SCIM/Entra ID配置：删除用户属性未触发Remove操作，如何移除目标属性？

原因 #

MS Entra的SCIM同步逻辑对嵌套属性（比如name对象下的givenName、familyName）有特定处理规则：当你在Entra中清空这些字段的值时，它不会发送SCIM标准的Remove操作，而是发送**Replace操作并将属性值设为空字符串**。

这么做的核心原因是：Entra将空值视为“属性未被设置”的等价状态，同时也是为了兼容多数目标系统的处理逻辑——部分系统可能不支持对嵌套子属性直接执行Remove操作，用空值替换的方式能降低同步失败的概率。

目标系统中移除该属性的方法 #

针对这种情况，你可以在目标系统的SCIM接口中做如下处理：

• 直接将空值映射为属性移除：当接收到name.givenName或name.familyName的Replace操作且值为空字符串时，在目标系统中主动移除对应的属性，而不是保留空值。
• 若要求严格遵循SCIM的Remove操作规范，可通过Entra的自定义映射规则+逻辑应用转换请求：当字段为空时，把Entra发送的空值Replace操作转换成标准的Remove操作后再转发给目标系统，但这种方式配置复杂度较高，一般推荐第一种方案。

示例说明 #

比如在Entra中清空givenName后，Entra会发送类似这样的PATCH请求：

{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],"Operations": [{"op": "Replace","path": "name.givenName","value": ""}]}

目标系统接收到该请求后，就可以触发逻辑将name.givenName属性从用户对象中移除。

内容的提问来源于stack exchange，提问作者Powerslave