基于Azure AD与微软身份平台的SaaS是否需自研SCIM 2.0端点？

如果你的SaaS方案仅在Azure AD内存储和管理所有用户数据，不需要在自身应用数据库中维护用户副本，那么完全可以依赖Microsoft Identity Platform和Azure AD的原生能力实现需求，根本不需要自研SCIM端点。

具体原因和可行方案： #

• SCIM的核心定位是跨系统同步：SCIM 2.0是用于不同身份系统间用户数据同步的标准协议，你的场景里用户全生命周期都在Azure AD内完成，没有跨系统同步的需求，自然不需要搭建SCIM服务端。
• 直接用Azure AD的原生工具/API管理用户：
  • 手动管理：通过Azure AD管理门户直接完成用户、组、应用角色的增删改查、权限分配等操作，适合非自动化的管理场景。
  • 编程式管理：使用Microsoft Graph API实现全自动化的用户生命周期管理，包括创建用户、更新属性、分配角色/组、禁用账户等所有操作，完全覆盖企业级用户管理需求。Azure AD的Graph API本身也兼容SCIM规范，但你作为SaaS方不需要提供SCIM端点——因为你不需要接收外部同步过来的用户数据。
• 认证授权完全依赖Azure AD：
  你的单页应用和REST API通过Microsoft Identity Platform完成OIDC/OAuth2认证，用户登录后通过ID Token获取身份信息，权限控制直接使用Azure AD的应用角色（App Roles）或安全组实现，无需在自身系统中存储用户权限数据。

例外场景（不涉及你的需求）： #

只有当你需要将Azure AD的用户数据同步到SaaS应用的本地数据库时，才需要考虑自研SCIM端点或使用Azure AD的SCIM同步功能，但你的需求是仅在AD内管理用户，所以这种情况不存在。

内容的提问来源于stack exchange，提问作者jamesbond007