Por que você precisa de provisionamento SCIM para agendamento corporativo

Provisionamento SCIM em resumo: o provisionamento SCIM permite que seu provedor de identidade, como o Okta, crie, atualize e desative contas de usuário em outros apps automaticamente. Quando alguém entra, muda de função ou sai, cada app conectado acompanha isso. Isso é diferente de single sign-on (SSO): o SSO controla como as pessoas entram, e o SCIM controla se a conta delas existe.

Principais conclusões

• O SCIM mantém as contas dos apps alinhadas ao seu provedor de identidade ao longo de entradas, mudanças e saídas, então ninguém precisa adicionar ou remover pessoas manualmente.

• O SSO sozinho não resolve a lacuna de desligamento. Ele impede que quem saiu entre, mas deixa a conta dessa pessoa, e qualquer coisa que funcione sem login, intacta.

• Em uma ferramenta de agendamento, uma conta esquecida continua visível para clientes por meio de links de agendamento, roteamento de equipe e convites.

• O Cal.com inclui SCIM e SSO com SAML no plano Organizations e no Enterprise, com o Okta como provedor de identidade documentado.

O que é provisionamento SCIM?

O provisionamento SCIM é a criação, atualização e desativação automáticas de contas de usuário em um app, acionadas pelo seu provedor de identidade. SCIM significa System for Cross-domain Identity Management. É um padrão aberto, criado em 2011 e hoje na versão 2.0, segundo a Okta.

Dois sistemas participam:

• O provedor de identidade (IdP) mantém a lista de pessoas da sua empresa e do que elas podem usar. O Okta é um exemplo. Quando algo muda, o provedor de identidade envia essa mudança.

• O app, neste caso sua ferramenta de agendamento, recebe a mudança e a aplica. Ele cria a conta, atualiza o nome ou a equipe, ou desativa a conta.

Provisionamento significa dar a alguém uma conta e acesso. Desprovisionamento significa tirar isso.

Uma comparação do dia a dia ajuda. Pense no sistema de RH que emite e cancela crachás do prédio. Quando alguém é contratado, um crachá aparece. Quando a pessoa sai, ele deixa de funcionar, e ninguém na recepção precisa lembrar de cancelá-lo. O SCIM faz o mesmo para contas de app.

Em uma ferramenta de agendamento, o SCIM não agenda reuniões. Ele gerencia quem pode usar a ferramenta de agendamento e em qual equipe essa pessoa está.

O explicador de SCIM da Microsoft cobre o protocolo com mais profundidade. Para uma ferramenta de agendamento, o que importa é o que o SCIM faz em cada etapa do tempo de alguém na sua empresa.

O que o SCIM faz ao longo do ciclo de vida do usuário?

O SCIM lida com os três momentos em que uma conta precisa mudar: alguém entra, alguém muda e alguém sai. As equipes de identidade chamam isso de ciclo de vida de entrada, mudança e saída.

Veja como cada etapa aparece em uma ferramenta de agendamento:

Etapa	O que acontece no provedor de identidade	O que o SCIM faz na ferramenta de agendamento
Entrada	Um novo contratado é atribuído ao app	A conta é criada e a pessoa é adicionada à equipe mapeada
Mudança	Alguém vai para uma nova função ou equipe, o que o coloca em um novo grupo	A pessoa é adicionada à equipe mapeada para esse grupo
Saída	Alguém sai ou perde acesso	A conta é desativada

A etapa de saída é chamada de desprovisionamento, e é a que mais importa para a segurança. Também é a mais fácil de esquecer quando é feita manualmente. Quem entra e não recebe uma conta abre um ticket na mesma manhã. Quem sai e continua com uma conta não reclama, então ela pode ficar ali até alguém perceber.

Muitas equipes presumem que o single sign-on já cobre quem saiu. Não cobre, e vale entender a diferença antes de aprovar qualquer ferramenta.

Qual é a diferença entre SCIM e SSO?

O SSO controla como as pessoas entram. O SCIM controla se a conta existe. Você precisa dos dois, porque cada um cobre o que o outro não cobre.

Single sign-on (SSO) permite que as pessoas entrem em vários apps com um único login da empresa. As duas formas mais comuns de fazer isso são SAML (Security Assertion Markup Language) e OIDC (OpenID Connect). As duas enviam uma mensagem assinada do provedor de identidade para o app dizendo quem é a pessoa. Nenhuma delas altera a conta em si.

|
| SSO (SAML ou OIDC) | SCIM | | --- | --- | --- | | O que responde | "Quem é você?" | "Essa conta deve existir, e em qual equipe?" | | Quando roda | Quando alguém faz login | Em segundo plano, sempre que o diretório muda | | O que não consegue fazer | Desativar uma conta quando alguém sai | Fazer login de qualquer pessoa |

Então o SCIM não substitui o SAML. Eles fazem trabalhos diferentes.

Alguns apps também oferecem provisionamento just-in-time (JIT). Um novo funcionário entra no app com o Okta pela primeira vez, e o app cria a conta na hora. Isso é conveniente para quem entra, mas funciona só no login, então não consegue desativar ninguém. Quem saiu nunca faz login de novo, e nada avisa o app que essa pessoa foi embora.

É desse ponto que o resto deste guia parte. O SSO sozinho deixa a conta no lugar. Desativar a conta do Okta de alguém impede que essa pessoa entre pelo SSO, mas qualquer coisa no app que funcione sem login pode continuar funcionando. O plano Organizations do Cal.com inclui os dois: SSO para login e SCIM para contas.

Por que uma ferramenta de agendamento precisa de SCIM?

Uma ferramenta de agendamento precisa de SCIM porque ela é voltada para o público. Na maioria dos apps, a conta esquecida de quem saiu fica sem uso. Numa ferramenta de agendamento, são seus clientes que a usam.

Três coisas podem acontecer quando a conta de agendamento de quem saiu continua ativa.

Os links de agendamento continuam ativos

Cada pessoa da sua equipe tem um link de agendamento, e esses links se espalham. Eles ficam no seu site, em assinaturas de e-mail, em propostas e nos favoritos dos seus clientes. Se a conta continuar ativa, prospects e clientes ainda podem marcar horário com alguém que já saiu, e ninguém está lá para atender a chamada.

O round robin continua roteando

Equipes de Vendas, Customer Success e Recrutamento часто compartilham um link de agendamento que distribui reuniões pela equipe. Isso é round robin scheduling. Se um ex-funcionário ainda for membro da equipe, o link compartilhado pode continuar enviando reuniões para essa pessoa, e um lead qualificado cai em uma agenda vazia.

O impacto cresce com a equipe. A Storyblok usa o round robin fixo do Cal.com para distribuir demos entre engenheiros em mais de 40 países e viu um aumento de 50% na eficiência das demos. Um roteamento assim é tão bom quanto a lista de pessoas para as quais ele roteia.

Os convites levam o nome errado

Os clientes recebem convites de reunião e lembretes de alguém que não trabalha mais para você. Isso mostra que ninguém percebeu que a pessoa saiu, que é a mensagem errada para enviar a um cliente que você quer manter.

Com SCIM, a conta de agendamento é desativada na mesma etapa em que a pessoa é removida do seu provedor de identidade. O desligamento da ferramenta de agendamento deixa de depender de alguém lembrar de fazer isso.

Um hábito prático vale para qualquer ferramenta que você use: quando alguém sair, reatribua as reuniões futuras dessa pessoa a um colega antes do último dia de trabalho.

Quer ver como quem sai é tratado no Cal.com antes de decidir? Traga seu checklist de desligamento para a nossa equipe, e vamos mostrar passo a passo o que acontece com a conta.

O que você deve perguntar a uma ferramenta de agendamento sobre SCIM?

Procure uma ferramenta de agendamento que ofereça SSO e SCIM no mesmo plano, desative contas automaticamente quando alguém sair do seu provedor de identidade e mapeie grupos do provedor de identidade para equipes.

Esses três pontos definem a compra, mas sua análise de segurança vai pedir mais. Normalmente, duas pessoas precisam das respostas. O comprador cuida da implantação e do orçamento. O aprovador cuida do provedor de identidade, o que geralmente significa o gerente de TI, o diretor de TI ou, em empresas de tecnologia, o CTO.

Pergunta	Quem pergunta	Por que importa
Qual plano inclui SCIM e SSO?	Comprador	O SCIM costuma ficar só no plano mais alto, o que altera o preço por assento
O que acontece com os assentos quando alguém sai?	Comprador	Define se quem sai continua gerando custo
Quais provedores de identidade são compatíveis?	Aprovador	Precisa ser o mesmo que sua empresa usa
A conta é desativada automaticamente quando alguém sai?	Ambos	Essa é a lacuna de desligamento da seção acima
Grupos do provedor de identidade podem ser mapeados para equipes?	Aprovador	Novos contratados chegam à equipe certa sem abrir ticket
Existe verificação de domínio?	Aprovador	Impede a criação de contas para endereços de e-mail externos
Quais campos de perfil são sincronizados?	Aprovador	Diz à TI o que ainda precisa ser gerenciado dentro do app
Podemos baixar os relatórios de segurança?	Aprovador	A análise de segurança vai pedir SOC 2 ou ISO 27001

Se você estiver comparando planos entre ferramentas, os planos do Cal.com mostram onde cada recurso se encaixa, e nossa infraestrutura de agendamento segura cobre a análise de segurança mais ampla.

Já tem perguntas de segurança? Traga-as para a nossa equipe, e vamos responder cada linha desta tabela para a sua configuração antes da sua reunião de revisão.

Como o SCIM funciona no Cal.com?

Seu admin do Okta conecta o Okta ao Cal.com uma vez. A partir daí, o Okta decide quem tem uma conta no Cal.com e em qual equipe essa pessoa está, e o Cal.com segue o que o Okta disser.

Aqui estão as nossas respostas às perguntas acima, separadas por quem está perguntando.

Para o comprador

SCIM e SSO com SAML estão incluídos no plano Organizations, por $28 por usuário por mês cobrado anualmente, e no Enterprise.

Cada equipe, de Vendas a Recrutamento, é gerenciada pelo Okta, e os admins controlam tudo em um único painel. É assim que o Cal.com Enterprise faz o agendamento em toda a empresa. A Deel, por exemplo, tem mais de 1.000 funcionários usando o Cal.com. Nesse tamanho, adicionar e remover pessoas manualmente deixa de ser uma tarefa administrativa pequena.

Veja como o SCIM se conecta às reuniões na prática. 

Um novo executivo de contas entra no grupo "Sales EMEA" no Okta. O SCIM cria a conta dele no Cal.com e o adiciona à equipe Sales EMEA. A equipe tem um evento gerenciado "Customer demo" configurado para atribuir a todos os membros da equipe, então, no primeiro dia, o novo representante recebe sua própria cópia da demo da equipe, com a mesma duração e as mesmas perguntas de agendamento que todo mundo. Quando essa pessoa sai, o Okta a remove e o SCIM desativa a conta.

Managed scheduling links são modelos de reunião que um admin configura uma vez. Com Assign all team members ativado, eles se aplicam aos membros atuais e futuros da equipe, o que faz a parte do primeiro dia funcionar. O controle de acesso baseado em função então decide o que cada pessoa pode alterar.

O que sua equipe de TI deve saber

• O Okta é o provedor de identidade documentado.

• Sua empresa verifica o domínio de e-mail primeiro. O Cal.com só cria contas para endereços nesse domínio ou em seus subdomínios, então ninguém pode usar o SCIM para criar uma conta para um endereço externo.

• O SCIM é configurado junto com single sign-on SAML ou OIDC. Depois que a conta existe, os membros entram com o e-mail de trabalho por meio do SSO.

• Cinco campos são sincronizados: nome de usuário, nome, sobrenome, e-mail e nome exibido.

• Grupos do Okta mapeiam para equipes do Cal.com. O nome do grupo precisa corresponder exatamente ao do Okta.

• Quem sai é desativado, não excluído.

• Registros de auditoria estão incluídos em todo plano de organization. Eles registram eventos de segurança como logins via SSO, e o guia do desenvolvedor sobre registros de auditoria também lista mudanças de associação.

• Nossos relatórios de segurança e conformidade, incluindo SOC 2 Type II e ISO 27001, estão disponíveis para download.

O passo a passo técnico completo está no nosso guia de configuração de SCIM para desenvolvedores.

O que envolve configurar SCIM com o Okta?

Seu admin do Okta o conecta uma vez e, depois disso, ninguém mais gerencia contas do Cal.com manualmente. Do lado do Cal.com, a pessoa que faz a configuração precisa ser admin da organization.

Para o aprovador, a ordem é esta:

1. Configure o login único SAML ou OIDC. Para Okta, siga configurando OIDC com Okta.

2. Verifique o domínio de e-mail da sua empresa no Cal.com.

3. Ative o Directory Sync no Cal.com e depois cole a URL do SCIM e o token secreto no Okta.

4. Mapeie os grupos do Okta para as teams do Cal.com.

5. Teste com um usuário.

6. Atribua todo mundo.

Para seguir cada etapa com capturas de tela, veja como configurar o SCIM com Okta na nossa central de ajuda.

Feche a lacuna de desligamento onde seus clientes podem ver

Uma ferramenta de agendamento é onde o acesso de quem saiu continua visível para seus clientes. A solução é parar de gerenciar essas contas em dois lugares e deixar seu provedor de identidade decidir. Com SCIM, quem sai do Okta sai do Cal.com no mesmo passo, e novas pessoas entram na equipe certa com os links de reunião certos.

Se sua análise de segurança perguntou "ele suporta SCIM?", traga o resto das perguntas para nós. Fale com nossa equipe sobre sua configuração no Okta, suas teams e sua contagem de assentos, ou veja o que está incluído com Organizations.

FAQs

O que significa SCIM?
SCIM significa System for Cross-domain Identity Management. É um padrão aberto que permite a um provedor de identidade criar, atualizar e desativar contas de usuário em outros apps automaticamente.

SCIM é o mesmo que SSO?
Não. SSO controla como as pessoas entram, enquanto SCIM controla se a conta existe e a qual equipe ela pertence.

SCIM substitui SAML?
Não. SAML é uma forma de fazer login único, e SCIM gerencia contas, então você precisa dos dois.

Qual plano do Cal.com inclui SCIM?
SCIM está incluído no plano Organizations do Cal.com, por $28 por usuário por mês faturados anualmente, e no Enterprise. Ambos os planos também incluem SAML SSO.

Quais provedores de identidade funcionam com o SCIM do Cal.com?
Okta é o provedor de identidade que o Cal.com documenta para SCIM. A documentação do Cal.com ainda não cobre outros provedores de identidade.

O que acontece quando alguém é removido do Okta?
O SCIM desativa automaticamente a conta dessa pessoa no Cal.com. A conta é desativada, não excluída.

Preciso de SSO para usar SCIM no Cal.com?
A configuração documentada do Cal.com começa com um app de login único SAML ou OIDC no Okta, como descreve o guia de configuração de SSO. Você ativa o provisionamento SCIM nesse mesmo app, então planeje configurar os dois.