Perché ti serve il provisioning SCIM per la pianificazione enterprise

Provisioning SCIM in breve: il provisioning SCIM permette al tuo identity provider, come Okta, di creare, aggiornare e disattivare automaticamente gli account utente in altre app. Quando qualcuno entra, cambia ruolo o lascia l’azienda, ogni app connessa si adegua. È diverso dal single sign-on (SSO): l’SSO controlla come le persone accedono, mentre SCIM controlla se il loro account esiste.

Punti chiave

• SCIM mantiene gli account delle app allineati al tuo identity provider per chi entra, cambia ruolo e se ne va, così nessuno deve aggiungere o rimuovere persone a mano.

• L’SSO da solo non chiude il gap di offboarding. Impedisce a chi se ne va di accedere, ma lascia il suo account, e tutto ciò che funziona senza accesso, al suo posto.

• In uno strumento di scheduling, un account dimenticato resta visibile ai clienti tramite booking link, routing del team e inviti.

• Cal.com include SCIM e SAML SSO nel piano Organizations e in Enterprise, con Okta come identity provider documentato.

Cos’è il provisioning SCIM?

Il provisioning SCIM è la creazione, l’aggiornamento e la disattivazione automatici degli account utente in un’app, guidati dal tuo identity provider. SCIM sta per System for Cross-domain Identity Management. È uno standard aperto, creato per la prima volta nel 2011 e ora alla versione 2.0, secondo Okta.

Due sistemi partecipano:

• L’identity provider (IdP) conserva l’elenco delle persone della tua azienda e di cosa possono usare. Okta è un esempio. Quando qualcosa cambia, l’identity provider invia quel cambiamento.

• L’app, in questo caso il tuo strumento di scheduling, riceve il cambiamento e lo applica. Crea l’account, aggiorna il nome o il team, oppure disattiva l’account.

Provisioning significa dare a qualcuno un account e accesso. Deprovisioning significa toglierglieli.

Un paragone quotidiano aiuta. Pensa al sistema HR che emette e revoca i badge dell’edificio. Quando qualcuno viene assunto, compare un badge. Quando se ne va, smette di funzionare e nessuno alla reception deve ricordarsi di revocarlo. SCIM fa la stessa cosa per gli account delle app.

In uno strumento di scheduling, SCIM non pianifica riunioni. Gestisce chi può usare lo strumento di scheduling e a quale team appartiene.

L’guida di Microsoft su SCIM approfondisce il protocollo. Per uno strumento di scheduling, la parte che conta è cosa fa SCIM in ogni fase del percorso di una persona in azienda.

Cosa fa SCIM lungo il ciclo di vita dell’utente?

SCIM gestisce i tre momenti in cui un account deve cambiare: qualcuno entra, qualcuno si sposta e qualcuno se ne va. I team identity chiamano questo ciclo di vita joiner, mover e leaver.

Ecco come appare ogni fase in uno strumento di scheduling:

Fase	Cosa succede nell’identity provider	Cosa fa SCIM nello strumento di scheduling
Joiner	A una nuova assunzione viene assegnata l’app	Il suo account viene creato e viene aggiunta al team mappato
Mover	Qualcuno passa a un nuovo ruolo o team, il che lo inserisce in un nuovo gruppo	Viene aggiunto al team mappato a quel gruppo
Leaver	Qualcuno lascia o perde l’accesso	Il suo account viene disattivato

La fase leaver si chiama deprovisioning ed è quella che conta di più per la sicurezza. È anche la più facile da saltare quando la fai a mano. Un joiner a cui non viene creato un account apre un ticket la stessa mattina. Un leaver che lo mantiene non si lamenta, quindi l’account può restare lì finché qualcuno non se ne accorge.

Molti team pensano che il single sign-on copra già chi se ne va. Non è così, e vale la pena capirne la differenza prima di approvare qualsiasi strumento.

Qual è la differenza tra SCIM e SSO?

L’SSO controlla come le persone accedono. SCIM controlla se il loro account esiste. Ti servono entrambi, perché ognuno copre ciò che l’altro non può fare.

Il single sign-on (SSO) permette alle persone di accedere a molte app con un unico login aziendale. I due modi più comuni per farlo sono SAML (Security Assertion Markup Language) e OIDC (OpenID Connect). Entrambi passano un messaggio firmato dall’identity provider all’app che dice chi è la persona. Nessuno dei due cambia l’account stesso.

|
| SSO (SAML o OIDC) | SCIM | | --- | --- | --- | | A cosa risponde | "Chi sei?" | "Questo account dovrebbe esistere, e in quale team?" | | Quando entra in funzione | Quando qualcuno accede | In background, ogni volta che la directory cambia | | Cosa non può fare | Disattivare un account quando qualcuno se ne va | Far accedere qualcuno |

Quindi SCIM non sostituisce SAML. Fanno lavori diversi.

Alcune app offrono anche il provisioning just-in-time (JIT). Un nuovo dipendente accede per la prima volta a un’app con Okta e l’app crea il suo account sul momento. È comodo per chi entra, ma funziona solo al momento dell’accesso, quindi non può disattivare nessuno. Una persona che se n’è andata non accede mai più, e nessuno dice all’app che non c’è più.

Questo è il punto su cui si basa il resto della guida. L’SSO da solo lascia l’account al suo posto. Disattivare l’account Okta di qualcuno gli impedisce di accedere tramite SSO, ma tutto ciò che nell’app funziona senza accesso può continuare a funzionare. Il piano Organizations di Cal.com include entrambi: SSO per l’accesso e SCIM per gli account.

Perché uno strumento di scheduling ha bisogno di SCIM?

Uno strumento di scheduling ha bisogno di SCIM perché è rivolto all’esterno. Nella maggior parte delle app, l’account dimenticato di chi se ne va resta inutilizzato. In uno strumento di scheduling, sono i tuoi clienti a usarlo.

Quando l’account di scheduling di chi se ne va resta attivo possono succedere tre cose.

I booking link restano attivi

Ogni persona del tuo team ha un booking link, e questi link si diffondono. Stanno sul tuo sito web, nelle firme email, nelle proposte e nei segnalibri dei clienti. Se l’account resta attivo, prospect e clienti possono ancora prenotare tempo con qualcuno che non c’è più, e non c’è nessuno a prendere la chiamata.

Il round robin continua a instradare

I team Sales, Customer Success e Recruiting spesso condividono un unico booking link che distribuisce le riunioni tra i membri del team. Questo è il round robin scheduling. Se un ex dipendente è ancora membro del team, il link condiviso può continuare a mandargli riunioni, e un lead qualificato finisce in un calendario vuoto.

La posta in gioco cresce con il team. Storyblok usa il round robin fisso di Cal.com per distribuire le demo tra ingegneri in più di 40 paesi, e ha visto un aumento del 50% nell’efficienza delle demo. Un routing così è valido solo quanto lo è l’elenco delle persone a cui indirizza le riunioni.

Gli inviti riportano il nome sbagliato

I clienti ricevono inviti e promemoria da una persona che non lavora più per te. Dice loro che nessuno ha notato che la persona se n’è andata, ed è il messaggio sbagliato da mandare a un cliente che vuoi tenerti stretto.

Con SCIM, l’account di scheduling viene disattivato nello stesso passaggio che rimuove la persona dal tuo identity provider. Disattivare lo strumento di scheduling non dipende più dal fatto che qualcuno se ne ricordi.

Un’abitudine pratica vale qualunque strumento usi: quando qualcuno se ne va, riassegna le sue riunioni future a un collega prima del suo ultimo giorno.

Vuoi vedere come viene gestito chi se ne va in Cal.com prima di decidere? Porta la tua checklist di offboarding al nostro team e ti mostreremo passo dopo passo cosa succede all’account.

Cosa dovresti chiedere a uno strumento di scheduling su SCIM?

Cerca uno strumento di scheduling che offra SSO e SCIM nello stesso piano, disattivi automaticamente gli account quando qualcuno lascia il tuo identity provider e mappi i gruppi dell’identity provider ai team.

Questi tre punti decidono l’acquisto, ma la tua revisione di sicurezza chiederà di più. Di solito servono risposte a due persone. Il buyer si occupa del rollout e del budget. L’approver si occupa dell’identity provider, che di solito significa il responsabile IT, il Director of IT o, nelle aziende tech, il CTO.

Domanda	Chi la fa	Perché conta
Quale piano include SCIM e SSO?	Buyer	SCIM spesso è solo nel piano più alto, il che cambia il prezzo per seat
Cosa succede ai seat quando qualcuno se ne va?	Buyer	Decide se chi se ne va continua a costare denaro
Quali identity provider sono supportati?	Approver	Deve corrispondere a quello usato dall’azienda
L’account viene disattivato automaticamente quando qualcuno se ne va?	Entrambi	Questo è il gap di offboarding della sezione sopra
I gruppi dell’identity provider possono essere mappati ai team?	Approver	Le nuove assunzioni arrivano nel team giusto senza ticket
C’è un controllo del dominio?	Approver	Impedisce che vengano creati account per indirizzi email esterni
Quali campi del profilo vengono sincronizzati?	Approver	Dice all’IT cosa deve ancora essere gestito dentro l’app
Possiamo scaricare i report di sicurezza?	Approver	La revisione di sicurezza chiederà SOC 2 o ISO 27001

Se stai confrontando i piani tra strumenti, i piani di Cal.com mostrano dove si colloca ogni funzione, e la nostra infrastruttura di scheduling sicura copre la revisione di sicurezza più ampia.

Hai già domande di sicurezza? Portale al nostro team, e risponderemo a ogni riga di questa tabella per la tua configurazione prima della riunione di review.

Come funziona SCIM in Cal.com?

Il tuo amministratore Okta collega Okta a Cal.com una sola volta. Da quel momento in poi, Okta decide chi ha un account Cal.com e in quale team si trova, e Cal.com segue tutto ciò che dice Okta.

Ecco le nostre risposte alle domande qui sopra, suddivise per chi le fa.

Per il buyer

SCIM e SAML SSO sono inclusi nel piano Organizations, a $28 per user al mese fatturati annualmente, e in Enterprise.

Ogni team, da Sales a Recruiting, è gestito tramite Okta e gli admin li controllano da una sola dashboard. È così che funziona Cal.com Enterprise per gestire lo scheduling in tutta l’azienda. Deel, per esempio, ha più di 1.000 dipendenti che usano Cal.com. A quella scala, aggiungere e rimuovere persone a mano smette di essere una piccola attività amministrativa.

Ecco come SCIM si collega alle riunioni nella pratica. 

Un nuovo account executive entra nel gruppo "Sales EMEA" in Okta. SCIM crea il suo account Cal.com e lo aggiunge al team Sales EMEA. Il team ha un evento gestito "Customer demo" impostato per assegnare tutti i membri del team, quindi il primo giorno il nuovo commerciale ottiene la sua copia della demo del team, con la stessa durata e le stesse domande di prenotazione di tutti gli altri. Quando se ne va, Okta lo rimuove e SCIM disattiva l’account.

I managed scheduling links sono modelli di riunione che un admin configura una volta sola. Con Assign all team members attivo, si applicano ai membri attuali e futuri del team, ed è questo che fa funzionare la parte del primo giorno. Il role-based access control decide poi cosa può cambiare ciascuna persona.

Cosa dovrebbe sapere il tuo team IT

• Okta è l’identity provider documentato.

• La tua azienda verifica prima il proprio dominio email. Cal.com crea account solo per indirizzi su quel dominio o sui suoi sottodomini, quindi nessuno può usare SCIM per creare un account per un indirizzo esterno.

• SCIM si configura insieme al single sign-on SAML o OIDC. Una volta che l’account esiste, i membri accedono con la loro email di lavoro tramite SSO.

• Cinque campi si sincronizzano: username, nome, cognome, email e nome visualizzato.

• I gruppi Okta vengono mappati ai team di Cal.com. Il nome del gruppo deve corrispondere esattamente a Okta.

• Chi se ne va viene disattivato, non eliminato.

• I log di audit sono inclusi in ogni piano organization. Registrano eventi di sicurezza come gli accessi SSO, e la guida per sviluppatori ai log di audit elenca anche le modifiche di membership.

• I nostri report di sicurezza e compliance, incluso SOC 2 Type II e ISO 27001, sono disponibili per il download.

La procedura tecnica completa è nella nostra guida di configurazione SCIM per sviluppatori.

Cosa comporta configurare SCIM con Okta?

Il tuo amministratore Okta lo collega una volta sola, e dopo nessuno gestisce più gli account Cal.com a mano. Dal lato Cal.com, la persona che lo configura deve essere un organization admin.

Per l’approvatore, l’ordine è questo:

1. Configura il single sign-on SAML o OIDC. Per Okta, segui la configurazione di OIDC con Okta.

2. Verifica il dominio email della tua azienda in Cal.com.

3. Attiva Directory Sync in Cal.com, poi incolla l'URL SCIM e il token segreto in Okta.

4. Mappa i gruppi Okta ai team di Cal.com.

5. Prova con un utente.

6. Assegna tutti gli altri.

Per seguire ogni passaggio con screenshot, vedi come configurare SCIM con Okta nel nostro centro assistenza.

Chiudi il divario di offboarding dove i clienti possono vederlo

Uno strumento di pianificazione è il posto in cui l'accesso di chi lascia resta visibile ai tuoi clienti. La soluzione è smettere di gestire quegli account in due posti e lasciare che sia il tuo identity provider a decidere. Con SCIM, chi lascia Okta lascia Cal.com nello stesso passaggio, e i nuovi assunti arrivano nel team giusto con i link di pianificazione giusti.

Se la tua revisione di sicurezza ti ha chiesto "supporta SCIM?", porta da noi il resto delle domande. Parla con il nostro team del tuo set-up Okta, dei tuoi team e del numero di posti, oppure guarda cosa include Organizations.

FAQ

Cosa significa SCIM?
SCIM significa System for Cross-domain Identity Management. È uno standard aperto che permette a un identity provider di creare, aggiornare e disattivare automaticamente gli account utente in altre app.

SCIM è la stessa cosa di SSO?
No. SSO controlla come le persone accedono, mentre SCIM controlla se il loro account esiste e a quale team appartiene.

SCIM sostituisce SAML?
No. SAML è un modo per fare il single sign-on, e SCIM gestisce gli account, quindi ti servono entrambi.

Quale piano di Cal.com include SCIM?
SCIM è incluso nel piano Organizations di Cal.com, a $28 per user a month fatturati annualmente, e in Enterprise. Entrambi i piani includono anche SAML SSO.

Quali identity provider funzionano con SCIM di Cal.com?
Okta è l'identity provider che Cal.com documenta per SCIM. La documentazione di Cal.com non copre ancora altri identity provider.

Cosa succede quando qualcuno viene rimosso da Okta?
SCIM disattiva automaticamente il suo account Cal.com. L'account viene disattivato, non eliminato.

Mi serve SSO per usare SCIM in Cal.com?
La configurazione documentata di Cal.com parte da un'app di single sign-on SAML o OIDC in Okta, come descrive la guida alla configurazione SSO. Attivi il provisioning SCIM in quella stessa app, quindi prepara tutto e due.