1. SCIM 工程全景与身份目录
SCIM（System for Cross-domain Identity Management，跨域身份管理）是一套基于 HTTP 与 JSON 的开放标准，用于在不同系统之间自动同步用户与群组身份。它解决的核心问题不是“如何登录”，而是“身份数据如何在多个系统之间保持一致”。在企业环境中，员工入职、转岗、离职都会引发账号的创建、权限调整与回收，如果依赖人工在 HR 系统、邮箱、OA、代码仓库、云平台之间逐个操作，不仅效率低，还极易产生权限残留。SCIM 正是为这类跨系统身份生命周期管理提供统一协议。
从协议定位看，SCIM 位于身份治理体系的应用层。它不定义认证方式，也不替代 OAuth 2.0 或 OIDC；认证由底层协议负责，SCIM 只负责“身份资源的增删改查”。一个典型的 SCIM 交互是：身份源（如 HR 系统或 IdP）作为客户端，向目标应用暴露的 SCIM 端点发送 HTTP 请求，目标应用根据请求创建或更新本地账号。SCIM 2.0 定义了标准的资源模型、Schema、过滤语法和批量操作，使不同厂商的实现能够互操作。
身份目录核心模型
SCIM 的核心资源是 User 和 Group。User 资源包含 userName、name、emails、active、externalId 等属性；Group 资源包含 displayName、members 等属性。其中 externalId 是连接身份源与目标系统的关键字段，通常存放 HR 系统中的员工编号，用于在多次同步中稳定识别同一身份。active 字段则控制账号启用与禁用，是离职场景中最常用的属性。
身份目录并不是简单的用户列表，而是一个带有层级与关系的模型。用户可归属于群组，群组可嵌套，权限往往通过群组间接授予。SCIM 的 PATCH 操作支持对多值属性进行精细修改，例如向 Group 的 members 数组添加或移除某个用户。理解这些模型，是后续编写同步逻辑、处理冲突和排查同步失败的基础。
账号自动化工程边界
SCIM 工程不是“调通接口”就结束，它包含一条完整的工程链路：身份源事件捕获、SCIM 请求构造、目标系统适配、同步结果校验、异常重试与审计。边界之内，需要处理字段映射、唯一标识匹配、批量操作、速率限制、幂等性；边界之外，则涉及 HR 数据质量、组织架构变更流程、权限模型设计等上游问题。明确边界，才能避免把数据治理问题误判为接口故障。
以字段映射为例，HR 系统中的“部门”可能对应目标应用的“组织单元”，而 SCIM 标准并未强制规定部门字段的 Schema 扩展。实际工程中通常使用 enterprise:department 或自定义扩展。映射关系需要在配置中显式声明，并记录在同步日志中，否则一旦同步结果不符合预期，排查将非常困难。
典型企业场景
最常见的场景是入职自动化：HR 系统在员工入职时创建记录，触发 SCIM 客户端向邮箱、OA、代码仓库等目标应用发送 POST /Users 请求，目标应用返回 201 Created 并分配本地账号。转岗场景则通过 PATCH 更新用户属性或调整 Group 成员关系。离职场景最敏感：通常先将 active 置为 false 禁用账号，再根据合规要求延迟删除或保留审计数据。
另一个典型场景是群组同步。企业按项目或部门建立 Group，SCIM 客户端将成员列表同步到目标应用，目标应用据此授予或回收权限。这里的关键是成员关系的增量更新：如果每次全量覆盖，可能造成权限短暂丢失；如果只做增量，则需要处理成员重复、顺序不一致等问题。
课程实战项目说明
本课程将围绕一个可运行的身份同步项目展开。项目模拟一个 HR 系统作为身份源，通过 SCIM 2.0 协议向两个目标应用同步用户与群组：一个模拟邮箱系统，一个模拟代码仓库。项目包含以下可交付成果：
- SCIM 客户端模块：负责构造 User/Group 的 POST、PATCH、DELETE 请求，并处理分页与过滤。
- 字段映射配置：将 HR 字段映射到 SCIM 标准属性与扩展属性，使用 externalId 作为稳定标识。
- 同步日志与校验：记录每次请求的请求体、响应码、耗时与结果，支持按 externalId 追溯。
- 异常处理：针对 409 Conflict、429 Too Many Requests、网络超时分别设计重试与告警策略。
项目示例参数如下：HR 系统员工编号格式为 EMP-0001，SCIM 端点基地址为 https://example.com/scim/v2，认证方式为 Bearer Token。同步频率为每 15 分钟增量拉取一次，单次批量不超过 100 条。这些参数属于教学示例，实际部署时需根据目标应用的速率限制和业务时效要求调整。