Account che seguono le persone.

1. HR
2. IdP
3. App

1. nuova assunzione: Ada, Finance

   Passo 1 di 6

   Joiner: l’HR registra un’assunzione

   In parole semplici L’HR avvisa la reception che Ada inizia lunedì.

   Il sistema HR è la fonte di verità. L’IdP importa la nuova persona e assegna le app in base a regole come reparto e ruolo.

2. POST /scim/v2/Users

   Passo 2 di 6

   L’account viene creato nell’app

   In parole semplici La reception prepara il badge di Ada prima che arrivi.

   L’IdP chiama l’endpoint SCIM dell’app con un utente JSON standard. Niente CSV, niente ticket: l’account è pronto dal primo giorno.

   POST https://app.example.com/scim/v2/Users
   Authorization: Bearer …
   
   {
     "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
     "externalId": "E-10423",
     "userName": "ada@example.com",
     "name": { "givenName": "Ada", "familyName": "Lovelace" },
     "active": true
   }

3. 201 Created · id

   Passo 3 di 6

   L’app restituisce il suo id

   In parole semplici La reception annota il numero del badge accanto al nome di Ada.

   L’IdP salva l’id scelto dall’app e lo usa per ogni modifica successiva. externalId collega al record HR.

   201 Created
   { "id": "2819c223", "userName": "ada@example.com", "active": true, … }

4. mover: PATCH /Groups

   Passo 4 di 6

   Mover: Ada cambia team

   In parole semplici Ada cambia piano: il badge apre le porte nuove e smette di aprire quelle vecchie.

   Quando l’HR sposta Ada da Finance ad Audit, l’IdP la aggiunge al nuovo gruppo e la toglie dal vecchio. La rimozione è la parte che si dimentica spesso, ed è così che i privilegi si accumulano.

   PATCH https://app.example.com/scim/v2/Groups/finance
   { "Operations": [{ "op": "remove", "path": "members[value eq \"2819c223\"]" }] }
   
   PATCH https://app.example.com/scim/v2/Groups/audit
   { "Operations": [{ "op": "add", "path": "members", "value": [{ "value": "2819c223" }] }] }

5. leaver: ultimo giorno

   Passo 5 di 6

   Leaver: Ada lascia l’azienda

   In parole semplici L’HR avvisa la reception che oggi è l’ultimo giorno di Ada.

   La cessazione nell’HR è l’evento scatenante. L’IdP disattiva subito l’identità, così nessun nuovo accesso può partire.

6. PATCH /Users · active=false

   Passo 6 di 6

   L’account viene disattivato ovunque

   In parole semplici Il badge smette di funzionare su tutte le porte nello stesso momento.

   Disattivare invece di cancellare conserva la traccia per gli audit. Le app fatte bene chiudono anche le sessioni attive. Senza questo passo, gli ex dipendenti restano dentro le app SaaS per mesi.

   PATCH https://app.example.com/scim/v2/Users/2819c223
   {
     "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
     "Operations": [{ "op": "replace", "path": "active", "value": false }]
   }

Flusso completato.