Keyboard shortcuts

Press ← or → to navigate between chapters

Press ? to show this help

Press Esc to hide this help

Microsoft Entra ID의 SCIM 프로비저닝

Entra 관리자와 함께 Foundry 및 Entra 양쪽을 구성합니다. SAML과 OIDC 로그인은 필요한 절차가 다릅니다. 먼저 Foundry의 SCIM 활성화에서 URL과 Client credentials를 준비합니다.

Palantir Foundry gallery app은 현재 SCIM 프로비저닝을 지원하지 않습니다. 해당 gallery app으로 SSO를 사용하더라도 SCIM에는 새 enterprise app을 만들어야 합니다.

SAML 환경의 자격 정보

Entra의 [Enterprise App] > Provisioning > Admin Credentials를 엽니다.

  1. 인증 방식으로 OAuth2 Client Credentials Grant를 선택합니다.
  2. Tenant URL에는 Foundry가 생성한 SCIM URL 끝에 ?aadOptscim062020을 붙입니다. 이 플래그는 Entra가 SCIM 2.0 프로토콜을 사용하도록 요구하는 값입니다.
  3. Foundry에서 만든 Client ID와 secret을 입력합니다.

경로 형태는 https://<DOMAIN>/multipass/api/scim/<REALM>/v2/?aadOptscim062020이며, DOMAIN과 REALM은 생성한 실제 SCIM URL의 값을 그대로 사용합니다. Token endpoint도 해당 SCIM 도메인의 값을 사용합니다.

사용자 특성 매핑

Provisioning > Attribute mapping에서 externalId가 SSO claim 중 Foundry의 Provider ID로 매핑한 값과 같도록 설정합니다. SAML의 기본 매핑은 NameID이지만 변하지 않는 고유 식별자를 사용하는 것이 권장됩니다. 두 값이 다르면 프로비저닝과 로그인이 실패할 수 있습니다.

Foundry가 SCIM으로 동기화하는 사용자 특성은 다음과 같습니다.

  • userName
  • externalId
  • active
  • displayName
  • emails
  • name의 이름과 성

다른 특성을 매핑하더라도 다음 사용자 로그인 전까지 SCIM으로 동기화되지 않습니다.

Entra의 matching precedence에서 externalId를 1순위로 지정하고 userName을 보조 식별자로 둡니다.

그룹 특성 매핑

그룹의 displayName과 externalId는 둘 다 Foundry가 현재 그 그룹을 식별하는 값과 같아야 합니다. 그 값은 기존 구성에 따라 그룹의 displayName 또는 id일 수 있습니다. 서로 다르면 그룹 이름이 바뀔 때 구성원의 로그인이 차단될 수 있습니다.

기존 SSO의 실제 전달값은 다음에서 확인합니다.

[Enterprise App] > Single Sign On > 2. Attributes and Claims > Edit > http://schemas.microsoft.com/ws/2008/06/identity/claims/groups > Source Attribute

이 Source Attribute의 값을 SCIM displayName과 externalId 양쪽에 맞춥니다.

초기 동기화와 갱신

Provisioning status를 On으로 바꾸면 앱에 배정된 사용자와 그룹을 Foundry에 만들고 그룹 소속을 갱신하는 초기 동기화를 시작합니다. Foundry는 구성된 조직 배정, 사용자 신청 양식 평가와 규칙 기반 그룹 평가도 수행합니다. 비동기 사용자 관리 모듈(AUM)은 실행하지 않습니다. 관련 정보는 다음 사용자 로그인에서도 다시 갱신합니다.

외부 그룹 소속에 의존하는 조직 배정에는 예외가 있습니다. 사용자 생성 시 그룹 소속이 즉시 함께 반영되지 않으므로 이 규칙은 최초 create에서 실행되지 않습니다. 그룹 소속 갱신만으로도 다시 실행하지 않습니다. 사용자가 로그인하거나 이름 변경 같은 사용자 갱신으로 SCIM updateUser가 발생해야 평가할 수 있습니다.

초기 동기화 이후 변경은 보통 20~40분 간격의 배치로 전달합니다. 즉시 회수가 필요한 접근 자격은 이 지연과 SCIM 전용 그룹 갱신의 제한을 고려합니다.

OIDC 환경

Entra의 OIDC 로그인과 SCIM을 함께 사용할 계획이면 Palantir Support에 문의합니다. OIDC의 ID는 Entra가 SCIM에 전달하지 않는 sub 대신 oid로 맞추는 요구사항도 OIDC 구성에서 확인합니다.