Кратко

  • Новый индивидуальный проект определяет ресурс GroupMembership для отдельной связи группы и участника. Такие связи можно будет искать по фильтру, читать страницами и удалять по адресу.
  • Необязательный признак membersEmbedded сообщает, полон ли массив Group.members. Значение false не даёт гарантии полноты; даже true не превращает исключённый по запросу массив в доказательство пустой группы.

Удаление принято. Сверка всё ещё невозможна

По действующему RFC 7643 участники входят в многозначное поле members ресурса Group. Автор проекта объясняет, почему эта форма тяжела для крупных групп: некоторые службы опускают поле, а клиенты иногда сами исключают его из ответа. Запросы на добавление и удаление продолжают работать. Вот только сверить плановый состав с фактическим состоянием у поставщика уже нельзя. Масштаб распространения такого поведения документ независимо не измеряет; его предметом служит конкретный разрыв между записью и чтением.

Предложенный /GroupMemberships делает каждую связь адресной. Поставщик выдаёт ей непрозрачный ID и хранит ссылки на группу и участника. Фильтр покажет состав группы, группы отдельного человека либо конкретную пару. Повторное создание существующей пары должно получить ответ о конфликте. Для отзыва доступа это означает возможность найти именно ту запись, которую надо удалить, вместо изменения тяжёлого массива вслепую.

Главное правило скрыто в маленьком логическом поле. membersEmbedded: true гарантирует полный текущий состав только тогда, когда запрос допускает возврат members. Если клиент сам исключил массив, отсутствие имён не доказывает отсутствие людей. При false список может быть полным, частичным или отсутствовать — поставщик не обещает его полноты. Без признака действует прежнее толкование SCIM. Так короткий ответ перестаёт выдавать себя за завершённую ревизию прав.

Новый маршрут, согласно проекту, должен отдавать все связи, которые запрашивающий клиент уполномочен видеть. Полный ответ в рамках разрешений клиента не является общим реестром поставщика. Обязательны фильтры равенства по группе и участнику и хотя бы один способ листания. Предпочтителен курсор: при изменении состава числовые позиции страниц сдвигаются. Обещание стабильного порядка также действует при условии, что состав не меняется во время чтения.

Два способа записи требуют одного состояния. Если служба принимает изменения и в Group.members, и через новые ресурсы, она обязана синхронизировать их. Удаление через один вход должно исчезнуть и из другого; вместе с группой или участником надо удалять относящиеся к ним связи. Иначе два интерфейса предъявят разные ответы на один вопрос об отзыве доступа. Datatracker фиксирует статус индивидуального проекта без принятия рабочей группой. Решение группы и проверенное поведение реализации станут следующими важными фактами.

Источники: оригинальный проект; статус IETF; RFC 7643; RFC 7644; RFC 9865.