Sincronização de Diretório (SCIM)

Disponível no plano Enterprise. Somente proprietários da organização podem configurar a Sincronização de diretório.

Visão Geral

O SCIM (System for Cross-domain Identity Management) 2.0 conecta o Wave Connect ao seu provedor de identidade para que as contas de usuário sejam gerenciadas automaticamente. Quando você adiciona, atualiza ou remove um usuário no seu IdP, a alteração é refletida no Wave Connect sem nenhuma ação manual. O Wave Connect expõe os recursos SCIM Users e Groups com GET, POST, PUT, PATCH e DELETE. Os filtros suportam uma única comparação eq de nível superior, que é o que os provedores de identidade usam para localizar um usuário por userName ou externalId.

Configuração

Abra a Sincronização de diretório

Acesse Configurações → Segurança. No card Sincronização de diretório, clique em Configurar para abrir o modal Configurar SCIM.

Copie o endpoint SCIM

O Endpoint SCIM é https://app.wavecnct.com/api/scim. Copie-o. Seu provedor de identidade o chama de URL do locatário ou URL base.

Crie um token SCIM

Clique em Criar token, dê um nome ao token e clique em Criar. Copie o token imediatamente. Ele só é exibido uma vez. O token é enviado pelo seu IdP como um token de portador (bearer token).

Configure seu provedor de identidade

No seu IdP, configure o provisionamento automático para o Wave Connect usando o endpoint e o token. Mapeie os atributos de usuário para os atributos SCIM abaixo.

Teste o provisionamento

Atribua um usuário de teste no seu IdP e verifique se a conta Wave Connect dele aparece em Usuários com o nome, o e-mail e a equipe corretos.

Os tokens SCIM também aparecem no card Tokens em Configurações → Segurança, com o escopo Gerenciar SCIM. Você pode excluir um token ali para cortar o acesso do seu IdP. Os tokens são excluídos automaticamente se a organização sair do plano Enterprise.

Guias por Provedor de Identidade

Microsoft Entra ID

Configuração passo a passo do aplicativo empresarial, mapeamentos de atributos e desligamento.

Okta e Google Workspace

Siga as etapas genéricas desta página. Use o endpoint como URL base e o token como token de portador.

Mapeamento de Atributos

O Wave Connect lê estes atributos do recurso SCIM User:

Atributo SCIM	Campo no Wave Connect
`userName`	Armazenado como nome de usuário. Usado como e-mail da conta somente se nenhum e-mail principal for enviado na criação
`name.givenName`	Nome (obrigatório)
`name.familyName`	Sobrenome (obrigatório)
`emails[primary eq true].value`	E-mail da conta e e-mail de login (obrigatório nas atualizações)
`emails[type eq "work"].value`	E-mail comercial
`emails[type eq "personal"].value`	E-mail pessoal
`phoneNumbers[type eq "mobile"].value` ou `[type eq "personal"]`, senão o telefone principal	Telefone da conta e celular
`phoneNumbers[type eq "work"].value`	Telefone comercial
`addresses[primary eq true].locality`, senão `[type eq "work"]`, senão o primeiro endereço	Cidade
`title`	Cargo
`locale`	Idioma (`preferredLanguage` é ignorado)
`active`	Ativo ou desativado
`roles[].value`	Função na organização: `USER`, `ADMIN` ou `OWNER` (em maiúsculas)
`externalId`	ID externo, armazenado para consultas

Os números de telefone são validados e armazenados no formato internacional. Valores inválidos e valores de preenchimento contendo apenas ramal são descartados em vez de fazer a solicitação falhar. Um locale que o Wave Connect não suporta recai para inglês. A extensão enterprise department não é armazenada no perfil. A atribuição de equipes por departamento pode ser habilitada pelo suporte do Wave Connect. Quando um usuário é criado e o e-mail já pertence a um membro da sua organização, o membro existente é atualizado em vez disso. Se o e-mail pertencer a uma conta pessoal do Wave Connect em um dos seus domínios verificados, essa conta é movida para a sua organização e mantida, incluindo seu cartão e contatos.

Mapeamento de Equipes

Quando o SCIM está habilitado, os grupos do seu provedor de identidade são sincronizados com o Wave Connect como equipes. Por exemplo, os grupos atribuídos ao aplicativo Wave Connect no Microsoft Entra ID são criados automaticamente como equipes no Wave Connect. Os membros atribuídos a um grupo são adicionados à equipe correspondente. O displayName do grupo se torna o nome da equipe e o externalId do grupo é armazenado na equipe. Se já existir uma equipe com o mesmo nome, o grupo é mesclado a ela. Um usuário pertence a uma única equipe, então, se um usuário estiver em vários grupos, o último provisionado prevalece. Uma organização pode ter até 75 equipes. Excluir um grupo exclui a equipe. Seus usuários são mantidos e seus contatos são movidos para a organização. Isso permite que você gerencie a estrutura de equipes do Wave Connect diretamente pelo seu IdP, sem necessidade de configuração manual de equipes no Wave Connect. Cada equipe do Wave Connect pode ter um template diferente atribuído, de modo que os usuários em grupos diferentes recebam automaticamente o layout de cartão, a identidade visual e os campos bloqueados corretos para seu departamento ou função. Consulte Templates para detalhes.

Desprovisionamento

Quando um usuário tem a atribuição ao aplicativo Wave Connect removida no seu IdP, o IdP define active como false. O Wave Connect desativa a conta:

O usuário não consegue mais fazer login e suas sessões são revogadas.
Ele aparece com o selo SUSPENDED em Usuários.
Seu cartão NFC permanece vinculado, e seu perfil e contatos são preservados.
Ele continua contando como um assento até ser excluído.

Definir active novamente como true (por exemplo, reatribuindo o usuário) reativa a conta. Quando o seu IdP envia uma solicitação DELETE, o Wave Connect exclui o usuário permanentemente: seu perfil e contatos são removidos e seu cartão NFC é desvinculado para que possa ser atribuído a outra pessoa.

Alguns provedores de identidade (como o Microsoft Entra ID) suspendem as contas de usuário por um período de carência de 30 dias antes de excluí-las permanentemente. Por padrão, o Wave Connect segue esse comportamento e desativa a conta durante esse período. Para pular o período de carência, abra Configurações → Segurança → Sincronização de diretório → Configurar e ative Excluir usuário imediatamente em vez de suspendê-lo. A desativação então exclui o usuário permanentemente de imediato.