Управление пользователями по протоколу SCIM

После того как вы подтвердите свой домен и настроите аутентификацию по протоколу SAML (Security Assertion Markup Language) для своей организации, вы сможете сгенерировать API-токен SCIM (System for Cross-domain Identity Management). Генерация токенов SCIM для пользователей доступна только организациям с тарифным планом Shopify Plus.

Возможности

Передав API-токен SCIM своему поставщику идентификационных данных, вы сможете выполнять следующие действия через этого поставщика:

• Создание пользователей
• Назначение или обновление групп
• Деактивация пользователей

Требования для управления по SCIM

Прежде чем настраивать управление пользователями по SCIM, необходимо подтвердить домен и создать конфигурацию SAML. Вы можете управлять только пользователями, которые привязаны к домену, подтверждённому для вашей организации.

Что следует учесть при управлении по SCIM

При использовании управления по SCIM для ваших пользователей ознакомьтесь со следующими замечаниями:

• Пользователи, созданные через SCIM, не получают письмо с приглашением. Чтобы активировать свой аккаунт, пользователь должен авторизоваться через поставщика идентификационных данных.
• После добавления API-токена при добавлении нового пользователя, которого ранее не было в Shopify, через поставщика идентификационных данных или в настройках «Пользователи», новый пользователь получает статус «Ожидает». Если пользователь должен авторизоваться с помощью SAML, он остаётся в статусе «Ожидает», пока не авторизуется через вашего поставщика идентификационных данных.
• Название группы у вашего поставщика идентификационных данных и название группы в панели администратора Shopify должны совпадать. Название группы у поставщика идентификационных данных должно совпадать с необязательным настраиваемым атрибутом Group, используемым для синхронизации с Shopify, а не со стандартным атрибутом Groups поставщика идентификационных данных.
• Владельцев магазинов и владельцев организаций нельзя удалить через поставщика идентификационных данных. Прежде чем удалять пользователя, необходимо передать оба типа прав собственности. Если вам нужно сменить владельца магазина, вы можете сделать это в своей панели администратора Shopify. Если вам нужно сменить владельца организации, обратитесь в службу поддержки Shopify Plus.

Настройка управления пользователями по SCIM

Чтобы настроить управление по SCIM, вам нужно сгенерировать API-токен в панели администратора Shopify, а затем завершить настройку у выбранного поставщика идентификационных данных.

1. В панели администратора Shopify перейдите в раздел «Настройки» > «Пользователи».

2. Нажмите «Безопасность».

3. В разделе «Интеграция SCIM» нажмите «Сгенерировать API-токен».

4. Нажмите «Копировать», чтобы скопировать сгенерированный токен в буфер обмена.

5. Предоставьте токен вашему поставщику идентификационных данных. Процедура добавления токена зависит от того, какого поставщика идентификационных данных вы используете.

Управление пользователями с помощью SCIM

После того как ваш API-токен будет добавлен к поставщику идентификационных данных, вы сможете добавлять или удалять пользователей через эту службу. В зависимости от статуса этого пользователя в Shopify и у вашего поставщика идентификационных данных, может измениться способ его авторизации в Shopify.

После добавления API-токена, когда вы добавляете нового пользователя, которого ранее не было в Shopify (через поставщика идентификационных данных или настройки организации), ему присваивается статус «Ожидает». Если пользователю требуется авторизация с помощью SAML, он остаётся в статусе «Ожидает», пока не авторизуется через вашего поставщика идентификационных данных.

Назначение групп в SCIM

После завершения настройки SCIM вы можете дополнительно назначать группы пользователям SCIM через своего поставщика идентификационных данных. Прежде чем назначать группу пользователю, убедитесь, что она существует в вашей организации. Если группа не была создана в вашей панели администратора Shopify, существующие пользователи SCIM не будут обновлены.

Назначение групп у поддерживаемых поставщиков идентификационных данных

Okta Group Push не поддерживается в Shopify Plus. Дополнительную информацию можно найти на официальной странице интеграции с Okta.

Назначение групп поддерживается в приложениях Entra, OneLogin и Okta. Создание и назначение названий групп отличается у каждого поставщика идентификационных данных.

Прежде чем назначать группу пользователю, убедитесь, что она существует в вашей панели администратора Shopify.

Назначение групп у неподдерживаемых поставщиков идентификационных данных

Если у вашего поставщика идентификационных данных нет приложения Shopify Plus, вам необходимо вручную отредактировать конфигурацию SCIM. Прежде чем начать, убедитесь, что ваш поставщик идентификационных данных может добавлять группы в качестве поля SCIM.

Тело JSON для SCIM должно содержать ключ с названием roles. Ключ roles должен быть массивом, который включает хеш, хранящий название роли. Если предоставлено несколько хешей с названиями ролей, для назначения роли используется только последний из них. Если название роли недействительно или тело JSON для SCIM не соответствует приведённому выше шаблону, группы не назначаются и не обновляются.

Чтобы назначить или обновить группу SCIM, тело JSON в запросах POST, PUT и PATCH должно включать следующее:

{
  "name": {
    "givenName": "given_name"
    "familyName": "family_name"
  },
  "userName": "email",
  "roles": [{"value": "role_name"}]
}

Отмена назначения групп

Вы можете отменить назначение группы на странице «Пользователи» в разделе «Настройки» вашей панели администратора Shopify. Подробнее об управлении группами.

Удаление интеграции SCIM

Если вам больше не требуется интеграция SCIM, вы можете её удалить. Это действие нельзя отменить. Если вам понадобится повторно активировать интеграцию, нужно будет сгенерировать новый API-токен.

Шаги:

1. В панели администратора Shopify перейдите в раздел «Настройки» > «Пользователи».

2. Нажмите «Безопасность».

3. В разделе «Интеграция SCIM» нажмите значок рядом с API-токеном.

4. Нажмите «Удалить токен».