Zusammenfassung

  • RFC 9944 verwendet SCIM zur Bereitstellung von Gerätedaten in einer lokalen Netzumgebung; das Löschen eines Device ist jedoch ein Anwendungssignal, kein universeller Widerrufsbefehl.
  • 204, ein späteres 404 oder das Fehlen in einer SCIM-Abfrage belegen den Zustand der SCIM-Schnittstelle. Policy-Entscheidung, Durchsetzung und beobachteter Zugang benötigen eigene Belege.

Ein Administrator löscht ein Device, erhält Erfolg und findet die Ressource später nicht mehr. Diese Folge ist nützlich und sollte genau festgehalten werden. Irreführend wird sie erst als Satz wie: „Das Gerät wurde gelöscht, also verlor es Zugang.“ Darin werden Bereitstellungsoberfläche, Infrastrukturpolicy, Durchsetzungspunkt und vermutete Wirkung vermischt.

RFC 9944 ist ein im Mai 2026 veröffentlichtes IETF-Standards-Track-Dokument, das SCIM für Geräte und Endpoint-Anwendungen erweitert. Zu seinem Zweck gehört die Bereitstellung eines lokalen Netzes für Onboarding und Kommunikation von Geräten; die SCIM-Datenbank wird im Wesentlichen mit der AAA-Datenbank des Netzes gleichgesetzt. Ein Bereitstellungsdatensatz kann daher wesentlich sein, ohne selbst einen Paketblock, einen Credential-Widerruf oder eine Trennung zu beweisen.

Die Rollen sind bewusst getrennt. Der SCIM-Server befindet sich innerhalb des Deployments, nimmt Informationen über erwartete Geräte entgegen und wendet lokale Policy darauf an, ob und wie ein Gerät verbunden wird. Ein Client kann ein im Verkauf autorisierter Anbieter oder eine Verwaltungsanwendung sein. Er kann eine Datenänderung verlangen, wird dadurch aber nicht zur lokalen Policy-Instanz. Weil Provisionierung Netzzugang ermöglichen kann, verlangt RFC 9944 eine angemessene Authentisierung von SCIM-Clients.

Die Löschpassage ist eindeutig. Das Entfernen des Objekts zeigt an, dass die Anwendung das Gerät nicht mehr im Netz erwartet. Der Server kann darauf reagieren oder nicht; ob Infrastrukturzugang widerrufen wird, entscheidet ausschließlich der SCIM-Server mit seiner Back-End-Policy. Das RFC empfiehlt einen Workflow nach lokaler Netzpolicy. Die irreversible Entscheidung bleibt damit dort, wo ihre Infrastrukturfolge liegt.

RFC 7644 beschreibt die engere SCIM-Schnittstelle: DELETE beantragt die Entfernung. Der Anbieter darf Daten behalten, muss aber für spätere Operationen 404 zurückgeben und die Ressource aus künftigen Abfragen auslassen; Erfolg wird mit 204 illustriert. Das besagt nicht, dass ein Access Point das Gerät getrennt, ein Controller eine Erlaubnisregel entfernt, ein Zertifikat gesperrt oder ein Verkehrsweg blockiert hat.

RFC 7643 begrenzt auch Identifikatoren. id wird vom Dienstanbieter vergeben und bleibt in dessen SCIM-Ressourcenbestand stabil; externalId vergibt der Client, beschränkt auf seine Provisionierungsdomäne. Beide können Datensätze in diesem Rahmen verbinden, beweisen aber weder physische Geräteidentität noch Berechtigung oder Zugangsresultat an einem anderen Kontrollpunkt.

Daniel Kade verwendet die Trennung von Realitätsebenen aus docs/heng-lu-note.md als redaktionelle Linse, nicht als IETF-Vorgabe. Authentisierte Anfrage, SCIM-Antwort, bewertete Policy, Durchsetzungsbestätigung und abgegrenzte Zugangsbeobachtung müssen getrennte Tatsachen bleiben.

Quellen