Firezone отказалась от SCIM и написала собственную синхронизацию каталогов
Building reliable (and fast) directory sync
Синхронизация каталогов с identity-провайдерами вроде Entra, Google и Okta — задача сложнее, чем кажется. Стандарт SCIM обещает единый API, но на практике каждый провайдер реализует его по-своему, что порождает хрупкий код под каждый сервис. Firezone рассказывает, почему они отказались от SCIM и построили pull-based движок, который сам опрашивает API провайдеров, и какие подводные камни — пагинация, rate limits, вложенные группы, конкурентные задачи — встречаются на этом пути.
Вполне возможно, что, пойдя по пути SCIM, вы получите более сложную (и хрупкую) реализацию, чем если бы построили pull-based систему, которая отдельно обращается к API каждого провайдера.