SCIM 同步如何适用于企业组织

SCIM 配置使您的企业组织的成员和群组与身份提供商保持同步。本文介绍了同步的内容、如何触发同步、如何在应用前预览同步，以及重新同步时需要注意的事项。

适用于企业计划。有关设置说明，请参阅 设置 JIT 或 SCIM 配置。

同步的内容

通过 WorkOS 集成将身份提供商 (IdP) 连接到企业组织时，会从 IdP 同步两项内容：

组织中的群组成员身份决定了具有自定义角色的成员可以访问的功能，以及群组支出限制。

每当 IdP 向 WorkOS 推送成员或群组更新（添加、删除或编辑）时，企业组织会自动从 IdP 接收更改。

在后台，您的组织每分钟轮询一次 WorkOS 以获取更新事件，并在队列中处理它们。此方法最终是一致的——同步通常在几分钟内完成，但在系统流量高峰期可能需要几小时。

某些操作会立即触发手动同步，您也可以按需运行一次。

将配置模式更改为 SCIM。不在 IdP 目录中的任何成员都会被删除，IdP 目录中的任何成员都会被添加。在配置群组映射之前，您需要等待此初始重新同步完成。
启用群组映射。成员和群组的完整列表会更新。新成员和现有成员的角色和座位层级由群组映射强制执行，无法手动覆盖。保存新映射后，单击 “同步。”
立即同步以重新计算现有成员的角色和座位层级。
- 使用 组织设置 > 群组处的 “检查更新”按钮。
- 使用 组织设置 > 组织和访问下 用户配置处的 “同步”按钮。

注意：通过群组映射更新座位配置或座位角色时，现有成员不会自动重新同步。触发手动同步以应用更改。

禁用群组映射时，您可以恢复手动分配成员角色和座位层级的能力。现有成员保留其当前角色。新成员被分配用户角色——如果要启用自定义角色权限，请将其角色更改为 “自定义。”

您可以从管理员设置中的两个位置触发手动同步。

从群组页面

从管理 SCIM 页面

注意：如果在后台更改正在处理时触发手动同步，您的组织会为每个成员或群组采用最新的更改。如果为同一成员或群组排队了多个更改，您可能需要重新同步以确保所有内容都正确应用。

运行同步时（通过手动重新同步或保存映射更改），管理控制台会显示同步将执行的操作的预览，然后再应用任何内容。预览会自动显示在同步流中，并显示同步将添加、删除或修改多少成员，以及目录数据的最新时间。

在确认前查看预览。如果数字与您的预期不符（例如，删除数量远多于实际离职的人数），请取消同步并在继续前检查 IdP 目录和群组映射。

如果同步会删除异常大比例的成员，预览会显示警告。这有助于您在删除应该保留访问权限的人员之前捕获配置错误的映射。看到此警告时，请停止并确认更改是有意的，然后再继续。

触发手动同步时，您可以选择同步成员、群组或两者。以下是每个的作用：

手动同步重新扫描 WorkOS 以获取成员和群组的完整列表以建立最新的基线。预计每 100 个成员大约需要一分钟——因此 1,000 个成员的组织需要大约 10 分钟才能完全重新同步。

要检查您的组织的成员和群组是否为最新状态，您有两个选项：

在触发手动重新同步之前，请记住以下几点：

将配置模式更改为 SCIM 会删除不在 IdP 目录中的成员。在更改配置模式之前，请确认所有现有成员都在 IdP 目录中。
更新成员的电子邮件会创建新的成员记录。删除具有旧电子邮件的成员，并创建具有新电子邮件的新成员。
重新同步级联到子组织。如果您在同一 父组织下有多个具有 SCIM 配置的组织，重新同步一个会触发其他组织中的重新同步。这包括共享同一父组织的沙箱组织。
不完整的角色映射会从组织中删除成员。为 SCIM 启用群组映射时，在保存前完成分配所有群组。任何未包含在角色群组映射中的成员都会从组织中删除。座位层级映射的工作方式不同：不在任何座位层级群组中的成员不会被删除。现有成员保留其当前座位类型，新配置的成员会收到仍有未分配购买座位的最高座位类型，然后是下一个座位类型，如果没有可用座位则不添加座位。