Gerenciamento de usuários e equipes com provisionamento SCIM

Visão geral

O SCIM (System for Cross-domain Identity Management) automatiza o provisionamento de usuários e equipes nos espaços de trabalho do Read AI por meio da integração com provedores de identidade. Isso permite que as equipes de TI gerenciem o acesso centralmente, reduzam o trabalho manual e mantenham a conformidade.

IdPs compatíveis: Microsoft Entra (anteriormente Azure AD), Okta e Google Workspace são atualmente as únicas plataformas oficialmente compatíveis. Entre em contato com o suporte para solicitar outros provedores.

Os recursos do SCIM incluem:

• Criação de novos usuários: cria automaticamente contas para usuários atribuídos ao Read AI no seu IdP, adiciona-os ao espaço de trabalho e envia um e-mail de integração. O IdP gerenciará esses usuários daqui em diante.
• Atualização de usuários existentes: transfere os atuais titulares de contas do Read AI para o gerenciamento pelo IdP, permitindo atualizações automáticas de atributos e controle de desativação pelo seu provedor de identidade.
• Provisionamento de equipes: cria equipes do Read AI a partir dos grupos do seu IdP e mantém a associação sincronizada. As equipes existentes cujos nomes correspondem a um grupo passam a ser gerenciadas pelo IdP. Atualmente disponível apenas para o Microsoft Entra.

Importante: o provisionamento SCIM não controla os métodos de login. Muitas organizações também configuram o logon único SAML separadamente. Consulte Como configurar a autenticação SAML com o Read AI.

Pré-requisitos

• Você precisa ser administrador do espaço de trabalho no Read AI.
• Seu espaço de trabalho deve estar no plano Enterprise+.
• Você precisa verificar o(s) domínio(s) de todos os usuários que deseja provisionar com o SCIM (a menos que eles já estejam no seu espaço de trabalho).
• Você precisa de acesso de administrador ao seu tenant do Microsoft Entra, à sua organização do Okta ou à sua conta do Google Workspace.

Instruções de configuração

O processo de configuração varia um pouco dependendo do IdP usado. Para obter instruções passo a passo com capturas de tela, consulte:

• Para o Microsoft Entra: Configuração do SCIM com credenciais do cliente (Microsoft Entra)
• Para o Okta: Configuração do SCIM com código de autorização (Okta)
• Para o Google Workspace: Configuração do SCIM com o Directory Sync do Google Workspace

Siga as instruções cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Provisionamento de equipes

O provisionamento de equipes é opcional e configurado no seu provedor de identidade, não no Read AI. Depois de ativado, os grupos provisionados se tornam equipes.

Na primeira vez que um grupo é provisionado, os administradores do espaço de trabalho recebem um e-mail único confirmando que o provisionamento de equipes foi iniciado.

Quais grupos se tornam equipes

Cada grupo provisionado se torna uma equipe no Read AI, com o mesmo nome do grupo.

• Se não existir uma equipe com esse nome, uma nova equipe será criada. Esse é o caso mais comum.
• Se já existir uma equipe com esse nome, ela passará a ser gerenciada pelo IdP e sua associação será substituída pela associação do grupo.

Os nomes dos grupos são comparados aos nomes das equipes exatamente, ignorando maiúsculas e minúsculas. Renomear um grupo no seu provedor de identidade renomeia a equipe correspondente no Read AI. A equipe, seu histórico e suas configurações são preservados.

As equipes provisionadas pelo SCIM são identificadas como Gerenciadas pelo IdP em todo o Read AI.

O que você pode e não pode alterar

As equipes sem a identificação Gerenciadas pelo IdP não são afetadas, e tudo o que foi mencionado acima continua sendo gerenciado no Read AI normalmente.

Remover uma equipe do provisionamento

Desatribuir um grupo do provisionamento exclui a equipe correspondente no Read AI. Esse é o comportamento padrão do SCIM; seu provedor de identidade é a fonte de verdade, portanto, remover um grupo nele remove a equipe aqui.

Antes de desatribuir um grupo, observe os efeitos da exclusão da equipe: os relatórios de reuniões compartilhados com essa equipe deixarão de ser compartilhados com ela. Recriar uma equipe com o mesmo nome não os recupera — esses relatórios precisarão ser compartilhados novamente com a nova equipe, um por vez. As métricas e tendências no nível da equipe também serão perdidas, e todas as configurações específicas da equipe deixarão de ser aplicadas.

Para interromper a sincronização de uma equipe sem excluí-la, desative o provisionamento de grupos no seu provedor de identidade em vez de desatribuir o grupo. As equipes existentes permanecem no lugar e deixam de receber atualizações, mas continuam sendo gerenciadas pelo IdP (você ainda não poderá alterar a associação delas no Read AI).

Para retornar as equipes ao gerenciamento manual, desative o provisionamento SCIM nas configurações do seu espaço de trabalho do Read AI. Todas as equipes e os usuários deixarão de ser gerenciados pelo IdP e poderão ser editados normalmente no Read AI. Observe que isso também encerra o provisionamento de usuários.

Funções e gerentes de equipes

Seu provedor de identidade controla quem faz parte de uma equipe. O Read AI controla o que essas pessoas podem fazer.

Todos os usuários adicionados pelo provisionamento entram como Usuário, e você pode promover alguém a Gerente a qualquer momento. Como as funções não são provisionadas, uma equipe recém-criada começa sem um gerente, e o Read AI exibe um lembrete nas equipes que não têm um.

Os gerentes podem configurar definições específicas das equipes que gerenciam, enquanto os usuários comuns não podem. Os proprietários e administradores do espaço de trabalho também podem configurar definições específicas para qualquer equipe do espaço de trabalho.

Equipes que você cria

Você ainda pode criar e gerenciar suas próprias equipes junto com as equipes provisionadas. Há duas coisas que você deve saber:

• O Read AI não permitirá que você crie uma equipe com o mesmo nome de uma equipe que já exista no seu espaço de trabalho.
• Se um grupo com o mesmo nome for provisionado posteriormente, sua equipe passará a ser gerenciada pelo IdP na próxima sincronização. A associação será substituída pela do grupo, e você não poderá mais alterar a associação no Read AI.

Como a sincronização dos grupos sofre um atraso, isso pode acontecer pouco depois de você criar uma equipe se o grupo já existia no seu provedor de identidade, mas ainda não havia sido sincronizado. Se você estiver usando o provisionamento de equipes, vale a pena verificar seus grupos antes de criar uma equipe manualmente.

Observações importantes

• Os usuários provisionados pelo SCIM não podem ser excluídos manualmente nem removidos do espaço de trabalho; o desprovisionamento deve ser gerenciado pelo seu IdP.
• O provisionamento de equipes controla a associação, o nome e a exclusão das equipes. Ele não afeta funções, configurações ou permissões das equipes.
• Se a cobrança automática estiver ativada, licenças adicionais serão compradas automaticamente quando novos usuários forem provisionados, até o limite máximo configurado. Se estiver desativada, o provisionamento falhará quando não houver licenças disponíveis suficientes.
• Os usuários desprovisionados são desativados e seu assento é liberado automaticamente. As licenças nunca são removidas automaticamente. Se quiser reduzir o total de licenças, você precisará fazer isso na página Plano e cobrança.
• Os segredos do cliente não expiram, mas podem ser alternados nas configurações do seu espaço de trabalho do Read AI, se necessário.

Solução de problemas

• Se encontrar algum problema, verifique novamente se seguiu as instruções de configuração corretamente. O processo de mapeamento de atributos, em particular, pode ser propenso a erros.
• Os erros durante o provisionamento são exibidos no seu IdP, e o Read AI também notificará os administradores do espaço de trabalho por e-mail. Os erros comuns incluem:
  • Licenças insuficientes:
    • Você não tem licenças não utilizadas no seu espaço de trabalho, e a cobrança automática está desativada ou o limite foi atingido.
    • Para corrigir, compre mais licenças manualmente, ative a cobrança automática ou aumente o limite de assentos da cobrança automática.
  • O usuário está em outro espaço de trabalho:
    • O usuário que você está tentando provisionar já tem uma conta do Read AI e pertence a um espaço de trabalho diferente. O provisionamento falhará até que ele saia do outro espaço de trabalho.
    • Para corrigir, peça ao usuário que saia do outro espaço de trabalho ou desatribua-o do seu aplicativo no IdP.
  • O e-mail do usuário não foi verificado:
    • Alguém criou uma conta com o endereço de e-mail de um usuário atribuído ao seu aplicativo do IdP, mas não verificou o endereço de e-mail. Esses usuários não podem ser transferidos para o gerenciamento pelo IdP nem adicionados ao seu espaço de trabalho, e o provisionamento falhará.
    • Para corrigir, peça ao usuário que verifique o endereço de e-mail ou desatribua-o do seu aplicativo no IdP.
  • O usuário é proprietário ou administrador do espaço de trabalho:
    • Embora os usuários provisionados possam ser proprietários ou administradores do espaço de trabalho, não é possível desativar um proprietário ou administrador via SCIM.
    • Para corrigir, desatribua o usuário do seu aplicativo do IdP para que você possa gerenciá-lo manualmente nas configurações do espaço de trabalho do Read AI.
• Se você ativar o provisionamento de equipes, poderá encontrar os seguintes problemas:
  • Uma equipe desapareceu. O grupo foi desatribuído do seu aplicativo no provedor de identidade, o que exclui a equipe correspondente no Read AI. Reatribuir o grupo cria a equipe novamente com seus membros atuais, mas ela será uma nova equipe (os relatórios de reuniões compartilhados com a equipe anterior precisarão ser compartilhados novamente).
  • Uma equipe que eu esperava não está no Read AI. Verifique se o grupo está provisionado no seu provedor de identidade e se um ciclo de sincronização foi concluído.
  • Uma equipe tem os membros errados. A associação vem do grupo — altere-a no seu provedor de identidade.
  • Não consigo remover alguém de uma equipe. Se a equipe estiver identificada como Gerenciada pelo IdP, remova a pessoa do grupo no seu provedor de identidade.
  • Uma equipe que criei agora está identificada como Gerenciada pelo IdP. Um grupo com o mesmo nome foi provisionado, então o Read AI assumiu o controle da equipe na próxima sincronização.
• Lembre-se de que você precisa verificar a propriedade do domínio para provisionar novos usuários ou usuários existentes que estejam fora do seu espaço de trabalho.