Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

[Bug]: Okta directory sync doesn't say app-profile attributes need SCIM mappings, so users can sync with no display name or email

Chiusa Adatta ai principianti
  • Qualcosa non va?
#1,281 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

@danbarr ci sta già lavorando.

Dal 29/10/2026.

  • #1291 di @danbarr — aperta

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
78/100
Tipo di issue
Documentazione
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
javascript
Ambito
authentication, documentation

Direzione di ricerca

Leggi il comportamento descritto in docs/platform/enterprise-directory/okta-directory-sync.mdx e nel file referenziato internal/directory/domain/models/okta_app_profile_schema.go. Aggiorna Prerequisites, Verify synchronization e Troubleshooting per spiegare le mappature degli attributi SCIM richieste, aggiungere i controlli suggeriti per utenti e API e collegare la guida sui gruppi SCIM. La pagina sarà completa quando descriverà chiaramente la causa e la soluzione per l’assenza di display name, email e attributi di gruppo derivati.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

bug documentation needs-triage
Page or section

docs/platform/enterprise-directory/okta-directory-sync.mdx (Prerequisites, Verify synchronization, Troubleshooting)

What's wrong?

The prerequisites say: "Configure its profile mappings so the application user profile contains every attribute that you want in the directory." That isn't enough. The reconciler only projects application-profile properties that have a SCIM destination in the app-user schema (externalName and externalNamespace from GET /api/v1/meta/schemas/apps/{appId}/default). Properties without one are skipped silently (internal/directory/domain/models/okta_app_profile_schema.go, NewOktaAppProfileSchema). In practice, Okta only populates those SCIM destinations on an application with SCIM provisioning enabled.

userName is always set from the base user's profile.login, so a reconciler pointed at a plain OIDC sign-in app still "works": users appear with a SCIM source and the verification steps pass. But they have no displayName and no email. That's the state of the demo cluster today. Every user shows their login as their name, with an empty email column. That cascades into:

  • user names falling back to UUIDs where a view needs an email (see stacklok/stacklok-enterprise-platform#5447)
  • group_variables such as department and costCenter producing no groups, so AI Gateway group labels (directory.groupLabels) resolve to nothing

The page's troubleshooting section doesn't cover this case, and nothing in the logs flags it.

Suggested fix
  • Prerequisites: say that the target application must have SCIM provisioning enabled (or otherwise expose SCIM externalName mappings), and that its Provisioning > To App mappings must populate at least displayName and the primary email. Note that the reconciler doesn't push to the app; the provisioning settings only supply the attribute mappings.
  • Verify synchronization: add a check that synced users have a display name and email in User management, and an optional API check: GET /api/v1/meta/schemas/apps/<APP_ID>/default should show an externalName for displayName and email.
  • Troubleshooting: add "Users appear without a display name or email", with the cause and fix above.
  • Cross-link to SCIM provisioning's "Create groups from user attributes" and "Label derived groups", noting that department and costCenter need the same mappings to produce groups and AI Gateway attribution labels.
Additional context

Code and design references in stacklok/stacklok-enterprise-platform: enterprise/toolhive-enterprise/docs/design/okta-directory-reconciler.md ("Profile translation"; userName comes from profile.login because "the observed application profile does not expose a userName destination"). Found while walking through demo flows on the demo cluster, which uses the pull reconciler. Standing environments use push SCIM from a SCIM app and don't show the problem.

Fully or partially written by an AI agent.

Lingua principale
JavaScript
Stelle
4
Fork
4
Merge medio
17h 57m
PR unite (30g)
87

Preparare l'ambiente

Apri in Codespaces

Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di stacklok/docs-website

Tutte le issue di stacklok/docs-website

Issue simili

Altre issue su JavaScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.