التزويد عبر SCIM باستخدام Okta

كيفية إعداد التزويد عبر SCIM بين Okta وClickHouse Cloud

تتوفر ميزة التزويد عبر SCIM ضمن المعاينة الخاصة.

يدعم ClickHouse Cloud بروتوكول SCIM 2.0 ‏(System for Cross-domain Identity Management) لأتمتة إدارة دورة حياة المستخدمين والمجموعات. وبمجرد الاتصال بموفر الهوية لديك، يُنشأ تلقائيًا كل مستخدم تعيّنه لتطبيق ClickHouse Cloud داخل مؤسستك بالدور الصحيح، كما تنتقل تحديثات الملف الشخصي تلقائيًا، وتؤدي إزالة مستخدم من موفر الهوية (IdP) إلى سحب إمكانية وصوله — من دون دعوات يدوية أو حسابات مهجورة.

يشرح هذا الدليل كيفية إعداد التزويد عبر SCIM بالكامل باستخدام Okta. تتوافق نقطة نهاية SCIM في ClickHouse Cloud مع SCIM 2.0 ‏(RFC 7644)، لكن لا تُدعَم المصادقة إلا عبر Basic Auth، وOkta هو موفر الهوية الوحيد الذي اختبرناه. وقد تعمل موفرو هوية SCIM 2.0 الآخرون إذا كانوا يدعمون المصادقة باستخدام Basic Auth، لكنهم غير مدعومين رسميًا حاليًا.

​

قبل أن تبدأ

ستحتاج إلى:

• دور Admin في مؤسسة ClickHouse Cloud الخاصة بك.
• أن يكون SAML SSO مُعَدًّا بالفعل بين IdP لديك وClickHouse Cloud. ينشئ SCIM حسابات المستخدمين، وتُسجِّل هذه الحسابات الدخول عبر SAML، لذا يجب أن يكون SSO يعمل أولًا.
• صلاحية المشرف الفائق (super-admin) على مستأجر Okta الخاص بك، مع إذن بتثبيت التطبيقات وتهيئة التزويد.
• قائمة بالأدوار التي تريد تعيينها عبر SCIM (على سبيل المثال: Admins وDevelopers وRead-only). حدِّد ذلك مسبقًا — إذ ستنشئ مجموعات مطابقة في Okta.

​

كيفية عمل SCIM مع ClickHouse Cloud

1. يخصّص مسؤول في Okta مستخدمًا — مباشرةً أو عبر مجموعة — لتطبيق ClickHouse Cloud.
2. يستدعي Okta نقطة النهاية الخاصة بـ SCIM في ClickHouse Cloud عبر HTTPS، مع المصادقة باستخدام رمز مميّز تُنشئه.
3. ينشئ ClickHouse Cloud المستخدم في مؤسستك ويُسنِد إليه الأدوار استنادًا إلى عضويته في مجموعات Okta.
4. يسجّل المستخدم دخوله إلى ClickHouse Cloud من خلال تدفّق SAML SSO الحالي لديك.
5. تُطبَّق تلقائيًا على ClickHouse Cloud تغييرات الملف الشخصي، وتغييرات المجموعات، وإلغاء التنشيط في Okta.

​

تكوين SCIM على مؤسسة ClickHouse Cloud الخاصة بك

1. ​

   تمكين SCIM

   سجّل الدخول إلى ClickHouse Cloud Console بصفة مسؤول المؤسسة، ثم افتح Organization settings → SAML and SCIM settings → SCIM Configuration.

   

   انقر على Enable SCIM. يصبح SCIM متاحًا بمجرد ربط SAML SSO — إذا كان الخيار باللون الرمادي، فأكمِل إعداد SAML أولًا.

   

   سيتم إنشاء عنوان URL لنقطة نهاية SCIM، بالشكل التالي:

   https://api.clickhouse.cloud/v1/organizations/<your-org-id>/scim
   

   انسخه — فستحتاج إلى لصقه في Okta لاحقًا.

2. ​

   إنشاء رمز وصول لـ SCIM

   انتقل إلى قسم Create an API key واختر تاريخ انتهاء الصلاحية.

   خطّط لعملية التدوير

   نوصي بتحديد مدة صلاحية تبلغ 12 شهرًا وإضافة تذكير في التقويم. يدعم ClickHouse Cloud وجود رمزي SCIM نشطين كحد أقصى في الوقت نفسه، بحيث يمكنك التدوير من دون فترة توقّف: أنشئ الرمز الجديد، وبدّل Okta لاستخدامه، وتأكد من أن التزويد لا يزال يعمل، ثم ألغِ الرمز القديم.

   انقر على Generate key. سيظهر الرمز مرة واحدة فقط على شكل مفتاح (ببادئة scim_) وسر. انسخ كليهما فورًا وخزّنهما في أداة آمنة لإدارة الأسرار — ولن تتمكن من استرجاعهما لاحقًا. إذا فقدتهما، فألغِ الرمز وأنشئ رمزًا جديدًا.

   
3. ​

   تحديد تعيين الأدوار

   من لوحة SCIM Configuration، انقر على Map roles in “Users and roles” (أو انتقل مباشرة عبر Users and roles → Roles).

   ترتبط مجموعات SCIM بأدوار ClickHouse Cloud حسب الاسم، مع بعض القواعد التي ينبغي مراعاتها:

   • لا يمكنك ربط مجموعة SCIM بدور نظام مُعرّف مسبقًا. تنطبق تعيينات SCIM على الأدوار المخصصة فقط. إذا كنت بحاجة إلى إتاحة إمكانية على مستوى النظام عبر SCIM، فأنشئ دورًا مخصصًا يضم الأذونات التي تريدها.
   • الأسماء المتطابقة تُربط تلقائيًا. إذا كان للدور المخصص الاسم نفسه لمجموعة SCIM الواردة، فسيقوم ClickHouse Cloud بربطهما تلقائيًا — من دون الحاجة إلى تعيين يدوي.
   • إذا أردت استخدام اسم دور مختلف عن اسم المجموعة، فأنشئ الدور المخصص بالاسم الذي تريده، ثم اضبط الحقل SCIM group على اسم مجموعة SCIM التي يجب أن يرتبط بها.
   • المجموعات غير المعيّنة تُنشئ أدوارًا جديدة. إذا دفع Okta مجموعة لا تطابق اسم دور موجود، ولم تكن مُشارًا إليها في الحقل SCIM group لأي دور، فسينشئ ClickHouse Cloud دورًا مخصصًا جديدًا باسم تلك المجموعة. وبعد ذلك يمكنك منحه الأذونات التي تريدها.

​

إعداد تطبيق ClickHouse Cloud في Okta

1. ​

   افتح تطبيق ClickHouse Cloud في Okta

   في Okta Admin Console، انتقل إلى Applications → Applications وابحث عن التطبيق الذي أنشأته عند إعداد SAML SSO لـ ClickHouse Cloud. ثم افتحه.

   إذا لم تكن قد أنشأت تطبيق SAML بعد، فاتبع أولاً دليل إعداد SAML SSO — إذ يتم إعداد SCIM provisioning على التطبيق نفسه.

   في علامة التبويب General، ابحث عن قسم App Settings وانقر على Edit. ضمن Provisioning، اختر SCIM، ثم انقر على Save.

   

   يعرض التطبيق الآن علامة التبويب Provisioning.

   
2. ​

   صِل Okta بنقطة نهاية SCIM

   افتح علامة التبويب Provisioning الخاصة بالتطبيق وانقر على Edit. املأ النموذج:

   • SCIM connector base URL — عنوان URL الأساسي لموصل SCIM الذي ذكرناه سابقًا.
   • Unique identifier field for users — userName.
   • Supported provisioning actions — حدِّد جميع الخيارات التالية:
     • Import New Users and Profile Updates
     • Push New Users
     • Push Profile Updates
     • Push Groups
     • Import Groups
   • Authentication Mode — Basic Auth.

     • Username — مفتاح رمز SCIM (يبدأ بـ scim_).

     • Password — القيمة السرية لرمز SCIM.

       

   انقر على Test Connector Configuration. ينبغي أن تظهر لك رسالة تأكيد باللون الأخضر. إذا فشل الاختبار، فانتقل إلى استكشاف الأخطاء وإصلاحها.

   

   انقر على Save.

3. ​

   تكوين سلوك التوفير

   وأنت لا تزال في تبويب Provisioning، انقر To App في الشريط الجانبي الأيسر. انقر Edit ثم فعِّل ما يلي:

   الإعداد	الإجراء	ما الذي يفعله
   إنشاء المستخدمين	تمكين	يُنشئ مستخدمين جدد في ClickHouse Cloud عند تعيينهم في Okta
   تحديث سمات المستخدم	تمكين	يُزامن تغييرات الملف الشخصي (الاسم، البريد الإلكتروني، وما إلى ذلك) تلقائيًا
   إلغاء تنشيط المستخدمين	تمكين	يُزيل مستخدمًا من ClickHouse Cloud عند إلغاء تعيينه أو إلغاء تنشيطه في Okta
   مزامنة كلمة المرور	تعطيل	غير مستخدمة — يتم تسجيل الدخول عبر SAML، وليس بكلمات المرور

   

   انقر Save، ثم ارجع إلى علامتَي التبويب Sign On / Provisioning في التطبيق للتأكد من تطبيق الإعدادات.

   
4. ​

   تعيين سمات المستخدم

   يجب أن يتوافق Okta وClickHouse Cloud في كيفية مطابقة حقول المستخدم. في علامة التبويب Provisioning، انقر على To App وراجع Attribute Mappings الخاصة بتطبيقك. تكون الإعدادات الافتراضية في تطبيق Okta SAML مناسبةً عادةً — تأكد من مطابقتها للجدول أدناه:

   سمة Okta	سمة ClickHouse Cloud ‏(SCIM)	مطلوب
   userName	userName	نعم — يُستخدم كمعرّف فريد وكبريد إلكتروني أساسي
   email (primary)	emails[primary].value	نعم — يجب أن يطابق userName
   firstName	name.givenName	يُوصى به
   lastName	name.familyName	يُوصى به
   displayName	displayName	يُوصى به — يظهر في واجهة مستخدم ClickHouse Cloud
   externalId	externalId	يُوصى به — يحسّن الدقة عند التسوية

   يمكنك إضافة سمات اختيارية مثل القسم، والمدير، والموقع — إذ يخزّن ClickHouse Cloud هذه السمات في ملف تعريف المستخدم، لكنه لا يستخدمها اليوم للأذونات. وأي شيء خارج مجموعة SCIM القياسية يتم تجاهله من جانب ClickHouse Cloud.

   حالة أحرف البريد الإلكتروني مهمة

   تأكد من أن userName وemail في Okta يستخدمان حالة الأحرف نفسها. يطبع ClickHouse Cloud عناوين البريد الإلكتروني بأحرف صغيرة؛ وقد تؤدي أي اختلافات بين الحقلين إلى فشل الاختبارات.

5. ​

   دفع المجموعات وتعيين المستخدمين

   هنا تُطبَّق الأدوار تلقائيًا.

   أنشئ مجموعات في Okta. لكل تعيين أدوار أعددته سابقًا، أنشئ أو حدِّد مجموعة في Okta تحمل اسم العرض نفسه تمامًا. على سبيل المثال، إذا كان التعيين لديك يقول ClickHouse-Admins → Admin، فأنشئ مجموعة باسم ClickHouse-Admins في Okta.

   

   افتح المجموعة التي أنشأتها للتو وانقر على Assign people لإضافة عضو إليها.

   

   ثم اربط تطبيق SCIM بالمجموعة نفسها حتى تظل عضوية الأدوار وإمكانية الوصول إلى التطبيق متزامنتين.

   

   ادفع المجموعات. في علامة التبويب Provisioning الخاصة بالتطبيق، انقر على Push Groups → Find groups by name، وابحث عن مجموعتك، ثم انقر على Save. كرر ذلك لكل مجموعة أدوار. يجب أن تظهر لكل مجموعة Push Status بالقيمة Active (Pushed) بعد اكتمال التزويد.

   

   عيّن المستخدمين. لديك خياران:

   • عبر المجموعات (موصى به). أضف المستخدمين إلى مجموعات Okta التي دفعتها للتو. سيُزوَّدون إلى ClickHouse Cloud ويُسند إليهم الدور المطابق تلقائيًا.
   • مباشرةً. في علامة التبويب Assignments الخاصة بالتطبيق، انقر على Assign → Assign to People وحدد المستخدمين بشكل فردي. سيُزوَّدون بـ الدور الافتراضي ما لم يكونوا أيضًا ضمن مجموعة مدفوعة.

   التعيين المستند إلى المجموعات أنسب للإدارة المستمرة — فعندما يتغير دور أحد الأشخاص، يكفيك تحديث عضوية المجموعة.

​

اختبر التكامل

بعد إعداد التزويد، ارجع إلى Settings → Users and roles في وحدة تحكم ClickHouse Cloud للتأكد من ظهور المستخدمين الذين تمت مزامنتهم بالأدوار المتوقعة.

اتّبع خطة الاختبار القصيرة هذه باستخدام مستخدم اختبار واحد أو اثنين قبل إسناد فريقك بالكامل. يجب أن تنجح كل خطوة خلال بضع ثوانٍ؛ وإذا لم تنجح، فتحقّق من قائمة انتظار المهام في Okta وقسم استكشاف الأخطاء وإصلاحها.

#	الإجراء في Okta	النتيجة المتوقعة في ClickHouse Cloud
1	أضف مستخدم اختبار إلى مجموعة Okta ‏ClickHouse-Admins	يظهر المستخدم في Settings → Members مع الدور Admin
2	يسجّل مستخدم الاختبار الدخول إلى ClickHouse Cloud عبر SSO	يصل إلى لوحة المعلومات بصلاحية المسؤول
3	حدّث الاسم الأول للمستخدم في Okta	يظهر الاسم المحدّث في Members خلال ثوانٍ
4	انقل المستخدم من ClickHouse-Admins إلى ClickHouse-Read-only	يتغيّر دوره إلى Read-only
5	ألغِ إسناد المستخدم من التطبيق (أو عطّله في Okta)	يُزال المستخدم من مؤسسة؛ وتفشل أي محاولات لاحقة لتسجيل الدخول

إذا فشلت أي خطوة، فأصلح المشكلة الأساسية قبل المتابعة — إذ غالبًا ما تتفاقم الأعراض.

أين تبحث عن أخطاء SCIM في Okta

تظهر أخطاء SCIM في Reports → System Log بعد التصفية حسب تطبيقك، وكذلك في شاشة Provisioning → View Logs الخاصة بالتطبيق. وتُعرض رسالة الخطأ التي يعيدها ClickHouse Cloud كما هي — ابدأ من هناك.

​

أفضل الممارسات لبيئة الإنتاج

بدّل الرموز بانتظام. اضبط تذكيرًا في التقويم لتبديل رمز SCIM. يُوصى بذلك كل 12 شهرًا، أو فورًا إذا غادر الشركة أي مسؤول كان يعرف الرمز. يتيح ClickHouse Cloud وجود رمزين نشطين لكل مؤسسة تحديدًا حتى تتمكن من التبديل من دون تعطيل التزويد.

استخدم المجموعات، لا التعيينات المباشرة. ينجح إسناد المستخدمين إلى التطبيق مباشرةً، لكنه يصبح سريعًا صعب المراجعة والتدقيق. أما إدارة الإسناد عبر مجموعات Okta فتعني أن مراجعات الوصول وتغييرات الأدوار تتم في مكان واحد.

راجع سجل التدقيق. يُسجَّل كل إجراء في SCIM — إنشاء مستخدم، أو إلغاء تنشيط مستخدم، أو تحديث ملف شخصي — في سجل التدقيق في ClickHouse Cloud. راجع تسجيل التدقيق. افحص السجل دوريًا، خاصةً بعد دفعات تزويد كبيرة.

عيّن دورًا افتراضيًا مناسبًا. إذا أُسنِد مستخدم Okta إلى التطبيق لكنه ليس ضمن أي مجموعة مُرسلة، فسيُنشأ باستخدام الدور الافتراضي. اختر أكثر الأدوار تقييدًا مع بقائه يتيح للمستخدم إنجاز شيء ما، بحيث تفشل أخطاء الإعداد بطريقة آمنة.

تجنّب استخدام SCIM والدعوات اليدوية في الوقت نفسه. بمجرد تفعيل SCIM، أدر العضوية عبر Okta — ولا ترسل أيضًا دعوات يدوية للمستخدمين أنفسهم. يؤدّي الجمع بين المسارين إلى إرباك بشأن المصدر المعتمد، وقد ينتج عنه إدخالات مكررة.

راقب مهام التزويد الفاشلة. يعيد Okta محاولة استدعاءات التزويد الفاشلة، لكنه ينقلها في النهاية إلى قائمة انتظار Tasks. أضف قائمة الانتظار هذه إلى dashboards التي يراقبها فريق تقنية المعلومات لديك بالفعل، أو استخدم webhook أو التنبيهات عبر البريد الإلكتروني في Okta للإشارة إلى حالات الفشل المستمرة.

​

استكشاف الأخطاء وإصلاحها

​

يفشل “اختبار تكوين الموصل” في Okta

• تأكد من أن SCIM مفعّل في ClickHouse Cloud Console.
• تأكد من أن عنوان URL الأساسي في Okta يطابق تمامًا عنوان URL لنقطة نهاية SCIM المعروض في ClickHouse Cloud Console — ويجب أن يكون معرّف المؤسسة صحيحًا.
• تأكد من لصق مفتاح الرمز والسر من دون أي مسافات بيضاء في البداية أو النهاية.
• إذا كنت قد دوّرت الرموز، فتأكد من أنك تستخدم المفتاح والسر الجديدين، وليس الزوج السابق.

​

يتم إنشاء المستخدمين لكن ليست لديهم أي أذونات

• تحقّق من أنك أضفت صفًا ضمن تعيين الأدوار في “Users and roles” للدور المتوقع.
• تحقّق من أن اسم مجموعة Okta يطابق تمامًا اسم مجموعة SCIM في التعيين، بما في ذلك الأحرف الكبيرة والواصلات.
• إذا كان تصميمك يقضي عمدًا بتهيئة بعض المستخدمين من دون مجموعة، فتأكّد من تعيين الدور الافتراضي.

​

مستخدم مكرر في قائمة الأعضاء

يحدث هذا عادةً بسبب عدم تطابق حالة الأحرف في عنوان البريد الإلكتروني بين Okta ودعوة يدوية سابقة. أزل النسخة المكررة من قائمة Members، ثم ألغِ إسناد المستخدم وأعِد إسناده في Okta لإعادة تهيئته من جديد.

​

يفشل دفع المجموعات مع ظهور “displayName not recognised”

اسم المجموعة في Okta لا يطابق تعيينًا مُكوَّنًا في ClickHouse Cloud. إما إعادة تسمية مجموعة Okta أو إضافة تعيين ضمن تعيين الأدوار في “Users and roles” من لوحة SCIM Configuration (أو عبر Users and roles → Roles).

​

لا يزال المستخدمون الذين تم تعطيلهم يظهرون كأعضاء

قد يستغرق Okta ما يصل إلى دقيقة لتطبيق التعطيل. إذا ظل المستخدم عضوًا بعد عدة دقائق، فتحقّق من Provisioning → View Logs في Okta بحثًا عن خطأ في مهمة التعطيل.

​

بدّلتُ رمز SCIM والآن يفشل Okta

تحقق من أنك حدّثت بيانات الاعتماد في تطبيق SCIM نفسه في Okta. بعد التحديث، انقر على Test Connector Configuration للتأكد. وبمجرد أن تعود عملية التزويد إلى الحالة الخضراء، أبطِل الرمز القديم في ClickHouse Cloud Console.

​

لقد فقدت رمز SCIM

لا يمكن استعادة الرموز. في Organization settings → SAML and SCIM settings → SCIM Configuration ضمن ClickHouse Cloud Console، أبطِل الرمز المفقود وأنشئ رمزًا جديدًا، ثم حدِّث بيانات الاعتماد في Okta.

​

الأسئلة الشائعة

هل أحتاج إلى SAML SSO قبل أن أتمكن من استخدام SCIM؟ نعم. ينشئ SCIM حسابات المستخدمين، لكن ClickHouse Cloud يتحقق من هوياتهم عبر SAML. أعدّ SAML SSO أولًا.

هل يعمل SCIM مع Microsoft Entra ID أو OneLogin أو موفري IdP الآخرين المتوافقين مع SCIM 2.0؟ رسميًا، لا — إذ إن Okta هو موفر IdP الوحيد الذي اختبرناه وندعمه حاليًا. تتوافق نقطة النهاية مع SCIM 2.0 ‏(RFC 7644)، لكن authentication فيها يقتصر على Basic Auth، لذلك فإن أي موفر IdP لا يدعم المصادقة عبر Basic Auth لن يعمل. وقد تعمل عمليًا موفرو IdP الأخرى المتوافقة مع SCIM 2.0 والقادرة على استخدام Basic Auth، لكننا لا نقدم أي ضمانات.

ما مدى سرعة ظهور التغييرات في Okta داخل ClickHouse Cloud؟ تنتشر معظم العمليات خلال بضع ثوانٍ. وقد تستغرق التغييرات المجمّعة (عملية group push كبيرة) وقتًا أطول حسب الحجم، لكن Okta يعيد المحاولة تلقائيًا عند حدوث أخطاء عابرة.

هل يمكنني تزويد عدة مؤسسات في ClickHouse Cloud من مستأجر Okta واحد؟ نعم — ثبّت التطبيق مرة واحدة لكل مؤسسة، مع endpoint URL لـ SCIM ورمز خاصين بها. وأرسِل مجموعات Okta نفسها إلى كل تطبيق حسب الحاجة.

أين أحصل على المساعدة إذا واجهت مشكلة؟ افتح تذكرة دعم من ClickHouse Cloud Console ‏(Help → Contact support) وضمّن ما يلي:

• معرّف المؤسسة الخاص بك،
• معرّف تطبيق Okta الخاص بك، و
• لقطة شاشة للمهمة أو الاختبار الذي فشل من سجلات Okta.