SCIM ou a especificação System for Cross-domain Identity Management é um protocolo padrão para gerenciar contas em múltiplos serviços: adicionar colegas, alterar suas propriedades, como nome, ou desativar contas para revogar acesso.
Integrar o Intercom com seu provedor de identidade torna o gerenciamento de colegas simples e seguro.
Google Workspace não suporta provisionamento SCIM para Intercom, pois o Intercom não está no catálogo de apps do Google. Apenas o provisionamento Just-in-Time está disponível para Google Workspace, e o provisionamento SCIM é suportado com Okta, OneLogin e Azure Active Directory.
Antes de começar
Importante: Existem vários pré-requisitos para configurar o SCIM:
Antes de configurar o SCIM, o SAML SSO deve estar configurado e habilitado no seu workspace.
O Provisionamento SCIM está disponível apenas em certos planos do Intercom. Verifique nossos planos e preços para adicionar isso à sua assinatura.
Cada workspace do Intercom para o qual você deseja provisionar deve ser configurado como um app separado no seu Provedor de Identidade.
Como habilitar o SCIM
Certifique-se de que o SAML SSO está habilitado.
Então abra Provisionamento e selecione Habilitar o provisionamento SCIM.
Uma URL Base e um Token API estarão disponíveis após salvar as configurações de segurança.
Copie a URL Base e o Token API e adicione-os à configuração do app Intercom no seu Provedor de Identidade (ex.: Okta, OneLogin, Azure ActiveDirectory).
Configurando as configurações de provisionamento
Após habilitar o SCIM, você deve configurar como novos colegas são provisionados e como colegas que saem são desprovisionados.
Defina assentos e permissões padrão para colegas
Quando um novo colega é criado pelo seu provedor de identidade, o Intercom lhe concede um assento padrão e um conjunto de permissões.
Certifique-se de que o SAML SSO está habilitado.
Abra a seção Provisionamento.
Em "Permissões padrão para colegas", clique em Editar.
Ative o assento e as permissões que novos colegas devem ter quando forem provisionados.
Configure as configurações de desprovisionamento
Quando colegas são desprovisionados pelo seu IdP, a conta deles será excluída do Intercom. Essa configuração controla para quem os itens atribuídos a eles (conversas, artigos, etc.) serão reatribuídos.
Certifique-se de que o SAML SSO está habilitado.
Abra a seção Provisionamento.
Na seção Desprovisionamento, você pode escolher quem deve receber a propriedade de cada tipo de dado.
Se você escolher a opção Padrão, o Intercom atribuirá os itens ao primeiro colega no workspace. Eles podem ser reatribuídos depois.
Você também pode escolher colegas específicos para serem excluídos do desprovisionamento. Isso pode ajudar sua equipe de TI a manter acesso ao workspace do Intercom em caso de erro de configuração ou emergência.
Como o SCIM gerencia colegas
Uma vez configurado, seu IdP gerenciará seus colegas no Intercom.
Criando colegas
Este é o fluxo típico de provisionamento de usuário:
A equipe de TI adiciona um novo colega ao diretório do Provedor de Identidade da empresa.
A equipe de TI atribui o app Intercom ao novo colega na plataforma do IdP.
O IdP envia uma requisição HTTP para o Intercom, que cria um novo colega no workspace do Intercom.
O novo colega recebe automaticamente as permissões e o assento que você configurou em Permissões padrão para colegas.
Nota: Se uma conta de administrador com o mesmo e-mail já existir no Intercom, o SCIM concederá acesso a essa conta existente ao workspace do cliente.
Atualizando colegas
Quando sua equipe de TI altera o nome de um colega no diretório do IdP, o IdP envia uma requisição HTTP para o Intercom atualizar o nome do colega no Intercom.
Excluindo colegas
Esta é a típica configuração de Configurações de Desprovisionamento SCIM.
A equipe de TI remove a atribuição do app Intercom de um colega no IdP.
O IdP envia uma requisição HTTP para o Intercom remover o colega do workspace.
O Intercom reatribui automaticamente todos os objetos (conversas, mensagens enviadas, contatos, artigos) atribuídos a esse colega conforme suas configurações de Desprovisionamento de colegas.
Aviso importante sobre desativação: Colegas no Intercom hoje podem estar em um de dois estados: "ativo" ou "excluído". O Intercom não suporta estados de exclusão suave, desativação ou arquivamento para colegas.
Quando um colega não está ativo no seu provedor de identidade, a conta dele será permanentemente excluída do workspace do Intercom. Se o colega tiver acesso a outros workspaces, esse acesso será mantido.
Gerenciando permissões de colegas via SCIM
Você pode enviar seus grupos do provedor de identidade para o Intercom e mapear esses grupos para funções específicas de colegas. Veja nosso artigo sobre atribuição automática de funções de colegas via grupos SCIM para mais detalhes.
Limitações e notas importantes
Limitações conhecidas
Nossa implementação atual do SCIM não suporta:
Adicionar um colega a uma equipe ou removê-lo de uma equipe
Dar uma função padrão no provisionamento (isso deve ser feito via mapeamento de grupos SCIM)
Notas importantes
Nota:
A capacidade de provisionamento do Intercom é construída usando a versão 2.0 do protocolo SCIM.
O Intercom considera endereços de e-mail como insensíveis a maiúsculas e minúsculas (ex.: "Teammate@example.com" é o mesmo que "teammate@example.com").
Se um parâmetro "displayName" for enviado na requisição, ele será usado em vez do parâmetro "name".