> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/user-provisioning-with-scim.md).
# Brukerprovisjonering med SCIM
## Brukerprovisjonering med SCIM
CERRIX støtter automatisk brukerprovisjonering gjennom SCIM-protokollen (System for Cross-domain Identity Management). Med SCIM aktivert håndterer identitetsleverandøren din opprettelse, oppdatering og deaktivering av brukerkontoer og rollegrupper i CERRIX, slik at du ikke lenger trenger å vedlikeholde brukere manuelt. Denne siden viser deg hvordan du setter opp provisjonering fra Microsoft Entra ID (Azure Active Directory), forklarer hvordan SCIM-hemmelighetstokenet fungerer, og dekker de vanligste problemene.
{% hint style="info" %}
SCIM-provisjonering brukes vanligvis sammen med Single Sign-On (SSO). SSO styrer hvordan brukere logger inn; SCIM styrer hvilke brukere og rollegrupper som finnes i CERRIX. Se SSO-oppsettguiden for konfigurasjon av innlogging.
{% endhint %}
### Hva SCIM-provisjonering gjør
Når SCIM-provisjonering er aktiv:
* **Brukere** opprettes, oppdateres og deaktiveres i CERRIX automatisk, basert på brukerne som er tildelt integrasjonen i identitetsleverandøren din. Når en bruker blir (permanent) slettet i identitetsleverandøren din, fjernes brukeren også fra CERRIX.
* **Grupper** fra identitetsleverandøren din synkroniseres til CERRIX som **rollegrupper**. Etter at gruppene er synkronisert, tildeler du CERRIX-tillatelser til disse rollegruppene i CERRIX. Gruppemedlemskap administreres deretter helt fra identitetsleverandøren din.
### Forutsetninger
#### Hva CERRIX tilbyr
For å konfigurere brukerprovisjonering trenger du følgende informasjon fra CERRIX:
| Element | Beskrivelse |
| ---------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| URL til SCIM-endepunkt | `https://[customer short name].cerrix.com/api/scim` |
| Hemmelig token | En JWT (JSON Web Token) som brukes for å få tilgang til SCIM-endepunktet. Administratorer kan generere dette tokenet selv i CERRIX under Miljøinnstillinger (se [#the-secret-token-lifecycle](#the-secret-token-lifecycle "mention")), eller be om det fra CERRIX-support. Det er et token med lang levetid som utløper på en angitt dato og må erstattes før det utløper; utløpsdatoen kan avtales med CERRIX. |
{% hint style="warning" %}
Hvert CERRIX-miljø (for eksempel produksjon og aksept) har sin egen URL for SCIM-endepunkt og sitt eget hemmelige token. Et token utstedt for ett miljø fungerer ikke på et annet.
{% endhint %}
#### Hva CERRIX trenger fra deg
| Element | Beskrivelse |
| --------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Standard Organisasjon | Standard-/fallback-Organisasjonen som nye brukere kobles til, brukt når ingen Organisasjon-Identifier er oppgitt gjennom provisjonering eller når det ikke finnes noen treff. |
### Konfigurere provisjonering i Microsoft Entra ID (Azure)
#### Opprett en bedriftsapplikasjon
Opprett en bedriftsapplikasjon uten galleri der du konfigurerer brukerprovisjonering og velger hvilke grupper og brukere som synkroniseres:
1. Gå til **Azure Active Directory** (Microsoft Entra ID).
2. Velg **Bedriftsapplikasjoner** i sidemenyen.
3. Velg **Ny applikasjon** i toppmenyen under **Alle applikasjoner**.
4. Velg **Opprett din egen applikasjon**.
5. Fyll inn et navn for applikasjonen (for eksempel "CERRIX SCIM") og sørg for at **uten galleri** -alternativet ("Integrate any other application you don't find in the gallery") er valgt.
6. Velg **Opprett**.
#### Konfigurer den opprinnelige tilkoblingen
1. Åpne bedriftsapplikasjonen du opprettet, og velg **Provisioning** i sidemenyen.
2. Velg **Kom i gang**.
3. Fyll inn følgende verdier:
| Felt | Verdi |
| ------------------ | ------------------------------------------------------------------------------------------------------------ |
| Provisioning-modus | Automatisk |
| Tenant-URL | `https://[customer short name].cerrix.com/api/scim` |
| Hemmelig token | JWT-en som brukes for å få tilgang til SCIM-endepunktet. Generer den selv i CERRIX under Miljøinnstillinger. |
4. Velg **Test tilkobling** for å validere Tenant-URL og hemmelig token. Når testen lykkes, velg **Lagre**.
#### Konfigurer gruppetilordninger
Utvid **Tilordninger** i skjermbildet Rediger provisjonering og velg **Provisjoner Azure Active Directory-grupper**.
1. Angi **Aktivert** til **Ja**.
2. Under **Handlinger for målobjekt**, velg **Opprett**, **Oppdater**, og **Slett**.
3. Sørg for at følgende attributttilordninger er konfigurert, og slett eventuelle andre:
| Azure Active Directory-attributt | CERRIX-attributt | Formål |
| -------------------------------- | ---------------- | -------------------------------------- |
| visningsnavn | visningsnavn | Navn på rollegruppen |
| objektId | eksternId | ID som identifiserer rollegruppen i AD |
| medlemmer | medlemmer | Brukere koblet til rolleguppen |
4. Velg **Lagre** i toppmenyen.
#### Konfigurer brukertilordninger
Velg **Klargjør Azure Active Directory-brukere** under **Tilordninger**.
1. Angi **Aktivert** til **Ja**.
2. Under **Handlinger for målobjekt**, velg **Opprett**, **Oppdater**, og **Slett**.
3. Sørg for at følgende attributttilordninger er konfigurert, og slett eventuelle andre:
| Azure Active Directory-attributt | CERRIX-attributt | Formål |
| ---------------------------------------------------------- | ----------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------- |
| userPrincipalName | userName | Brukernavn |
| Switch(\[IsSoftDeleted], "False", "True", "True", "False") | aktiv | Indikerer om brukeren fortsatt kan få tilgang til CERRIX. Brukeren slettes fra CERRIX når brukeren også er (permanent) slettet i Azure. |
| mail | emails\[type eq "work"].value | E-postadresse |
| givenName | name.givenName | Fornavn |
| etternavn | name.familyName | Etternavn |
| mailNickname | eksternId | ID som identifiserer brukeren i AD |
| En egendefinert Organisasjon-ID, når tilgjengelig | urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:Organisasjon | (Valgfritt) Egendefinert Organisasjon-ID brukt til å knytte brukeren til en CERRIX Organisasjon |
4. Velg **Lagre** i toppmenyen.
#### Innstillinger og omfang
Utvid **Innstillinger** i skjermbildet Rediger klargjøring:
* Sørg for **Omfang** er satt til **Synkroniser bare tildelte brukere og grupper**.
* Konfigurer eventuelt en **Varslings-e-post** og aktiver **Send et e-postvarsel når det oppstår en feil**, slik at klargjøringsfeil blir rapportert til deg.
#### Tildel grupper og brukere
Normalt tildeles bare grupper, men det er også mulig å tildele enkeltbrukere:
1. Velg **Brukere og grupper** i menyen til venstre i bedriftsapplikasjonen.
2. Velg **Legg til bruker/gruppe** i toppmenyen.
3. Velg **Ingen valgt** under **Brukere og grupper**.
4. Velg gruppene (og brukerne) som må synkroniseres, og bekreft med **Tildel**.
#### Start provisjonering
Velg **Start provisjonering** på **Provisioning** siden. Azure vil nå begynne å synkronisere de tildelte brukerne og gruppene til CERRIX.
#### Konfigurer tillatelser i CERRIX
Etter at gruppene er synkronisert, konfigurer CERRIX-tillatelsene for de resulterende rollegruppene i CERRIX. SCIM håndterer bare gruppene og medlemmene deres; rollene som er knyttet til hver rollegruppe, administreres i selve CERRIX.
### Organisasjonsmapping og standard Organisasjon
Når en bruker provisjoneres gjennom SCIM, bestemmer CERRIX hvilken Organisasjon brukeren er knyttet til. Dette fungerer på én av to måter: gjennom standard Organisasjon, eller gjennom organisasjonsmapping basert på en organisasjons-Identifier.
#### Standard Organisasjon
Hvert CERRIX-miljø har én SCIM-standard Organisasjon, som konfigureres av CERRIX på CERRIX-siden. Nye brukere knyttes til denne Organisasjonen når ingen organisasjons-Identifier oppgis gjennom provisjonering, eller når den oppgitte Identifieren ikke samsvarer med noen Organisasjon i CERRIX. Den fungerer som en reserve: standard Organisasjon gjelder for **alle** nye brukere som ikke kan matches. Hvis du ønsker en annen standard Organisasjon, kontakt CERRIX-support og oppgi miljøet (test eller produksjon).
#### Knytte brukere til spesifikke Organisasjoner
For å plassere provisjonerte brukere direkte i riktig CERRIX Organisasjon, må to ting konfigureres:
1. **I CERRIX** — rediger hver Organisasjon som brukerne skal synkroniseres til, og fyll inn dens **Ekstern Identifier** egenskap i organisasjonens Grunndata. Denne verdien er det innkommende provisjoneringsforespørsler matches mot. Bare **ett** én ekstern Identifier per Organisasjon er mulig, så alle brukere som tilhører den Organisasjonen må provisjoneres med den samme Identifier-verdien.
2. **I identitetsleverandøren din** — legg til en attributtmapping i bedriftsapplikasjonen som utfører SCIM-synkroniseringen, og målrett mot CERRIX-attributtet `urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:Organisasjon` (se attributtmappingene for brukere ovenfor). Kilden kan være et hvilket som helst attributt eller uttrykk som produserer organisasjons-Identifieren — for eksempel et uttrykk som oversetter en brukers avdeling til den matchende eksterne Identifieren (for eksempel «Finance» → «FIN-01»). Dette gjør at avdelinger i identitetsleverandøren din kan synkroniseres med de tilsvarende Organisasjoner i CERRIX.
Organisasjonsmapping krever også en konfigurasjonsendring på CERRIX-siden, per miljø. Kontakt CERRIX-support for å få det aktivert, og oppgi om det gjelder test- eller produksjonsmiljøet ditt.
#### Identifiere som ikke samsvarer, oppretter nye Organisasjoner
Fyll inn de eksterne Identifierne **før** brukerne synkroniseres. Hvis en bruker provisjoneres med en Identifier som ikke samsvarer med noen Organisasjon, opprettes en ny Organisasjon i CERRIX, med et navn som begynner med "SCIM ".
{% hint style="info" %}
Vi anbefaler å konfigurere og teste organisasjonsmapping i testmiljøet først, før du aktiverer det i produksjon.
{% endhint %}
### Livssyklusen for den hemmelige tokenen
SCIM-hemmelige token er en langlivet JWT utstedt av CERRIX for et spesifikt miljø.
* **Utløp**: tokenen utløper på en fastsatt dato. Utløpsdatoen kan forhandles med CERRIX, og tokenen må erstattes før den utløper. Utløpsdatoen for en token er inkludert i tokenen selv ( `UtcExpiration` verdien som vises når den genereres). Hvis du ikke lenger har denne informasjonen for en eksisterende token, kontakt CERRIX-support.
* **Fornyelse**: administratorer kan generere en ny SCIM-hemmelig token fra CERRIX. Naviger fra Dashboard, i **Administrasjonskontroller** seksjonen, til **Miljøinnstillinger**, velg **Generelt** i menyen til venstre, og bruk knappen Generer SCIM-token nederst på siden.
* **Etter fornyelse**: oppdater **Hemmelig token** feltet i bedriftsapplikasjonen i identitetsleverandøren din med den nye tokenen og kjør **Test tilkobling** for å bekrefte at tilkoblingen fungerer igjen.
{% hint style="warning" %}
Planlegg byttet av tokenen i god tid før utløpsdatoen. Når tokenen utløper, slutter provisjoneringen å fungere til en ny token er konfigurert.
{% endhint %}
### Deprovisionering og offboarding
SCIM automatiserer også offboarding-delen av brukerlivssyklusen: når en bruker forlater organisasjonen deres, er det nok å fjerne eller deaktivere dem i identitetsleverandøren din for å trekke tilbake tilgangen deres til CERRIX.
#### Hvordan automatisk offboarding fungerer
Offboarding via SCIM er en totrinnsprosess:
1. **Brukeren deaktiveres først.** Når en bruker deaktiveres, myk-slettes eller fjernes fra omfanget av integrasjonen i identitetsleverandøren din, deaktiverer SCIM brukeren i CERRIX: kontoen blir inaktiv og AD-autentiseringen slås av, slik at brukeren ikke lenger kan logge inn.
2. **Kontoen fjernes permanent omtrent 30 dager senere.** Når identitetsleverandøren din sletter brukeren permanent (hard delete), sender den en sletteforespørsel til CERRIX, og kontoen fjernes fra applikasjonen. I Microsoft Entra ID blir brukere hard-slettet 30 dager etter at de er myk-slettet, så den permanente fjerningen fra CERRIX følger vanligvis omtrent 30 dager etter at kontoen ble deaktivert.
#### Spesifikt om Entra ID
CERRIX' SCIM-svar følger Microsofts veiledning for SCIM-endepunkt (*Utvikle et SCIM-endepunkt for brukerprovisjonering til apper fra Microsoft Entra ID*), så standard atferd for Entra-provisjonering gjelder. For å tillate at sletteforespørsler når fram til CERRIX, la **Forhindre utilsiktede slettinger** innstillingen for bedriftsapplikasjonen **deaktivert**.
#### Hvis kontoer forblir aktive i CERRIX
Hvis brukere som er offboardet fortsatt er aktive i CERRIX, sjekk først provisjoneringsloggene i identitetsleverandøren din og bekreft at det faktisk ble sendt en sletteforespørsel for den berørte kontoen. En konto som SCIM allerede har deaktivert, bør fjernes automatisk når hard delete følger etter. Hvis loggene viser at sletteforespørsler ble sendt, men kontoene fortsatt finnes, kontakt CERRIX-support via servicedesken med de berørte brukernavnene.
#### Fjerne mange kontoer samtidig
Hvis du trenger at et sett med kontoer fjernes umiddelbart, uten å vente på den automatiske syklusen, kan CERRIX kjøre et oppryddingsskript for deg. Kontakt CERRIX-support via servicedesken og oppgi den fullstendige listen over brukere, med deres AD-brukernavn, som skal fjernes. Fjerningen utføres først i akseptansemiljøet ditt, og gjennomføres i produksjon først etter godkjenningen din.
### Støttede identitetsleverandører og verifisering av integrasjonen din
#### Støttede identitetsleverandører
CERRIX-brukerprovisjonering er implementert og støttet for **Microsoft Entra ID** og **Okta**, og det finnes kjørende miljøer for begge. Andre identitetsstyringssystemer som bruker SCIM-protokollen kan i prinsippet også koble til; siden CERRIX validerer implementeringen sin mot Entra ID og Okta, og noen leverandører leverer færre av de påkrevde feltene, kontakt CERRIX-support via servicedesken først for å diskutere oppsettet ditt.
#### Hvordan SCIM-API-et forholder seg til REST-API-ene
SCIM-API-et tilbys på `https://[customer short name].cerrix.com/api/scim`, under samme backend-rot som CERRIX REST-API-ene (som ligger under `/api`). Forskjellen er autentiseringsmetoden: SCIM bruker **bearer-token-autentisering** med det hemmelige tokenet, mens REST-API-ene bruker grunnleggende autentisering. Hvis organisasjonen din ruter trafikk gjennom et API-administrasjonslag, kan du behandle SCIM og REST-API-ene som én backend med to stier.
For integrasjonsarbeid er en **Postman-samling** som inneholder SCIM-forespørslene og -payloadene tilgjengelig på forespørsel via servicedesken, og fungerer som API-referanse så lenge det ikke er publisert noen separat OpenAPI/Swagger-spesifikasjon.
#### Verifisering av integrasjonen din
Både SSO og SCIM kjører fra en applikasjon registrert i **din egen tenant**, så ende-til-ende-testing skjer hos deg:
* **SSO** — la en bruker logge inn på CERRIX-miljøet ditt ved å bruke **Arbeidskonto** knappen på innloggingssiden.
* **SCIM** — tilordne en testbruker til provisjoneringsapplikasjonen i identitetsleverandøren din og bekreft at brukeren vises i CERRIX User Management.
Når SSO er verifisert, kan du be CERRIX-support via servicedesken om å deaktivere innlogging med brukernavn/passord, slik at Work account-alternativet blir den eneste måten å logge inn på.
### Feilsøking
#### Tilkoblingstesten mislykkes eller forespørsler returnerer 401 «invalid\_token»
Hvis SCIM-forespørsler mislykkes med et Unauthorized-svar og en feil som `invalid_token — Signaturnøkkelen ble ikke funnet`, kan gjeldende token ikke lenger valideres. Dette betyr vanligvis ett av følgende:
* **Tokenet har utløpt.** Generer et nytt token (se [Livssyklusen for den hemmelige tokenen](#the-secret-token-lifecycle)) og oppdater det i bedriftsapplikasjonen.
* **Miljøets signaturnøkkel har endret seg.** Dette skjer vanligvis etter en miljøkopi eller -oppdatering (se nedenfor). Løsningen er den samme: konfigurer et nytt token.
* **SCIM er ikke aktivert i miljøet.** SCIM må være aktivert i et CERRIX-miljø før noe token vil fungere, og dette konfigureres per miljø. Hvis et nylig utstedt token fortsatt ikke består tilkoblingstesten, kontakt CERRIX-kundestøtte for å bekrefte at SCIM er aktivert i miljøet du kobler til.
#### Etter en miljøkopi eller oppdatering
Når CERRIX kopierer produksjonsmiljøet ditt til et annet miljø (for eksempel en oppdatering fra produksjon til akseptmiljø), påvirkes SCIM-konfigurasjonen:
* **Det eksisterende SCIM-tokenet for målmiljøet blir ugyldig**, fordi kopien endrer miljøets signeringsdata. Generer eller be om et nytt token for målmiljøet, og oppdater bedriftsapplikasjonen som provisjonerer til det.
* **Rollegrupper fra kilde-miljøet overskriver dem i målmiljøet.** For eksempel vil rollegrupper som følger navnekonvensjonen for produksjon, vises i akseptmiljøet. For å gjenopprette de riktige gruppene, fjern de berørte gruppene fra bedriftsapplikasjonen i identitetsleverandøren din og legg dem til på nytt; dette utløser en resynkronisering som oppretter de riktige gruppene på nytt.
* **Nyss synkroniserte rollegrupper opprettes uten CERRIX-roller.** SCIM kjenner ikke til interne CERRIX-roller, så grupper som opprettes på nytt av en synkronisering, har ennå ingen rettigheter. Tildel rollene til de nye rollegruppene i CERRIX **før** og slett de gamle (kopierte) rollegruppene — ellers kan brukerne miste alle tilgangsrettigheter i miljøet.
{% hint style="danger" %}
Fjern ikke en rollegruppe som er den eneste kilden til dine egne rettigheter før erstatteren har fått tildelt roller. Hvis du låser deg ute på denne måten, kontakt CERRIX-kundestøtte for å gjenopprette rollegruppen.
{% endhint %}
* **Oppdateringer av grupper kan mislykkes med konfliktfeil** hvis synkroniseringen prøver å legge til brukere som allerede er tildelt gruppen i CERRIX. Hvis identitetsleverandøren din rapporterer konflikter ved oppdatering av grupper etter en oppdatering, kontakt CERRIX-kundestøtte; kundestøtte kan koble de berørte brukerne fra rollegruppene slik at neste planlagte synkronisering legger dem til riktig.
#### 403-feil etter endringer i IP-hvitelisting
Hvis tilgangskontrollen i miljøet ditt endres (for eksempel fra en streng IP-sjekk til IP-verifisering med MFA), må IP-adressene som brukes for SCIM hvitelistes på nytt før SCIM-forespørsler behandles. CERRIX vedlikeholder de standard IP-områdene som Azure bruker for SCIM, men hvis du kaller SCIM-API-et direkte fra din egen infrastruktur, må disse IP-adressene hvitelistes separat. Hvis SCIM-forespørsler gir 403-feil etter en slik endring, kontakt CERRIX-kundestøtte og oppgi IP-adressen(e) anropene gjøres fra.
{% hint style="info" %}
Merk også at disse IP-områdene kan endre seg over tid på Azure-siden. Hvis provisjoneringen stopper med 403-feil uten noen endring hos deg, kontakt CERRIX-kundestøtte for å få hvitelisten oppdatert.
{% endhint %}
#### Ingen brukere opprettes eller fjernes automatisk
Single Sign-On og SCIM er separate mekanismer: SSO styrer hvordan brukere logger inn, SCIM styrer hvilke brukere og rollegrupper som finnes i CERRIX. Brukere kan derfor logge inn via SSO uten problemer, samtidig som ingen kontoer opprettes, oppdateres eller deaktiveres automatisk.
Hvis nye kolleger ikke vises i CERRIX og tidligere ansatte fortsatt er aktive, kontroller følgende:
* **Provisjonering er konfigurert hos identitetsleverandøren din, ikke i CERRIX.** Innstillingene ligger i bedriftsapplikasjonen som provisjonerer til CERRIX, og derfor finner ikke administratorer en SCIM-konfigurasjonsskjerm i selve CERRIX, selv med full administratorrettighet.
* **Gå gjennom provisjoneringsloggene for den bedriftsapplikasjonen** for mislykkede synkroniseringssykluser, utløpte token eller kartleggingsfeil. Oppføringene ovenfor dekker de vanligste årsakene.
* **Bekreft at SCIM i det hele tatt er satt opp for dette miljøet.** SCIM aktiveres per miljø, og et miljø der brukerne alltid har blitt vedlikeholdt manuelt, har ganske enkelt ingen provisjonering konfigurert. CERRIX-kundestøtte kan bekrefte om det finnes en aktiv SCIM-konfigurasjon for miljøet ditt.
Hvis det viser seg at provisjonering aldri har vært konfigurert, følg oppsettsstegene tidligere på denne siden for å legge det til — fra det tidspunktet brukes endringer i brukere og rollegrupper i identitetsleverandøren din automatisk i CERRIX.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/user-provisioning-with-scim.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
