Cursor SCIM: как настроить provisioning на Enterprise

Cursor SCIM — это SCIM 2.0 provisioning: identity provider сам добавляет и снимает members и синкает directory groups. Фича Enterprise при уже включённом SSO; доступ запрашивают через sales. Канон: SCIM.

Связка: SSO (обязательный prerequisite), Organization Groups, spend limits, Admin API. Pillar: n8n для начинающих.

Для кого этот разбор

• Enterprise IT хочет hire/offboard без ручного Members dashboard.
• Нужны directory groups с разными spend caps.
• Несколько linked teams — смотрите org-level directory sync и Organization Groups.
• SSO уже работает, SCIM «не видно» в UI — типичный FAQ.

Prerequisites

• Cursor Enterprise plan.
• SSO уже configured и active (без этого SCIM не ставят).
• Admin в IdP (Okta, Azure AD, …) и admin в Cursor team / org.

Сверка: cursor.com/docs/account/teams/scim (проверка 2026-09-13). Страница покрывает SCIM одной team; multi-team Organization — через org-level sync и Organization Groups.

Как это работает

Слой	Что синкается	Где править
User provisioning	Assign → user в Cursor; unassign → remove	IdP SCIM app
Directory groups	Groups + membership, real-time	IdP; в Cursor read-only
Spend management	Per-user limits на directory group	Cursor Active Directory / Directory Groups UI
Roles	Не из IdP attribute напрямую	Org Group → team mapping в Cursor

Changes из IdP синкаются в real-time; на больших bulk ops docs допускают краткую задержку. Профиль (name, email) обновляется из IdP автоматически.

Setup по шагам

1. Убедитесь, что SSO поднят и verified.
2. Откройте Active Directory Management: cursor.com/dashboard/members?subtab=active-directory или Dashboard → Members & Groups → Directory Groups.
3. После verified SSO появится link на step-by-step SCIM setup — запустите wizard.
4. В IdP создайте/настройте SCIM app: endpoint + token из Cursor, user provisioning + push groups, test connection.
5. Опционально: в Cursor задайте per-user spend limits на synced directory groups.

Spend limits на groups

• Разные per-user limits на разные directory groups.
• Directory group limits precedence над team-level default.
• User в нескольких groups → highest applicable spend limit.

Если limits «не применяются», сначала проверьте membership группы в IdP — Cursor только отражает directory.

Org-level: Groups и роли

Чтобы directory вёл team membership и roles: sync directory group в Organization Group, затем map group → team с ролью. Пока mapping задаёт role, sync управляет roles на team и admins больше не меняют их в dashboard. Roles остаются editable в dashboard только если при выборе group роль не задавали.

FAQ из практики sync

• Users не синкаются — не assigned на SCIM application в IdP.
• Groups не видны — не включён push group provisioning (отдельно от user sync).
• На Members есть люди вне provisioned groups — team-level SCIM не вычищает pre-existing users сам; снимите вручную или деprovision через IdP после однократного sync.
• Group roster ≠ Members dashboard — provisioned account появляется в Members после первого sign-in.

Сильные стороны

• Hire/offboard через IdP без ручного клика по каждому seat.
• Directory groups → разные spend caps на когорты.
• Мост к Organization Groups и role mappings на Enterprise org.

Типичные ошибки

• Ставить SCIM до рабочего SSO.
• Включить только users и забыть push groups.
• Ждать, что IdP role attribute сам станет Cursor admin.
• Публиковать «цену SCIM» в ₽ — в docs: Enterprise + contact sales, без прайслиста.

FAQ: Cursor SCIM

Вывод

Cursor SCIM — Enterprise provisioning поверх SSO: users, directory groups, group spend limits. Дальше org-уровень — Organization Groups; вход — SSO; потолки — spend limits.