在OneLogin中，OIDC应用是否可搭配SCIM配置使用？

核心结论 #

• 无需强制启用SAML，你可以保留现有OIDC作为SSO协议，同时搭配SCIM实现用户生命周期管理。SCIM本身确实独立于SAML/OIDC这类身份验证协议，只要OneLogin能通过有效凭证调用你的SCIM API即可。

具体操作步骤 #

1. 添加并配置OneLogin的SCIM Provisioner应用
   虽然应用名称是“SCIM Provisioner with SAML”，但SAML部分可忽略，重点完成SCIM相关配置：
   • 填入你的SCIM API基础URL，设置认证方式（一般用Bearer Token，需在你的Web应用中生成并提供该令牌）
   • 配置用户属性映射，确保OneLogin中的邮箱字段对应到SCIM用户的email属性，和你OIDC用的邮箱关联逻辑保持一致
2. 保留原有OIDC SSO配置
   继续使用已搭建好的OIDC流程处理用户登录，SCIM仅负责用户的创建、更新、删除等生命周期操作，两者互不干扰。
3. 验证同步效果
   • 在OneLogin中创建或更新用户，检查数据是否通过SCIM同步到你的Web应用
   • 用户通过OIDC登录时，确认系统能通过邮箱正确关联到SCIM同步的用户数据

补充说明 #

SCIM是一套RESTful的用户管理API规范，和身份验证协议完全解耦。OneLogin的“SCIM Provisioner with SAML”只是将SCIM与SAML打包的模板，你完全可以只启用其中的SCIM功能，搭配已有的OIDC SSO流程。

内容的提问来源于stack exchange，提问作者Yusuf Avcı