Algemeen 

System for Cross-domain Identity Management (SCIM) is een open standaard voor het uitwisselen van identiteitsgegevens tussen IT-systemen via RESTful webservices.   
WebIDM implementeert

• SCIM 2.0 protocol RFC 7644
• SCIM Core Schema RFC 7643

Dit document dient enkel ter verduidelijking van de SCIM implementatie door WebIDM. Het gedrag van de web service wordt uitgebreid beschreven in RFC 7644. 

Aandachtspunten bij de SCIM implementatie van WebIDM:  

• Er wordt geen gebruik gemaakt van het PATCH verb om resources te wijzigen, enkel PUT wordt gebruikt waarmee de resource volledig wordt vervangen door de nieuwe waarde. 
• Enkel het User schema werd geïmplementeerd. Er wordt geen gebruik gemaakt van het Group schema. Meer informatie: RFC 7642.
  

WebIDM is in de context van bovenstaande RFC de Enterprise Cloud Subscriber (ECS).  
De applicatie die informatie ontvangt van WebIDM neemt hier de rol van Cloud Service Provider (CSP) op, verder Service Provider genoemd. 

Business proces 

Aanmaak van een gebruiker 

Een gebruiker wordt aangemaakt wanneer deze minstens één werkrelatie heeft met een toegekend recht in WEBIDM.

Volgende informatie wordt minstens doorgegeven: 

Volgende informatie kan optioneel worden doorgegeven: 

Wijzigen van een gebruiker 

Een update actie wordt uitgevoerd: 

• Als de informatie van de gebruiker of van een bestaande werkrelatie wijzigt. 
  Vb: nieuw emailadres, nieuwe login, naamswijziging,…​ 
• Als er werkrelaties worden toegevoegd of verwijderd. 
  Vb: gebruiker werkt niet langer bij een organisatie of een gebruiker gaat bij een extra organisatie werken.  
  Opmerking: Er moet wel altijd minstens 1 actieve werkrelatie overblijven, anders is het een delete en geen update. ​ 
  

Verwijderen van een gebruiker 

Een delete actie wordt uitgevoerd: 

• Als de gebruiker zijn laatste actieve werkrelatie verliest en niet langer verbonden is met een organisatie.
  

De Service Provider moet gebruikers op zijn minst inactief maken bij een delete en alle gekende rechten verwijderen. 

Pauzeren 

WebIDM heeft een pauzeer-knop op niveau van de gebruiker, werkrelatie en recht. Dit laat de lokale beheerder toe om delen van een gebruiker tijdelijk te inactiveren, bv bij langdurige ziekte.​ 

Pauzeren zal lijken op toekenningen die verdwijnen in WebIDM: 

• Updates met daarin minder werkrelaties of rechten dan de Service Provider op dat moment kent. 

Actief/niet-actief vlag 

Op niveau van een gebruiker bestaat een vlag die enkel systeembeheerders kunnen aan- of uitzetten om gebruikers in uitzonderlijke gevallen dringend te deactiveren zonder deze helemaal te moeten verwijderen. 
Ook bij de Service Provider moeten a.d.h.v. deze vlag gebruikers ge-activeerd of gedeactiveerd worden. 
Dit zijn update acties, geen delete acties. 

Technisch implementatie 

SCIM Endpoint 

De targetapplicatie waar WebIDM naar provisioneert, moet minstens volgende functionaliteit in zijn SCIM endpoints implementeren: 

• Find User
• Create User
• Update User
• Delete User
  

Find User 

Create User 

Het aanmaken van de User gebeurt d.m.v. een POST request om de User aan te maken. Deze POST bevat naast persoonsgegevens ook de rechten en indien geconfigureerd optionele attributen als e-mailadressen of rollen. 

Update User 

Delete User 

Health check 

Een health check service moet geïmplementeerd worden door de Service Provider. WebIDM beslist aan de hand van de respons of er een provisionering kan gestart worden.  

Beveiliging 

Voor het beveiligen van de communicatie tussen WebIDM en de SCIM Service Provider ondersteunen we enkel MutualTLS (mTLS) authenticatie. 
Naast deze beveiligingsmaatregelen, moeten mogelijks ook de nodige datastromen voorzien worden tussen WebIDM en de Service Provider.  

MutualTLS

Voor een veilige verbinding, zowel over het lokaal netwerk binnen VO als over het internet, moeten WebIDM en de SCIM Service Provider MutualTLS authenticatie implementeren, waarbij beide partijen zich authenticeren tegenover elkaar d.m.v. X509 certificaten. 
De SCIM Service Provider moet het client certificaat van WebIDM vertrouwen. Daarnaast moet de SCIM Service Provider een GlobalSign of VO PKI SSL server certificaat voorzien dat WebIDM kan vertrouwen. 

Verschillen tegenover vorige versie

• WebIDM houdt de ID die wordt gecreëerd door de Service Provider bij. De Service Provider ondersteunt de Find User by externalId. Als WebIDM en de Service Provicer out of sync geraken wordt de Find User gebruikt om de Service Provider ID op te halen.
  
• WebIDM doet enkel calls naar de Service Provider indien er wijzigingen zijn. In de vorige versie kon het gebeuren dat er calls gemaakt werden naar de Service Provider ook al was er voor die specifieke User resource niets gewijzigd, maar wel in andere rechten van die Gebruiker.
• Het aanmaken van een gebruiker gebeurt aan de hand van één enkele Create User call. In de vorige versie was dit 1 Create User call gevolgd door 1 of meedere Update User calls.
• De SCIM User property Groups wordt ondersteund. De waarde hiervan kan Fully Qualified of Simple zijn.