一句话定义：SCIM（System for Cross-domain Identity Management，跨域身份管理）是一套基于 HTTP 和 JSON 的开放标准，它让「身份源头」系统通过统一的接口，自动在别的应用里创建、更新、停用账号和群组。
它具体在做什么
先打个比方。公司的 HR 系统或统一目录（IdP，Identity Provider，身份提供方）是物业的登记册；SSO（Single Sign-On，单点登录）是门禁刷卡，证明「你是你」；而 SCIM 是物业后台那套真正去开卡、销卡、改楼层权限的流程。
企业里通常有一个「唯一可信源」，也就是 HR 系统或公司目录。人一入职，里面就多出一条记录；SCIM 就是负责把这条记录推送到其他系统的那条通道。动作很朴素，就是几个 REST 请求：
- 新人入职：向应用发送
POST /Users，带上用户名、姓名、邮箱，以及关键字段active: true； - 转岗、改名：发送
PATCH /Users/{id}； - 离职：发送
PATCH active: false或DELETE，应用应当立刻收回这个人访问应用的权限； - 部门、项目组：用
POST /Groups和成员增删来同步，权限一般挂在组上，而不是挂在个人身上。
调用方通常用 OAuth 的 bearer token 鉴权，具体字段和错误码以各家官方文档为准。
和相邻概念的区别
| 概念 | 管什么 | 一句话 |
|---|---|---|
| SSO、SAML、OIDC | 认证 Authentication | 登录时证明「你是你」 |
| SCIM | 账号生命周期 Provisioning | 提前建号、事后销号 |
| JIT Provisioning | 首次登录时才建号 | 省事，但人不登录就没号，离职常删不掉 |
| IGA | 身份治理 Governance | 谁该有什么权限、定期评审与审计 |
关键差别在于：SSO 只解决「进门」，不解决「门里有没有你的工位」。不少企业上了 SSO 就以为账号管理自动化了，结果离职员工的账号还留在各个 SaaS 里。
AI 从业者的视角：智能体也是「数字员工」
现在的常见问题在于：给智能体接入第三方应用（工单、代码托管、监控、IM）时，为图省事用了某个人的 token。这个人一离职、token 一作废，智能体就全部无法工作；反过来，智能体下线了，它手里的凭证还在。
更稳的做法是把智能体当作一类独立身份（first-class identity）：在目录里给它建独立账号，走和人类同一套 SCIM 流程。智能体上线，就执行 POST /Users 建号并加入对应 Group；智能体退役，就把 active 设为 false。谁开的、何时关的，全都有据可查。
一个容易忽略的边界
SCIM 管的是「账号」，不管「已经发出去的凭证」。账号停用后，此前签发的 OAuth 令牌、长连接会话、缓存在脚本里的 API key 未必会自动失效。干净的离职流程通常是三段：SCIM 停用账号，然后撤销令牌、踢掉会话，最后排查残留的个人令牌和机器人账号。
对普通职场人来说，这意味着：你离职那天，邮箱、文档、代码库、内部工具的权限能不能当天关掉，取决于后台有没有这条自动化的通道，而不是取决于 HR 有没有记得发那封邮件。