本操作手册描述了解决计划的SCIM配置失败问题的步骤。
概概览
SCIM 同步对于将用户配置到 CMA 至关重要，确保无缝入职和一致的资源访问。 同步频率取决于使用的身份提供者（IdP），如 SCIM 用户配置中所述。
当 SCIM 配置失败时，新创建的用户可能无法连接或访问所需服务，并且安全策略可能无法正确执行。 为了帮助确保快速检测和解决问题，每当 IdP 和 CMA 之间发生配置失败时，会自动生成一个 XOps 事件。
响应网络 XOps 事件时，至关重要的是以系统的方式处理问题。 首先，验证问题是否仍在进行，然后进行故障排除，最后确认问题已解决。
步骤 1 - 验证 SCIM 同步失败
以下是 Cato 管理应用程序管理员可以验证 SCIM 同步失败的不同方法。
使用事件深入分析
当 SCIM 同步失败时，将生成一个 XOps 事件。
转到 XDR 发现事件 页面并使用网络运维预设，包括过滤器“指示 包含 SCIM”。 调整时间范围以配合需要。
验证是否生成了如下所示的事件。
点击事件以深入查看详细信息。 它提供了关于事件状态、事件时间线以及更重要的 SCIM 同步状态的信息。
在事件深入分析页面往下滚动，可以找到事件时间线。 此时间线突出显示了 SCIM 同步状态的任何变化。 在右侧窗格中，您将看到操作手册工作流，其中概述了故障排除问题的步骤。
使用事件
通过检查相关事件条目，也可以验证 SCIM 同步失败。
要查看此事件，打开事件仪表板过滤器，将子类型设置为 SCIM 配置，将操作设置为 失败。 根据需要调整时间范围以匹配问题发生时间。
如果检测到 SCIM 同步失败，您将看到类似于下面显示的示例事件。 事件消息将显示同步失败的原因。 下面的示例显示这是由于“内部服务器错误”引起的。
步骤 2 - 排查 SCIM 同步失败
本节概述了 Cato 中可以使用的工具，以结构化的方法进行此类事件的故障排查。 虽然步骤通常意味着按顺序进行，但每项检查的结果可能会影响下一个步骤。
执行按需配置
为了确定问题是否为一次性发生，请从 IdP 平台执行按需配置。 对于 Azure，请导航到企业应用程序 > Cato Networks 配置 > 配置 并点击“按需配置”。
选择分配给应用程序的用户或组，然后点击“配置”按钮。
如果 SCIM 同步成功完成，则可能表示 SCIM 同步失败是一个孤立的事件。 管理员应验证是否有提供商中断或 Cato 维护活动与 SCIM 同步时间重合。
如果 SCIM 同步也失败，则表明问题仍然存在，并且与 IdP 的同步未成功完成。 在这种情况下，查看可能导致问题的任何最近的配置更改。
在审计追踪中查看更改
查看审计追踪页面上的更改，以确定配置更改是否是此问题的原因。 如果计划的同步一直正常运行但意外停止工作，则这一步尤其重要。
要查看对域配置进行的任何更改，请打开审计仪表板过滤器，将模型类型设置为 域名。 根据需要调整时间范围以匹配问题发生时间。
例如，下面的截图显示管理员对 Okta SCIM 配置进行了更改。 如果此活动的时间与 SCIM 同步失败相符，管理员可以恢复更改以确定这些更改是否为原因。
另一个可能影响 SCIM 连接性的因素是对 IdP 端应用程序的更改。 对于 Azure，请导航到 企业应用程序 > Cato Networks 配置并检查 审计日志和 配置日志以确定配置更改是否触发了 SCIM 失败。
更新管理员凭证
要验证与 IdP 的凭证失败，请在 CMA 下的 目录服务 > SCIM生成新令牌。 点击“生成令牌”并复制新令牌。
对于 Azure，请导航到企业应用程序 > Cato Networks 配置 > 配置 并展开 配置 > 管理员凭证。 输入从 CMA 生成的令牌并点击“测试连接”。
如果认证成功，则问题可能与 IdP 和 CMA 之间的令牌不匹配有关。
步骤 3 - 验证 SCIM 同步是否正常工作
识别和解决导致 SCIM 同步失败的问题后，验证同步在事件中是否已显示为已解决。
使用事件深入分析
注意：问题解决后，事件状态将从“开放”变更为“监控”。 在接下来的一个小时内将保持这种状态，前提是没有进一步的事件。 有关更多信息，请参考理解事件列。
事件时间轴
事件时间线显示计划同步状态的变更。 您可以使用它确认最近的状态是否已更新为“已关闭”。
上传案例到 Cato 支持
如果按照此操作手册仍未解决问题，请提交支持票据。 为获得最有帮助的请求响应，管理员应提供所采取故障排除步骤的结果。