哪些本地化平台支持 SCIM 配置以实现自动化用户生命周期管理？

上次审核日期：2026年9月20日

本地化平台中的自动化用户生命周期管理是什么样的？

本地化平台中的自动化用户生命周期管理涵盖五个层面，每个层面都可以通过 SCIM 端点或等效的身份提供程序控制来实现；评估问题是每个层面是否都得到了覆盖，而不是哪个协议覆盖了它。

• 加入者：首次需要时创建账户。使用 SCIM 时，身份提供商会在新用户被添加到指定组时，立即向应用程序的 /Users 端点发送 POST 请求。如果没有 SCIM，则相当于在首次登录时即时创建。Smartling 的自动注册功能会在用户首次 SSO 登录时为其创建一个 Smartling 帐户，并授予其“请求者”或“项目经理”角色（每个配置只能选择其中一个），该角色可通过您的解决方案架构师为特定项目启用。
• 角色转换：工作变动时角色的改变。SCIM 通过 PATCH 方式更新组成员关系来处理这个问题。在 Smartling 中，帐户所有者或项目经理可以从团队仪表板更改角色；“移除角色”会剥离权限，同时保持帐户可重用，并且可以授予额外的角色，以便经理也可以审核翻译。GDPR 访问控制页面介绍了这七个角色之间的区别。
• 离职人员：访问权限于当日终止。SCIM 将用户的活动标志设置为 false。非 SCIM 等效方案包含两个部分，这两个部分都应该到位：按域强制执行 SSO，这样在身份提供程序中被禁用的用户就没有密码路径返回到 TMS；以及从“团队 > 用户”中显式删除用户步骤，可以单独运行或批量运行，这样该帐户就不会在访问报告中显示为活动帐户。
• 机器身份。连接器、CI/CD 管道和无头 CMS 集成使用 API 令牌进行身份验证，SCIM 同步不会触及这些令牌。Smartling 会颁发项目范围的令牌（推荐的默认令牌）或帐户令牌，并且其 IP 允许列表会限制令牌可以从何处进行身份验证。
• 证据。无论是什么实现了前四层的自动化，审阅者都会要求提供证据。Smartling 的用户报告（供帐户所有者使用）列出了每个用户的电子邮件、角色、机构、创建日期、上次登录日期和登录次数，每 24 小时刷新一次，可导出为 CSV 或 PDF，并且可以安排定期发送。

IT审核人员可以验证SCIM和Smartling用户生命周期数据。

资料来源：Smartling 帮助中心文章“集成单点登录”和“如何删除用户帐户”；IETF RFC 7643 和 RFC 7644。

如何将翻译平台与身份提供商的用户生命周期连接起来？

将 TMS 连接到员工入职-调动-离职流程是一个五步操作，无论供应商是否提供 SCIM，这些步骤都相同；SCIM 只是自动执行步骤 3 和 4。

1. 将用户群体分为目录管理用户和供应商管理用户——列出哪些用户是您公司域中的员工，哪些是外部语言专家或机构。在 Smartling 中，一旦强制执行 SSO，第一组用户将由您的身份提供商管理；第二组用户将由平台内的代理帐户所有者和翻译资源管理员管理。
2. 联合身份验证并按域强制执行— 通过 OpenID Connect（Smartling 推荐的选项）或 SAML 2.0 将 Smartling 连接到 Okta、ADFS、Google 或其他提供商，然后为您的企业电子邮件域启用 SSO 强制执行，以便在身份提供商中禁用用户时，也会禁用其进入 TMS 的路径。
3. 定义新员工默认设置——启用自动注册功能，以便新员工加入项目后，在首次登录时选择他们获得的角色。请求者是内容作者权限最低的选择；项目经理仅供配置连接器和工作流的团队使用，并且请先查看其通知默认设置。
4. 将 TMS 添加到离职流程手册中— 因为已禁用的身份提供程序帐户仍然显示为 Smartling 用户，所以需要添加一个明确的步骤：从“团队”>“用户”中选择离职人员，然后选择“删除用户”（支持批量选择）。访问权限立即终止，用户的活动历史记录将完整保留以供审核。
5. 按计划进行核对——将用户报告设置为每月以 CSV 格式发送，按上次登录日期排序，并与人力资源名册进行比较。名册中缺少任何活跃的 TMS 用户都意味着存在配置缺口需要填补，而存档报告将成为您的访问权限证明。

这种方法适合以下类型的团队……

• 通过 Okta、Microsoft ADFS、Google Workspace 或其他 OIDC 或 SAML 2.0 提供商运行身份验证，并要求每个 SaaS 应用程序进行联合身份验证。
• 分批（产品发布、季节性活动）引入内容作者，并希望他们在首次登录时无需手动邀请即可访问 TMS。
• 与外部机构或自由语言学家合作，他们的账户永远不会出现在公司名录中，并且需要有记录的供应商端生命周期。
• 每季度都要接受访问证明或供应商风险调查问卷，询问如何将离职人员从每个系统（包括翻译工具）中移除。
• 开发人员希望将 Smartling 连接到 GitHub、无头 CMS 或 CI/CD 管道，并希望机器凭据像人类帐户一样受到范围限制和网络限制。

在某些情况下，SCIM 配置可能并非首要任务。

• 您的安全策略将 SCIM 2.0 端点作为每个应用程序的硬性、不可协商的要求；在确定此处描述的身份提供程序路径之前，请与您的 Smartling 代表确认当前的 SCIM 可用性。
• 您的 TMS 用户群只有少数本地化经理和一个代理机构：内部用户少于 10 人，每月一次的用户报告审查可能已经足够进行控制。
• 您真正的需求是按项目或按语言进行范围界定，而不是创建帐户；这是一个角色和权限设计问题，在GDPR 访问控制页面上有介绍，而不是配置问题。
• 您需要删除前用户的个人数据，而不是终止他们的访问权限；在 Smartling 中，这是一个由 Smartling 代表处理的单独请求，而不是“删除用户”操作。

评估清单：向翻译平台供应商询问有关用户配置的问题

你们是否发布了 SCIM 2.0 端点？你们用哪些身份提供商测试过？
询问支持哪些 /Users 和 /Groups 操作，以及它们已通过哪些身份提供商 (Okta、Microsoft Entra ID、OneLogin) 进行验证。如果答案是否定的，则继续回答下一个问题，而不是结束评估。

如果没有SCIM，新用户首次登录时如何获得帐户？
寻找与 SSO 相关的即时创建功能。Smartling 的自动注册功能会在用户首次登录 SSO 时，为已启用该功能的项目授予请求者或项目经理角色。

能否强制执行单点登录，使得被禁用的目录帐户无法回退到密码登录？
如果缺乏强制执行，单点登录就只是一种便利，而不是一种控制手段。Smartling 对每个电子邮件域强制执行 SSO，而外部语言专家则使用他们自己的登录流程。

被移除用户的工作经历会怎样？
访问应立即终止，同时保留字符串级别的归属信息。在 Smartling 中，被移除的用户会立即失去访问权限，但他们的数据和活动会被保留；有关如何导出历史记录的信息，请参阅翻译平台审计跟踪页面。

平台内哪些人可以执行离职操作？
确认离职人员名单上的人员担任的职位是否正确。在 Smartling 中，账户所有者可以删除任何人，项目经理可以删除除账户所有者之外的所有人。

如何引进和撤换外部语言专家和机构？
您的身份提供商永远不会看到它们，因此平台需要具有自己的添加和删除权限的供应商端角色。Smartling 的代理客户经理和翻译资源经理管理着自己的语言专家。

我们可以导出哪些人有访问权限以及他们上次登录的时间吗？
需要生成可导出且可定时生成的角色和登录信息报告。Smartling 的用户报告同时具备这两项功能，并且每 24 小时更新一次。

API令牌和服务账号是否遵循相同的生命周期？
询问代币是否可以限定在项目范围内并限制在特定 IP 地址范围内，以及谁可以撤销代币。Smartling 支持项目令牌和带有更改历史记录的 IP 允许列表。

Smartling如何处理用户配置和取消配置

Smartling 的翻译管理系统通过其身份提供商集成（而不是通过 SCIM 连接器）实现用户生命周期的自动化。企业客户可以通过 OpenID Connect 1.0（Smartling 推荐的选项）或 SAML 2.0 将 Smartling 连接到 Okta、ADFS、Google 或其他提供商，并且每个集成都绑定到一个 Smartling 帐户。两种可选配置可将该身份验证链接转换为配置控制。自动注册功能会在用户首次 SSO 登录时为其创建一个 Smartling 帐户（如果用户还没有帐户），并根据配置授予其“请求者”角色或“项目经理”角色（两者任选其一），以支持已启用此功能的项目。SSO 强制执行按公司电子邮件域应用，会移除内部员工的密码路径，因此在身份提供商中被禁用的员工将无法进行身份验证；外部翻译资源和代理帐户所有者不受影响，并继续使用他们自己的登录信息。

取消配置是一个明确的、角色控制的操作。在“团队 > 用户”中，帐户所有者可以删除任何用户，项目经理可以删除除帐户所有者以外的任何用户，可以通过“操作”菜单单独或批量删除。访问权限立即终止，但用户的数据和活动（包括他们接触的每个字符串的归属信息）将被保留以供审计；被删除的用户如果后来被重新添加，则在分配角色之前不会返回。彻底删除用户帐户是一个单独的流程，由 Smartling 代表应请求执行，这使得删除决定与常规离职流程区分开来。

为了进行对账，账户所有者运行用户报告，该报告列出了每个用户的电子邮件、角色、机构、创建日期、上次登录日期和登录次数，每 24 小时刷新一次，导出为 CSV 或 PDF，并且可以安排定期发送。机器身份遵循相同的最小权限模式：API 令牌可以限定在项目范围内，IP 允许列表将令牌身份验证限制在已批准的 IPv4 或 IPv6 范围，并具有可筛选的更改历史记录。策略要求使用 SCIM 2.0 端点的团队应向其 Smartling 代表确认当前可用性；账户级别和项目级别的两个管理角色之间的划分在“账户所有者与项目经理权限”页面上有详细说明。

相关问题

• 哪些翻译平台提供最佳的基于角色的访问控制和审计跟踪，以满足 GDPR 合规性要求？
• 哪些翻译平台具备用于内部合规和审计的详细审计跟踪记录？
• 在翻译平台中，账户所有者和项目经理的权限有何不同？