Перейти к основному содержимому

Настройка SCIM

Стандарт System for Cross-Domain Identity Management (SCIM) повышает безопасность пользовательских данных и упрощает управление жизненным циклом пользователей для администраторов и конечных пользователей, автоматизируя управление учетными записями и группами. Вы можете создавать или отключать учетные записи пользователей у своего поставщика удостоверений (IdP), а SCIM автоматически применит эти изменения в dbt практически в реальном времени.

При настройке IdP ознакомьтесь с ограничениями частоты запросов к API, чтобы узнать о квотах на подготовку учетных записей через SCIM и правилах повторных запросов при получении ошибки 429.

Предварительные требования​

Чтобы настроить SCIM в вашей среде dbt:

  • У вас должен быть тариф Enterprise или Enterprise+.
  • Вы должны использовать Okta или Entra ID в качестве поставщика SSO и подключить его к платформе dbt.
  • У вас должны быть разрешения на настройку параметров аккаунта в dbt platform и изменение настроек приложения в Okta.
  • Если у вас включены ограничения по IP-адресам, необходимо добавить IP-адреса Okta в список разрешенных. Если вы используете Entra ID с включенными ограничениями по IP-адресам, обратитесь к разделу Сбой подготовки учетных записей через Azure SCIM из-за списка разрешенных IP-адресов в ответах на часто задаваемые вопросы о SCIM.

  • Требуется группа Account Admin: Перед включением SCIM для вашей учетной записи dbt необходимо создать группу администраторов учетной записи dbt в вашем IdP и группу с таким же именем в вашей учетной записи dbt. Назначьте группе dbt набор разрешений Account Admin.

    Без этой группы после включения выделения ресурсов через SCIM ваши пользователи могут быть удалены из группы dbt 'Owner', созданной по умолчанию, и потерять административный доступ к вашей учетной записи dbt. Имена этих двух групп могут соответствовать принятой в вашем IdP схеме именования групп, но имя группы в dbt должно полностью совпадать с именем группы в IdP.

Поддерживаемые возможности​

В настоящее время для SCIM поддерживаются следующие возможности:

  • Создание и отключение учетных записей пользователей
  • Обновление профилей пользователей
  • Создание групп и управление ими
  • Импорт групп и пользователей

При включении SCIM поведение следующих функций изменяется:

  • Пользователи не добавляются в группы по умолчанию автоматически
  • Действия вручную, такие как приглашение пользователей, обновление сведений о пользователях и изменение членства в группах, по умолчанию отключены
  • Сопоставления групп SSO отключаются, а управление группами осуществляется через SCIM. Подробности см. в разделе Продолжают ли действовать сопоставления групп SSO при включенном SCIM?.

Чтобы отменить эти изменения в работе функций при включенном SCIM, разрешите ручные обновления в настройках SCIM (не рекомендуется).

При создании учетных записей пользователей поддерживаются следующие атрибуты

  • Имя пользователя
  • Фамилия
  • Имя

В пользовательском интерфейсе dbt поддерживаются следующие IdP:

Если вашего IdP нет в списке, его можно подключить с помощью API dbt.

Сопоставление лицензий с помощью SCIM

dbt platform поддерживает автоматическое назначение лицензий с помощью SCIM со следующими вариантами для разных поставщиков удостоверений:

 Показать варианты для каждого поставщика удостоверений

Дополнительные сведения см. в ответе на вопрос Поддерживает ли SCIM автоматическое назначение лицензий? в разделе часто задаваемых вопросов.

Настройка dbt​

Чтобы получить необходимые параметры конфигурации dbt для использования в Okta или Entra ID:

  1. Перейдите в Account settings в dbt.
  2. В разделе Settings нажмите SSO & SCIM.
  3. Прокрутите настройки конфигурации SSO до конца и нажмите Enable SCIM.
    SCIM включен в настройках конфигурации.SCIM включен в настройках конфигурации.
  4. Сохраните значение поля SCIM base URL для использования на одном из следующих шагов.
  5. Нажмите Create SCIM token.
    примечание

    В соответствии с рекомендациями по безопасности следует регулярно менять токены SCIM. Для этого выполните те же действия, что и при создании нового токена. Чтобы избежать перебоев в работе, не забудьте заменить токен в вашем IdP, прежде чем удалять старый токен в dbt.

  6. Во всплывающем окне задайте токену имя, по которому его будет легко определить. Нажмите Save.
    Задайте токену имя для его идентификации.Задайте токену имя для его идентификации.
  7. Скопируйте токен и сохраните его в безопасном месте, поскольку после закрытия окна он больше не будет доступен. Если вы потеряете текущий токен, потребуется создать новый.
    Задайте токену имя для его идентификации.Задайте токену имя для его идентификации.
  8. (Необязательно) Ручные обновления по умолчанию отключены для всех сущностей, управляемых через SCIM, включая возможность приглашать новых пользователей вручную. Это обеспечивает синхронизацию сущностей, управляемых через SCIM, с IdP, поэтому мы рекомендуем оставить этот параметр отключенным.
    • Однако, если вам необходимо вносить изменения вручную (например, изменять членство в группе, управляемой через SCIM), вы можете включить этот параметр, нажав Allow manual updates и подтвердив действие во всплывающем окне Allow manual updates. Подробнее об этом параметре см. в разделе Что означает «Allow manual updates»? в ответах на часто задаваемые вопросы о SCIM.
    Включение ручных обновлений в настройках SCIM.Включение ручных обновлений в настройках SCIM.

Следующие шаги​

Настройте SCIM для своего поставщика удостоверений и при необходимости настройте управление лицензиями:

Нашли ошибку?

0
Loading