通过Azure AD SCIM管理SaaS用户和组

Question

使用Azure AD Premium， 企业应用程序和SCIM 2.0设置 范围-仅分配了用户和组

我正在尝试下面的用例：

1. 分配给给定AD组的用户的SCIM设置
2. 添加用户后，它会正确触发POST / Users以创建用户
3. 删除用户后，它会跳过该用户的报告-“详细信息：用户详细信息：跳过原因=未有效授权，活动=正确，已分配= False，已通过范围过滤器：真实；”但是不会发送PATCH或DELETE通知saas应用程序用户不再有效。

因此，质疑使用SCIM设置仅将AD中的一部分用户作为系统的活动用户进行管理的正确机制是什么。

例如公司中只有1个部门使用saas应用程序，因此分配票证等的用户列表应仅是那些，并且如果用户更改部门并且不再有权访问saas应用程序，则不应将其视为saas应用程序目录的有效用户。 saas许可将对所有注册用户进行计数，因此无法无缘无故地同步20,000个用户。

好像SCIM的PATCH＆DELETE支持此用例，但是Azure AD并未按预期传播企业应用程序中用户和组的更改。

任何建议表示赞赏。

谢谢

Answer 1

经过反复试验，此问题与提供给POST（创建）的响应对象有关-响应的Username属性必须与入站对象相同。

AzureAD SCIM的任何地方均未对此进行真正记录，并且SCIM协议仅指定模型作为响应而不指定属性的值。无论如何-大量的日志记录和摆弄导致正确的GET，POST，PATCH序列。

此文档是正确的，只是省略了有关虚线响应要求的任何信息。

https://docs.microsoft.com/en-gb/azure/active-directory/manage-apps/use-scim-to-provision-users-and-groups#user-provisioning-and-de-provisioning