通过Azure AD管理SaaS用户和组

Question

使用Azure AD Premium，Enterprise &SCIM2.0提供范围-只分配用户和组

我正在努力完成下面的用例：

1. 为分配给给定AD组的用户提供SCIM
2. 当添加用户时，它将正确地触发POST /Users来创建用户。
3. 当用户被删除时，它跳过用户的报告--“细节:用户详细信息:跳过原因= NotEffectivelyEntitled，活动=真实，分配=假，传递的作用域过滤器:真”，但不会发送补丁或删除通知saas应用程序用户不再有效。

因此，询问使用SCIM供应只管理AD中作为系统活动用户的一部分的正确机制是什么。

例如，公司中只有一个部门使用saas应用程序，因此用户列表中用于分配票证等的用户只应该是这些部门，如果用户更改部门，并且不再能够访问saas应用程序，则不应将其视为saas应用程序目录的有效用户。saas许可将计算所有注册用户，因此没有理由同步20,000名用户是一种选择。

看起来SCIM用补丁和DELETE支持这个用例，但是Azure AD并没有像预期的那样从企业应用程序中的用户和组中传播更改。

如有任何建议请见谅。

谢谢

Answer 1

经过多次尝试和错误之后，这个问题与提供给POST (create)的响应对象有关--响应的用户名属性需要与入站对象相同。

对于AzureAD SCIM，这里并没有真正的文档记录，而且SCIM协议没有指定响应中的属性值，只是模型。无论如何，大量的伐木和篡改导致了正确的GET，POST，补丁序列。

这个文档是正确的，只是遗漏了关于虚线响应要求的任何信息。

https://learn.microsoft.com/en-gb/azure/active-directory/manage-apps/use-scim-to-provision-users-and-groups#user-provisioning-and-de-provisioning