设置 SCIM 用户预配：Okta

重要信息：

• Okta 将“将组分配给应用程序”与“将用户的组成员身份预配到下游应用程序”进行了分离。组成员身份是通过名为“推送组”的概念同步到应用程序的。有关更多信息，请参阅 Okta 关于管理应用程序和组分配的文件。
• Okta 中的 SCIM 操作会立即执行。启用配置后，当用户获得 DeepL 访问权限时，系统将立即为其预配账户，并相应更新其组成员身份。
• 如需了解 Okta 在整个预配生命周期中如何管理用户，请参阅 Okta 的官方文档。

限制：

• Okta 的 SCIM 预配仅适用于 SAML 集成。这是因为 Okta 要求开发者创建的集成必须纳入其公开的 Okta 集成网络，从而允许任何人通过 OIDC 在 Okta 中设置 SCIM。这需要 Okta 在将集成发布到其网络之前，先确认 SCIM 集成是否正常工作。
• 管理员无法通过 SCIM 进行管理。如果用户通过 SCIM 进行预配后被提升为管理员，将无法继续通过 SCIM 管理该用户。我们正在努力在未来版本中消除这一限制。
• 在 SCIM 预配过程中，无法将未关联到您组织的现有账户导入到您的组织中。
• 若与 Email NameID 策略格式结合使用，则无法完成电子邮件更新操作。此情况仅适用于使用 SAML 的单点登录（SSO）配置。

先决条件

• 拥有 DeepL 的管理员权限
• 已为 DeepL 设置单点登录（SSO）。若尚未设置 SSO，请按照说明操作。
  • OpenID Connect
  • SAML
• 若在之前的配置中启用了 JIT 组同步和组功能，请将其移除。请按照本文中的说明操作。
• 目前，通过 Okta 进行的 SCIM 预配仅适用于 SAML 集成。这是因为 Okta 要求开发者创建的集成必须纳入其公开的 Okta 集成网络，从而允许任何人通过 OIDC 在 Okta 中设置 SCIM。这需要 Okta 在将集成发布到其网络之前，先确认 SCIM 集成能够正常工作。

在 DeepL 账户中启用 SCIM

1. 进入您的 DeepL 账户设置
2. 在“团队 和用户预配 ”章节，点击“管理用户预配”

3. 选择“启用 SCIM 预配
   ”系统将生成一个 SCIM 管理员 API 密钥。您需要在 Entra ID 中进行配置时使用此 API 密钥。 

   如果您之前已设置了 JIT 组同步，请务必将其禁用，以避免任何用户预配问题。在禁用 JIT 组同步之前，请导出您现有的组和用户。 

在 Okta 中设置 SCIM 配置

建立连接

1. 进入您的 Okta 管理控制台，在“应用程序”下找到您的 DeepL 应用程序。
2. 选择“常规”标签。
3. 在“应用程序设置”章节，点击“编辑”。
4. 启用 SCIM 预配并点击“保存”。
5. 选择现在出现的“预配”标签。
6. 在“SCIM 连接”章节中点击“编辑”。
7. 输入以下信息：
   • SCIM 连接器基础 URL： https://scim.deepl.com
   • 用户的唯一标识符字段： userName
   • 支持的预配操作： 选择“推送新用户 ”、“推送配置文件更新 ”和“推送组 ”
   • 身份验证模式： 选择“HTTP 头”
   • 授权： 输入您的 SCIM API 密钥（可在 DeepL 管理员账户的“管理密钥 ”下找到。如需更多信息，请参阅此文章 。）
8. 点击“测试连接器配置”以验证连接。
9. 测试成功后，点击“保存”。

分配用户和组

如果您已在单点登录（SSO）设置过程中将用户和组分配给该应用程序，则可跳至下一章节。

1. 在您的 DeepL 应用程序中，选择“分配”标签。
2. 点击“分配”，然后选择“分配给人员”或“分配给组”。
3. 选择您希望预配到 DeepL 的用户或组。
4. 点击“分配”，然后点击“完成”。

配置预配范围

1. 在您的 DeepL 应用程序中，选择“预配”标签。
2. 在“预配”章节中点击“编辑”。
3. 启用以下选项：
   • 创建用户： 当用户被分配到该应用程序时，自动在 DeepL 中创建用户
   • 更新用户属性： 当用户在 Okta 中发生变更时，更新 DeepL 中的用户属性
   • 停用用户： 当用户从应用程序中被移除分配或在 Okta 中被停用时，在 DeepL 中停用用户
4. 点击“保存”。

配置属性映射

Okta 为 SCIM 预配提供了默认的属性映射。如有需要，您可以自定义这些映射：

1. 在您的 DeepL 应用程序中，选择“预配”标签。
2. 点击“转到配置文件编辑器”。
3. 根据需要查看并修改属性映射。
4. 点击“保存映射”。

下载预配日志

若要排查预配问题或验证操作是否成功：

1. 在 Okta 管理控制台中，转至“报告”>“系统日志”。
2. 按您的 DeepL 应用程序和预配事件进行筛选。
3. 点击单个事件以查看详细信息。
4. 要导出日志，请点击“下载 CSV”或使用 Okta API 获取 JSON 格式的日志。

有关 Okta 预配日志的更多信息，请参阅 Okta 的官方文档。