruikersprofielen.
• Aanmaken, updaten en verwijderen van rollen/groepen: rollen en groepen kunnen worden aangemaakt, bijgewerkt en verwijderd binnen SDB Identity.

Ondersteunde velden voor gebruikers:

• E-mail: het e-mailadres van de gebruiker (alleen werk-e-mails worden ondersteund).
• Username: de gebruikersnaam van de gebruiker.
• Name: de volledige naam van de gebruiker.
• Active: de activatiestatus van de gebruiker.
• EmployeeNumber: het werknemersnummer van de gebruiker (alleen numerieke waarden zijn toegestaan).

Beperkingen

Hoewel SDB Identity veel functionaliteiten biedt, zijn er enkele beperkingen:

• Het werknemersnummer mag alleen numerieke waarden bevatten en geen letters.
• Niet alle SCIM-attributen worden ondersteund; alleen de hierboven genoemde velden zijn beschikbaar voor gebruik.

Compatibiliteit met Microsoft Entra ID

SDB Identity is compatibel met Microsoft Entra ID, wat betekent dat het naadloos kan integreren met de provisioning services van Entra ID. Dit zorgt ervoor dat gebruikers en groepen automatisch kunnen worden gesynchroniseerd tussen Entra ID en SDB Identity, wat het beheer van identiteiten verder vereenvoudigt.

Tijdens de initiële synchronisatiecyclus worden alle gebruikers en groepen uit Entra ID geëxporteerd naar SDB Identity. Vervolgens worden wijzigingen in gebruikers- en groepsgegevens in Entra ID automatisch doorgevoerd in SDB Identity. Dit omvat het aanmaken en bijwerken van gebruikers en groepen, evenals het bijwerken van de ondersteunde velden zoals e-mail, gebruikersnaam, volledige naam, activatiestatus en werknemersnummer.

Door SCIM te integreren in SDB Identity en compatibiliteit met Microsoft Entra ID te bieden, kunnen organisaties efficiënter en effectiever gebruikers en groepen beheren, wat bijdraagt aan een verbeterde beveiliging en gebruiksgemak.

Activeren

SDB Groep kan desgewenst de functionaliteit voor uw organisatie aan- of uitzetten. Let op: hier kunnen extra kosten aan verbonden zijn. U krijgt dan een access token en een SCIM endpoint-URL terug die u dient in te voeren in Microsoft Entra Provisioning.

Zodra deze functionaliteit geactiveerd is en de initiële gebruikers en rollen gesynchroniseerd zijn, kunt u, als u de rol "tenantAdmin" heeft in SDB Identity, de Entra ID-rollen koppelen aan de rollen in onze applicaties.

Dit kan onder het menu-item "Rollen". Kies bovenaan de Entra ID-groep en vink de applicatierollen aan die aan die groep gekoppeld moeten worden.

In onderstaand voorbeeld ziet u het rollenoverzicht met per rol het product waar de rol bij hoort.

Bij de initiële release van deze functionaliteit ondersteunen we dit in de volgende applicaties:

1. SDB ECD
2. SDB Planning
3. SDB Leerplatform
4. SDB HR & SDB Salaris

Meer applicaties zullen in de loop van de tijd volgen. Heeft u vragen of meer informatie nodig? Neem dan contact op met uw accountmanager.

Gebruiker-specifieke roltoewijzingen (per-user overrides)

Naast het automatisch toewijzen van rollen via SCIM-groepen uit Entra ID, biedt SDB Identity de mogelijkheid om rollen direct aan individuele gebruikers toe te wijzen. Dit is handig wanneer een gebruiker tijdelijk of permanent een rol nodig heeft die niet via een Entra ID-groep wordt toegekend.

Hoe werkt het?

Een beheerder met de rol "tenantAdmin" kan via het menu-item "Rollen" individuele gebruikers aan een rol koppelen via de knop "Extra gebruikers" bij elke rol. In het scherm dat opent kunt u:

1. Zoeken naar gebruikers op naam of e-mailadres.
2. Gebruikers toevoegen aan de rol, eventueel met een start- en einddatum.
3. Gebruikers verwijderen van de rol.
4. Gebruikers die de rol al hebben via een Entra ID-groep worden aangeduid met een "via groep"-badge.

Start- en einddatum

Bij het toewijzen van een rol aan een gebruiker kunt u optioneel een startdatum en/of einddatum opgeven:

• Startdatum: de rol wordt pas actief op de opgegeven datum. Laat u dit veld leeg, dan is de rol direct actief.
• Einddatum: de rol verloopt automatisch na de opgegeven datum. Laat u dit veld leeg, dan blijft de rol onbeperkt actief.

U kunt meerdere toewijzingen aanmaken voor dezelfde gebruiker en rol met verschillende datumbereiken, bijvoorbeeld voor niet-aaneengesloten periodes.

Synchronisatie

Wanneer u een gebruiker toevoegt aan of verwijdert van een rol, wordt automatisch een synchronisatie gestart zodat de wijziging wordt doorgevoerd in de gekoppelde applicaties. Een achtergrondproces controleert daarnaast regelmatig of toewijzingen actief zijn geworden (startdatum bereikt) of zijn verlopen (einddatum verstreken) en synchroniseert de betreffende gebruikers automatisch. Verlopen toewijzingen worden na 30 dagen automatisch opgeruimd.

Verwijdert u een gebruiker van een rol, dan geeft SDB Identity aan SDB ECD de volledige, actuele set rollen van die gebruiker door. SDB ECD trekt eerst alle rollen van de gebruiker in en kent daarna precies die set opnieuw toe. Zo verdwijnt de verwijderde rol ook in SDB ECD, ook als uw organisatie rollen normaal alleen laat toevoegen. Rollen die de gebruiker via een Entra ID-groep of een andere directe toewijzing nog heeft, blijven behouden. Rollen die rechtstreeks in SDB ECD aan de gebruiker zijn toegekend, vervallen wel. Wilt u zo'n rol behouden, ken hem dan opnieuw toe in SDB ECD, of wijs hem toe via SDB Identity zodat hij voortaan wordt meegestuurd. Is SDB ECD uitgesloten van Identity Access Management, dan gebeurt dit niet.

Samenwerking met SCIM-groepen

Per-user overrides werken naast de reguliere SCIM-groepskoppelingen. Een gebruiker die een rol heeft via zowel een Entra ID-groep als een directe toewijzing, behoudt de rol ook wanneer de groepskoppeling wordt verwijderd (en vice versa).