Cyberpediaod Brain
PLDEENESFRITNLPT

SCIM i automatyczne zarządzanie kontami w aplikacjach

Jak SCIM tworzy, zmienia i wyłącza konta w aplikacjach, gdy Pan/Pani zaczyna pracę, zmienia stanowisko lub odchodzi, i co należy zrobić.

W 30 sekund

Gdzie to się zdarza
Przy każdym przyjęciu do pracy, zmianie stanowiska lub odejściu, we wszystkich aplikacjach powiązanych z katalogiem firmy.
Czego chce atakujący
Wykorzystać zapomniane konto, którego nikt nie pilnuje, aby wejść do systemów.
Odruch
Zgłosić z wyprzedzeniem rozpoczęcie pracy, zmianę stanowiska lub odejście, nie zakładać żadnych kont poza oficjalnym obiegiem i oddać wszystkie dostępy.
Jeśli to już się stało
Jeśli założył(a) Pan/Pani konto poza obiegiem albo zachował(a) dostęp po zmianie stanowiska, proszę zgłosić to działowi IT, aby konto zostało włączone do obiegu lub zamknięte.

O co chodzi

W firmie każdy pracownik ma konta w wielu aplikacjach: w poczcie, w magazynie plików i w innych narzędziach. Gdy ktoś zaczyna pracę, zmienia stanowisko lub odchodzi, trzeba te konta utworzyć, zmienić albo zamknąć. Jeśli zamykanie odbywa się ręcznie, można o nim zapomnieć, a konto osoby, która odeszła, pozostaje wtedy otwarte.

SCIM (System for Cross-domain Identity Management) to specyfikacja, która daje aplikacjom wspólny sposób odbierania takich operacji z katalogu firmy1. Ta fiszka wyjaśnia, co SCIM automatyzuje, czego nie obejmuje i co pracownik oraz jego przełożony muszą zrobić, aby cały obieg działał.

Pytania wprost

Czym w praktyce jest SCIM?

To wspólny język między katalogiem a aplikacjami. Bez niego każda aplikacja ma własne adresy dostępu, własny sposób opisu użytkownika i własny schemat danych. SCIM zapewnia wspólny schemat użytkownika, który pozwala wprowadzać osoby do aplikacji, usuwać je i przenosić między nimi1. Usługa provisioningu Microsoft Entra ID łączy się z punktem końcowym SCIM 2.0 udostępnianym przez producenta aplikacji, aby tworzyć, zmieniać i usuwać użytkowników2.

Co katalog zmienia przy odejściu?

Katalog staje się źródłem prawdy. Automatyczny provisioning obejmuje tworzenie kont, ale też ich utrzymanie i usuwanie, gdy zmienia się status lub rola1. Może automatycznie wyłączać konta w odpowiednich aplikacjach, gdy osoby opuszczają zespół lub organizację1. Aktualizuje też konta zgodnie ze zmianami w katalogu lub w systemie kadrowym1.

Jak to ogranicza konta widma?

Zamykanie kont przestaje zależeć od czyjejś pamięci. Microsoft wymienia wśród powodów natychmiastowe usuwanie tożsamości z kluczowych aplikacji SaaS, gdy osoba odchodzi1. Gdy osoba wypada z zakresu provisioningu, także wtedy, gdy zostaje usunięta z aplikacji, usługa wyłącza jej konto w aplikacji docelowej2. Zakłada to jednak, że aplikacja jest podłączona, o czym szerzej piszemy w części o pułapkach poniżej.

Jaka jest moja rola, skoro wszystko jest automatyczne?

Automatyzacja zaczyna się w katalogu. Jeśli katalog nie wie, że Pan/Pani odchodzi lub zmienia dział, nic się nie uruchamia. Informacja musi tam dotrzeć na czas, a uruchamiają ją pracownik i jego przełożony.

1Jak to działa1 min

Usługa provisioningu pracuje w cyklach. Pierwszy cykl odpytuje wszystkich użytkowników i wszystkie grupy źródła, a kolejne cykle przyrostowe przetwarzają tylko to, co zmieniło się od ostatniego zapisanego znacznika2. Jeśli użytkownik nie ma w aplikacji odpowiadającego mu konta, zostaje ono utworzone. Jeśli je ma, zostaje zaktualizowane2.

Odejście przebiega według kilku przewidzianych przypadków. Użytkownik wyłączony lub usunięty do „kosza” w katalogu zostaje wyłączony w aplikacji docelowej. W aplikacji SCIM wyłączenie oznacza zażądanie, aby właściwość „active” miała wartość fałsz2. Trzydzieści dni po usunięciu w katalogu użytkownik jest usuwany na stałe, a usługa wysyła wtedy do aplikacji żądanie usunięcia2. Użytkownik, któremu zmieniają się grupy lub uprawnienia, może też wypaść z zakresu, co liczy się jako odejście z aplikacji2. W przypadku grup dynamicznych szybkość usunięcia zależy od tego, jak szybko grupa ponownie ocenia swoich członków2.

Wszystko jest zapisywane w dziennikach provisioningu, które rejestrują odczyty i zapisy wykonane w systemach źródłowym i docelowym2.

2Co Pan/Pani robi1 min
  • Proszę uprzedzić z wyprzedzeniem. Proszę poinformować przełożonego i dział kadr o rozpoczęciu pracy, zmianie stanowiska lub odejściu, podając dokładną datę, ponieważ to zmiana w katalogu uruchamia wszystko pozostałe.
  • Przełożeni: proszę zgłaszać zmiany stanowisk tak samo jak odejścia. Zmiana roli może wymagać odebrania dostępów, a nie tylko dodania nowych1.
  • Proszę nie zakładać żadnych kont poza oficjalnym obiegiem: żadnej samodzielnej rejestracji w usłudze przy użyciu służbowego adresu, żadnego konta założonego ręcznie w panelu administracyjnym aplikacji bez poinformowania działu IT. Takie konto nie jest powiązane z katalogiem, więc nikt nie zamknie go automatycznie.
  • Przed odejściem proszę oddać swoje dostępy: identyfikator, klucze bezpieczeństwa, urządzenia i każdy dostęp otrzymany inną drogą niż przez zwykłe konto.
  • Proszę włączyć uwierzytelnianie wieloskładnikowe na kontach, które pozostają otwarte. CISA stawia klucze bezpieczeństwa na pierwszym miejscu wśród metod, a kody z SMS-a lub e-maila na ostatnim7.
3Pułapki2 min

Aplikacja niepodłączona

Aplikacja z katalogu obsługuje albo provisioning ręczny, albo automatyczny. W trybie ręcznym nie ma automatycznego konektora: konta tworzy się ręcznie, na przykład w portalu administracyjnym aplikacji lub za pomocą pliku arkusza1. W tych aplikacjach odejście wymaga działania człowieka. Aplikacja utworzona wyłącznie na podstawie rejestracji OIDC nie jest włączona do automatycznego provisioningu3.

Zmiany wprowadzone bezpośrednio w aplikacji

Usługa ignoruje zmiany wprowadzone w aplikacjach zewnętrznych i ich nie cofa: opiera się na tym, co zmienia się w katalogu3. Konto utworzone lub zmienione lokalnie wymyka się więc obiegowi. Microsoft wskazuje, że provisioning może też wykrywać istniejące konta w aplikacji, w tym lokalne lub osierocone1. MITRE zaleca usuwanie kont osieroconych, na przykład bez właściciela, podczas regularnych audytów oraz automatyczne wyłączanie kont po okresie nieaktywności, na przykład po 30 dniach4.

Konta lokalne, konta współdzielone, hasła

Provisioning haseł nie jest obsługiwany3. Niektóre aplikacje lokalne nie są sfederowane z katalogiem i wymagają haseł lokalnych3. Konto współdzielone lub lokalne hasło znane osobie, która odchodzi, nie zamyka się wraz z jej odejściem: trzeba je zmienić lub usunąć ręcznie.

Opóźnienia i błędy

Odstęp między dwoma cyklami nie jest konfigurowalny3. Gdy błąd uniemożliwia zmianę użytkownika, operacja jest ponawiana w następnym cyklu, a administrator musi sprawdzić dzienniki, aby znaleźć przyczynę2. Jeśli większość wywołań kończy się niepowodzeniem, na przykład z powodu nieprawidłowych danych logowania administratora, zadanie trafia do kwarantanny, cykle zwalniają do jednego dziennie, a po ponad czterech tygodniach zadanie zostaje wyłączone2. Odejście może więc nie zostać odzwierciedlone na czas, a nikt tego nie zauważy.

Tokeny i sesje, które przetrwają

Według MITRE atakujący kontrolujący konto w chmurze może utworzyć dodatkowe trwałe dane uwierzytelniające, aby się w nim utrzymać, a te dane mogą omijać zabezpieczenia, takie jak uwierzytelnianie wieloskładnikowe5. Źródła przytoczone tutaj nie mówią, czy otwarta sesja kończy się od razu po wyłączeniu konta SCIM. Po stronie aplikacji OWASP wskazuje, że gdy sesja się kończy, aplikacja musi unieważnić ją po stronie klienta i po stronie serwera, a strona serwera jest najważniejsza i z punktu widzenia bezpieczeństwa obowiązkowa6. Zaleca też limit nieaktywności i limit bezwzględny dla wszystkich sesji6. Gdy pracownik odchodzi, dział IT powinien więc sprawdzić tokeny dostępu, hasła aplikacji i sesje, a nie tylko samo konto.

Karta

Identyfikator
CP-205
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Kontrolować dostęp (control_access)
Odruch Brain
cr-028
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. Microsoft, „What is app provisioning in Microsoft Entra ID?”. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (dostęp 3 listopada 2026)
  2. Microsoft, „How Application Provisioning works in Microsoft Entra ID”. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (dostęp 3 listopada 2026)
  3. Microsoft, „Known issues for provisioning in Microsoft Entra ID”. https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1018/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (dostęp 3 listopada 2026)
  6. OWASP, „Session Management - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (dostęp 3 listopada 2026)
  7. CISA, „Require Multifactor Authentication | CISA”. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „SCIM i automatyczne zarządzanie kontami w aplikacjach”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/scim-automatyczne-provisioning-odejscia/

BibTeX 
@misc{brain_cp205_pl_2026,
  author = {Brain},
  title = {SCIM i automatyczne zarządzanie kontami w aplikacjach},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/scim-automatyczne-provisioning-odejscia/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0