Skip to main content
يدعم ClickHouse Cloud بروتوكول SCIM 2.0 ‏(System for Cross-domain Identity Management) لأتمتة إدارة دورة حياة المستخدمين والمجموعات. وبمجرد الاتصال بموفر الهوية لديك، يُنشأ تلقائيًا كل مستخدم تعيّنه لتطبيق ClickHouse Cloud داخل مؤسستك بالدور الصحيح، كما تنتقل تحديثات الملف الشخصي تلقائيًا، وتؤدي إزالة مستخدم من موفر الهوية (IdP) إلى سحب إمكانية وصوله — من دون دعوات يدوية أو حسابات مهجورة. يشرح هذا الدليل كيفية إعداد التزويد عبر SCIM بالكامل باستخدام Okta. تتوافق نقطة نهاية SCIM في ClickHouse Cloud مع SCIM 2.0 ‏(RFC 7644)، لكن لا تُدعَم المصادقة إلا عبر Basic Auth، وOkta هو موفر الهوية الوحيد الذي اختبرناه. وقد تعمل موفرو هوية SCIM 2.0 الآخرون إذا كانوا يدعمون المصادقة باستخدام Basic Auth، لكنهم غير مدعومين رسميًا حاليًا.

​
قبل أن تبدأ

ستحتاج إلى:
  • دور Admin في مؤسسة ClickHouse Cloud الخاصة بك.
  • أن يكون SAML SSO مُعَدًّا بالفعل بين IdP لديك وClickHouse Cloud. ينشئ SCIM حسابات المستخدمين، وتُسجِّل هذه الحسابات الدخول عبر SAML، لذا يجب أن يكون SSO يعمل أولًا.
  • صلاحية المشرف الفائق (super-admin) على مستأجر Okta الخاص بك، مع إذن بتثبيت التطبيقات وتهيئة التزويد.
  • قائمة بالأدوار التي تريد تعيينها عبر SCIM (على سبيل المثال: Admins وDevelopers وRead-only). حدِّد ذلك مسبقًا — إذ ستنشئ مجموعات مطابقة في Okta.

​
كيفية عمل SCIM مع ClickHouse Cloud

  1. يخصّص مسؤول في Okta مستخدمًا — مباشرةً أو عبر مجموعة — لتطبيق ClickHouse Cloud.
  2. يستدعي Okta نقطة النهاية الخاصة بـ SCIM في ClickHouse Cloud عبر HTTPS، مع المصادقة باستخدام رمز مميّز تُنشئه.
  3. ينشئ ClickHouse Cloud المستخدم في مؤسستك ويُسنِد إليه الأدوار استنادًا إلى عضويته في مجموعات Okta.
  4. يسجّل المستخدم دخوله إلى ClickHouse Cloud من خلال تدفّق SAML SSO الحالي لديك.
  5. تُطبَّق تلقائيًا على ClickHouse Cloud تغييرات الملف الشخصي، وتغييرات المجموعات، وإلغاء التنشيط في Okta.

​
تكوين SCIM على مؤسسة ClickHouse Cloud الخاصة بك

1

تمكين SCIM

سجّل الدخول إلى ClickHouse Cloud Console بصفة مسؤول المؤسسة، ثم افتح Organization settings → SAML and SCIM settings → SCIM Configuration.الانتقال إلى علامة تبويب تكوين SCIM في إعدادات المؤسسةانقر على Enable SCIM. يصبح SCIM متاحًا بمجرد ربط SAML SSO — إذا كان الخيار باللون الرمادي، فأكمِل إعداد SAML أولًا.تبديل Enable SCIMسيتم إنشاء عنوان URL لنقطة نهاية SCIM، بالشكل التالي:
انسخه — فستحتاج إلى لصقه في Okta لاحقًا.
2

إنشاء رمز وصول لـ SCIM

انتقل إلى قسم Create an API key واختر تاريخ انتهاء الصلاحية.
خطّط لعملية التدويرنوصي بتحديد مدة صلاحية تبلغ 12 شهرًا وإضافة تذكير في التقويم. يدعم ClickHouse Cloud وجود رمزي SCIM نشطين كحد أقصى في الوقت نفسه، بحيث يمكنك التدوير من دون فترة توقّف: أنشئ الرمز الجديد، وبدّل Okta لاستخدامه، وتأكد من أن التزويد لا يزال يعمل، ثم ألغِ الرمز القديم.
انقر على Generate key. سيظهر الرمز مرة واحدة فقط على شكل مفتاح (ببادئة scim_) وسر. انسخ كليهما فورًا وخزّنهما في أداة آمنة لإدارة الأسرار — ولن تتمكن من استرجاعهما لاحقًا. إذا فقدتهما، فألغِ الرمز وأنشئ رمزًا جديدًا.إنشاء مفتاح API جديد لـ SCIM
3

تحديد تعيين الأدوار

من لوحة SCIM Configuration، انقر على Map roles in “Users and roles” (أو انتقل مباشرة عبر Users and roles → Roles).ترتبط مجموعات SCIM بأدوار ClickHouse Cloud حسب الاسم، مع بعض القواعد التي ينبغي مراعاتها:
  • لا يمكنك ربط مجموعة SCIM بدور نظام مُعرّف مسبقًا. تنطبق تعيينات SCIM على الأدوار المخصصة فقط. إذا كنت بحاجة إلى إتاحة إمكانية على مستوى النظام عبر SCIM، فأنشئ دورًا مخصصًا يضم الأذونات التي تريدها.
  • الأسماء المتطابقة تُربط تلقائيًا. إذا كان للدور المخصص الاسم نفسه لمجموعة SCIM الواردة، فسيقوم ClickHouse Cloud بربطهما تلقائيًا — من دون الحاجة إلى تعيين يدوي.
  • إذا أردت استخدام اسم دور مختلف عن اسم المجموعة، فأنشئ الدور المخصص بالاسم الذي تريده، ثم اضبط الحقل SCIM group على اسم مجموعة SCIM التي يجب أن يرتبط بها.
  • المجموعات غير المعيّنة تُنشئ أدوارًا جديدة. إذا دفع Okta مجموعة لا تطابق اسم دور موجود، ولم تكن مُشارًا إليها في الحقل SCIM group لأي دور، فسينشئ ClickHouse Cloud دورًا مخصصًا جديدًا باسم تلك المجموعة. وبعد ذلك يمكنك منحه الأذونات التي تريدها.

​
إعداد تطبيق ClickHouse Cloud في Okta

1

افتح تطبيق ClickHouse Cloud في Okta

في Okta Admin Console، انتقل إلى Applications → Applications وابحث عن التطبيق الذي أنشأته عند إعداد SAML SSO لـ ClickHouse Cloud. ثم افتحه.إذا لم تكن قد أنشأت تطبيق SAML بعد، فاتبع أولاً دليل إعداد SAML SSO — إذ يتم إعداد SCIM provisioning على التطبيق نفسه.في علامة التبويب General، ابحث عن قسم App Settings وانقر على Edit. ضمن Provisioning، اختر SCIM، ثم انقر على Save.عيّن وضع التوفير إلى SCIM في إعدادات تطبيق Oktaيعرض التطبيق الآن علامة التبويب Provisioning.تظهر الآن علامة التبويب Provisioning في التطبيق
2

صِل Okta بنقطة نهاية SCIM

افتح علامة التبويب Provisioning الخاصة بالتطبيق وانقر على Edit. املأ النموذج:
  • SCIM connector base URL — عنوان URL الأساسي لموصل SCIM الذي ذكرناه سابقًا.
  • Unique identifier field for users — userName.
  • Supported provisioning actions — حدِّد جميع الخيارات التالية:
    • Import New Users and Profile Updates
    • Push New Users
    • Push Profile Updates
    • Push Groups
    • Import Groups
  • Authentication Mode — Basic Auth.
    • Username — مفتاح رمز SCIM (يبدأ بـ scim_).
    • Password — القيمة السرية لرمز SCIM. أدخل عنوان URL لموصل SCIM واضبط المعرّف الفريد على userName أدخل بيانات اعتماد واجهة برمجة تطبيقات SCIM للمصادقة
انقر على Test Connector Configuration. ينبغي أن تظهر لك رسالة تأكيد باللون الأخضر. إذا فشل الاختبار، فانتقل إلى استكشاف الأخطاء وإصلاحها.اختبر اتصال SCIMانقر على Save.
3

تكوين سلوك التوفير

وأنت لا تزال في تبويب Provisioning، انقر To App في الشريط الجانبي الأيسر. انقر Edit ثم فعِّل ما يلي:تمكين إجراءات توفير SCIM للمستخدمينانقر Save، ثم ارجع إلى علامتَي التبويب Sign On / Provisioning في التطبيق للتأكد من تطبيق الإعدادات.احفظ إعدادات التوفير وارجع إلى تبويب Sign On
4

تعيين سمات المستخدم

يجب أن يتوافق Okta وClickHouse Cloud في كيفية مطابقة حقول المستخدم. في علامة التبويب Provisioning، انقر على To App وراجع Attribute Mappings الخاصة بتطبيقك. تكون الإعدادات الافتراضية في تطبيق Okta SAML مناسبةً عادةً — تأكد من مطابقتها للجدول أدناه:يمكنك إضافة سمات اختيارية مثل القسم، والمدير، والموقع — إذ يخزّن ClickHouse Cloud هذه السمات في ملف تعريف المستخدم، لكنه لا يستخدمها اليوم للأذونات. وأي شيء خارج مجموعة SCIM القياسية يتم تجاهله من جانب ClickHouse Cloud.
حالة أحرف البريد الإلكتروني مهمةتأكد من أن userName وemail في Okta يستخدمان حالة الأحرف نفسها. يطبع ClickHouse Cloud عناوين البريد الإلكتروني بأحرف صغيرة؛ وقد تؤدي أي اختلافات بين الحقلين إلى فشل الاختبارات.
5

دفع المجموعات وتعيين المستخدمين

هنا تُطبَّق الأدوار تلقائيًا.أنشئ مجموعات في Okta. لكل تعيين أدوار أعددته سابقًا، أنشئ أو حدِّد مجموعة في Okta تحمل اسم العرض نفسه تمامًا. على سبيل المثال، إذا كان التعيين لديك يقول ClickHouse-Admins → Admin، فأنشئ مجموعة باسم ClickHouse-Admins في Okta.إنشاء مجموعة جديدة في Oktaافتح المجموعة التي أنشأتها للتو وانقر على Assign people لإضافة عضو إليها.انقر على Assign people للمجموعةتعيين المستخدم إلى المجموعةثم اربط تطبيق SCIM بالمجموعة نفسها حتى تظل عضوية الأدوار وإمكانية الوصول إلى التطبيق متزامنتين.تعيين التطبيق إلى المجموعةادفع المجموعات. في علامة التبويب Provisioning الخاصة بالتطبيق، انقر على Push Groups → Find groups by name، وابحث عن مجموعتك، ثم انقر على Save. كرر ذلك لكل مجموعة أدوار. يجب أن تظهر لكل مجموعة Push Status بالقيمة Active (Pushed) بعد اكتمال التزويد.إعداد Group Push بالاسم في علامة التبويب Push Groups الخاصة بالتطبيقعيّن المستخدمين. لديك خياران:
  • عبر المجموعات (موصى به). أضف المستخدمين إلى مجموعات Okta التي دفعتها للتو. سيُزوَّدون إلى ClickHouse Cloud ويُسند إليهم الدور المطابق تلقائيًا.
  • مباشرةً. في علامة التبويب Assignments الخاصة بالتطبيق، انقر على Assign → Assign to People وحدد المستخدمين بشكل فردي. سيُزوَّدون بـ الدور الافتراضي ما لم يكونوا أيضًا ضمن مجموعة مدفوعة.
التعيين المستند إلى المجموعات أنسب للإدارة المستمرة — فعندما يتغير دور أحد الأشخاص، يكفيك تحديث عضوية المجموعة.

​
اختبر التكامل

بعد إعداد التزويد، ارجع إلى Settings → Users and roles في ClickHouse Cloud Console للتأكد من ظهور المستخدمين الذين تمت مزامنتهم بالأدوار المتوقعة. التحقق من مزامنة المستخدمين في Users and roles اتّبع خطة الاختبار القصيرة هذه باستخدام مستخدم اختبار واحد أو اثنين قبل إسناد فريقك بالكامل. يجب أن تنجح كل خطوة خلال بضع ثوانٍ؛ وإذا لم تنجح، فتحقّق من قائمة انتظار Tasks في Okta وقسم استكشاف الأخطاء وإصلاحها. إذا فشلت أي خطوة، فأصلح المشكلة الأساسية قبل المتابعة — إذ غالبًا ما تتفاقم الأعراض.
أين تبحث عن أخطاء SCIM في Oktaتظهر أخطاء SCIM في Reports → System Log بعد التصفية حسب تطبيقك، وكذلك في شاشة Provisioning → View Logs الخاصة بالتطبيق. وتُعرض رسالة الخطأ التي يعيدها ClickHouse Cloud كما هي — ابدأ من هناك.

​
أفضل الممارسات لبيئة الإنتاج

​
بدّل الرموز بانتظام

اضبط تذكيرًا في التقويم لتبديل رمز SCIM. يُوصى بذلك كل 12 شهرًا، أو فورًا إذا غادر الشركة أي مسؤول كان يعرف الرمز. يتيح ClickHouse Cloud وجود رمزين نشطين لكل مؤسسة تحديدًا حتى تتمكن من التبديل من دون تعطيل التزويد.

​
استخدم المجموعات، لا التعيينات المباشرة

ينجح إسناد المستخدمين إلى التطبيق مباشرةً، لكنه يصبح سريعًا صعب المراجعة والتدقيق. أما إدارة الإسناد عبر مجموعات Okta فتعني أن مراجعات الوصول وتغييرات الأدوار تتم في مكان واحد.

​
راجع سجل التدقيق

يُسجَّل كل إجراء في SCIM — إنشاء مستخدم، أو إلغاء تنشيط مستخدم، أو تحديث ملف شخصي — في سجل التدقيق في ClickHouse Cloud. راجع تسجيل التدقيق. افحص السجل دوريًا، خاصةً بعد دفعات تزويد كبيرة.

​
عيّن دورًا افتراضيًا مناسبًا

إذا أُسنِد مستخدم Okta إلى التطبيق لكنه ليس ضمن أي مجموعة مُرسلة، فسيُنشأ باستخدام الدور الافتراضي. اختر أكثر الأدوار تقييدًا مع بقائه يتيح للمستخدم إنجاز شيء ما، بحيث تفشل أخطاء الإعداد بطريقة آمنة.

​
تجنّب استخدام SCIM والدعوات اليدوية في الوقت نفسه

بمجرد تفعيل SCIM، أدر العضوية عبر Okta — ولا ترسل أيضًا دعوات يدوية للمستخدمين أنفسهم. يؤدّي الجمع بين المسارين إلى إرباك بشأن المصدر المعتمد، وقد ينتج عنه إدخالات مكررة.

​
راقب مهام التزويد الفاشلة

يعيد Okta محاولة استدعاءات التزويد الفاشلة، لكنه ينقلها في النهاية إلى قائمة انتظار Tasks. أضف قائمة الانتظار هذه إلى dashboards التي يراقبها فريق تقنية المعلومات لديك بالفعل، أو استخدم webhook أو التنبيهات عبر البريد الإلكتروني في Okta للإشارة إلى حالات الفشل المستمرة.

​
استكشاف الأخطاء وإصلاحها

  • تأكد من أن SCIM مفعّل في ClickHouse Cloud Console.
  • تأكد من أن base URL في Okta يطابق تمامًا عنوان URL لنقطة نهاية SCIM المعروض في Cloud Console — ويجب أن يكون معرّف organization صحيحًا.
  • تأكد من لصق مفتاح الرمز وsecret الخاص به من دون أي مسافات بيضاء في البداية أو النهاية.
  • إذا كنت قد بدّلت الرموز، فتأكد من أنك تستخدم المفتاح وsecret الجديدين، وليس الزوج السابق.
  • تحقّق من أنك أضفت صفًا ضمن Map roles in “Users and roles” للدور المتوقع.
  • تحقّق من أن اسم مجموعة Okta يطابق تمامًا اسم مجموعة SCIM في التعيين، بما في ذلك الأحرف الكبيرة والشرطات.
  • إذا كان تصميمك يتعمّد تزويد بعض المستخدمين من دون مجموعة، فتأكد من تعيين الدور الافتراضي.
يحدث هذا عادةً بسبب اختلاف حالة الأحرف في عنوان البريد الإلكتروني بين Okta ودعوة يدوية سابقة. احذف الإدخال المكرر من قائمة Members، ثم أزل تعيين المستخدم وأعد تعيينه في Okta ليُعاد تزويده من جديد.
اسم المجموعة في Okta لا يطابق تعيينًا مُعدًا في ClickHouse Cloud. إمّا أن تعيد تسمية مجموعة Okta أو تضيف تعيينًا ضمن Map roles in “Users and roles” من لوحة SCIM Configuration (أو عبر Users and roles → Roles).
قد يستغرق Okta ما يصل إلى دقيقة لنشر إلغاء التنشيط. إذا ظل المستخدم يظهر كعضو بعد عدة دقائق، فتحقّق من Provisioning → View Logs في Okta بحثًا عن خطأ في مهمة إلغاء التنشيط.
تحقّق من أنك حدّثت credentials في تطبيق SCIM نفسه داخل Okta. بعد التحديث، انقر على Test Connector Configuration للتأكد. وبمجرد أن تعود عملية التزويد إلى الحالة السليمة، ألغِ الرمز القديم في ClickHouse Cloud Console.
لا يمكن استعادة الرموز. في Organization settings → SAML and SCIM settings → SCIM Configuration داخل ClickHouse Cloud Console، ألغِ الرمز المفقود وأنشئ واحدًا جديدًا، ثم حدّث credentials في Okta.

​
الأسئلة الشائعة

نعم. ينشئ SCIM حسابات المستخدمين، لكن ClickHouse Cloud يتحقق من هوياتهم عبر SAML. أعدّ SAML SSO أولًا.
رسميًا، لا — إذ إن Okta هو موفر IdP الوحيد الذي اختبرناه وندعمه حاليًا. تتوافق نقطة النهاية مع SCIM 2.0 ‏(RFC 7644)، لكن authentication فيها يقتصر على Basic Auth، لذلك فإن أي موفر IdP لا يدعم المصادقة عبر Basic Auth لن يعمل. وقد تعمل عمليًا موفرو IdP الأخرى المتوافقة مع SCIM 2.0 والقادرة على استخدام Basic Auth، لكننا لا نقدم أي ضمانات.
تنتشر معظم العمليات خلال بضع ثوانٍ. وقد تستغرق التغييرات المجمّعة (عملية group push كبيرة) وقتًا أطول حسب الحجم، لكن Okta يعيد المحاولة تلقائيًا عند حدوث أخطاء عابرة.
نعم — ثبّت التطبيق مرة واحدة لكل مؤسسة، مع endpoint URL لـ SCIM ورمز خاصين بها. وأرسِل مجموعات Okta نفسها إلى كل تطبيق حسب الحاجة.
افتح تذكرة دعم من ClickHouse Cloud Console ‏(Help → Contact support) وضمّن ما يلي:
  • معرّف المؤسسة الخاص بك،
  • معرّف تطبيق Okta الخاص بك، و
  • لقطة شاشة للمهمة أو الاختبار الذي فشل من سجلات Okta.
آخر تعديل في ٢٤ يوليو ٢٠٢٦