Gerenciar usuários e equipes com provisionamento SCIM

• Pré-requisitos
• Instruções de configuração
• Provisionamento de equipes
• Observações importantes
• Solução de problemas

Visão geral

O SCIM (System for Cross-domain Identity Management) automatiza o provisionamento de usuários e equipes nos espaços de trabalho do Read AI por meio da integração com provedores de identidade. Isso permite que as equipes de TI gerenciem o acesso de forma centralizada, reduzam o trabalho manual e mantenham a conformidade.

Provedores de identidade compatíveis: Microsoft Entra (anteriormente Azure AD), Okta e Google Workspace são atualmente as únicas plataformas oficialmente compatíveis. Entre em contato com o suporte para solicitar provedores adicionais.

Os recursos do SCIM incluem:

• Criação de novos usuários: cria automaticamente contas para usuários atribuídos ao Read AI no seu provedor de identidade, adiciona-os ao espaço de trabalho e envia um e-mail de integração. O provedor de identidade gerenciará esses usuários daqui em diante.
• Atualização de usuários existentes: transfere os atuais titulares de contas do Read AI para o gerenciamento pelo provedor de identidade, permitindo atualizações automáticas de atributos e controle de desativação por meio do seu provedor de identidade.
• Provisionamento de equipes: cria equipes do Read AI a partir dos grupos do seu provedor de identidade e mantém os membros sincronizados. As equipes existentes cujos nomes correspondem a um grupo passam a ser gerenciadas pelo provedor de identidade. Atualmente disponível apenas para o Microsoft Entra.

Importante: o provisionamento SCIM não controla os métodos de login. Muitas organizações também configuram o logon único SAML separadamente. Consulte Como configurar a autenticação SAML com o Read AI.

Pré-requisitos

• Você precisa ser administrador do espaço de trabalho no Read AI.
• Seu espaço de trabalho precisa estar no plano Enterprise+.
• Você precisa verificar o(s) domínio(s) de todos os usuários que deseja provisionar com o SCIM (a menos que eles já estejam no seu espaço de trabalho).
• Você precisa ter acesso de administrador ao seu locatário do Microsoft Entra, à organização do Okta ou à conta do Google Workspace.

Instruções de configuração

O processo de configuração varia um pouco dependendo do provedor de identidade utilizado. Para ver instruções passo a passo com capturas de tela, consulte:

• Para o Microsoft Entra: Configuração do SCIM com credenciais do cliente (Microsoft Entra)
• Para o Okta: Configuração do SCIM com código de autorização (Okta)
• Para o Google Workspace: Configuração do SCIM com o Google Workspace Directory Sync

Siga as instruções cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Provisionamento de equipes

O provisionamento de equipes é opcional e é configurado no seu provedor de identidade, não no Read AI. Quando ativado, os grupos provisionados se tornam equipes.

Na primeira vez que um grupo é provisionado, os administradores do espaço de trabalho recebem um e-mail único confirmando que o provisionamento da equipe foi iniciado.

Quais grupos se tornam equipes

Cada grupo provisionado se torna uma equipe no Read AI, com o mesmo nome do grupo.

• Se não existir uma equipe com esse nome, uma nova equipe será criada. Esse é o caso mais comum.
• Se já existir uma equipe com esse nome, ela passará a ser gerenciada pelo provedor de identidade e seus membros serão substituídos pelos membros do grupo.

Os nomes dos grupos são comparados exatamente aos nomes das equipes, sem distinção entre maiúsculas e minúsculas. Renomear um grupo no seu provedor de identidade renomeia a equipe correspondente no Read AI. A equipe, seu histórico e suas configurações são preservados.

As equipes provisionadas pelo SCIM são identificadas como Gerenciada pelo provedor de identidade em todo o Read AI.

O que você pode e não pode alterar

Remover uma equipe do provisionamento

Desatribuir um grupo do provisionamento exclui sua equipe no Read AI. Esse é o comportamento padrão do SCIM; seu provedor de identidade é a fonte de verdade, portanto, remover um grupo de lá remove a equipe daqui.

Antes de desatribuir um grupo, observe o que a exclusão da equipe afeta: os relatórios de reuniões compartilhados com essa equipe deixarão de ser compartilhados. Recriar uma equipe com o mesmo nome não os restaura — esses relatórios precisarão ser compartilhados novamente com a nova equipe, um por vez. As métricas e tendências no nível da equipe também serão perdidas, e todas as configurações específicas da equipe deixarão de ser aplicadas.

Para interromper a sincronização de uma equipe sem excluí-la, desative o provisionamento de grupos no seu provedor de identidade, em vez de desatribuir o grupo. As equipes existentes permanecerão no lugar e deixarão de receber atualizações, mas continuarão sendo gerenciadas pelo provedor de identidade (você ainda não poderá alterar seus membros no Read AI).

Para retornar as equipes ao gerenciamento manual, desative o provisionamento SCIM nas configurações do seu espaço de trabalho do Read AI. Todas as equipes e os usuários deixarão de ser gerenciados pelo provedor de identidade e poderão ser editados normalmente no Read AI. Observe que isso também encerra o provisionamento de usuários.

Funções e gerentes das equipes

Seu provedor de identidade controla quem faz parte de uma equipe. O Read AI controla o que essas pessoas podem fazer.

Todas as pessoas adicionadas por provisionamento entram como Usuário, e você pode promover alguém a Gerente a qualquer momento. Como as funções não são provisionadas, uma equipe recém-criada começa sem um gerente, e o Read AI exibe um lembrete nas equipes que não têm um.

Os gerentes podem configurar definições específicas das equipes que gerenciam, enquanto os usuários comuns não podem. Os proprietários e administradores do espaço de trabalho também podem configurar definições específicas para qualquer equipe no espaço de trabalho.

Equipes que você cria

Você ainda pode criar e gerenciar suas próprias equipes junto com as equipes provisionadas. Duas coisas importantes:

• O Read AI não permitirá que você crie uma equipe com o mesmo nome de uma equipe que já exista no seu espaço de trabalho.
• Se posteriormente um grupo com o mesmo nome for provisionado, sua equipe passará a ser gerenciada pelo provedor de identidade na próxima sincronização. Seus membros serão substituídos pelos membros do grupo, e você não poderá mais alterar seus membros no Read AI.

Como os grupos são sincronizados com atraso, isso pode acontecer pouco depois de você criar uma equipe se o grupo já existia no seu provedor de identidade, mas ainda não havia sido sincronizado. Se você estiver usando o provisionamento de equipes, vale a pena verificar seus grupos antes de criar uma equipe manualmente.

Observações importantes

• Os usuários provisionados pelo SCIM não podem ser excluídos manualmente nem removidos do espaço de trabalho; o desprovisionamento deve ser gerenciado pelo seu provedor de identidade.
• O provisionamento de equipes controla a associação, o nome e a exclusão das equipes. Ele não afeta as funções, configurações ou permissões das equipes.
• Se a cobrança automática estiver ativada, licenças adicionais serão compradas automaticamente quando novos usuários forem provisionados, até o limite máximo configurado. Se estiver desativada, o provisionamento falhará quando não houver licenças disponíveis suficientes.
• Os usuários desprovisionados são desativados e sua licença é liberada automaticamente. As licenças nunca são removidas automaticamente. Se quiser reduzir o total de licenças, você precisará fazer isso na página Plano e cobrança.
• Os segredos do cliente não expiram, mas podem ser alternados nas configurações do seu espaço de trabalho do Read AI, se necessário.

Solução de problemas

• Se encontrar algum problema, verifique novamente se seguiu corretamente as instruções de configuração. O processo de mapeamento de atributos, em particular, pode apresentar erros.
• Os erros durante o provisionamento são exibidos no seu provedor de identidade, e o Read AI também notificará os administradores do espaço de trabalho por e-mail. Os erros comuns incluem:
  • Licenças insuficientes:
    • Você não tem licenças não utilizadas no seu espaço de trabalho, e a cobrança automática está desativada ou seu limite foi atingido.
    • Para corrigir, compre mais licenças manualmente, ative a cobrança automática ou aumente o limite de licenças da cobrança automática.
  • O usuário está em outro espaço de trabalho:
    • O usuário que você está tentando provisionar já tem uma conta do Read AI e pertence a outro espaço de trabalho. O provisionamento falhará até que ele saia do outro espaço de trabalho.
    • Para corrigir, faça com que o usuário saia do outro espaço de trabalho ou desatribua-o do seu aplicativo no provedor de identidade.
  • O e-mail do usuário não foi verificado:
    • Alguém criou uma conta com o endereço de e-mail de um usuário atribuído ao seu aplicativo do provedor de identidade, mas não verificou o endereço de e-mail. Esses usuários não podem ser transferidos para o gerenciamento pelo provedor de identidade nem adicionados ao seu espaço de trabalho, e o provisionamento falhará.
    • Para corrigir, faça com que o usuário verifique o endereço de e-mail ou desatribua-o do seu aplicativo no provedor de identidade.
  • O usuário é proprietário ou administrador do espaço de trabalho:
    • Embora os usuários provisionados possam ser proprietários ou administradores do espaço de trabalho, não é possível desativar um proprietário ou administrador pelo SCIM.
    • Para corrigir, desatribua o usuário do aplicativo do seu provedor de identidade para que você possa gerenciá-lo manualmente nas configurações do espaço de trabalho do Read AI.
• Se você ativar o provisionamento de equipes, poderá encontrar as seguintes situações:
  • Uma equipe desapareceu. O grupo foi desatribuído do seu aplicativo no provedor de identidade, o que exclui a equipe correspondente no Read AI. Atribuir o grupo novamente cria a equipe de novo com seus membros atuais, mas ela será uma nova equipe (os relatórios de reuniões compartilhados com a equipe anterior precisarão ser compartilhados novamente).
  • Uma equipe que eu esperava não está no Read AI. Verifique se o grupo está provisionado no seu provedor de identidade e se um ciclo de sincronização foi concluído.
  • Uma equipe tem os membros errados. Os membros vêm do grupo — altere-os no seu provedor de identidade.
  • Não consigo remover alguém de uma equipe. Se a equipe estiver identificada como Gerenciada pelo provedor de identidade, remova a pessoa do grupo no seu provedor de identidade.
  • Uma equipe que criei agora está identificada como Gerenciada pelo provedor de identidade. Um grupo com o mesmo nome foi provisionado, então o Read AI assumiu o controle da equipe na próxima sincronização.
• Lembre-se de que você precisa verificar a propriedade do domínio para provisionar novos usuários ou usuários existentes que estejam fora do seu espaço de trabalho.