Om er organisation har många användare med åtkomst till Sysarb – vanligtvis via Involve eller Pay Management – kan det snabbt bli ohanterligt att hålla användaråtkomsten uppdaterad manuellt. Varje nyanställning, rollförändring eller avslut kräver en manuell uppdatering i Sysarb, och risken för felaktig eller inaktuell åtkomst ökar med organisationens storlek.

För att lösa detta har Sysarb stöd för automatiserad användar- och rollprovisionering baserat på den öppna standarden SCIM (System for Cross-domain Identity Management). Med SCIM blir er identitetsleverantör (IdP) – till exempel Microsoft Entra, Okta eller Google Workspace – den enda källan till sanning för vem som har åtkomst till Sysarb och med vilken roll. Ändringar i er IdP återspeglas automatiskt i Sysarb, utan manuell inblandning.

Sysarbs SCIM-implementation följer SCIM 2.0-protokollet (RFC 7643/RFC 7644) och är kompatibel med alla IdP:er som stödjer SCIM 2.0.

För organisationer med få användare eller sällan förekommande åtkomständringar kan manuell användarhantering fortfarande vara det enklare alternativet — se skapa en användare, skapa utökade roller och länka eller inaktivera en chef.

Den här guiden täcker fyra SCIM-scenarier. Rätt scenario beror på din IdP-uppsättning och din organisations tekniska kapacitet.

Obs: Den här guiden riktar sig till både HR/verksamheten och IT/IAM-resurser. HR definierar rollmappning och åtkomstlogik; IT hanterar den tekniska konfigurationen i IdP:n. För fullständiga tekniska specifikationer — inklusive API-endpoints, attributscheman och request/response-format — se:

Utökad SCIM: Gruppbaserad användar- och rollprovisionering (automatisk mappning) är det rekommenderade måltillståndet för organisationer som arbetar med gruppbaserad åtkomstkontroll – det kräver mer initial konfiguration men minst löpande administration när det väl är på plats.

SCIM: användarbaserad rollprovisionering är ett alternativ för organisationer som föredrar att hantera roller på individnivå i sin IdP, utan att behöva skapa och underhålla SCIM-grupper för varje rollkombination.

SCIM: enbart användarprovisionering passar organisationer som behöver automatiserad hantering av användarlivscykeln men ännu inte är redo att delegera rolltilldelningen till IdP:n.

Innan du påbörjar uppsättningen i Sysarb, kontrollera att följande är på plats:

För information om Sysarbs säkerhetsrutiner och efterlevnad, se vårt Trust Center:

Obs: Det är din IdP — inte ditt HRIS — som behöver stödja SCIM och skicka användare och roller till Sysarb. De två dataflödena måste vara konsekventa: e-postadresser och organisationsenhetsnummer måste stämma överens mellan din HRIS-import och din IdP-uppsättning, annars kan användare inte kopplas korrekt till sina medarbetarposter.

Ytterligare förutsättning för utökad SCIM:

SCIM-grupper i din IdP måste konfigureras med följande strukturerade attribut, med hjälp av SCIM Enterprise Group Extension-schemat:

SCIM-gruppnamn i IdP:n är flexibla — Sysarb läser de strukturerade attributen, inte namnet.

Tips: Att konfigurera SCIM-gruppstrukturen kräver input från två separata funktioner. HR definierar affärslogiken — vilka roller som ska finnas i Sysarb och vem som ska ha dem i vilken del av organisationen. IT / IAM översätter sedan detta till en SCIM-gruppstruktur som IdP:n kan implementera och Sysarb kan konsumera. Slutför och dokumentera HR-beslutet innan IT involveras. Kontakta din Sysarb customer success-kontakt om du behöver hjälp att tänka igenom mappningen.
​

Ytterligare förutsättning för SCIM: användarbaserad rollprovisionering:

Er IdP måste stödja schemat SCIM Enterprise User Extension och kunna skicka rollattribut på individuell användarnivå. För den fullständiga attributspecifikationen, se SCIM API – teknisk referens.

Stegen nedan omfattar SCIM: Gruppbaserad användar- och rollprovisionering (manuell mappning), Utökad SCIM: Gruppbaserad användar- och rollprovisionering (automatisk mappning) samt SCIM: Användarbaserad rollprovisionering. Om er organisation ställer in SCIM: Endast användarprovisionering, kontakta din Sysarb customer success-kontakt — det scenariot hanteras från fall till fall och täcks inte här.

Uppsättningen görs i Sysarb under Inställningar → System → Användarprovisionering (SCIM).

Innan du fortsätter, bekräfta att alla förutsättningar är på plats. Se avsnittet Förutsättningar ovan för detaljer.

Om något av dessa inte är på plats, slutför det innan du fortsätter.

Under Inställningar → System → Rollåtkomst kan du aktivera eller inaktivera åtkomst per roll. Som standard är åtkomst aktiverad för alla roller. När SCIM är aktiverat kan alla medarbetare med en tilldelad roll logga in på Sysarb.

Om du vill verifiera att rolletableringen är korrekt innan användarna får åtkomst, inaktivera de relevanta rollerna här innan du aktiverar SCIM. Återaktivera dem när du har bekräftat att uppsättningen är som förväntat.

Tillgängliga roller i Sysarb inkluderar: Medarbetare, Chef, Sektionschef, HR Business Partner, Operativ administratör, Skrivskyddad och Facklig. För en fullständig översikt av vad varje roll kan se och göra, se:

Det här steget involverar både HR och IT. Om du följt förberedelsen som rekommenderas i tipset ovan har HR redan definierat rollmappningen och IT kan nu implementera den. Om det grundarbetet inte är gjort, gör det innan du fortsätter — IT kan inte konfigurera SCIM-gruppstrukturen utan att känna till den avsedda rollmappningen.

Samarbeta med din IT-support eller IAM-ansvarig för att konfigurera din IdP att skicka användare och SCIM-gruppdata till Sysarb baserat på den överenskomna rollmappningen.

Vad Sysarb kräver från din IdP:

Dela följande uppgifter från Sysarb med personen som konfigurerar din IdP (se Steg 4).

I Sysarb, navigera till Inställningar → System → Användarprovisionering (SCIM) och kopiera följande:

Din IT/IAM-resurs anger dessa uppgifter i din IdP för att upprätta anslutningen. API-nyckeln används som Bearer-token för autentisering.

Viktigt: Användarprovisionering aktiveras så snart API-nyckeln accepteras av IdP:n och IdP:n börjar skicka data — användare skapas, uppdateras eller inaktiveras i Sysarb från och med det. Rolletablering är ett separat steg: SCIM-gruppdata tas emot och lagras, men rolltilldelningar tillämpas inte förrän du explicit aktiverar rolletablering i Steg 6. Medarbetarrollen tilldelas inte via rolletablering; den tilldelas automatiskt första gången en användare loggar in, förutsatt att användaren är kopplad till en medarbetarpost.

Obs om okopplade användare: Om en användare etableras av IdP:n innan en matchande medarbetarpost finns i Sysarb (baserat på e-postadress), skapas användaren i ett okopplat tillstånd. Sysarb försöker koppla användaren till motsvarande medarbetarpost i ett schemalagt återkommande jobb. Säkerställ att medarbetarposter i Sysarb har e-postadresser registrerade innan du aktiverar SCIM.

När IdP:n är konfigurerad och SCIM-grupper skickas till Sysarb, navigera till Inställningar → System → Användarprovisionering (SCIM). En tabell visas med alla etablerade SCIM-grupper med kolumner för Grupp-ID, Gruppnamn, Användare, Roll och Organisation.

Manuell mappning: Tilldela Roll och Organisation manuellt till varje SCIM-grupp med hjälp av rullgardinsmenyerna i tabellen. Du kan tilldela SCIM-grupper en i taget, eller markera flera SCIM-grupper med kryssrutorna och använda åtgärdsraden längst ned (Redigera roll / Redigera organisation) för att tilldela samma värde till flera SCIM-grupper samtidigt. Du kan söka och filtrera på Grupp-ID, Gruppnamn, Roll eller Organisation för att navigera i stora listor.

Klicka på användarantalet i en rad för att se en skrivskyddad lista över användare i den SCIM-gruppen. Om en användare har kopplats till en medarbetarpost visas även deras befattningstitel.

Automatiserad mappning: Roll och Organisation tilldelas automatiskt baserat på attributen role och unitNumber i SCIM-gruppen. Rader där data har tillhandahållits av SCIM-lösningen är skrivskyddade. Rader där data ännu inte tillhandahållits kan redigeras manuellt.

Obs: Om en SCIM-grupps unitNumber inte matchar någon organisationsenhet i Sysarb, eller om role-värdet inte matchar en giltig Sysarb-roll, tar IdP:n emot ett fel och ingen användar- eller rolluppdatering från det anropet sparas. Granska dina SCIM-gruppattribut om du ser etableringsfel.

Alla SCIM-grupper som är avsedda för rolltilldelning måste ha en roll och organisation tilldelad innan aktivering. Grupper som enbart används för användarprovisionering (t.ex. en grupp för alla användare) behöver inte tilldelas en roll och kan lämnas omappade. En banner längst ned på sidan bekräftar när alla relevanta SCIM-grupper är klara och uppmanar dig att aktivera.

Användarbaserad rolltilldelning: När IdP:n är konfigurerad och användare med rollattribut skickas till Sysarb, gå till Inställningar → System → Användarprovisionering (SCIM). En tabell visas med samtliga användare vars roller har provisionerats via SCIM, med kolumnerna Namn, Roll, Organisation och Skapad datum. Tabellen är skrivskyddad – rolltilldelningarna styrs helt av de attribut som IdP:n skickar per användare.

Obs: Om ett unitNumber inom ett rollattribut inte matchar någon organisationsnod i Sysarb kommer IdP:n att få ett felmeddelande och ingen rolluppdatering från det anropet sparas. Granska era rollattribut på användarnivå i IdP:n om ni ser provisioneringsfel.

För den fullständiga attributspecifikationen, se SCIM API – teknisk referens.

När alla SCIM-grupper har tilldelats en roll och organisation (gruppbaserad), eller när användarbaserad rollprovisionering är konfigurerad, klicka på Aktivera rollprovisionering. En bekräftelsedialog visas då:

Att aktivera rolletablering gör följande: 1. Tar bort alla befintliga roller i Sysarb — alla roller hanteras nu via användar- och rolletablering. 2. Skapar de tilldelade rollerna för grupperna och användarna. 3. Alla medarbetare ges åtkomst till Sysarb om du inte har blockerat åtkomst för specifika roller.

⚠️ Om du har befintliga användare i Sysarb, kommer aktivering av rolletablering att ta bort alla aktuella rolltilldelningar. Arbeta igenom den här guiden noggrant och säkerställ att din rolluppsättning är fullständig och verifierad innan du aktiverar. Din customer success-kontakt samordnar eventuell nödvändig omtilldelning av åtkomst innan aktivering.

⚠️ Se till att du åtminstone har tilldelat roll och organisation till dina administratörer innan du aktiverar, för att undvika att låsa ut dig själv.

Markera bekräftelserutan och klicka på Aktivera rolletablering för att fortsätta. Statusindikatorer längst upp på sidan uppdateras för att visa Aktiv användarprovisionering och Aktiv rolletablering.

Obs: När SCIM är aktivt är användarhanteringsuppgifter (skapa, uppdatera, ta bort) låsta i Sysarbs gränssnitt och måste hanteras via IdP:n.

När SCIM är aktivt hanteras vanliga HR-händelser på följande sätt:

Obs om organisationsstrukturförändringar: Alla organisationsstrukturförändringar kräver förhandstestning. En ändrad överordnad nod innebär särskilt en risk — rådfråga din Sysarb-kontakt innan du gör strukturella ändringar om du är osäker på effekten.

Obs om timing: Medarbetardata (org, roll) uppdateras via HRIS-importen enligt ett schema. Om en SCIM-händelse och en import inte är synkroniserade i tid kan det uppstå en kort fördröjning innan ändringar är fullt återspeglade. Ta hänsyn till detta vid planering av onboarding eller rollbyten.

Allt-eller-inget för rolletablering. När rolletablering aktiveras tas alla befintliga rolltilldelningar bort och ersätts av roller härledda från SCIM-gruppdata. Det är inte möjligt att låta SCIM hantera vissa roller medan andra hanteras manuellt inom samma tenant.

Rollerna Chef och Biträdande chef. SCIM kan inte skilja mellan Chef och Biträdande chef när flera personer tilldelas samma SCIM-grupp. Om fler än en person finns i en SCIM-grupp som är mappad till rollen Chef kommer samtliga medlemmar att behandlas som Biträdande chef.

Av den anledningen rekommenderas inte SCIM för kunder som använder Pay Management och som är beroende av rollen Biträdande chef. Om detta gäller er organisation, kontakta er kontaktperson Customer Success på Sysarb innan ni går vidare.

Återgång från Utökad SCIM (automatiserad mappning) till manuell mappning. En återgång kräver manuell omtilldelning av roll och organisation för alla SCIM-grupper i Sysarb. Kontakta Sysarb om du behöver göra detta.

Att byta mellan gruppbaserad och användarbaserad. Att byta provisioneringsmodell efter aktivering kräver att rollprovisioneringen inaktiveras, att IdP:n konfigureras om och att rollprovisioneringen aktiveras på nytt. Kontakta er kontaktperson för kundframgång på Sysarb för att planera en sådan förändring.

När SCIM är aktivt visar SCIM-sidan en tabell med alla provisionerade SCIM-grupper (gruppbaserad) eller användare med rollinformation (användarbaserad), tillsammans med tilldelade roller och organisationer samt en räknare som visar tilldelade roller i förhållande till totalt antal (t.ex. 14/14).

Från menyn (⋮) uppe till höger kan du komma åt:

Kontakta Sysarb via [email protected] eller direkt i gränssnittet. Om du är i en aktiv implementation är din customer success-kontakt också tillgänglig för hjälp.