O SCIM responde 401 ou 403 (token expirado, revogado ou sem âmbito)

Sintoma

O aprovisionamento no Microsoft Entra ID ou no Okta falha. O registo do fornecedor de identidade mostra respostas 401 Unauthorized ou 403 Forbidden, e as pessoas novas não aparecem na consola.

Causa

Solução

1. Abra «Gerir» › «Tokens SCIM» e veja o estado do token: «Ativo», «A expirar», «Expirado» ou «Revogado». A coluna «Última utilização» diz se o fornecedor o está a usar.
2. Token expirado ou revogado: escolha «Criar token», com os dois âmbitos, e copie o «URL da organização» e o «Token secreto» para o fornecedor de identidade.
3. Token a expirar: use «Rodar token» com um período de tolerância (por exemplo, 24 horas) e atualize o fornecedor dentro desse período.
4. Âmbito em falta: crie um token novo com «Utilizadores (scim:users)» e «Grupos (scim:groups)».
5. Lugares: veja Limite atingido.
6. No fornecedor de identidade, use "Testar ligação" e reinicie o aprovisionamento.

Se aparecer «Esta organização já tem cinco tokens SCIM ativos. Revogue um primeiro.», revogue um token antigo antes de criar outro.

Como evito que volte a acontecer?

Escolha uma validade adequada (até 2 anos), anote a data de fim e rode o token antes do estado «A expirar» chegar ao fim.

Quando escalar

Se o token está «Ativo», tem os dois âmbitos e o fornecedor continua a receber 401, contacte o suporte com a hora e o nome do token (nunca o segredo).