Visão geral

O SCIM (System for Cross-domain Identity Management) automatiza o provisionamento de usuários e equipes nos espaços de trabalho do Read AI por meio da integração com provedores de identidade. Isso permite que as equipes de TI gerenciem o acesso de forma centralizada, reduzam o trabalho manual e mantenham a conformidade.

IdPs compatíveis: Microsoft Entra (anteriormente Azure AD), Okta e Google Workspace são atualmente as únicas plataformas oficialmente compatíveis. Entre em contato com o suporte para solicitar outros provedores.

Os recursos do SCIM incluem:

Criação de novos usuários: cria automaticamente contas para usuários atribuídos ao Read AI no seu IdP, adiciona-os ao espaço de trabalho e envia um e-mail de integração. O IdP gerenciará esses usuários daqui em diante.
Atualização de usuários existentes: transfere os atuais titulares de contas do Read AI para o gerenciamento pelo IdP, permitindo atualizações automáticas de atributos e controle de desativação por meio do seu provedor de identidade.
Provisionamento de equipes: cria equipes do Read AI a partir dos grupos do seu IdP e mantém a associação sincronizada. As equipes existentes cujos nomes correspondem a um grupo passam a ser gerenciadas pelo IdP. Atualmente disponível apenas para o Microsoft Entra.

Importante: o provisionamento SCIM não controla os métodos de login. Muitas organizações também configuram o logon único SAML separadamente.

Pré-requisitos

Você deve ser um administrador do espaço de trabalho no Read AI.
Seu espaço de trabalho deve estar no plano Enterprise+.
Você deve verificar os domínios de todos os usuários que deseja provisionar com o SCIM (a menos que eles já estejam no seu espaço de trabalho).
Você precisa de acesso de administrador ao seu locatário do Microsoft Entra, à organização do Okta ou à conta do Google Workspace.

Instruções de configuração

O processo de configuração varia um pouco dependendo do IdP usado. Para ver instruções passo a passo com capturas de tela, consulte:

Para o Microsoft Entra: Configuração do SCIM com credenciais do cliente
Para o Okta: Configuração do SCIM com código de autorização
Para o Google Workspace: Configuração do SCIM com o Directory Sync do Google Workspace

Siga as instruções cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Provisionamento de equipes

O provisionamento de equipes é opcional e é configurado no seu provedor de identidade, não no Read AI. Quando ativado, os grupos provisionados tornam-se equipes.

Na primeira vez que um grupo é provisionado, os administradores do espaço de trabalho recebem um e-mail único confirmando que o provisionamento da equipe foi iniciado.

Quais grupos se tornam equipes

Cada grupo provisionado se torna uma equipe no Read AI, com o mesmo nome do grupo.

Se não existir uma equipe com esse nome, uma nova equipe será criada. Esse é o caso mais comum.
Se já existir uma equipe com esse nome, ela passará a ser gerenciada pelo IdP e sua associação será substituída pela associação do grupo.

Os nomes dos grupos são comparados exatamente aos nomes das equipes, sem diferenciar maiúsculas de minúsculas. Renomear um grupo no seu provedor de identidade renomeia a equipe correspondente no Read AI. A equipe, seu histórico e suas configurações são preservados.

As equipes provisionadas pelo SCIM são identificadas como Gerenciadas pelo IdP em todo o Read AI.

O que você pode e não pode alterar

Para uma equipe gerenciada pelo IdP	Onde fazer a alteração
Adicionar ou remover membros	Seu provedor de identidade
Renomear a equipe	Seu provedor de identidade
Excluir a equipe	Seu provedor de identidade
Sair da equipe	Seu provedor de identidade
Alterar a função de equipe de um membro	Read AI
Alterar as configurações e permissões da equipe	Read AI

As equipes sem a identificação Gerenciada pelo IdP não são afetadas, e tudo o que foi mencionado acima continua sendo gerenciado no Read AI normalmente.

Remover uma equipe do provisionamento

Desatribuir um grupo do provisionamento exclui a equipe correspondente no Read AI. Esse é o comportamento padrão do SCIM; seu provedor de identidade é a fonte de verdade, portanto, remover um grupo nele remove a equipe aqui.

Antes de desatribuir um grupo, observe o impacto da exclusão da equipe: os relatórios de reunião compartilhados com essa equipe deixarão de ser compartilhados. Recriar uma equipe com o mesmo nome não os restaurará — esses relatórios precisarão ser compartilhados novamente com a nova equipe, um por um. As métricas e tendências no nível da equipe também serão perdidas, e todas as configurações específicas da equipe deixarão de ser aplicadas.

Para interromper a sincronização de uma equipe sem excluí-la, desative o provisionamento de grupos no seu provedor de identidade em vez de desatribuir o grupo. As equipes existentes permanecerão e deixarão de receber atualizações, mas continuarão sendo gerenciadas pelo IdP (você ainda não poderá alterar sua associação no Read AI).

Para devolver as equipes ao gerenciamento manual, desative o provisionamento SCIM nas configurações do seu espaço de trabalho do Read AI. Todas as equipes e usuários deixarão de ser gerenciados pelo IdP e poderão ser editados normalmente no Read AI. Observe que isso também encerra o provisionamento de usuários.

Funções e gerentes das equipes

Seu provedor de identidade controla quem faz parte de uma equipe. O Read AI controla o que essas pessoas podem fazer.

Todas as pessoas adicionadas pelo provisionamento entram como Usuário, e você pode promover alguém a Gerente a qualquer momento. Como as funções não são provisionadas, uma equipe recém-criada começa sem um gerente, e o Read AI exibe um lembrete nas equipes que não têm um.

Os gerentes podem configurar definições específicas das equipes que gerenciam, enquanto os usuários comuns não podem. Os proprietários e administradores do espaço de trabalho também podem configurar definições específicas para qualquer equipe do espaço de trabalho.

Equipes criadas por você

Você ainda pode criar e gerenciar suas próprias equipes juntamente com as equipes provisionadas. Duas observações importantes:

O Read AI não permitirá que você crie uma equipe com o mesmo nome de uma equipe que já exista no seu espaço de trabalho.
Se um grupo com o mesmo nome for provisionado posteriormente, sua equipe passará a ser gerenciada pelo IdP na próxima sincronização. A associação será substituída pela do grupo, e você não poderá mais alterar sua associação no Read AI.

Como os grupos são sincronizados com atraso, isso pode acontecer logo depois que você criar uma equipe se o grupo já existia no seu provedor de identidade, mas ainda não havia sido sincronizado. Se você estiver usando o provisionamento de equipes, vale a pena verificar seus grupos antes de criar uma equipe manualmente.

Observações importantes

Os usuários provisionados pelo SCIM não podem ser excluídos ou removidos manualmente do espaço de trabalho; o desprovisionamento deve ser gerenciado pelo seu IdP.
O provisionamento de equipes controla a associação, o nome e a exclusão das equipes. Ele não afeta as funções, configurações ou permissões das equipes.
Se a cobrança automática estiver ativada, licenças adicionais serão compradas automaticamente quando novos usuários forem provisionados, até o limite máximo configurado. Se estiver desativada, o provisionamento falhará quando não houver licenças disponíveis suficientes.
Os usuários desprovisionados são desativados e sua licença é liberada automaticamente. As licenças nunca serão removidas automaticamente; se quiser reduzir o total de licenças, você precisará fazer isso na página de gerenciamento da cobrança.
Os segredos do cliente não expiram, mas podem ser alternados nas configurações do seu espaço de trabalho do Read AI, se necessário.

Solução de problemas

Se você tiver algum problema, verifique novamente se seguiu as instruções de configuração corretamente. O processo de mapeamento de atributos, em particular, pode ser propenso a erros.
Os erros durante o provisionamento são exibidos no seu IdP, mas o Read AI também notificará os administradores do espaço de trabalho por e-mail. Os erros comuns incluem:
- Licenças insuficientes:
  - Você não tem licenças não utilizadas no seu espaço de trabalho, e a cobrança automática está desativada ou o limite foi atingido.
  - Para corrigir, compre mais licenças manualmente, ative a cobrança automática ou aumente o limite de licenças da cobrança automática.
- O usuário está em outro espaço de trabalho:
  - O usuário que você está tentando provisionar já tem uma conta do Read AI e pertence a outro espaço de trabalho. O provisionamento falhará até que ele saia do outro espaço de trabalho.
  - Para corrigir, peça ao usuário que saia do outro espaço de trabalho ou desatribua-o do seu aplicativo no IdP.
- O e-mail do usuário não foi verificado:
  - Alguém criou uma conta com o endereço de e-mail de um usuário atribuído ao seu aplicativo do IdP, mas não verificou o endereço de e-mail. Esses usuários não podem ser transferidos para o gerenciamento pelo IdP nem adicionados ao seu espaço de trabalho, e o provisionamento falhará.
  - Para corrigir, peça ao usuário que verifique o endereço de e-mail ou desatribua-o do seu aplicativo no IdP.
- O usuário é proprietário ou administrador do espaço de trabalho:
  - Embora os usuários provisionados possam ser proprietários ou administradores do espaço de trabalho, não é possível desativar um proprietário ou administrador por meio do SCIM.
  - Para corrigir, desatribua o usuário do seu aplicativo do IdP para que você possa gerenciá-lo manualmente nas configurações do espaço de trabalho do Read AI.
Se você ativar o provisionamento de equipes, poderá encontrar os seguintes problemas:
- Uma equipe desapareceu. O grupo foi desatribuído do seu aplicativo no provedor de identidade, o que exclui a equipe correspondente no Read AI. Reatribuir o grupo cria a equipe novamente com os membros atuais, mas ela será uma nova equipe (os relatórios de reunião compartilhados com a anterior precisarão ser compartilhados novamente).
- Uma equipe que eu esperava não está no Read AI. Verifique se o grupo está provisionado no seu provedor de identidade e se um ciclo de sincronização foi concluído.
- Uma equipe tem os membros errados. A associação vem do grupo — altere-a no seu provedor de identidade.
- Não consigo remover alguém de uma equipe. Se a equipe estiver identificada como Gerenciada pelo IdP, remova a pessoa do grupo no seu provedor de identidade.
- Uma equipe que criei agora está identificada como Gerenciada pelo IdP. Um grupo com o mesmo nome foi provisionado, então o Read AI assumiu o controle da equipe na próxima sincronização.
Lembre-se de que você deve verificar a propriedade do domínio para provisionar novos usuários ou usuários existentes que estejam fora do seu espaço de trabalho.